無線網(wǎng)絡(luò)安全ppt課件-文庫吧資料
2024-12-14 04:39本頁面
【正文】 器模型 ? RADIUS將 NAS作為其客戶端，客戶端的主要任務(wù)是完成與訪問用戶的交互，向服務(wù)器發(fā)送收集到的認(rèn)證信息以及對服務(wù)器發(fā)送回的認(rèn)證結(jié)果進(jìn)行應(yīng)答。 第 12字節(jié) 第 3字節(jié) 第 4字節(jié) 第 56字節(jié) 第 7n字節(jié) 以太網(wǎng) MAC頭 Protocol Vertion Packet Type Packet Body Length Packet Body RADIUS ? RADIUS協(xié)議描述了一種網(wǎng)絡(luò)訪問服務(wù)器（ NAS）與一個(gè)共享的認(rèn)證服務(wù)器之間的通信規(guī)范。 ? EAPOLStart 幀、 EAPOLLogoff幀、 EAPOLKey幀只在申請者和認(rèn)證者之間傳遞。 ? （ 4） EAPOLPacket—— 數(shù)據(jù)幀，真正在局域網(wǎng)上封裝 EAP消息的幀，是制定 EAPOL協(xié)議的最初目的。 ? （ 2） EAPOLKey—— 用來在申請者和認(rèn)證者之間傳送密鑰。 EAPOL的消息類型 ? EAPOL消息共有五種類型，具體如下所示： ? EAPOLEncapsulatedASFAlert—— 可忽略該幀，它允許一個(gè)未授權(quán)設(shè)備向系統(tǒng)發(fā)送管理警告， WPA/RSN中沒有使用這種消息。 EAP消息細(xì)化格式 EAPOL ? EAP最初是為撥號系統(tǒng)設(shè)計(jì)的，根本不是一個(gè)局域網(wǎng)協(xié)議，要在局域網(wǎng)中傳送 EAP消息，就需要對 EAP消息進(jìn)行封裝， EAP消息封裝格式 EAPOL（ EAP Over LAN），在申請者和認(rèn)證方之間傳送 EAP消息。 ? 不同的認(rèn)證算法使用不同的類型，并將所需數(shù)據(jù)放在類型數(shù)據(jù)。 ? EAP規(guī)定了 4種消息可供傳送： （ 1） Request— 用來發(fā)送由認(rèn)證方給對端的消息 （ 2） Response— 用來發(fā)送由對端返回給認(rèn)證方的消息 （ 3） Success— 由認(rèn)證方發(fā)送的消息，用來指示允許對端接入 （ 4） Failure— 由認(rèn)證方發(fā)送的消息，用來指示拒絕對端接入 代碼 Code 標(biāo)志符 Identitier 長度 Length 類型 type 類型數(shù)據(jù) Type data ? 代碼域占用一個(gè)字節(jié)，用來指示消息的類型： Request（ 01）、Response（ 02）、 Success（ 03）、 Failure（ 04）。認(rèn)證算法的具體內(nèi)容在 EAP中并沒有定義。 ? 這樣，認(rèn)證服務(wù)器可放置在局域網(wǎng)之外，因?yàn)楦邔訁f(xié)議能穿越復(fù)雜的網(wǎng)絡(luò)，認(rèn)證者要進(jìn)行協(xié)議轉(zhuǎn)換，將EAPOL拆封，取出數(shù)據(jù)，再封裝入 RADIUS消息中。 控制端口 非認(rèn)證狀態(tài) 非控制端口 LAN 控制端口 認(rèn)證狀態(tài) 非控制端口 LAN 基于端口的訪問控制 申請者、認(rèn)證者、認(rèn)證服務(wù)器間基于端口的訪問控制 STA 網(wǎng)絡(luò)服務(wù) 非認(rèn)證狀態(tài) LAN PAE AP Authentication Server PAE PAE 封裝在高層協(xié)議內(nèi)的 EAP消息 ? 認(rèn)證者與認(rèn)證服務(wù)器之間的通信細(xì)節(jié)超出了 準(zhǔn)的范圍。 認(rèn)證服務(wù)器 申請者 認(rèn)證者 EAPOL幀 ? 認(rèn)證者中定義了兩個(gè)邏輯端口：控制端口和非控制端口。 IEEE ? 端口訪問實(shí)體 PAE，執(zhí)行認(rèn)證機(jī)制中規(guī)定的算法或協(xié)議。 RSN工作流程 STA AP 服務(wù)器 STA 階段 1：發(fā)現(xiàn) 階段 2：認(rèn)證 階段 3：密鑰生成與分配 階段 4：加密的數(shù)據(jù)傳輸 階段 5：連接終止 密鑰管理 密鑰分配 AP不參與認(rèn)證，只轉(zhuǎn)發(fā) STA與 AS間通信 STA中的加密與認(rèn)證機(jī)制必須能滿足 AP提出的要求 RSN只保護(hù) STA與 AP間的數(shù)據(jù)鏈路層的安全，不包括端到端的安全 — 認(rèn)證 ? 