四、设备式认证：CHAP认证

　　应更强大的记忆式密码认证系统的需要——能适用在公共网络中——Internet Engineering Task Force公布了一个声称为“CHAP” (Challenge Handshake Authentication Protocol)的协议的标准和使用指导。利用这一协议，专门设计的应用程序和网络设备就可以发出密码写成的挑战/应答对话，来确定彼此的身份。

　　对用户来说，CHAP认证通常是自动的和一目了然的。事实上，CHAP的主要作用不是进行用户认证，而是主要用来帮助“黑匣子”进行信息传播。CHAP在现代网关装置中比较常见，例如路由器和一般服务器，它们在允许网络连接之前，都要询问和鉴定CHAP加密的记忆式密码。

　　CHAP认证几乎和所有的路由器以及一般服务器设备兼容，因此可以安装在几乎所有的Internet网关上。它也与大部分的PPP客户端软件兼容，其中包括Microsoft Windows提供的一些主流PPP客户端。然而，它与大多数的“legacy”应用不能兼容，其中包括绝大多数的主机设备和微机的登录系统。

　　在Internet上传输时，CHAP表现出了足够强大的抗攻击性。然而，当CHAP全自动和透明时，它就不能够准确鉴别人类用户的身份了。(任何可以访问这台PC的人都可以打开它的开关，路由器将允许他进入这个网络中。)而且，即使要求输入记忆式密码而且这个密码还被CHAP加密，它也仍然存在被身后的人(如果这个未授权的人能够观察到用户输入密码的手指动作)轻松窥视到的致命弱点。因此，通常认可的计算机操作在承认记忆式密码的地方也允许使用CHAP认证，也可以在单独使用记忆式密码不能满足条件5(网络暴露)时使用CHAP认证。然而，即使是最好的CHAP配置也不能够解决条件3的所列问题，因为使用记忆式密码时通常是不能远离身边其他电脑工作者的。