eap-peapeap-tls認(rèn)證具體流程分析-預(yù)覽頁(yè)
【正文】 5 計(jì)費(fèi)開(kāi)始22) WLAN UE通過(guò)RADIUSAccountingRequest（Start）報(bào)文通知Radius開(kāi)始進(jìn)行計(jì)費(fèi)，含有相關(guān)的計(jì)費(fèi)信息。PEAP認(rèn)證成功時(shí)，STA的抓包如下（該抓包是抓的STAAP之間的EAPoL包）：和“PEAP用戶接入流程圖”中的步驟相對(duì)應(yīng)，步驟與包的對(duì)應(yīng)關(guān)系如下圖所示：123671011141521(二) 在radius server上打開(kāi)wireshark，在capture option選項(xiàng)中選擇對(duì)應(yīng)的無(wú)線網(wǎng)卡，并把capture packets in promiscuous mode前面的勾去掉，過(guò)濾radius的數(shù)據(jù)包。2）WLAN AN向AAA Server發(fā)送計(jì)費(fèi)停止請(qǐng)求的報(bào)文。3）WLAN AN向AAA Server回復(fù)DisconnectACK消息。2) WLAN用戶接入認(rèn)證點(diǎn)向Radius發(fā)送計(jì)費(fèi)停止請(qǐng)求的報(bào)文3) Radius向WLAN用戶接入認(rèn)證點(diǎn)回計(jì)費(fèi)停止請(qǐng)求報(bào)文的回應(yīng) MSCHAP V2認(rèn)證流程圖4 MSChapv2用戶認(rèn)證流程1) Radius在TLS通道內(nèi)發(fā)起EAPreuqest/Identity認(rèn)證請(qǐng)求.2) AP把Radius報(bào)文中的EAP域提取，封裝成EAPrequest報(bào)文發(fā)送給Client.3) Client發(fā)送一個(gè) 給Ap一個(gè)EAPResponse報(bào)文，內(nèi)容為Client的Identity(通常為用戶名),.4) Ap把報(bào)文封裝成Radius報(bào)文,送給Radius.5) Radius收到后，通過(guò)Radius報(bào)文，返回給AP一個(gè)16 字節(jié)的隨機(jī)數(shù).6) AP把Radius報(bào)文中的EAP域提取，封裝成EAPrequest/EAPMS CHAP V2 Challenge報(bào)文發(fā)送給Client. (CODE=1:Challenge)7) Client收到后:a) Client產(chǎn)生一個(gè) 16字節(jié)的隨機(jī)數(shù)，稱為“端認(rèn)證質(zhì)詢”,b) client 將Radius server中收到的16字節(jié)質(zhì)詢，及其產(chǎn)生的16字節(jié)端認(rèn)證質(zhì)詢，以及client的用戶名進(jìn)行SHA1算法的HASH,取結(jié)果的開(kāi)始8字節(jié)。EAP是一種簡(jiǎn)單的封裝方式，可以運(yùn)行于任何的鏈路層，不過(guò)它在PPP鏈路上并未廣泛使用。當(dāng)新的需求浮現(xiàn)時(shí)就可以設(shè)計(jì)出新的認(rèn)證方式，就算要用于無(wú)線局域網(wǎng)也不成問(wèn)題。 TLS通過(guò)證書交換來(lái)進(jìn)行相互認(rèn)證。相互認(rèn)證可以防范所謂的“欺騙”（rouge）接入點(diǎn)。無(wú)線網(wǎng)絡(luò)中任何潛在的用戶都必須配備本身的數(shù)字證書。2) 認(rèn)證方向申請(qǐng)者發(fā)送EAPRequest/Identity請(qǐng)求幀，要求提供身份標(biāo)識(shí)。通過(guò)向申請(qǐng)者發(fā)送封裝EAPRequest/EAPTLS/TLSStart的AccessChallenge消息，啟動(dòng)TLS認(rèn)證過(guò)程，等待進(jìn)行TLS認(rèn)證。8) 認(rèn)證方將EAPResponse/EAPTLS/ClientHello響應(yīng)幀封裝成RADIUS AccessRequest幀發(fā)給認(rèn)證服務(wù)器。10) 認(rèn)證方向申請(qǐng)者發(fā)送EAPRequest/EAPTLS/SeverHello，ServerCertificate，Server KeyExchange，Client CertificateRequest。13) 認(rèn)證服務(wù)器校驗(yàn)申請(qǐng)者的證書ClientCertificate，如果合法，然后回復(fù)申請(qǐng)者以Change Cipherspec和Finished消息，Change Cipherspec包含了認(rèn)證服務(wù)器指定使用的加密類型。17) RADlUS服務(wù)器和Client都推導(dǎo)出主密鑰MK(Master Key)。通過(guò)無(wú)線客戶端與radius服務(wù)器之間動(dòng)態(tài)協(xié)商生成PMK(Pairwise Master Key) ，再由無(wú)線客戶端和AP之間在這個(gè)PMK的基礎(chǔ)上經(jīng)過(guò)4次握手協(xié)商出單播密鑰以及通過(guò)兩次握手協(xié)商出組播密鑰，每一個(gè)無(wú)線客戶端與AP之間通訊的加密密鑰都不相同，而且會(huì)定期更新密鑰，很大程度上保證了通訊的安全。TLS認(rèn)證成功時(shí)，radius server上的抓包如下，（該抓包是抓的AP—Radius server之間的EAP over Radius包）：和“EAPTLS認(rèn)證流程圖”中的步驟相對(duì)應(yīng)，步驟與包的對(duì)應(yīng)關(guān)系如下圖所示：45891213161717
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1