聪明文档网

    聪明文档网

    最新最全的文档下载
    当前位置： 首页> wpa认证流程

    wpa认证流程

    时间：    下载该word文档
    1.1.1802.1X认证
    IEEE802.1x是一种基于端口的网络接入控制技术，该技术提供一个可靠的用户认证和密钥分发的框架，可以控制用户只有在认证通过以后才能连接网络。IEEE802.1x本身并不提供实际的认证机制，需要和上层认证协议(EAP配合来实现用户认证和密钥分发。EAP允许无线终端支持不同的认证类型，能与后台不同的认证服务器进行通信，如远程接入用户服务(Radius。
    Bgate系列AC支持802.1X认证方式，这里以设备端PAE对EAP报文进行中继转发为例，IEEE802.1X认证系统的基本业务流程如下图所示。
    在WLAN网络中，WLAN客户端Station为客户端PAE，提供WLAN服务的设备为设备端PAE。设备端通过产生一个随机Challenge发送给客户端；客户端会使用配置的密钥对该Challenge进行加密处理并将处理后的信息返回设备端；设备端根据客户端返回的加密后的Challenge以及原始的Challenge进行比较判断，设备端完成对客户端的单项认证。
    客户端PAE
    EAPOLEAPOL-StartEAP-Request/IdentityEAP-Response/IdentityEAP-Request/MD5ChallengeEAP-Response/MD5Challenge
    EAP-Success
    端口被授权
    握手请求报文
    [EAP-Request/Identity]握手应答报文
    [EAP-Response/Identity]
    ......
    EAPOL-Logoff
    端口非授权
    握手定时器超时
    RADIUSAccess-Request(EAP-Response/IdentityRADIUSAccess-Challenge(EAP-Request/MD5ChallengeRADIUSAccess-Request(EAP-Response/MD5Challenge
    RADIUSAccess-Accept
    (EAP-Success
    设备端PAE
    EAPOR
    RADIUS服务器

    IEEE802.1X认证系统的EAP方式业务流程
    整个802.1x的认证过程可以描述如下
    (1客户端向接入设备发送一个EAPoL-Start报文，开始802.1x认证接入;

    (2接入设备向客户端发送EAP-Request/Identity报文，要求客户端将用户名送上来;(3客户端回应一个EAP-Response/Identity给接入设备的请求，其中包括用户名;(4接入设备将EAP-Response/Identity报文封装到RADIUSAccess-Request报文中，发送给认证服务器;
    (5认证服务器产生一个Challenge，通过接入设备将RADIUSAccess-Challenge报文发送给客户端，其中包含有EAP-Request/MD5-Challenge;
    (6接入设备通过EAP-Request/MD5-Challenge发送给客户端，要求客户端进行认证(7客户端收到EAP-Request/MD5-Challenge报文后，将密码和Challenge做MD5算法后的Challenged-Pass-word，在EAP-Response/MD5-Challenge回应给接入设备
    (8接入设备将Challenge，ChallengedPassword和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证
    (9RADIUS服务器根据用户信息，做MD5算法，判断用户是否合法，然后回应认证成功/失败报文到接入设备。如果成功，携带协商参数，以及用户的相关业务属性给用户授权。如果认证失败，则流程到此结束;
    (10如果认证通过，用户通过标准的DHCP协议(可以是DHCPRelay，通过接入设备获取规划的IP地址;
    (11如果认证通过，接入设备发起计费开始请求给RADIUS用户认证服务器;(12RADIUS用户认证服务器回应计费开始请求报文。用户上线完毕。
    为了提高WLAN服务的数据安全性，IEEE802.1X中使用了EAPOL-Key的协商过程，设备端和客户端实现动态密钥协商和管理；同时通过802.1X协商，客户端PAE和设备端PAE协商相同的一个种子密钥PMK，进一步提高了密钥协商的安全性。802.1X支持多种EAP认证方式，其中EAP-TLS为基于用户证书的身份验证。EAP-TLS是一种相互的身份验证方法，也就是说，客户端和服务器端进行相互身份验证。在EAP-TLS交换过程中，远程访问客户端发送其用户证书，而远程访问服务器发送其计算机证书。如果其中一个证书未发送或无效，则连接将终断。下图描述了EAPTLS认证方式过程：

