Существуют различные подходы к аутентификации с использованием систем ответа на запрос, но современные методы аутентификации по требованию обычно включают один или несколько криптографических протоколов, чтобы доказать, что пользователь, прошедший проверку подлинности, знает пароль без необходимости совместного использования самого пароля.
При аутентификации с запросом-ответом клиентское приложение изначально получает случайную задачу - обычно данные определенного типа - с сервера. Для систем защиты от ответа на основе пароля клиентская система вычисляет ответ, применяя криптографическую хэш-функцию к вызову с сервера в сочетании с паролем пользователя. Затем приложение отправляет ответ, а также исходный запрос обратно на сервер.
Когда сервер получает ответ, он применяет ту же функцию хэширования к данным запроса в сочетании с собственной копией пароля пользователя. Если результирующее значение и ответ, посланный приложением, совпадают, существует очень высокая вероятность, что пользователь отправил правильный пароль.
В то время как системы проверки подлинности с ответами обычно полагаются на криптографию, чтобы обеспечить надежную аутентификацию пользователей, CAPTCHA (полностью автоматизированный публичный тест Тьюринга для передачи данных на компьютеры). Система запроса-ответа является примером некриптографического протокола ответа на запрос-ответ, призванного дифференцировать людей от роботизированных программ. CAPTCHA используется для предотвращения спама и автоматической регистрации новых учетных записей для электронной почты или веб-сайтов.
Как работает проверка ответа на запрос-ответ
Когда пользователь пытается войти в систему или сетевой ресурс, системный сервер с запросом-ответом создает вызов, обычно случайное число, которое затем отправляется на клиентскую машину.
Клиентское программное обеспечение использует секретный ключ или ключ на основе его пароля для шифрования данных запроса с использованием алгоритма шифрования или односторонней хэш-функции. Затем он отправляет результат обратно на сетевой сервер.
Система аутентификации «запрос-ответ» выполняет один и тот же криптографический процесс по проблеме, сравнивая ее результат с ответом от клиента. Если эти два значения совпадают, система аутентификации может аутентифицировать клиента.
Есть два типа вопросов для вызова: статические и динамические.
Статические вопросы позволяют пользователю выбирать из банка предопределенных вопросов или позволять пользователю создавать пользовательские заданные вопросы. Затем пользователь предоставляет ответы на заданные вопросы, которые он выбрал. Например, статическая проблема может заключаться в том, чтобы указать имя первого домашнего любимца, первого автомобиля или учителя - правильные значения со временем не изменятся, и пользователь может указать правильные значения как часть их настройки учетной записи ,
Динамические вопросы создаются путем извлечения общедоступных данных о пользователе, который должен знать человек, например, предыдущего адреса или марки и модели предыдущего автомобиля. Система представляет пользователю случайные вопросы и ответы, в которых используются эти данные, из которых пользователь должен выбрать правильный ответ.
Аутентификация с запросами-ответами может защищать от атак повторения сеансов, в которых злоумышленник прослушивает предыдущие сообщения и повторно передает их позже, чтобы получить те же данные, что и исходное сообщение. Системы Challenge-response защищают от повторных атак, потому что каждый вызов и ответ уникальны. Злоумышленник, контролирует обмен учетными данными, а затем при попытке повторно использовать учетные данные, не сможет получить доступ.
Некоторые типы систем реагирования на вызовы могут помочь защитить от атак, особенно когда запрос и ответ требуют некоторых знаний, к которым злоумышленник не имеет доступа. Например, значения запроса и ответа с цифровой подписью конечной точки с использованием закрытого ключа, или которые зависят от любых других данных, которые не были скомпрометированы злоумышленником, должны защищать конечную точку от атак.
Используется для аутентификации по запросу
Обычно организации используют системы аутентификации по запросу и ответам, чтобы пользователи могли перезагружать свои собственные пароли, а также для экстренного доступа, позволяя пользователям решать свои проблемы и быстрее работать, уменьшая нагрузку на их справочные службы и экономя деньги.
