安全協(xié)議-第7章-下(編輯修改稿)
2025-01-26 12:41 本頁面
【文章內(nèi)容簡介】 e/CBCMAC Protocol）和 WRAP（ Wireless Robust Authenticated Protocol）密碼協(xié)議。前者是基于 WEP的，后兩者是基于 AES算法不同模式的，分別為 AESCCM（ AESCounter with CBCMAC）模式和 AESOCB（ AESOffset CodeBook）模式。 23 ? IEEE ， 于端口的訪問控制協(xié)議（ Port Based Network Access Control Protocol），是 IEEE于 2023年 6月提出的，主要目的是解決無線局域網(wǎng)用戶的接入認證問題，它可以限制未經(jīng)授權(quán)的設備或用戶通過接入端口訪問 LAN/WLAN。 ? AP上的設備或用戶進行認證。在認證通過之前， EAP協(xié)議（ EAP over LAN， EAPoL）或基于無線局域網(wǎng)傳輸?shù)?EAP協(xié)議（ EAP over Wireless， EAPoW）數(shù)據(jù)通過端口； ? 認證通過以后，正常的數(shù)據(jù)可以順利地通過端口。也即 EAP協(xié)議完成認證，而 EAP本身可以使用多種認證方法，如 EAPMD EAPOTP、 EAPTLS等。 24 Wifi和 WPA ? WiFi是一個聯(lián)盟，它的產(chǎn)生動機是為了提高各廠商產(chǎn)品之間的互操作性。為獲得 WiFi認證，制造商必須提交產(chǎn)品接受WiFi的測試。 ? 在一個 RSN網(wǎng)絡內(nèi)，僅允許具備 RSN性能的移動終端接入，而大多數(shù)現(xiàn)存 WiFi設備的硬件不支持 RSN所要求的加密操作，消費者也不愿意為轉(zhuǎn)入 RSN網(wǎng)絡而放棄已有的 WiFi設備。 ? 出于這種狀況， WiFi聯(lián)盟采取了一個新的方案 WPA（ WiFi Protected Access）作為臨時性的解決方案，該方案擁有RSN性能的一個子集，主要區(qū)別是 WPA不支持 AES算法，只支持 TKIP加密算法。這種方案使得僅通過軟件升級，就可以將現(xiàn)有的 WiFi設備升級為具有 WPA性能的設備。 25 TKIP ? TKIP保留了 WEP的硬件模塊，但在軟件上做了很多改動，以試圖改掉 WEP的缺陷。 WEP中 IV長度太短，只有 24位，在TKIP中， IV被擴展到了 48位，并被稱為 TSC（ TKIP Sequence Counter）， TSC還被用來防止重放； ? WEP使用 CRC校驗碼作為認證碼，該計算過程在 TKIP中仍然被保留，但不再作為校驗碼。 TKIP使用 Michael算法作為完整性校驗算法，該算法在較小的運算量下，提供較好的數(shù)據(jù)完整性保護，故而被 TGi工作組采納為 TKIP的 MIC（ Message Integrity Code）算法。 Michael 算法使用MICKey，將明文作為輸入，產(chǎn)生 64 位的 MIC值，然后將其附在明文后送往 WEP硬件模塊加密。 26 WPA的密鑰管理 ? WPA系統(tǒng)在工作時， AP會向外公布自身對 WPA的支持，STA根據(jù)收到的信息選擇相應的安全配置。 ? 與 AP建立關聯(lián)之后，如果網(wǎng)絡中有 RADIUS服務器作為認證服務器 AS， STA就使用 ；如果網(wǎng)絡中沒有 RADIUS， STA與 AP則會采用預共享密鑰（ PreShared Key， PSK）方式進行密鑰管理。 ? 如果需要通過 ，申請者 STA和認證服務器 AS通常會使用 EAP over RADIUS協(xié)議， EAP可以封裝多種上層認證方法，在認證完成后，上層認證產(chǎn)生的密鑰材料可以生成 STA和 AS之間共享的主密鑰（ PMK）。如果使用 PSK，則直接使用 PSK作為 PMK。 27 WPA的密鑰管理 ? ，端口就會被打開以允許業(yè)務數(shù)據(jù)流動。在端口打開前，還需要做的工作是產(chǎn)生加密和完整性保護所需要的密鑰，這需要通過握手協(xié)議（見文獻 []）來完成。握手協(xié)議一方面驗證 STA和 AP是否擁有一致的 PMK，另一方面用來生成臨時密鑰 PTK和組臨時密鑰 GTK。 ? 握手協(xié)議分為兩個：一個是 4次握手協(xié)議，由 4條消息組成的，目的是生成 PTK；另一個是由兩條消息組成的，目的是生成 GTK。握手消息均使用 EAPoLkey消息來傳送，該消息是一種類型的 EAPoL消息，主要用于傳送密鑰信息。 28 GSM安全措施 ? GSM（ Global System for Mobile Communications）即全球移動通信系統(tǒng)，也即第二代移動通信系統(tǒng)。 ? GSM采取了一些安全措施，如鑒權(quán)、加密和臨時身份標識TMSI的使用。 ? 鑒權(quán)用來防止未授權(quán)的用戶接入，保證用戶的身份不被假冒；加密指的是空中接口傳輸加密，防止信息被竊聽； TMSI主要用于在空中接口上替代用戶永久身份，防止用戶在無線信道上被跟蹤。 29 GSM簡介 ? GSM系統(tǒng)的主要組成部分可分為移動臺（ MS）、基站系統(tǒng)（ BSS）和網(wǎng)絡交換系統(tǒng)（ NSS）。 ? MS是指手機或車載臺等移動通信終端； ? BSS為 MS提供無線連接，由基站收發(fā)臺（ BTS）和基站控制器（ BSC）組成； ? NSS主要由移動業(yè)務交換中心（ MSC）、操作維護中心（ OMC）以及一些寄存器（ Register，可理解為登記中心）組成，以完成電話交換及提供 GSM系統(tǒng)與公共交換電話網(wǎng)絡（ Public Switched Telephone Network， PSTN）的連接等功能。 30 GSM系統(tǒng)結(jié)構(gòu)簡圖 31 MS ? MS（ Mobile Station）包括兩部分：移動設備 ME和 SIM卡。 ? 每個移動設備都有一個唯一的對應于它的永久性識別號，即國際移動設備識別號（ International Mobile Equipment Identity， IMEI）。 ? SIM卡是一張插到移動設備中的智能卡，用來識別移動用戶的身份， SIM卡中包含的信息有：國際移動用戶身份識別號（ International Mobile Subscriber Identity， IMSI）、臨時移動用戶身份識別號（ Temporary Mobile Subscriber Identity，TMSI）、用戶身份認證密鑰（ Subscriber Authentication Key， Ki）以及用于認證和加密的算法等信息。 ? IMSI用來識別移動用戶，僅在初始化時才在空中發(fā)送； TMSI用來臨時性地識別移動用戶，該號碼會在一定條件下改變，防止有人從空中鏈路跟蹤用戶。 32 BSS/NSS ? BSS（ Base Station Subsystem）是指系統(tǒng)中的基站設備，包括射頻設備和控制設備，用來提供 MS與MSC之間的連接。 ? NSS（ Network Switching Subsystem）完成 GSM網(wǎng)絡主要的交換功能和用戶數(shù)據(jù)管理、移動性管理、安全性管理所需的數(shù)據(jù)庫功能。 ? NSS主要由移動業(yè)務交換中心（ MSC）、歸屬位置寄存器（ HLR）、訪問位置寄存器（ VLR）、設備
教學課件相關推薦
鄂ICP備17016276號-1