PAP vs. CHAP: Was ist der Unterschied?

Zuletzt aktualisiert am 29. Juli 2025

Der Hauptunterschied zwischen PAP und CHAP besteht darin, dass PAP ein Two-Way Handshake verwendet und das Passwort im Klartext überträgt, während CHAP ein Three-Way Handshake nutzt und das Passwort niemals zwischen den Parteien sendet. Dadurch ist CHAP wesentlich sicherer als PAP.

PAP vs. CHAP: Was ist der Unterschied?

Hier ist eine Tabelle, die die Unterschiede zwischen PAP und CHAP zusammenfasst:

PAP	CHAP
Kurzform für Password Authentication Protocol	Abkürzung für Challenge-Handshake Authentication Protocol
Beschrieben in RFC 1334	Beschrieben in RFC 1994
Vom Client initialisiert	Vom Server initialisiert
Authentifizierung wird nur einmal während einer Sitzung durchgeführt, wenn die Verbindung aufgebaut wird	Authentifizierung erfolgt beim Verbindungsaufbau; kann aber auch nach dem Verbindungsaufbau erneut angefordert und durchgeführt werden (Mid-Session-Authentifizierung)
Wird vom Point-to-Point Protocol (PPP) verwendet, um Anwender zu authentifizieren und um Passwortauthentifizierung in anderen Protokollen wie RADIUS und Diameter zu ermöglichen	Wird vom Point-to-Point Protocol (PPP) verwendet, um Anwender zu validieren und zur Authentifizierung in anderen Protokollen wie RADIUS und Diameter
Verwendet ein Zwei-Wege-Handshake-Verfahren	Verwendet ein Drei-Wege-Handshake-Verfahren
Bietet keinen Schutz vor Replay-Angriffen	Bietet Schutz vor Replay-Angriffen
Bietet keinen Schutz vor trial and error Angriffen	Bietet effektiven Schutz vor trial and error Angriffen
Verwendet bei jeder Authentifizierung dieselbe statische Secret-Information	Verwendet für jede Authentifizierung eine eindeutige, zufällig generierte Challenge
Sendet das Passwort im Klartext, wodurch es anfällig für selbst einfache Man-in-the-Middle (MITM) attacks ist	Erfordert, dass Client und Server das Passwort im Klartext kennen, sendet das Passwort aber nie über das Netzwerk
Wird von RADIUS als RADIUS PAP unterstützt und ist daher mit Rublon Multi-Factor Authentication kompatibel	Wird von RADIUS als RADIUS CHAP unterstützt und ist daher mit Rublon Multi-Factor Authentication kompatibel

Was sind die Vorteile von PAP gegenüber CHAP?

• Der einzige Vorteil von PAP gegenüber CHAP besteht darin, dass PAP mit allen Netzwerkbetriebssystemen kompatibel ist. Dadurch kann PAP auch in extrem einfachen oder sehr alten Systemen verwendet werden, die CHAP nicht unterstützen.

Was sind die Vorteile von CHAP gegenüber PAP?

• CHAP sendet das Passwort nicht über das Netzwerk, während PAP das Passwort zwischen den Parteien überträgt und daher äußerst anfällig für Angriffe durch Abhören ist.
• Im Gegensatz zu PAP sendet CHAP regelmäßig Authentifizierungs-Challenges, um sicherzustellen, dass der Client nicht kompromittiert oder durch einen Angreifer ersetzt wurde.

Jetzt starten: Melden Sie sich für eine kostenlose 30-Tage-Testversion von Rublon an →

PAP vs. CHAP: Fazit

Wenn Sie zwischen PAP und CHAP wählen müssen, ist CHAP die klare Entscheidung. CHAP ist nicht nur wesentlich sicherer, sondern wird auch von den meisten Network Access Servern gut unterstützt. Da RADIUS-Authentifizierung sowohl PAP als auch CHAP unterstützt, gibt es kaum einen triftigen Grund, sich für PAP zu entscheiden.

Einige Protokolle wie das Point-to-Point Protocol (PPP) unterstützen sowohl PAP als auch CHAP. Administratoren können PPP daher so konfigurieren, dass CHAP als primäres Authentifizierungsverfahren verwendet wird, während PAP lediglich als Fallback dient.

Falls Sie nicht auf die Wahl zwischen PAP und CHAP beschränkt sind, lohnt sich ein Blick auf das Extensible Authentication Protocol (EAP) und dessen zahlreiche Varianten. Diese bieten eine robuste und flexible Alternative zu CHAP für moderne Authentifizierungsanforderungen.

MFA für PAP- und CHAP-Authentifizierung aktivieren

Der Rublon Authentication Proxy ist ein RADIUS-Proxy-Server, der Multi-Factor-Authentication (MFA) für Anwendungen, VPNs und Dienste ermöglicht, die das RADIUS-Authentifizierungsprotokoll unterstützen. Er unterstützt PAP und leitet andere Protokolle an den RADIUS-Server weiter, wodurch ein umfassender MFA-Schutz auch für Protokolle wie CHAPv1, MS-CHAPv2 und EAP-MS-CHAPv2 gewährleistet wird.