在 ，涉及三個(gè)核心協(xié)議： 、EAP、 RADIUS。 ? RSN只工作在整個(gè)網(wǎng)絡(luò)的無線部分，在基礎(chǔ)模式中，不為有線網(wǎng)絡(luò)部分提供保護(hù)。 IEEE Security RSN之前 RSN WEP加密 開放認(rèn)證 共享密鑰認(rèn)證 IEEE 于端口的訪問控制 EAP認(rèn)證和密鑰分配 TKIP CCMP ? RSN重點(diǎn)處理了 WEP協(xié)議中的缺陷，并對無線鏈路提供數(shù)據(jù)完整性、機(jī)密性保護(hù)。 ? 為了強(qiáng)化無線網(wǎng)絡(luò)安全性，解決目前無線網(wǎng)絡(luò)安全方面的漏洞， IEEE成立的 ，其中新增了幾項(xiàng)新技術(shù)： ? 首先， EAP(Extensible Authentication通信協(xié)議）以及，強(qiáng)迫使用者必須進(jìn)行驗(yàn)證以及交互驗(yàn)證； ? 第二，使用了 MIC(Message Integrit Code， 信息完整性編碼）檢測傳送的字節(jié)是否有被修改的情況； ? 第三，使用 TKIP（ Temporal Key Integrity通信協(xié)議），使加密的過程由原來的靜態(tài)變?yōu)閯?dòng)態(tài)，讓攻擊者更難以破解。 ? 在一個(gè)真正的 RSN網(wǎng)中，僅允許符合 RSN要求的設(shè)備連入接入點(diǎn)。 ? IEEE標(biāo)準(zhǔn)委員會(huì)已于 2022年 6月批準(zhǔn) 。 ? ? 由于 ICV是由 CRC32產(chǎn)生的，而 CRC32運(yùn)算對于異或運(yùn)算而言是線性的，而 WEP算法使用異或加密，采用 “ 比特翻轉(zhuǎn) ”技術(shù)就可以實(shí)現(xiàn)改動(dòng)，造成攻擊，而無法發(fā)現(xiàn)消息的非法改動(dòng)，所以無法勝任數(shù)據(jù)完整性檢測。 ? ? 認(rèn)證期間， AP發(fā)送一個(gè) 128字節(jié)的隨機(jī)串， STA用 WEP加密數(shù)字串然后返回， WEP用密鑰流與明文相異或形成密文。 RC4本身非常強(qiáng)壯，但是在取某些密鑰值時(shí)，會(huì)使輸出的前幾個(gè)字節(jié)沒那么隨機(jī)，這些密鑰值被稱作弱密鑰，使 RC4出現(xiàn)很大隱患。 ? ? WEP中 RC4的使用方式主要有兩個(gè)缺陷： IV重復(fù)使用與直接密鑰攻擊。 RC4算法產(chǎn)生密鑰字節(jié)流，密鑰流與明文異或，形成密文。 ? WEP協(xié)議只保護(hù)客戶和訪問點(diǎn)之間鏈路級數(shù)據(jù)（無連接部分），而不是端到端的安全，如下圖所示： WEP幀格式 FCS Frame Body Address4 Sequence Control Address3 Address2 Address1 Duration/ID Frame Control Order Wep More Data Pwr Mgt Petry More Frag From DS To DS Subtype Type Protocol Version 4 2 1 2 1 1 1 1 1 1 1 2 bytes 通用幀格式 控制域格式 假如使用 WEP加密算法對幀實(shí)體進(jìn)行加密，那么該標(biāo)記被置為 1，只有數(shù)據(jù)類型和管理類幀中的認(rèn)證子類型的 WEP標(biāo)記位才能設(shè)為 1，所有其他幀的 WEP標(biāo)記位被置為 WEP標(biāo)記位為 1時(shí)，幀實(shí)體將按下圖所述被擴(kuò)展。 ? WEP采用對稱加密原理，數(shù)據(jù)的加密和解密采用相同的密鑰和加密算法。 ? ④認(rèn)證者使用 WEP密鑰加密原隨機(jī)數(shù)，并與受到的密文比較，若相同，向請求者發(fā)認(rèn)證成功幀。 ? ②認(rèn)證者向請求者發(fā)送一個(gè)文明的隨機(jī)數(shù)。 ? 共享密鑰認(rèn)證假設(shè)密鑰已分配并已正確裝入 MAC層內(nèi)，它回避了密鑰分配問題，共享密鑰認(rèn)證分為 4步，請求者為 STA，認(rèn)證者為 AP。 ? 當(dāng)然，在開放系統(tǒng)認(rèn)證中，認(rèn)證 STA（通常是 AP）并沒有被認(rèn)證。 開放認(rèn)證系統(tǒng)分為 2步： ? ① STA發(fā)送認(rèn)證請求幀給認(rèn)證 STA，幀內(nèi)通常包含 STA的 MAC地址和 SSID號。 開放系統(tǒng)認(rèn)證
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1