Itu tidak mengenkripsi apa pun. Itulah intinya. Dan itu juga alasan mengapa Anda tidak boleh mempercayainya dengan kredensial yang sebenarnya.
Protokol Otentikasi Kata Sandi (PAP) adalah jaringan yang setara dengan meneriakkan kata sandi Anda di ruangan yang ramai. Ini sederhana. Ini cepat. Ini berhasil. Hal ini juga sangat tidak aman.
Jika Anda melihat PAP digunakan saat ini, kemungkinan besar Anda berurusan dengan perangkat keras lama, skenario pemecahan masalah tertentu, atau lingkungan yang tidak mengutamakan keamanan. Untuk memahami mengapa teknologi ini tetap berada dalam bayang-bayang TI modern, Anda harus melihat cara kerjanya—dan mengapa teknologi ini mau tidak mau harus digantikan.
Cara Kerja PAP Sebenarnya
Mekanismenya sangat mudah. Ketika klien mencoba untuk membuat sesi Point-to-Point Protocol (PPP), ia mengirimkan nama pengguna dan kata sandinya ke server.
Itu saja.
Data dikirim dalam teks biasa. Tidak ada hashing. Tidak ada jabat tangan tantangan-respons. Hanya kredensial teks-jelas yang bergerak melintasi tautan. Server penerima memeriksa database atau direktori lokalnya. Jika senarnya cocok? Akses diberikan. Jika tidak? Ditolak.
PAP mengidentifikasi rekan tetapi tidak mencegah upaya akses tidak sah selama transmisi itu sendiri.
Kesederhanaan ini menjadi nilai jualnya di masa-masa awal internet. Itu membutuhkan kekuatan pemrosesan minimal. Modem apa pun, router apa pun, switch apa pun dengan antarmuka PPP dapat menanganinya. Tidak ada overhead kriptografi. Hanya dua perangkat yang menyetujui identitas sebelum data nyata mengalir.
Kelemahan Keamanan yang Tidak Dapat Diabaikan oleh Siapa Pun
Kerentanannya bersifat langsung dan merupakan bencana besar bagi setiap koneksi yang disadap.
Karena PAP mengirimkan kredensial dengan jelas, siapa pun yang memiliki packet sniffer dapat melihat dengan tepat apa yang diketik pengguna. Tidak ada kerumitan untuk dipecahkan. Tidak ada hash satu arah untuk merekayasa balik. Kata sandinya ada di sana, dapat dibaca oleh siapa saja yang dapat mendengarkan.
Ini bukan teori. Pada tahun 1990an, ketika internet dial-up meledak, hal ini menjadi masalah besar. Penyerang dapat memanfaatkan saluran telepon atau koneksi serial dan mengambil informasi login secara instan.
Protokol ini tidak memberikan perlindungan terhadap penyadapan. Itu membuktikan siapa yang klaim Anda. Hal ini tidak membuktikan bahwa Anda adalah diri Anda yang sebenarnya sehingga dapat mencegah pencurian.
Mengapa PAP Ada?
Anda harus melihat batasan perangkat keras pada tahun 1990-an.
PPP dirancang untuk menstandarisasi koneksi melalui jalur serial, modem, dan jalur sewaan. Sumber daya langka. CPU lambat. Ingatan sangat ketat. Menerapkan enkripsi kompleks seringkali tidak mungkin atau terlalu mahal untuk server akses dasar.
PAP mengisi kesenjangan itu. Ini memberikan metode otentikasi universal yang berfungsi di mana saja. Itu ringan. Itu kompatibel. Hal ini memungkinkan ISP untuk melakukan penskalaan dengan cepat tanpa mengkhawatirkan beban komputasi yang berat pada server autentikasi mereka.
Itu tidak dibangun untuk keamanan. Itu dibangun untuk kecepatan dan kompatibilitas.
Pergeseran ke CHAP dan Selanjutnya
Industri tidak bisa mengabaikan risiko ini selamanya. Solusinya adalah Challenge Handshake Authentication Protocol (CHAP).
CHAP mengubah permainan sepenuhnya. Alih-alih mengirimkan kata sandi, server mengirimkan “tantangan” (nomor acak). Klien melakukan hash terhadap tantangan tersebut dan menggabungkannya dengan kata sandi dan mengirimkan hasilnya kembali.
Sekalipun penyerang menangkap respons ini, mereka tidak dapat membalikkan hash untuk mendapatkan kata sandi. Dan karena tantangannya acak untuk setiap sesi, serangan ulangan tidak mungkin dilakukan.
CHAP memperkenalkan hashing kriptografi. Itu membuat PAP tampak aneh.
Dimana PAP Masih Tinggal?
Kalau PAP jelek sekali, kenapa tidak punah?
Ia bertahan di lingkungan khusus. Anda akan menemukannya di:
- Peralatan lama: Router, sakelar, atau sistem tertanam lama yang belum diperbarui dalam dua dekade.
- Keamanan fisik: Lab internal atau jaringan terisolasi dengan kontrol akses fisik yang sangat ketat sehingga enkripsi tingkat jaringan dianggap tidak diperlukan.
- Pemecahan Masalah: Para profesional TI terkadang memaksa PAP untuk menyederhanakan proses debug. Jika autentikasi gagal, kredensial teks jelas memudahkan untuk melihat dengan tepat apa yang dikirim tanpa mengkhawatirkan ketidakcocokan hash atau masalah waktu.
