自從IPSec（IP security)標(biāo)準(zhǔn)的最終版本發(fā)行之后，在IPSec VPN的安全性、可靠性和易管理性等方面，給了企業(yè)的網(wǎng)絡(luò)管理員很大的信心。當(dāng)網(wǎng)絡(luò)管理員開始配置基于IPSec的VPN時(shí)，需要密切關(guān)注IPSec標(biāo)準(zhǔn)中的身份驗(yàn)證，以便能夠支持遠(yuǎn)程的接入。
在三種支持IPSec的IKE（Internet Key Exchange）規(guī)范驗(yàn)證類型中，只有基于數(shù)字鑒定的驗(yàn)證能夠支持遠(yuǎn)程用戶的安全接入,而數(shù)字鑒定需要企業(yè)網(wǎng)支持公共密鑰架構(gòu)(PKI,Public Key InfrastrUCture）。
實(shí)際上，能在其企業(yè)的IT基礎(chǔ)設(shè)施內(nèi)部擁有完整的PKI和數(shù)字鑒定的組織很少。但是，企業(yè)網(wǎng)絡(luò)擁有大量已安裝的用戶驗(yàn)證系統(tǒng)，它們是以其他一些技術(shù)為基礎(chǔ)的，如RSA的SecurID卡，或者是通過(guò)RADIUS服務(wù)器訪問的用戶/密碼數(shù)據(jù)庫(kù)。實(shí)際上，可以利用這些認(rèn)證機(jī)制實(shí)現(xiàn)IPsec。
CRACK用不對(duì)稱認(rèn)證
適當(dāng)改變IPSec的目的是使遠(yuǎn)程接入的用戶更容易使用基于IPsec的產(chǎn)品，這種改變最困難的領(lǐng)域在于終端用戶的驗(yàn)證。在XAUTH（eXtended Authentication）、混合驗(yàn)證（Hybrid Authentication）和CRACK（Challenge/Response Authentication of Cryptographic Key）這三個(gè)驗(yàn)證系統(tǒng)中，CRACK是最新的，它允許不對(duì)稱形式的驗(yàn)證。
通過(guò)CRACK協(xié)議對(duì)IKE添加一個(gè)新的驗(yàn)證方法，保留了IKE原有的安全性能。這是存在于CRACK和XAUTH和混合驗(yàn)證之間的主要差異。CRACK的一個(gè)重要目標(biāo)是不必為可用性而犧牲安全性。
CRACK驗(yàn)證
將對(duì)稱的VPN驗(yàn)證方法改為不對(duì)稱的驗(yàn)證方法的實(shí)現(xiàn)方法是，將PKI用于VPN服務(wù)器，而將傳統(tǒng)認(rèn)證方法(LAM )用于VPN客戶，這是CRACK的主要屬性。
CRACK認(rèn)證過(guò)程
當(dāng)VPN服務(wù)器和終端用戶開始其驗(yàn)證對(duì)話時(shí)，用戶表明他需要使用CRACK，如果VPN服務(wù)器支持CRACK，它就會(huì)通過(guò)出示其數(shù)字鑒定的驗(yàn)證來(lái)做出響應(yīng)。這種對(duì)話提供了VPN服務(wù)器到終端用戶的明確驗(yàn)證。
許多VPN廠商在他們的產(chǎn)品中提供了“微型PKI”，它能為服務(wù)器發(fā)放鑒定，或者能夠使用windows 2000 Server的簡(jiǎn)單PKI產(chǎn)品。
一旦服務(wù)器對(duì)用戶進(jìn)行了驗(yàn)證，那么對(duì)服務(wù)器進(jìn)行驗(yàn)證就是用戶的責(zé)任了。在CRACK體系中，用戶對(duì)服務(wù)器的鑒定采用LAM。CRACK可支持任何LAM，包括簡(jiǎn)單的用戶名/密碼對(duì)、詢問/響應(yīng)標(biāo)記、時(shí)間標(biāo)記，如SecurID等。CRACK允許終端用戶和VPN服務(wù)器之間任意長(zhǎng)的對(duì)話，這一點(diǎn)能夠支持一些重要的特征，例如，改變標(biāo)記卡上的個(gè)人識(shí)別碼等。
只有當(dāng)用戶進(jìn)行了完全的鑒定之后，才產(chǎn)生了IKE的安全聯(lián)合，然后，建立了VPN隧道。
CRACK可以使遠(yuǎn)程接入的用戶能夠使用LAM，它是第一個(gè)能夠保持IKE互驗(yàn)性能的提案。在遠(yuǎn)程接入VPN時(shí)，與傳統(tǒng)的IPSec VPN相比，網(wǎng)絡(luò)管理員對(duì)CRACK具有同樣的信心。