    客户端PAE
    EAPOLEAPOL-StartEAP-Request/IdentityEAP-Response/Identity
    设备端PAE
    EAPOR
    RADIUS服务器
    RADIUSAccess-Request(EAP-Response/IdentityRADIUSAccess-Challenge(EAP-Request/EAP-TLSStart
    RADIUSAccess-Request(EAP-Response/EAP-TLS
    client_hello
    RADIUSAccess-Challenge(EAP-Response/EAP-TLS:
    TLSserver_hello,TLScertificate,
    TLSserver_exchange,TLScertificate_request,TLS
    server_hello_doneRADIUSAccess-Request
    (EAP-Response/EAP-TLS:TLScertificate,
    TLSclient_key_exchange,[TLS
    certificate_verify]TLS
    change_cipher_spec,TLSfinished
    RADIUSAccess-Challenge(EAP-Response/EAP-TLS:TLSchange_cipher_spec,
    TLSfinishedRADIUSAccess-Request(EAP-Response/EAP-TLSRADIUSAccess-Accept
    (EAP-Success
    EAP-Request/EAP-TLSStartEAP-Response/EAP-TLS
    client_hello
    EAP-Response/EAP-TLS:
    TLSserver_hello,TLScertificate,
    TLSserver_exchange,TLScertificate_request,TLS
    server_hello_doneEAP-Response/EAP-TLS:TLScertificate,TLSclient_key_exchange,[TLScertificate_verify]TLS
    change_cipher_spec,TLSfinished
    EAP-Response/EAP-TLS:TLSchange_cipher_spec,
    TLSfinishedEAP-Response/EAP-TLS
    EAP-Success
    ......

    EAPTLS认证消息序列图
    当EAPTLS认证成功时，客户端PAE和Radius服务器会对应产生公用的对称的RadiusKey，Radius服务器会在认证成功消息中将RadiusKey通知设备端PAE。客户端PAE和设备端PAE会根据该RadiusKey，客户端MAC地址以及设备端MAC地址，产生种子密钥PMK以及对应的索引PMKID。根据IEEE802.11i协议定义的算法，设备端PAE和客户端PAE可以获得相同的PMK，该种子密钥将在密钥协商过程（EAPOL-Key密钥协商）中使用。



    1.1.2WAPI认证(WAPI+WebPortal
    WLAN用
    户终端物理连接建立
    WAPIAP
    ProbeRequestProbeResponseAuthenticationRequestAuthenticationResponseAssocationRequestAssocationResponse
    ACPORTALRADIUS
    WAPIAS
    a.鉴别激活b.接入鉴别请求〔CertSTA〕e.接入鉴别响应
    〔ResSTA;ResAP〕WAPI
    认证f.单播密钥协商请求[N1]过程
    g.单播密钥协商响应[N2]h.单播密钥协商确认i.组播密钥通告[E(KM]j.
    组播密钥通告响应
    1.
    DHCP地址分配
    c.证书鉴别请求〔CertSTA;CertAP〕d.证书鉴别响应〔ResSTA;ResAP〕
    地址分配
    强制Portal
    流程
    2.HTTPRequestuser-url
    3.HTTPRequestportal-url
    4.5.
    HTTPResponseportal-url
    HTTPsPOSTportal-url
    [username,pwd]
    6.REQ_CHALLENGE
    [IP]
    7.ACK_CHALLENGE[IP,challenge,reqID]
    WEB认证
    认证流程
    8.REQ_AUTHIP,username,d,challeng
    e,reqID]
    9.Access-Request
    [username,pwd,challenge,chaID=reqID]10.Access-Accept/Access-Reject
    [interim-update]
    11.ACK_AUTH
    [IP]
    ortal-urlesponsep12.HTTPR
    ][认证结果，门户页面
    ，如果成功，计费；如果失败，
    流程结束
    14.15.
    Accounting-Request/StartAccoutting-Response/Start
    开始计费
    16.
    Acctounting-Request/Interim-Update
    [
    username=1]
    实时计费
    17.
    Acctounting-Response/Interim-UpdateAcctounting-Request/STOP
    username=1]
    18.
    计费结束
    [
    19.Acctounting-Response/STOP


