O Desafio Central
Discagem em larga escala (ISP RAS, RAS corporativo, pools modem universidade) exige **baixo overhead CPU por sessão**, **escalabilidade stateless**, e **segurança de credenciais**. A pilha de protocolos evoluiu significativamente.
Legado: PAP (Protocolo Autenticação Senha) — Obsoleto
- Mecanismo: Usuário/Senha enviados **em texto claro** sobre link PPP durante fase LCP.
- Prós: Implementação trivial. CPU mínima. Funciona em hardware antigo.
- Contras: **Sniffing trivial.** Qualquer um no fio (ou NAS comprometido) vê credenciais. Ataques replay triviais.
- Status: **Depreciado.** Proibido em PCI-DSS, HIPAA, compliance moderno. Só em sistemas legados museu.
Legado: CHAP (Protocolo Desafio-Aperto de Mão) — Em Desuso
- Mecanismo: Handshake 3-via.
- Servidor envia **Desafio** aleatório.
- Cliente computa `MD5(Desafio + ID + Senha)` → Resposta.
- Servidor verifica usando senha armazenada (deve ser armazenada reversivelmente/criptografada, não hash).
- Prós: Senha nunca no fio. Re-autenticação periódica (re-desafio) possível.
- Contras: Requer **armazenamento senha reversível** (texto claro ou criptografia simétrica) — risco grande vazamento DB. MD5 criptograficamente quebrado (ataques colisão). Sem autenticação mútua (servidor não autenticado ao cliente).
- MS-CHAPv2: Variante Microsoft. Auth mútua. Ainda usa DES/MD4/SHA1. **Quebrado (2012).** Não use.
Padrão Moderno: EAP (Protocolo Autenticação Extensível) + RADIUS
EAP é **framework**, não mecanismo. Roda dentro PPP (ou 802.1X). NAS (Network Access Server) atua como **pass-through** (Autenticador) para **Servidor RADIUS** (Servidor Autenticação).
Por Que RADIUS é Obrigatório em Escala
- Centralização: Um DB usuários (LDAP/AD/SQL) para 10.000 modems/caixas NAS.
- Accounting (AAA): Registros Start/Stop/Interim-Update para billing, limites sessão, auditoria.
- Políticas: Atribuição VLAN, ACLs, QoS, Session-Timeout via Atributos RADIUS.
- Failover/Load Balancing: Proxies RADIUS, servidores redundantes.
Métodos EAP Recomendados para Discagem (Ranking)
- EAP-TLS: **Padrão Ouro.** Auth mútuo certificado (Cert Cliente + Cert Servidor). Sem senhas. Suporte Smartcard/TPM. Maior segurança. Requer gestão PKI.
- EAP-TTLS / PEAP (com MS-CHAPv2 interno): **Compromisso Comum.** Só cert servidor (deploy fácil). Tunnel interno protege auth senha legada. Vulnerável a MITM se cliente não valida cert servidor (misconfig comum).
- EAP-SIM / EAP-AKA / EAP-AKA': **Padrão Móvel/5G.** Usa credenciais USIM. Não típico para discada fixa.
Resumo Arquitetura
[PC Usuário] --PPP/EAP--> [NAS / Pool Modem / LAC] --RADIUS (UDP 1812/1813)--> [Servidor RADIUS] <--LDAP/AD--> [Identity Store] | +--> [Log Accounting / Sistema Billing]
Conclusão
Para qualquer deployment discada > 50 usuários simultâneos: **RADIUS + EAP-TTLS/PEAP (mín) ou EAP-TLS (ideal)**. PAP/CHAP são dívida técnica. MS-CHAPv2 é vulnerabilidade.
