【正文】 C4算法。 ? 由于在一般的情 況 下， IV是 從 0開(kāi) 始 計(jì)數(shù) 的，所以 IV值較 小的包會(huì)經(jīng) 常出 現(xiàn) ， 這 些 數(shù) 據(jù)包 將 比 IV值 大的包更容易 遭到破解。 ? 在 IV發(fā) 生 碰 撞 時(shí) ，可根據(jù) C1 ? C2 = P1 ? P2推 測(cè) 明文 P1 、 P2的值 。 CIS/SJTU 51 2023328 52 Lab for Cryptography and Information Security, SJTU 52 2023328 WPA, WPAPSK 開(kāi)放系統(tǒng)，共享系統(tǒng) 53 流密 碼 算法 RC4 ? RC4 was designed by Ron Rivest of RSA Security in 1987 ? RC4 was initially a trade secret, – but in September 1994 a description of it was anonymously posted to the Cypherpunks mailing list. – It was soon posted on the newsgroup, – and from there to many sites on the Inter. ? The current status seems to be that unofficial implementations are legal, but cannot use the RC4 name. RC4 is often referred to as ARCFOUR, to avoid possible trademark problems. ? It has bee part of some monly used encryption protocols and standards, including WEP and WPA for wireless cards and SSL. CIS/SJTU 53 2023328 54 RC4:pseudorandom generation algorithm (PRGA) ? 考 慮 所有的字 節(jié) （ 8bit數(shù)組 ） – 0,1,2,…,255 – S(需初始化 ):所有字 節(jié) 的置 換 S*0+,S*1+,S*2+,…,S*255+ ? 流密 碼 算法：明文、密 鑰 按字 節(jié)對(duì)應(yīng)數(shù)組 XOR ? 密 鑰 流 輸 出算法 – i := 0 – j := 0 while GeneratingOutput: – i := (i + 1) mod 256 – j := (j + S[i]) mod 256 – swap(S[i],S[j]) – output S[(S[i] + S[j]) mod 256] 55 RC4:keyscheduling algorithm ? 置 換 S通 過(guò) 密 鑰 初始化 – 密 鑰長(zhǎng) 度（字 節(jié)數(shù) ） l通常 5～ 16（ 40–128 bits ） – 首先， 設(shè) S為 恒等置 換 – S 然后 經(jīng)過(guò)類(lèi) 似 PRGA的 256次迭代生成，即 for i from 0 to 255 S[i] := i j: = 0 for i from 0 to 255 j := (j + S[i] + key[i mod l]) mod 256 swap(S[i],S[j]) 56 IV的 碰 撞 問(wèn)題 ? 丌同的包使用相同 IV的 現(xiàn) 象 稱(chēng) 作 IV的 碰 撞 – 相同的 IV意味著加密密 鑰 流是同一 個(gè) C1 ? C2 = P1 ? P2 ? 如果 C C P1已知， 則 立即可以推算出 P2。 CIS/SJTU 43 2023328 Mobile Station Access Point 44 WEP協(xié)議 的 認(rèn)證 CIS/SJTU 44 2023328 STA AP Challenge (Nonce) Response (Nonce RC4 encrypted under shared key) Shared secret distributed out of band Decrypted nonce OK? 45 WEP協(xié)議 的完整性校 驗(yàn) Plaintext ICV’ Integrity Algorithm ICV ＝？ Accept Packet Reject Packet Yes No Integrity Check Value（ ICV） 46 WEP協(xié)議 的加、解密 ? RC4是一種流密碼算法，它可利用一個(gè)密鑰生成無(wú)限長(zhǎng)的偽隨機(jī)數(shù)序列（稱(chēng)為密鑰流）。 CIS/SJTU 42 2023328 43 WEP協(xié)議 的主要 內(nèi) 容 ? 在 Mobile Station與 Access Point之 間 共享一 個(gè) 密 鑰 ，用 來(lái)認(rèn)證 。在 MAC地址列表中手工增刪用戶(hù)的 MAC地址，只適合小型網(wǎng)絡(luò)。1 第八章無(wú)線局域網(wǎng)安全 馬占宇 信通院模式識(shí)別實(shí)驗(yàn)室 32 第六 講 ：無(wú) 線 局域 網(wǎng) 安全 ? 本地?zé)o 線連 接 ? 無(wú) 線 局域 網(wǎng) WLAN ? 標(biāo) 準(zhǔn) ? 中 國(guó)標(biāo) 準(zhǔn) WAPI – 97983/ISO SC27 33 無(wú) 線 局域 網(wǎng) 技 術(shù) ? 無(wú) 線 LAN和 個(gè) 人通信 網(wǎng) （ PCN） 代表了 1990年代通信 網(wǎng)絡(luò) 技 術(shù) 的 發(fā) 展方向。 42 種 基本安全機(jī)制 ? 有 線 等價(jià) 協(xié)議 （ WEP） – 準(zhǔn)包含一 個(gè) WEP協(xié)議 (Wired Equivalent Privacy protocol)， 它 的安全目 標(biāo) 是 ? 阻止竊聽(tīng)（保 護(hù) 機(jī)密性） ? 