eap-peapeap-tls認(rèn)證具體流程分析-全文預(yù)覽
【正文】 us報(bào)文中，告知Radius建立隧道成功。12) WLAN AN以EAP Over RADIUS的報(bào)文格式將EAPResponse/TLS ClientKeyExchange發(fā)送給認(rèn)證服務(wù)器Radius,并且?guī)舷嚓P(guān)的RADIUS的屬性13) Radius收到報(bào)文后，用自己的證書對應(yīng)的私鑰對ClientKeyExchange進(jìn)行解密，從而獲取到premastersecret，然后將premastersecret進(jìn)行運(yùn)算處理，加上WLAN UE和Server產(chǎn)生的隨機(jī)數(shù)，生成加密密鑰、加密初始化向量和hmac的密鑰，這時(shí)雙方已經(jīng)安全的協(xié)商出一套加密辦法了。8) WLAN AN 以EAP Over RADIUS的報(bào)文格式將EAPResponse/ TLS /Client Hello發(fā)送給認(rèn)證服務(wù)器Radius,并且?guī)舷嚓P(guān)的RADIUS的屬性。4) WLAN AN以EAP Over RADIUS的報(bào)文格式將EAPResponse/Identity發(fā)送給Radius,并且?guī)舷嚓P(guān)的RADIUS的屬性。2) WLAN AN向WLAN UE發(fā)送EAPRequest/Identity報(bào)文，要求WLAN UE將用戶信息送上來。服務(wù)器對用戶和客戶端進(jìn)行身份驗(yàn)證，具體方法由 EAP 類型決定，在 PEAP 內(nèi)部選擇使用(如：EAPMSCHAPv2)。 第一階段：建立 PEAP 客戶端和認(rèn)證服務(wù)器之間的安全通道，客戶端采用證書認(rèn)證服務(wù)端完成TLS握手。PEAP是EAP認(rèn)證方法的一種實(shí)現(xiàn)方式，網(wǎng)絡(luò)側(cè)通過用戶名/密碼對終端進(jìn)行認(rèn)證，終端側(cè)通過服務(wù)器證書對網(wǎng)絡(luò)側(cè)進(jìn)行認(rèn)證。 使用EAP method 的優(yōu)點(diǎn)是，EAP從此可以不用去管驗(yàn)證使用者的細(xì)節(jié)。EAP屬于一種框架協(xié)議，最初規(guī)范于RFC2284，后來經(jīng)RFC3748更新。EAPTLS認(rèn)證具體流程分析EAPPEAP認(rèn)證具體流程分析（結(jié)合radius認(rèn)證協(xié)議及抓包） EAPPEAP背景EAP: （Extensible Authentication Protocol）可擴(kuò)展認(rèn)證協(xié)議。 EAP 會把證明使用者身份的過程，授權(quán)給一個(gè)稱為EAP method 的附屬協(xié)議，EAP method 乃是一組驗(yàn)證使用者身份的規(guī)則。PEAP是由Microsoft、Cisco和RSA Security共同開發(fā)，在EAP框架中基于證書+用 戶名密碼實(shí)現(xiàn)用戶WLAN接入鑒權(quán)。EAP 客戶端和認(rèn)證服務(wù)器之間的認(rèn)證過程有兩個(gè)階段。整個(gè) EAP 通信，包括 EAP 協(xié)商在內(nèi)，都通過 TLS 通道進(jìn)行。 PEAP用戶接入流程圖1 PEAP用戶接入流程E1 認(rèn)證初始化1) WLAN UE向WLAN AN發(fā)送一個(gè)EAPoLStart報(bào)文。此次用戶名建議同用戶的portal認(rèn)證用戶名密碼。E2 建立TLS通道7) WLAN UE收到EAPRequest/Peap/Start報(bào)文后，產(chǎn)生一個(gè)隨機(jī)數(shù)、客戶端支持的加密算法列表、TLS協(xié)議版本、會話ID、以及壓縮方法（目前均為NULL），封裝在EAPResponse/TLS/Client Hello報(bào)文中發(fā)送給WLAN AN。如果合法則提取Server證書中的公鑰，同時(shí)產(chǎn)生一個(gè)隨機(jī)密碼串premastersecret，并使用服務(wù)器的公鑰對其進(jìn)行加密，最后將加密的信息ClientKeyExchange+客戶端的證書（如果沒有證書，可以把屬性置為0）＋TLS finished屬性封裝成EAPRsponse/TLS ClientKeyExchange報(bào)文發(fā)送給WLAN UE沒有安裝證書，則不會對Server證書的合法性進(jìn)行認(rèn)證，即不能對網(wǎng)絡(luò)進(jìn)行認(rèn)證。15) WLAN UE回復(fù)EAP Response/TLS OK消息。18) WLAN UE收到報(bào)文后，用服務(wù)器相同的方法生成加密密鑰，加密初始化向量和hmac的密鑰，并用相應(yīng)的密鑰及其方法對報(bào)文進(jìn)行解密和校驗(yàn)，然后產(chǎn)生認(rèn)證回應(yīng)報(bào)文，用密鑰進(jìn)行加密和校驗(yàn)，最后封裝成EAP－response報(bào)文發(fā)送給AP，AP以EAP Over RADIUS的報(bào)文格式將EAPResponse發(fā)送給認(rèn)證服務(wù)器Radius Server,并且?guī)舷嚓P(guān)的RADIUS的屬性，這樣反復(fù)進(jìn)行交互，直到認(rèn)證完成。E4 地址分配21) WLAN UE和WLAN AN間的空中數(shù)據(jù)報(bào)文進(jìn)行加密傳送，與WLAN AN進(jìn)行DHCP流程交互，直至WLAN UE獲取IP地址E
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1