Ver el código de «MS-CHAP»

{{Referencias adicionales|t=20240112023958}}
'''MS-CHAP''' es la versión de [[Microsoft]] del [[protocolo de comunicaciones|protocolo]] de autenticación de contraseñas de cifrado por desafío mutuo [[CHAP]].

== Versiones ==
El protocolo existe en dos versiones, MS-CHAPv1 (definido en RFC 2433) y MS-CHAPv2 (definido en RFC 2759). MS-CHAPv2 se introdujo con pptp3-fix que se incluyó en [[Windows NT 4.0]] SP4 y se agregó a [[Windows 98]] en la "Lanzamiento de actualización de seguridad de acceso telefónico a redes de Windows 98"<ref>{{cite web|title=Windows 98 Dial-Up Networking Security Upgrade Release Notes (August 1998)|url=https://support.microsoft.com/en-us/kb/189771|website=Support|publisher=Microsoft|date=Agosto 1998|idioma=en}}</ref> y a [[Windows 95]] en "Rendimiento de acceso telefónico a redes 1.3". & Actualización de seguridad para la actualización de MS Windows 95". [[Windows Vista]] dejó de admitir MS-CHAPv1.

== Aplicaciones ==
MS-CHAP se utiliza como una opción de autenticación en la implementación de Microsoft del protocolo [[PPTP]] para [[Red privada virtual|redes privadas virtuales]]. También se utiliza como opción de autenticación con servidores [[RADIUS]]<ref>{{Cite IETF |rfc=2548 |title=Microsoft Vendor-specific RADIUS Attributes}} {{en}}</ref> que se utilizan con [[IEEE 802.1X]] (por ejemplo, seguridad [[Wifi]] mediante el protocolo [[Wi-Fi Protected Access]]). Además, se utiliza como la opción de autenticación principal del protocolo de autenticación extensible protegido (PEAP).

== Características ==
En comparación con CHAP,<ref>{{cite IETF |rfc=1994 |title=PPP Challenge Handshake Authentication Protocol (CHAP)}} {{en}}</ref> MS-CHAP:<ref>{{Cite IETF |rfc=2433 |title=Microsoft PPP CHAP Extensions}} {{en}}</ref><ref>{{Cite IETF |rfc=2759 |title=Microsoft PPP CHAP Extensions, Version 2}} {{en}}</ref> funciona negociando el algoritmo CHAP 0x80 (0x81 para MS-CHAPv2) en la opción 3 de LCP, Protocolo de autenticación. Proporciona un mecanismo de cambio de contraseña controlado por un autenticador. Proporciona un mecanismo de reintento de autenticación controlado por el autenticador y define códigos de error devueltos en el campo de mensaje del paquete de error.

MS-CHAPv2 proporciona autenticación mutua entre pares al incorporar un desafío de pares en el paquete de respuesta y una respuesta del autenticador en el paquete de éxito.

MS-CHAP requiere que cada par conozca la contraseña en texto plano o un hash MD4 de la contraseña. y no transmite la contraseña a través del enlace. Como tal, no es compatible con la mayoría de los formatos de almacenamiento de [[contraseña]]s.

== Defectos ==
Se han identificado debilidades en MS-CHAP y MS-CHAPv2.<ref>{{Cite web |url=http://www.schneier.com/paper-pptpv2.pdf |title=Cryptanalysis of Microsoft's PPTP Authentication Extensions (MS-CHAPv2) |first1=Bruce |last1=Schneier |authorlink1=Bruce Schneier |author2=Mudge |first3=David |last3=Wagner |website=schneier.com |date=19 de octubre de 1999 |idioma=en}}</ref> El cifrado DES utilizado en NTLMv1 y MS-CHAPv2 para cifrar el hash de contraseña NTLM permite ataques de hardware personalizados utilizando el método de fuerza bruta.<ref>{{Cite web |url=http://penguin-breeder.org/pptp/download/pptp_mschapv2.pdf |title=Exploiting known security holes in Microsoft's PPTP Authentication Extensions (MS-CHAPv2) |first=Jochen |last=Eisinger |date=23 de julio de 2001 |idioma=en |website=penguin-breeder.org}}</ref> 

En 2012, MS-CHAP estaba completamente roto.<ref>{{cite web|url=https://www.cloudcracker.com/blog/2012/07/29/cracking-ms-chap-v2/|title=Divide and Conquer: Cracking MS-CHAPv2 with a 100% success rate|year=2012|publisher=[[DEF CON|David Hulton]]|archive-url=https://web.archive.org/web/20160316174007/https://www.cloudcracker.com/blog/2012/07/29/cracking-ms-chap-v2/|archive-date=16 de marzo de 2016|access-date=2024-01-11|idioma=en}}</ref> 

Después de [[Windows 11]] 22H2, con la activación predeterminada de Windows Defender Credential Guard, los usuarios ya no pueden autenticarse con MSCHAPv2. Los desarrolladores recomiendan pasar de conexiones basadas en MSCHAPv2 a autenticación basada en certificados (como PEAP-TLS o EAP-TLS).<ref>{{Cite web|url=https://learn.microsoft.com/en-us/windows/security/identity-protection/credential-guard/credential-guard-considerations|title=Considerations when using Windows Defender Credential Guard - Windows Security|date=2023-01-27|website=learn.microsoft.com|access-date=2024-01-11|idioma=en}}</ref>

==Procedimiento==
El procedimiento del protocolo es el siguiente:

#El [[servidor]] de acceso remoto o el servidor [[Internet Authentication Service|IAS]] remite al cliente de acceso remoto un desafío compuesto por un [[identificador de sesión]] y una cadena de desafío arbitraria.
#El cliente de acceso remoto manda una respuesta que contiene el nombre de usuario y un cifrado irreversible de la cadena de desafío, el identificador de sesión y la contraseña.
#El servidor de acceso remoto o el servidor [[Internet Authentication Service|IAS]] verifica la respuesta y, si es correcta, se autentican los datos del usuario.

== Referencias ==
{{listaref}}

== Enlaces externos ==
{{traducido ref|en|MS-CHAP|1173651072|parcial|3 de septiembre de 2023}}
* RFC 1994 – PPP Challenge Handshake Authentication Protocol (CHAP)
* RFC 2433 – MS-CHAPv1
* RFC 2548 – RADIUS Encapsulation of MS-CHAPv1 and MS-CHAPv2
* RFC 2759 – MS-CHAPv2
* Microsoft Knowledge Base Article KB189771 – MS Windows 98 Dial-Up Networking Security Upgrade Release Notes




{{Control de autoridades}}
[[Categoría:Protocolos de Internet]]
[[Categoría:Tecnología de sistema operativo]]
[[Categoría:Seguridad de Microsoft Windows]]