- Perangkat dengan tingkat kekritisan rendah: Sensor IoT atau alat pemantauan internal yang tidak menyimpan data sensitif.
Ini adalah alat untuk situasi tertentu, bukan standar untuk komunikasi yang aman.
Realitas Otentikasi Modern
Kami melewati PAP karena biaya intersepsi data menjadi terlalu tinggi. Dengan kekuatan komputasi modern, mengendus paket menjadi hal yang sepele. Melindungi kredensial adalah wajib.
PAP tetap menjadi bagian dari standar PPP karena menghapusnya akan merusak kompatibilitas dengan ribuan sistem yang ada. Tapi mengandalkannya? Itu adalah sebuah pilihan.
Protokol ini mengajarkan pelajaran dasar dalam keamanan jaringan: otentikasi tanpa enkripsi hanyalah identifikasi. Dan di dunia yang terhubung, identifikasi saja tidak cukup.
Anda mungkin bertanya-tanya apakah ada skenario di mana PAP sebenarnya adalah pilihan yang tepat saat ini. Di beberapa lingkungan laboratorium yang terkendali, ya. Untuk akses internet produksi? Tidak pernah.
Infrastruktur web awal dibangun berdasarkan kenyamanan. Kami masih membersihkan utang keamanan dari era itu. PAP adalah salah satu tagihan yang belum dibayar.
Itu masih di sana. Menonton. Menunggu. Dan sama sekali tidak terlindungi.
Mengapa PAP masih relevan (dan berbahaya)
Protokol Otentikasi Kata Sandi (PAP) bertahan bukan karena aman, namun karena cepat. Arsitekturnya sangat sederhana. Tidak ada negosiasi yang rumit. Tidak diperlukan infrastruktur kriptografi tingkat lanjut. Hal ini membuatnya layak untuk lingkungan tertutup atau jaringan terisolasi. Pikirkan perangkat tertanam dengan sumber daya CPU terbatas. Ini terintegrasi dengan mudah ke dalam skrip. Anda menggunakannya untuk koneksi sementara di mana kerahasiaan ekstrem tidak menjadi perhatian.
Namun kemudahan ini harus dibayar mahal. PAP mengirimkan kata sandi dalam teks biasa. Tidak adanya enkripsi sama sekali. Pada jaringan yang tidak terlindungi, hal ini memperlihatkan kredensial kepada siapa pun yang mendengarkan. Serangan mengendus adalah hal yang sepele. Anda tidak merekomendasikan PAP di jaringan publik. Anda tentu menghindarinya jika ada ancaman intrusi. Protokol tidak menawarkan mekanisme untuk menegosiasikan ulang parameter keamanan secara dinamis selama sesi. Sifat statis ini meningkatkan risiko eksploitasi seiring berjalannya waktu.
Saat ini, PAP terbatas pada skenario tertentu. Anda mungkin mengalaminya selama koneksi ke layanan diagnostik tertentu. Hal ini tampak dalam solusi industri lama. Itu ada dalam infrastruktur jaringan lama yang tidak terekspos ke internet. Ini juga memiliki peran pedagogis. Siswa mempelajari PAP untuk memahami pendekatan otentikasi jaringan awal. Mereka menganalisis mengapa protokol ini dirasa tidak cukup. Hal ini mendorong diperkenalkannya protokol yang lebih aman. Perannya yang terbatas dalam arsitektur global pertukaran komputer membuktikan sejarah komunikasi digital. Hal ini juga menyoroti tuntutan ketat terhadap perlindungan informasi yang kita miliki saat ini.
Perbandingan autentikasi modern dengan PAP
Ancaman telah berkembang. Harapan terhadap keamanan telah berubah. Mekanisme otentikasi kini menjadi pilar desain sistem yang terhubung. Jika Anda membandingkan PAP dengan protokol modern seperti CHAP, MS-CHAP, atau EAP, kesenjangannya sangat besar. Solusi autentikasi multifaktor menjadikan PAP tidak berguna lagi untuk penggunaan apa pun yang melibatkan data sensitif.
PAP mengirimkan kata sandi dalam teks biasa. Tidak adanya enkripsi sama sekali.
Teknologi modern menggunakan pertukaran terenkripsi. Mereka menggunakan metode tantangan-respons. Mereka menggunakan token dinamis. Fitur-fitur ini secara drastis mempersulit kompromi rahasia.
Standar seperti Kerberos telah meningkat. Enkripsi TLS/SSL ada di mana-mana di bursa web. Protokol otentikasi yang kuat diintegrasikan ke dalam jaringan perusahaan. Hal ini menjawab kebutuhan untuk melindungi pertukaran terhadap intersepsi dan pencurian kata sandi. PAP hanya bertahan sebagai dasar kompatibilitas. Hal ini muncul dalam skenario di mana kecepatan implementasi melebihi kebutuhan keamanan.
Memahami PAP sangat penting untuk memahami tantangan keamanan siber saat ini. Hal ini menjelaskan evolusi pesat alat perlindungan akses. Menganalisis kelemahan PAP mengungkap keputusan arsitektur jaringan sejarah. Hal ini membantu kita memahami tantangan autentikasi aman saat ini. Analisis ini mendorong pengembangan strategi keamanan yang modern, andal, dan patuh.
Tempat untuk mempelajari lebih lanjut
Untuk wawasan yang lebih mendalam mengenai keamanan protokol dan perlindungan pertukaran digital, penelitian tentang keamanan digital memberikan perspektif yang berharga. Ini menjelaskan tantangan saat ini dan solusi inovatif.