阻止消息被 篡 改（保 護(hù) 完整性） ? 控制 對(duì) WLAN的 訪問(wèn) （ 訪問(wèn) 控制） ? 實(shí)質(zhì) 上， WEP應(yīng) 提供 與 有 線網(wǎng)絡(luò) 等同的安全性。 ? 使用 CRC32（ 循 環(huán) 冗余校 驗(yàn)碼 ） 來(lái) 保 護(hù) 消息完整性。加密時(shí)，將密鑰流與明文相異或，解密方法與加密相同。 ? 如果有三 個(gè) 或三 個(gè) 以上的包使用相同的 IV， 則 解密更加容易。 58 已知明文攻 擊 ? 一旦我 們 得知一 個(gè)數(shù) 據(jù)包的明文 內(nèi) 容，只需 將 明文 與 密文相 異或，我 們 就可以推 導(dǎo) 出加密 該 包的密 鑰 流。 59 對(duì) WEP中 CRC校 驗(yàn) 的攻 擊 ? CRC32是考慮檢驗(yàn)傳輸錯(cuò)誤，并非保護(hù)數(shù)據(jù)完整。 ? 設(shè)計(jì)標(biāo) 準(zhǔn)和 協(xié)議 需要汲取以前 設(shè)計(jì)協(xié)議 的 經(jīng)驗(yàn)教訓(xùn) ， 誤 用 CRC的 問(wèn)題 在以前的 協(xié)議 中出 現(xiàn)過(guò) ，但是 WEP的 設(shè)計(jì) 者 并沒(méi) 有注意到 這 一點(diǎn)。 66 準(zhǔn) ? 三 個(gè) 重要部分： – Station， Access Point， RADIUS ? 準(zhǔn)要求無(wú) 線 工作站 Station安裝 戶(hù) 端 軟 件， ? AP要 內(nèi) 嵌 代理， 將 用 戶(hù)認(rèn)證 信息 轉(zhuǎn)發(fā)給 RADIUS（ Remote Authentication Dialin Service， 遠(yuǎn) 程用 戶(hù) 接入 認(rèn)證 服 務(wù) ）服 務(wù) 器， ? 由 RADIUS服 務(wù) 器 來(lái)進(jìn) 行 認(rèn)證 。 ? EAP是建立在 詢(xún)問(wèn) － 響應(yīng) 模型上的，共有四 種類(lèi) 型的信息： EAP請(qǐng) 求、EAP響應(yīng) 、 EAP成功信息、 EAP失 敗 信息。 為 了在Station和 AP之 間進(jìn) 行 認(rèn)證 和分 發(fā) 加密密 鑰設(shè)計(jì)的，可以 動(dòng)態(tài) 生成加密密 鑰 。 ? 該標(biāo)準(zhǔn)將使用 TKIP協(xié)議作為過(guò)渡的加密算法，最終轉(zhuǎn)向使用 AES加密算法。 – 。 ? 從 安全角度看，人 們應(yīng)該 像接入 網(wǎng)絡(luò) 而非核心企 業(yè)網(wǎng)絡(luò) 那 樣對(duì)待無(wú) 線 局域 網(wǎng) 。 WiFi聯(lián) 盟已 經(jīng) 采 納 了 標(biāo) 準(zhǔn)的一 個(gè) 子集合， 將它稱(chēng)為 WPA， 并 且 現(xiàn) 在 開(kāi) 始 認(rèn)證設(shè)備 是否 滿 足 WPA要求。 ? 雖 然 WPA對(duì) 彌 補(bǔ) WEP的缺點(diǎn)有很大 幫 助，但是 并 丌是所有的用 戶(hù) 都能夠 利用 它 。 76 強(qiáng)健的安全 網(wǎng)絡(luò) (RSN) ? RSN是接入點(diǎn) 與 移 動(dòng)設(shè)備 之 間 的 動(dòng)態(tài)協(xié) 商 認(rèn)證 和加密算法。但是， RSN丌能很好地在 遺 留 設(shè)備 上 運(yùn) 行。 used to prove possession of the PMK – Key Encryption Key (KEK) – used to distribute Group Transient Key (GTK) – Temporal Key (TK) – used to secure data traffic 80 Group Keys ? Group Transient Key (GTK) – An operational keys: – Temporal Key – used to “secure” multicast/broadcast data traffic ? specification defines a “Group key hierarchy” – Entirely gratuitous: impossible to distinguish GTK from a randomly generated key 81 More Terminology ? or EAPoL ? EAP ? TLS ? EAPTLS ? RADIUS 82 Authentication and Key Management Architecture (1) (EAPoL) Authentication Server Access Point Wireless Station EAPTLS EAP RADIUS UDP/IP Out of scope of standard 83 Authentication and Key Management Architecture (2) ? EAP is endtoend transport for authentication between STA, AS ? is transport for EAP over 802 LANs ? AP proxies EAP between and backend protocol between AP and AS ? Backend protocol outside scope – But RADIUS is the de facto transport for EAP over IP works ? Concrete EAP authentication method outside scope – But EAPTLS is the de facto authentication protocol, because the others don’t work 84 Operational Phases CCMP data protection authentication key management RADIUSbased key distribution Securit