eap-peapeap-tls認(rèn)證具體流程分析(存儲版)
【正文】 的屬性13) Radius收到報(bào)文后，用自己的證書對應(yīng)的私鑰對ClientKeyExchange進(jìn)行解密，從而獲取到premastersecret，然后將premastersecret進(jìn)行運(yùn)算處理，加上WLAN UE和Server產(chǎn)生的隨機(jī)數(shù)，生成加密密鑰、加密初始化向量和hmac的密鑰，這時(shí)雙方已經(jīng)安全的協(xié)商出一套加密辦法了。在認(rèn)證過程中，Radius Server會下發(fā)認(rèn)證后用于生成空口數(shù)據(jù)加密密鑰（包括單播、組播密鑰）的PMK給WLAN UE。PEAP認(rèn)證成功時(shí)，radius server上的抓包如下，（該抓包是抓的AP—Radius server之間的EAP over Radius包）：和“PEAP用戶接入流程圖”中的步驟相對應(yīng)，步驟與包的對應(yīng)關(guān)系如下圖所示：4 58912131620 PEAP用戶下線流程用戶下線流程包括用戶主動下線、網(wǎng)絡(luò)下線和異常下線三種情況。4）WLAN AN向AAA Server發(fā)送計(jì)費(fèi)停止請求的報(bào)文。 EAP 的基本架構(gòu)如圖所示： EAP 認(rèn)證方式（EAP Method）。用戶必須將數(shù)字證書送交認(rèn)證服務(wù)器以進(jìn)行驗(yàn)證，但是認(rèn)證服務(wù)器也必須提供本身的證書。產(chǎn)生與分配證書以及遵循驗(yàn)證步驟都是莫大的挑戰(zhàn)。6) 認(rèn)證方向申請者發(fā)送EAPRequest/EAPTLS/TLSStart。11) 申請者校驗(yàn)服務(wù)器的數(shù)字證書ServerCertificate，如果合法，向認(rèn)證服務(wù)器發(fā)送ClientCert、Client KeyExchange、Change Cipherspec和Finished消息。認(rèn)證服務(wù)器收到TLSACK包后，發(fā)送AccessAccept給AP發(fā)送，其中包括主密鑰MK并指示成功的認(rèn)證。TLS認(rèn)證成功時(shí)，STA的抓包如下（該抓包是抓的STAAP之間的EAPoL包）:和“EAPTLS認(rèn)證流程圖”中的步驟相對應(yīng)，步驟與包的對應(yīng)關(guān)系如下圖所示：123671011141518(二) 在radius server上打開wireshark，在capture option選項(xiàng)中選擇對應(yīng)的無線網(wǎng)卡，并把capture packets in promiscuous mode前面的勾去掉，過濾radius的數(shù)據(jù)包。16) 認(rèn)證方將EAPResponse/EAPTLS/TLSACK，F(xiàn)inished響應(yīng)幀封裝成RADIUS AccessRequest幀發(fā)給認(rèn)證服務(wù)器。Server Hello，確定了這次通信所需要的算法和Server Random Value。5) 認(rèn)證服務(wù)器通過用戶身份標(biāo)識檢索認(rèn)證數(shù)據(jù)庫，獲知采用TLS認(rèn)證機(jī)制。EAPTLS雖然安全，不過并未被廣泛使用。TLS的目的就是在不可信賴的網(wǎng)絡(luò)環(huán)境中建立一條可信賴的通信管道（channel）。EAP屬于一種框架協(xié)議，最初規(guī)范于RFC2284，后來經(jīng)RFC3748更新。2）WLAN AN終止用戶會話，釋放用戶會話資源。 radius server上抓包分析(一) 在STA上打開wireshark，在capture option選項(xiàng)中選擇對應(yīng)的無線網(wǎng)卡，并把capture packets in promiscuous mode前面的勾去掉，過濾eap||eapol||bootp的數(shù)據(jù)包。E3 認(rèn)證過程17) WLAN AN把Radius報(bào)文中的EAP域提取，封裝成EAPrequest報(bào)文發(fā)送給WLAN UE。10) WLAN AN把Radius報(bào)文中的EAPrequest消息發(fā)送給WLAN UE.11) WLAN UE收到報(bào)文后，進(jìn)行驗(yàn)證Server的證書是否合法（使用從CA證書頒發(fā)機(jī)構(gòu)獲取的根證書進(jìn)行驗(yàn)證，主要驗(yàn)證證書時(shí)間是否合法，名稱是否合法），即對網(wǎng)絡(luò)進(jìn)行認(rèn)證，從而可以保證Server的合法。用戶ID，對于PEAPmschchap v2認(rèn)證方式的用戶ID是由用戶在客戶端手動輸入或者配置的。第二階段：提供 EAP 客戶端和認(rèn)證服務(wù)器之間的 EAP 身份驗(yàn)證。 常用的EAP認(rèn)證方法如下圖所示： PEAP，受保護(hù)的EAP（Protected EAP）。EAPPEAPamp。當(dāng)新的需求浮現(xiàn)時(shí)就可以設(shè)計(jì)出新的認(rèn)證方式，就算要用于無線局域網(wǎng)也不成問題。服務(wù)端可選采用證書認(rèn)證客戶端。 3) WLAN UE回應(yīng)一個(gè)EAPResponse/Identit
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1