Un protocol d'autenticació és un tipus de protocol de comunicacions informàtic o protocol criptogràfic dissenyat específicament per a la transferència de dades d'autenticació entre dues entitats. Permet a l'entitat receptora autenticar l'entitat que es connecta (per exemple, un client que es connecta a un servidor), així com autenticar-se a si mateixa davant l'entitat que es connecta (un servidor a un client) declarant el tipus d'informació necessària per a l'autenticació, així com la sintaxi. És la capa de protecció més important necessària per a una comunicació segura dins de les xarxes informàtiques.

Propòsit Amb la creixent quantitat d'informació fiable accessible a través de la xarxa, va sorgir la necessitat d'evitar que persones no autoritzades accedeixin a aquestes dades. És possible robar la identitat d'algú en el món de la informàtica: es van inventar mètodes especials de verificació per esbrinar si la persona/ordinador que sol·licita dades és realment qui diu ser. La tasca del protocol d'autenticació és especificar la sèrie exacta de passos necessaris per a l'execució de l'autenticació. Ha de complir amb els principis principals del protocol:

Un protocol ha d'implicar dues o més parts i tots els implicats en el protocol l'han de conèixer per endavant. Totes les parts implicades han de seguir el protocol. Un protocol ha de ser inequívoc: cada pas ha d'estar definit amb precisió. Un protocol ha de ser complet, és a dir, ha d'incloure una acció específica per a cada situació possible.

Una il·lustració de l'autenticació basada en contrasenya mitjançant un protocol d'autenticació simple:

L'Alícia (una entitat que vol ser verificada) i en Bob (una entitat que verifica la identitat de l'Alícia) coneixen el protocol que van acordar utilitzar. En Bob té la contrasenya de l'Alícia emmagatzemada en una base de dades per comparar-la.

L'Alícia envia a en Bob la seva contrasenya en un paquet que compleix amb les regles del protocol. En Bob comprova la contrasenya rebuda amb la que està emmagatzemada a la seva base de dades. Aleshores, envia un paquet que diu "Autenticació correcta" o "Autenticació fallida" segons el resultat.

Aquest és un exemple d'un protocol d'autenticació molt bàsic vulnerable a moltes amenaces com ara escoltes clandestines, atacs de reproducció, atacs man-in-the-middle, atacs de diccionari o atacs de força bruta. La majoria dels protocols d'autenticació són més complicats per tal de ser resistents contra aquests atacs.

Tipus Protocols d'autenticació desenvolupats per al protocol punt a punt PPP Els protocols són utilitzats principalment pels servidors de protocol punt a punt (PPP) per validar la identitat dels clients remots abans de concedir-los accés a les dades del servidor. La majoria d'ells utilitzen una contrasenya com a pedra angular de l'autenticació. En la majoria dels casos, la contrasenya s'ha de compartir prèviament entre les entitats que es comuniquen. miniatura|461x461px|Esquema de handshake bidireccional PAP

PAP - Protocol d'autenticació de contrasenya El Protocol d'Autenticació de Contrasenya és un dels protocols d'autenticació més antics. L'autenticació s'inicialitza quan el client envia un paquet amb credencials (nom d'usuari i contrasenya) al principi de la connexió, i el client repeteix la sol·licitud d'autenticació fins que es rep la confirmació. És altament insegur perquè les credencials s'envien "en clar" i repetidament, cosa que el fa vulnerable fins i tot als atacs més simples com l'espionatge i els atacs basats en l'intermediari. Tot i que té un suport ampli, s'especifica que si una implementació ofereix un mètode d'autenticació més fort, aquest mètode s'ha d' oferir abans del PAP. Tampoc s'espera l'autenticació mixta (per exemple, el mateix client utilitzant alternativament PAP i CHAP), ja que l'autenticació CHAP es veuria compromesa si PAP envia la contrasenya en text sense format.

CHAP - Protocol d'autenticació per encaix de mans amb repte El procés d'autenticació en aquest protocol sempre l'inicia el servidor/amfitrió i es pot dur a terme en qualsevol moment durant la sessió, fins i tot repetidament. El servidor envia una cadena aleatòria (normalment de 128 KB de llargada). El client utilitza la contrasenya i la cadena rebuda com a entrada per a una funció hash i després envia el resultat juntament amb el nom d'usuari en text pla. El servidor utilitza el nom d'usuari per aplicar la mateixa funció i compara el hash calculat i rebut. Una autenticació té èxit quan els hash calculats i rebuts coincideixen.

