你在公司连Wi-Fi时，是不是经常需要输入用户名和密码？有时候还会弹出一个“安全认证”的提示框。这背后可能就用到了一种叫MS-CHAP的网络认证协议。
MS-CHAP到底是什么
MS-CHAP全称是Microsoft Challenge Handshake Authentication Protocol，翻译过来就是微软挑战握手认证协议。它是微软开发的一种用于验证用户身份的网络安全协议，常用于PPP拨号、VPN连接或者无线网络接入中。
简单来说，当你尝试连接某个受保护的网络时，服务器不会直接让你登录，而是先“考你一下”——发个随机问题（挑战），你的设备根据密码算出答案返回。服务器自己也算一遍，对得上才允许接入。这个过程就是“握手”，而MS-CHAP就是这套问答规则的具体实现。
常见的版本：MS-CHAPv1 和 v2
最早的是MS-CHAPv1，但安全性较弱，容易被破解。后来推出了改进版MS-CHAPv2，增强了加密方式，并支持双向验证——不仅服务器验证你，你也确认服务器是否合法，防止钓鱼热点。
比如你在外地用公司VPN回家办公，手机或电脑连上后自动弹出账号密码框，选的是PPTP或L2TP/IPSec类型连接，背后大概率就在跑MS-CHAPv2。
它怎么工作？举个生活化的例子
想象你在小区门口想进单元楼，门禁系统认识你吗？它不会直接问“你是老王吗？”，而是说：“老王，今天口令是‘晴天’，你说出对应暗号。” 你按照家里的规则，把“晴天”加上生日后三位算出一组数字，报上去。保安核对无误，开门。
这里的“晴天”就是服务器发的挑战值，“暗号算法”就是MS-CHAP的哈希计算逻辑，而你和保安都知道这套规则，就像客户端和服务器共享了密码信息。
数据是怎么传输的
整个过程中，真正的密码并不会在网络上传输。取而代之的是通过NTLM哈希进行加密响应。这样即使有人截获了通信内容，也很难反推出原始密码。
典型的交互流程如下：
服务器发送挑战值（Challenge）
↓
客户端使用密码哈希生成响应（Response）
↓
服务器比对本地计算的结果
↓
匹配则认证成功，否则拒绝连接现在还安全吗
说实话，MS-CHAPv1早就被证明不安全，有现成工具能在几小时内还原密码。就连v2也被发现存在漏洞，比如在2012年被研究员破解，称为“降级攻击”风险。
因此现在很多企业已经转向更安全的EAP-TLS、PEAP或基于证书的认证方式。但在一些老旧系统、小型办公室或家庭路由器中，依然能看到它的身影。
如果你负责管理网络设备，建议尽量避免单独使用MS-CHAP，尤其是在公网暴露的场景下。可以配合其他机制如RADIUS服务器一起使用，提升整体安全性。