Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Kapsam: Cisco IOS seri PPP laboratuvar örnekleri. İki uçta seri arayüz, IP adresleri, encapsulation ppp ve fiziksel bağlantı hazırlanmış olmalıdır. PAP/CHAP kimlik doğrular; taşınan veriyi şifrelemez. Aşağıdaki bloklar alternatif yöntemlerdir ve tam cihaz yapılandırması değildir.
🔐 PPP Kimlik Doğrulama: PAP ve CHAP Protokolleri Açıklaması ve Yapılandırması
PPP (Point-to-Point Protocol), iki ağ cihazı arasında seri bağlantı üzerinden iletişim kurulmasını sağlayan bir protokoldür. Gelişmiş özelliklerinden biri de kimlik doğrulama (authentication) desteğidir. PPP’de iki yaygın kimlik doğrulama protokolü vardır:
- PAP (Password Authentication Protocol)
- CHAP (Challenge Handshake Authentication Protocol)
Bu protokollerle kimlik doğrulama zorunlu değil, tercihe bağlıdır. Ancak ağ güvenliği açısından kullanılması önerilir.
🛡️ PAP (Password Authentication Protocol)
📌 Temel Özellikler:
- İki yönlü el sıkışma (2-way handshake) kullanır.
- Kullanıcı adı ve şifre şifrelenmeden gönderilir.
- Kimlik doğrulama bağlantı kurulurken bir kez yapılır.
- Gönderilen PAP parolası, karşı uçta o kullanıcı için kayıtlı parola ile eşleşmelidir. İki yön için farklı parolalar seçilebilir.
🔧 PAP Doğrulama Süreci:
- R1, R3’e kullanıcı adı ve şifreyi gönderir.
- R3, kendi yerel veritabanında bu bilgileri arar.
- Bilgiler uyuşursa bağlantı sağlanır; uyuşmazsa reddedilir.
Güvenlik Açıkları:
- Şifreler açık metin olarak gönderildiği için güvenli değildir.
- “Replay attack” gibi saldırılara açıktır.
- Oturum açıldıktan sonra başka doğrulama yapılmaz.
🔐 CHAP (Challenge Handshake Authentication Protocol)
📌 Temel Özellikler:
- Üç yönlü el sıkışma (3-way handshake) kullanır.
- CHAP-MD5 yanıtı; Identifier, paylaşılan sır ve challenge değerinden hesaplanır. Ad/kimlik alanı ayrı iletilir; parola gönderilmez.
- Kimlik doğrulama bağlantı kurulduktan sonra yeni challenge ile tekrarlanabilir.
- Şifrelerin eşleşmesi zorunludur.
🔧 CHAP Doğrulama Süreci:
- R3, R1’e rastgele bir “challenge” değeri gönderir.
- R1, Identifier + paylaşılan sır + challenge dizisinin MD5 özetini yanıt olarak gönderir; kullanıcı adı hash girdisi değildir.
- R3, aynı işlemi yapar ve değerleri karşılaştırır.
- Eşleşirse bağlantı sağlanır.
Avantajı:
- Şifreler ağda açık olarak iletilmez.
- Oturum boyunca tekrar eden doğrulamalar sayesinde daha güvenlidir.
⚙️ PPP Authentication Komutları
Aşağıdaki komutlar, seri arayüzlerde hangi kimlik doğrulama protokolünün kullanılacağını belirtir:
ppp authentication pap
ppp authentication chap
ppp authentication pap chap
ppp authentication chap pap
🔧 PAP Yapılandırma Örneği
R1:
R1(config)#username R3 password sifre1
R1(config-if)#ppp authentication pap
R1(config-if)#ppp pap sent-username R1 password sifre2
R3:
R3(config)#username R1 password sifre2
R3(config-if)#ppp authentication pap
R3(config-if)#ppp pap sent-username R3 password sifre1
📌 Not: R1’in gönderdiği sifre2, R3’teki R1 kaydıyla; R3’ün gönderdiği sifre1, R1’deki R3 kaydıyla eşleşir. Örnek parolaları gerçek sistemde kullanmayın.
🔧 CHAP Yapılandırma Örneği
R1:
R1(config)#username R3 password ortakSifre
R1(config-if)#ppp authentication chap
R3:
R3(config)#username R1 password ortakSifre
R3(config-if)#ppp authentication chap
📌 Not: CHAP’ta şifrelerin her iki yönlendiricide de aynı olması gerekir.
🆚 PAP ve CHAP Karşılaştırma Tablosu
| Özellik | PAP | CHAP |
|---|---|---|
| El Sıkışma | 2 yönlü | 3 yönlü |
| Şifre Gönderimi | Açık | Parola gönderilmez; challenge yanıtı gönderilir |
| Tekrar Doğrulama | Yok | Var |
| Doğrulama için eşleşme | Gönderilen parola karşı uçtaki kullanıcı kaydıyla eşleşir | Doğrulayan ve yanıtlayan aynı paylaşılan sırrı kullanır |
| Veri şifreleme | Sağlamaz | Sağlamaz; PAP’a göre parola iletimini iyileştirir |
Kurulum sonrası kontrol ve kaynaklar
Önce show interfaces serial ile arayüz ve PPP durumunu inceleyin; arayüz adını cihazınıza uyarlayın. PAP’ta gönderilen kullanıcı/parolayı karşı uçtaki kayıtla; CHAP’ta hostname veya yapılandırılmış CHAP adı ile paylaşılan sırrı karşılaştırın. LCP’de yöntem uzlaşmasını, ardından IP erişimini kontrol edin.
Kimlik doğrulama ayrıntıları için Cisco PAP açıklaması, Cisco CHAP açıklaması ve RFC 1994 esas alınmıştır. Komut desteği sürüme bağlıdır; örnekler gerçek test çıktısı olarak sunulmaz.