EAP - Protocol d'autenticació extensible L'EAP es va desenvolupar originalment per a PPP (Protocol punt a punt), però avui dia s'utilitza àmpliament en IEEE 802.3, IEEE 802.11 (WiFi) o IEEE 802.16 com a part del marc d'autenticació IEEE 802.1x. La darrera versió està estandarditzada a RFC 5247. L'avantatge d'EAP és que només és un marc d'autenticació general per a l'autenticació client-servidor: la forma específica d'autenticació es defineix en les seves moltes versions anomenades mètodes EAP. Existeixen més de 40 mètodes EAP, els més comuns són:

EAP-MD5 EAP-TLS EAP-TTLS EAP-FAST EAP- PEAP

Protocols d'arquitectura AAA (autenticació, autorització i comptabilitat) Protocols complexos utilitzats en xarxes més grans per verificar l'usuari (autenticació), controlar l'accés a les dades del servidor (autorització) i monitorar els recursos de xarxa i la informació necessària per a la facturació dels serveis (comptabilitat).

TACACS, XTACACS i TACACS+

El protocol AAA més antic que utilitzava autenticació basada en IP sense cap xifratge (els noms d'usuari i les contrasenyes es transportaven com a text sense format). La versió posterior XTACACS (Extended TACACS) va afegir autorització i comptabilitat. Tots dos protocols van ser substituïts posteriorment per TACACS+. TACACS+ separa els components AAA perquè es puguin segregar i gestionar en servidors separats (fins i tot pot utilitzar un altre protocol, per exemple, per a l'autorització). Utilitza TCP (Transmission Control Protocol) per al transport i xifra tot el paquet. TACACS+ és propietat de Cisco.

RADI El servei d'usuari amb autenticació remota per marcatge telefònic (RADIUS) és un protocol AAA complet que utilitzen habitualment els proveïdors de serveis d'Internet. Les credencials es basen principalment en una combinació de nom d'usuari i contrasenya, i utilitza els protocols NAS i UDP per al transport.

DIAMETER El diàmetre (protocol) va evolucionar de RADIUS i implica moltes millores, com ara l'ús d'un protocol de transport TCP o SCTP més fiable i una major seguretat gràcies a TLS.

Altres miniatura|321x321px|Esquema d'autenticació de Kerberos

Kerberos (protocol) Kerberos és un sistema d'autenticació de xarxa centralitzat desenvolupat al MIT i disponible com a implementació gratuïta del MIT, però també en molts productes comercials. És el mètode d'autenticació per defecte a Windows 2000 i posteriors. El procés d'autenticació en si és molt més complicat que en els protocols anteriors: Kerberos utilitza criptografia de clau simètrica, requereix un tercer de confiança i pot utilitzar criptografia de clau pública durant certes fases de l'autenticació si cal.

Tecnologies emergents en protocols d'autenticació La recerca recent en protocols d'autenticació destaca els avenços destinats a assegurar entorns amb recursos limitats com ara la Internet Industrial de les Coses (IoT). Aquests protocols moderns utilitzen tècniques criptogràfiques avançades, inclosa la criptografia de corba el·líptica (ECC), per permetre l'autenticació mútua segura i l'acord de clau de sessió, alhora que minimitzen la sobrecàrrega computacional i energètica. També s'han integrat mecanismes de preservació de la privadesa amb l'autenticació biomètrica per millorar la seguretat sense comprometre la confidencialitat de l'usuari. S'ha posat més èmfasi en la resistència als atacs de canal lateral i de reproducció, juntament amb la consecució del secret directe i invers per protegir les claus de sessió en escenaris de xarxa dinàmica. Aquestes tecnologies emergents marquen un progrés significatiu per fer que l'autenticació sigui més eficient i segura en paisatges digitals en evolució.Alghamdi, A. M. (2025). Design and analysis of lightweight and robust authentication protocol for securing the resource constrained IIoT environment. PLoS ONE, 20(2), e0318064. https://doi.org/10.1371/journal.pone.0318064

Llista de diversos altres protocols d'autenticació AKA Autenticació d'accés bàsica Autenticació basada en CAVE CRAM-MD5 Digest Protocol d'identitat d'amfitrió (HIP) Gestor de LAN NTLM, també conegut com a Gestor LAN NT Protocol OpenID Protocols d'acord de claus autenticats amb contrasenya Protocol per a l'autenticació de l'accés a la xarxa (PANA) Protocol de contrasenya remota segura (SRP) Protocols d'autenticació RFID Woo Lam 92 (protocol) SAML

Referències

Categoria:Protocols de xarxa