CRAM-MD5
ક્રિપ્ટોગ્રાફીમાં, સી. આર. એ. એમ.-એમ. ડી. 5 એ એચ. એમ. એ. સી.-એમ. ડી. 5 અલ્ગોરિધમ પર આધારિત એક પડકાર-પ્રતિસાદ પ્રમાણીકરણ પદ્ધતિ (સી. આર. એ. એમ.) છે. સિમ્પલ ઓથેન્ટિકેશન એન્ડ સિક્યુરિટી લેયર (એસએએસએલ) દ્વારા સમર્થિત પદ્ધતિઓમાંની એક તરીકે, તેનો ઉપયોગ ઘણીવાર ઇમેઇલ સોફ્ટવેરમાં એસએમટીપી ઓથેન્ટિકેશનના ભાગ રૂપે અને પીઓપી અને આઇએમએપી વપરાશકર્તાઓની ઓથેન્ટિકેશન માટે તેમજ એલડીએપી, એક્સએમપીપી, બીઈઈપી અને અન્ય પ્રોટોકોલનો અમલ કરતી એપ્લિકેશનોમાં થાય છે. જ્યારે આવા સોફ્ટવેરને બિન-એન્ક્રિપ્ટેડ જોડાણો પર પ્રમાણીકરણની જરૂર હોય, ત્યારે લોગિન અને પ્લેઇન જેવા પાસવર્ડ્સને "સ્પષ્ટ રીતે" પ્રસારિત કરતી પદ્ધતિઓ કરતાં ક્રેમ-એમ. ડી. 5 પસંદ કરવામાં આવે છે. જો કે, તે બ્રુટ-ફોર્સ એટેક દ્વારા પાસવર્ડની વ્યુત્પત્તિને અટકાવી શકતું નથી, તેથી તે વૈકલ્પિક પદ્ધતિઓ કરતાં ઓછી અસરકારક છે જે પાસવર્ડ્સને ટાળે છે અથવા ટ્રાન્સપોર્ટ લેયર સિક્યુરિટી (TLS) સાથે એન્ક્રિપ્ટ થયેલ જોડાણોનો ઉપયોગ કરે છે. પ્રોટોકોલ સી. આર. એ. એમ.-એમ. ડી. 5 પ્રોટોકોલમાં એક પડકાર અને પ્રતિસાદ ચક્રનો સમાવેશ થાય છે, અને તે સર્વર દ્વારા શરૂ કરવામાં આવે છેઃ પડકારઃ સર્વર ક્લાયન્ટને બેઝ64-એન્કોડેડ સ્ટ્રિંગ મોકલે છે. એન્કોડિંગ પહેલાં, તે કોઈપણ રેન્ડમ સ્ટ્રિંગ હોઈ શકે છે, પરંતુ પ્રમાણભૂત કે જે હાલમાં CRAM-ND5 ને વ્યાખ્યાયિત કરે છે તે કહે છે કે તે સંદેશ-ID ઇમેઇલ હેડર મૂલ્ય (કોણ કૌંસ સહિત) ના બંધારણમાં છે અને તેમાં રેન્ડમ અંકોની મનસ્વી સ્ટ્રિંગ, ટાઇમસ્ટેમ્પ અને સર્વરનું સંપૂર્ણ લાયકાત ધરાવતું ડોમેન નામ શામેલ છે. પ્રતિસાદઃ ગ્રાહક નીચે પ્રમાણે બનાવેલ શબ્દમાળા સાથે પ્રતિસાદ આપે છે. પડકાર આધાર 64-ડીકોડેડ છે. ડીકોડેડ ચેલેન્જને એચએમએસી-એમ. ડી. 5 નો ઉપયોગ કરીને હેશ કરવામાં આવે છે, જેમાં ગુપ્ત કી તરીકે વહેંચાયેલ ગુપ્ત (સામાન્ય રીતે, વપરાશકર્તાનો પાસવર્ડ અથવા તેનો હેશ) હોય છે. હેશ ચેલેન્જને લોઅરકેસ હેક્સ અંકોની સ્ટ્રિંગમાં રૂપાંતરિત કરવામાં આવે છે. વપરાશકર્તાનામ અને જગ્યા અક્ષર હેક્સ અંકો પર પૂર્વલક્ષી હોય છે. જોડાણ પછી બેઝ64-એન્કોડેડ કરવામાં