challenge-response authentication mechanism
来源：岁月联盟
时间：2010-02-07
挑战-应答鉴定机制(CRAM)是一个二级HTTP(超文本传输协议)网络用户身份认证机制,包括基本鉴定和精细鉴定.使用CRAM服务器(代理服务器或者网关)以"401未授权"形式发出密码请求.密码只有用户和服务器知道.但服务器接到用户的回应,检查密码正确性,正确则用户被鉴定授权,否则或者由于其他网络问题导致服务器不接受密码,则发出"403禁止"消息,此站点被禁止.CRAM还有其他安全特性,如强密码.CRAM基本鉴定容易破坏,因为密码比较容易被窃取.精细鉴定则比较复杂,密码并不显示为明文通过网络发送,这只是加强了安全性,但并不能完全阻止黑客破坏.尽管一定情况下还是会被攻击,比如未验证黑客身为超级用户.这就使得黑客有可能使用拒绝服务性的攻击方式,使得授权用户不能通过鉴定.