eap-peapeap-tls認(rèn)證具體流程分析-資料下載頁(yè)
2025-06-25 06:34本頁(yè)面
【正文】 9) 認(rèn)證服務(wù)器接收到EAPResponse/EAPTLS/ClientHello后，確定TLS認(rèn)證已建立，并通過(guò)封裝包含多個(gè)TLS記錄的EAPResponse/EAPTLS消息的AccessChallenge消息經(jīng)過(guò)認(rèn)證方發(fā)送給申請(qǐng)者。TLS記錄中包含認(rèn)證服務(wù)器的數(shù)字證書ServerCertificate、申請(qǐng)者數(shù)字證書請(qǐng)求Client CertificateRequest、SeverHello和Server KeyExchange消息用于用交換密鑰過(guò)程。Server Hello，確定了這次通信所需要的算法和Server Random Value。10) 認(rèn)證方向申請(qǐng)者發(fā)送EAPRequest/EAPTLS/SeverHello，ServerCertificate，Server KeyExchange，Client CertificateRequest。11) 申請(qǐng)者校驗(yàn)服務(wù)器的數(shù)字證書ServerCertificate，如果合法，向認(rèn)證服務(wù)器發(fā)送ClientCert、Client KeyExchange、Change Cipherspec和Finished消息。ClientCert為申請(qǐng)者的數(shù)字證書、Client KeyExchange為使用認(rèn)證服務(wù)器的公鑰加密的定長(zhǎng)隨機(jī)串，也叫Pre Master Secert, Change Cipherspec為申請(qǐng)者能夠支持的加密類型。12) 認(rèn)證方將EAPResponse/EAPTLS/ClientCert，Client KeyExchange，Change Cipherspec，F(xiàn)inished響應(yīng)幀封裝成RADIUS AccessRequest幀發(fā)給認(rèn)證服務(wù)器。13) 認(rèn)證服務(wù)器校驗(yàn)申請(qǐng)者的證書ClientCertificate，如果合法，然后回復(fù)申請(qǐng)者以Change Cipherspec和Finished消息，Change Cipherspec包含了認(rèn)證服務(wù)器指定使用的加密類型。14) 認(rèn)證方向申請(qǐng)者發(fā)送EAPRequest/EAPTLS/Change Cipherspec，F(xiàn)inished。15) 申請(qǐng)者受到Finished消息后，給服務(wù)器一個(gè)響應(yīng)EAPResponse/EAPTLS/TLSACK，F(xiàn)inished。16) 認(rèn)證方將EAPResponse/EAPTLS/TLSACK，F(xiàn)inished響應(yīng)幀封裝成RADIUS AccessRequest幀發(fā)給認(rèn)證服務(wù)器。17) RADlUS服務(wù)器和Client都推導(dǎo)出主密鑰MK(Master Key)。認(rèn)證服務(wù)器收到TLSACK包后，發(fā)送AccessAccept給AP發(fā)送，其中包括主密鑰MK并指示成功的認(rèn)證。18) 認(rèn)證方向申請(qǐng)者發(fā)送EAPSuccess。此時(shí)完成EAPTLS認(rèn)證流程。通過(guò)無(wú)線客戶端與radius服務(wù)器之間動(dòng)態(tài)協(xié)商生成PMK(Pairwise Master Key) ，再由無(wú)線客戶端和AP之間在這個(gè)PMK的基礎(chǔ)上經(jīng)過(guò)4次握手協(xié)商出單播密鑰以及通過(guò)兩次握手協(xié)商出組播密鑰，每一個(gè)無(wú)線客戶端與AP之間通訊的加密密鑰都不相同，而且會(huì)定期更新密鑰，很大程度上保證了通訊的安全。 STA amp。 radius server上抓包分析(一) 在STA上打開(kāi)wireshark，在capture option選項(xiàng)中選擇對(duì)應(yīng)的無(wú)線網(wǎng)卡，并把capture packets in promiscuous mode前面的勾去掉，過(guò)濾eap||eapol||bootp的數(shù)據(jù)包。TLS認(rèn)證成功時(shí)，STA的抓包如下（該抓包是抓的STAAP之間的EAPoL包）:和“EAPTLS認(rèn)證流程圖”中的步驟相對(duì)應(yīng)，步驟與包的對(duì)應(yīng)關(guān)系如下圖所示：123671011141518(二) 在radius server上打開(kāi)wireshark，在capture option選項(xiàng)中選擇對(duì)應(yīng)的無(wú)線網(wǎng)卡，并把capture packets in promiscuous mode前面的勾去掉，過(guò)濾radius的數(shù)據(jù)包。TLS認(rèn)證成功時(shí)，radius server上的抓包如下，（該抓包是抓的AP—Radius server之間的EAP over Radius包）：和“EAPTLS認(rèn)證流程圖”中的步驟相對(duì)應(yīng)，步驟與包的對(duì)應(yīng)關(guān)系如下圖所示：45891213161717
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1