આવે છે અને સર્વરને મોકલવામાં આવે છે સરખામણીઃ સર્વર અપેક્ષિત પ્રતિસાદની ગણતરી કરવા માટે સમાન પદ્ધતિનો ઉપયોગ કરે છે. જો આપેલ પ્રતિસાદ અને અપેક્ષિત પ્રતિસાદ મેળ ખાય છે, તો પ્રમાણીકરણ સફળ રહ્યું હતું. શક્તિઓ વન-વે હેશ અને ફ્રેશ રેન્ડમ ચેલેન્જ ત્રણ પ્રકારની સુરક્ષા પૂરી પાડે છેઃ અન્ય પાસવર્ડ જાણ્યા વિના હેશની નકલ કરી શકતા નથી. આ પ્રમાણીકરણ પ્રદાન કરે છે. અન્ય લોકો હેશને ફરીથી ચલાવી શકતા નથી-તે અણધારી પડકાર પર આધારિત છે. આને વિવિધ રીતે તાજગી અથવા પુનરાવર્તન નિવારણ કહેવામાં આવે છે. નિરીક્ષકો પાસવર્ડ શીખતા નથી; આને ગુપ્તતા કહેવામાં આવે છે. નબળાઈઓ કોઈ પરસ્પર પ્રમાણીકરણ નથીઃ ગ્રાહક સર્વરની ચકાસણી કરતું નથી. જોકે, એસ. એ. એસ. એલ. પ્રમાણીકરણ સામાન્ય રીતે ટી. એલ. એસ. જોડાણ પર કરવામાં આવે છે, જે સર્વરની ઓળખની ચકાસણી કરે છે. નબળા પાસવર્ડ સંગ્રહઃ કેટલાક અમલીકરણ માટે વપરાશકર્તાઓના સાદા ટેક્સ્ટ પાસવર્ડ્સની ઍક્સેસની જરૂર પડે છે, જ્યારે અન્ય (દા. ત. ડોવકોટ) પાસવર્ડની એમ. ડી. 5-હેશને સંગ્રહિત કરવા માટે એચ. એમ. એ. સી. પ્રક્રિયાના મધ્યવર્તી પગલાનો ઉપયોગ કરે છે (એચ. એમ. એ. સી. ના આંતરિક ચલ એટલે કે કીપેડ અને ઓ કીપેડ વિશે કડક શબ્દોમાં કહીએ તો). આવા અમલીકરણનો લાભ એ થાય છે કે md5 ની ગણતરી કરવા માટે (કંઈક _ 64 _ બાઇટ્સ સાથે | | કંઈક _ બીજું), માત્ર md5 _ આંતરિક (કંઈક _ 64 _ બાઇટ્સ સાથે) અને કંઈક _ બીજું જાણવાની જરૂર છે (કારણ કે Md5 માં મર્કેલ-ડેમગાર્ડનો ઉપયોગ; md5 _ આંતરિક એ અંતિમ બ્લોક વિના md5 છે). કારણ કે આઈ _ કી _ પેડ અને ઓ _ કી _ પેડ એચ. એમ. એ. સી. ના આંતરિક અને બાહ્ય હેશની શરૂઆતમાં હોય છે, અને તેની લંબાઈ 64 બાઇટ્સ હોય છે, આ હકીકતનો ઉપયોગ કરી શકાય છે. રિવર્સિબિલિટીનો ખતરોઃ સફળ સી. આર. એ. એમ.-એમ. ડી. 5 પ્રોટોકોલ એક્સચેન્જ (દા. ત., કેન અને એબેલનો ઉપયોગ કરીને) કબજે કર્યા પછી પાસવર્ડ પુનઃપ્રાપ્ત કરવા માટે ઓફલાઇન શબ્દકોશ હુમલો શક્ય છે. કોઈપણ પાસવર્ડ હેશિંગ યોજનામાં આ ખતરો અનિવાર્ય છે, પરંતુ વધુ આધુનિક અલ્ગોરિધમ્સ એક હજાર કે તેથી વધુ પરિબળ દ્વારા હુમલાની કિંમત વધારવા માટે કી સ્ટ્રેચિંગનો ઉપયોગ કરે છે. તેનાથી વિપરીત, સી. આર. એ. એમ.