для каждой системы или разные
пароли для всех систем. Если пользователь
А использует один и тот же
пароль, то успешная
атака анализатора позволяет пользователю
С получить доступ к учетным записям пользователя
А сразу на всех серверах и в дальнейшем выдавать себя за него. Если пользователь
А использует разные
пароли для каждого сервера, то успешная
атака анализатора
позволяет пользователю
С получить доступ только к одному серверу, но при этом пользователь
А должен помнить шесть разных
паролей. Скорее всего, пользователь
А запишет свои
пароли, в этом случае они могут быть похищены другим способом.
Взаимная аутентификация при помощи паролей возможна только если существует два разделенных между пользователем и сервером секрета, два пароля. В этом случае каждый пользователь должен помнить пароль сервера и также свой пароль. А сервер должен обменяться вторым разделенным секретом с каждым пользователем, причем этот секрет должен быть уникальным, чтобы ни один пользователь не мог маскироваться под сервер перед другим пользователем. Если взаимная аутентификация пользователей отсутствует, то пользователь С может получить пароль пользователя А, создав фальшивый сервер. Когда пользователи попытаются получить доступ к этому серверу, пользователь С сможет собрать их имена и пароли.
Эволюция механизмов аутентификации началась в ответ на атаки анализаторов. Очевидно, что должна была появиться защита от этих атак в виде шифрования. Шифрование предотвращает раскрытие пароля при передаче. Но если все пользователи используют один и тот же ключ шифрования, то любой из них может использовать анализатор, получить чужой пароль и расшифровать его тем же способом, что и сервер. Если каждый пользователь имеет свой ключ, то управление этими ключами обеспечивает более сильную аутентификацию, чем пароли. Следует отметить, что пользователь А защищен и в том случае, если его пароль используется однократно. Удачная атака анализатора
позволяет пользователю С получить устаревший парольА. Ясно, что пользователю А в этом случае необходим новый пароль для каждой попытки аутентификации.