-એમ. ડી. 5 ડાયજેસ્ટની ગણતરી સમર્પિત હાર્ડવેર પર ખૂબ ઓછા કોમ્પ્યુટેશનલ સંસાધનોનો ઉપયોગ કરીને અથવા તો માત્ર પ્રમાણભૂત સી. પી. યુ. નો ઉપયોગ કરીને પણ કરી શકાય છે. પ્રોક્સી-ક્ષમતાઃ પાસવર્ડ-પ્રમાણિત કી એગ્રીમેન્ટ (PAKE) યોજનાથી વિપરીત, CRAM-ND5 બે અંતિમ બિંદુઓ વચ્ચે વહેંચાયેલું રહસ્ય સ્થાપિત કરતું નથી પરંતુ સાંભળનારને અજ્ઞાત છે. તેથી મધ્યમાં સક્રિય વ્યક્તિ સર્વર સાથે જોડાણ ખોલી શકે છે, પડકાર મેળવી શકે છે, ક્લાયન્ટને તે પડકાર આપી શકે છે, ક્લાયન્ટનો પ્રતિસાદ પ્રાપ્ત કરી શકે છે અને તે પ્રતિસાદ સર્વરને મોકલી શકે છે. તે હવે સર્વર પર ક્લાયન્ટની નકલ કરતી વખતે ક્લાયન્ટના વધુ સંદેશાઓને છોડી શકે છે. ધોરણો સી. આર. એ. એમ.-એમ. ડી. 5 ને આઇ. ઇ. ટી. એફ. ધોરણો-ટ્રેક દસ્તાવેજ આર. એફ. સી. 2195 દ્વારા વ્યાખ્યાયિત કરવામાં આવે છે, જે અગાઉ 1997 થી આર. એફ. સી. 2095 નું સ્થાન લે છે. આ વાસ્તવિક ધોરણો ઇમેઇલ મેઇલબોક્સ-મેનેજમેન્ટ પ્રોટોકોલ પી. ઓ. પી. અને આઈ. એમ. એ. પી. માટે પ્રમાણીકરણ પદ્ધતિ તરીકે સી. આર. એ. એમ.-એમ. ડી. 5 ને વ્યાખ્યાયિત કરે છે. સી. આર. એ. એમ.-એમ. ડી. 5 એ સિમ્પલ ઓથેન્ટિકેશન એન્ડ સિક્યુરિટી લેયર (એસ. એ. એસ. એલ.) દ્વારા સમર્થિત પ્રમાણીકરણ પદ્ધતિઓમાંની એક છે, જે 2006માં આર. એફ. સી. 4422 દ્વારા વ્યાખ્યાયિત કરવામાં આવી હતી, જે 1997ના પ્રમાણભૂત આર. એફ. સી. 2222નું સ્થાન લે છે. ઈન્ટરનેટ એસાઈન્ડ નંબર્સ ઓથોરિટી (આઈ. એ. એન. એ.) મર્યાદિત ઉપયોગ માટે સી. આર. એ. એમ.-એમ. ડી. 5 સહિત એસ. એ. એસ. એલ. પદ્ધતિઓની નોંધણી જાળવે છે. આરએફસી 2645માં વ્યાખ્યાયિત ઓન-ડિમાન્ડ મેઇલ રિલે (ઓડીએમઆર) માટે સીઆરએએમ-એમ. ડી. 5 જરૂરી છે. 20 નવેમ્બર 2008માં ધોરણને અપ્રચલિત કરવાની ભલામણ કરવામાં આવી હતી. વૈકલ્પિક રીતે તે ભલામણ કરે છે દા. ત. તેના બદલે એસ. સી. આર. એ. એમ. અથવા એસ. એ. એસ. એલ. પ્લેન TLS દ્વારા સુરક્ષિત છે. સિમ્પલ મેઇલ ટ્રાન્સફર પ્રોટોકોલ (એસ. એમ. ટી. પી.) જ્હોન ક્લેન્સીન રેફરન્સ ઈન્ટરનેટ સ્ટાન્ડર્ડ્સ કમ્પ્યુટર એક્સેસ કંટ્રોલ પ્રોટોકોલ ઇમેઇલ પ્રમાણીકરણ પણ જુઓ.