    1.WPA
    WPA采用了802.1x和TKIP来实现WLAN的访问控制、密钥管理与数据加密。802.1x是一种基于端口的访问控制标准，用户必须通过了认证并获得授权之后，才能通过端口使用网络资源。TKIP虽然与WEP同样都是基于RC4加密算法，但却引入了4个新算法：●扩展的48位初始化向量（IV）和IV顺序规则（IVSequencingRules）;●每包密钥构建机制（per-packetkeyconstruction）;
    ●Michael（MessageIntegrityCode，MIC）消息完整性代码;●密钥重新获取和分发机制。WPA系统在工作的时候，先由AP向外公布自身对WPA的支持，在Beacons、ProbeResponse等报文中使用新定义的WPA信息元素（InformationElement），这些信息元素中包含了AP的安全配置信息（包括加密算法和安全配置等信息）。STA根据收到的信息选择相应的安全配置，并将所选择的安全配置表示在其发出的AssociationRequest和Re-AssociationRequest报文中。WPA通过这种方式来实现STA与AP之间的加密算法以及密钥管理方式的协商。
    支持WPA的AP工作需要在开放系统认证方式下，STA以WPA模式与AP建立关联之后，如果网络中有RADIUS服务器作为认证服务器，那么STA就使用802.1x方式进行认证；如果网络中没有RADIUS，STA与AP就会采用预共享密钥（PSK，Pre-SharedKey）的方式。STA通过了802.1x身份验证之后，AP会得到一个与STA相同的SessionKey，AP与STA将该SessionKey作为PMK（PairwiseMasterKey，对于使用预共享密钥的方式来说，PSK就是PMK）。随后AP与STA通过EAPOL-KEY进行WPA的四次握手（4-WayHandshake）过程，如图2所示。

    图2AP与STA的四次握手
    在这个过程中，AP和STA均确认了对方是否持有与自己一致的PMK，如不一致，四次握手过程就告失败。为了保证传输的完整性，在握手过程中使用了名为MIC（MessageIntegrityCode）的检验码。在四次握手的过程中，AP与STA经过协商计算出一个512位的PTK（PairwiseTransientKey），并将该PTK分解成为五种不同用途的密钥，如图3所示。


    图3PTK的产生过程
    其中前128位用做计算和检验EAPOL-KEY报文的MIC的密钥，随后的128位作为加密EAPOL-KEY的密钥;接下来的128位作为AP与该STA之间通信的加密密钥的基础密钥（即由该密钥再经过一定的计算后得出的密钥作为二者之间的密钥）;最后两个64位的密钥分别作为AP与该STA之间的报文的MIC计算和检验密钥。
    由PTK分解出来的这一组（五个）密钥是AP与该STA之间使用的密钥（所以也叫每用户密钥，用于AP与STA之间的单播报文的加密），这些密钥永远也不会以任何形式出现在无线网络上。在确认双方所持的PMK一致后，AP会根据自身是否支持每用户密钥的能力来指示STA是否安装并使用这个每用户密钥。
    为了使现有的设备能够通过软件/固件升级实现WPA，协议规定AP可以不采用PTK方式，而是利用下面将要描述的GTK作为AP向STA发送单播报文时的密钥。如果AP通知STA安装并使用PTK，那么STA在向AP发送一个EAPOL-KEY相应报文后，再把相应的密钥安装到无线网卡中。
    四次握手成功后，AP要生成一个256位的GTK（GroupTransientKey），GTK是一组全局加密密钥，所有与该AP建立关联的STA均使用相同的GTK，AP用这个GTK来加密所有与它建立关联的STA的通信报文，STA则使用这个GTK来解密由AP发送的报文并检验其MIC。该密钥可以分解为三种不同用途的密钥，最前面的128位作为构造全局“每报文密钥”（Per-packetEncryptionKey）的基础密钥（BaseKey），后面的两个64位的密钥分别作为计算和检验WPA数据报文的MIC的密钥。AP使用EAPOL-KEY加密密钥将GTK加密并发送给STA，并指明该GTK是否允许STA用作发送报文所使用，STA成功接收到该报文，将GTK解密后，向AP发送应答报文，并根据AP所指示的KeyIndex将其安装无线网卡的相应位置，如果AP使用GTK作为向某一STA单播传输的密钥，则该STA也需要使用GTK作为向AP发送单播报文的密钥。
    TKIP并不直接使用由PTK/GTK分解出来的密钥作为加密报文的密钥，而是将该密钥作为基础密钥（BaseKey），经过两个阶段的密钥混合过程，从而生成一个新的每一次报文传输都不一样的密钥，该密钥才是用做直接加密的密钥。通过这种方式可以进一步增强WLAN的安全性。密钥的生成方式如图4所示。


    图4最终密匙的生成形式
    在WPA中，AP支持WPA和WEP无线客户端的混合接入。在STA与AP建立关联时，AP可以根据STA的AssociationRequest中是否带有WPA信息元素来确定哪些客户端支持使用WPA。但是在混合接入的时候，所有WPA客户端所使用的加密算法都得使用WEP，这就降低了无线局域网的整体安全性。
    尽管WPA在安全性方面相较WEP有了很大的改善和加强，但Wi-Fi联盟承认目前使用TKIP的WPA只是一个临时的过渡性方案。据来自Wi-Fi联盟的消息，预计在2004年第四季度推出的WPAv2中将会全面采用AES机制。
    摘录：
    1.如何选择EAP
    摘要:在建立企业WLAN时，为无线网络选择合适的可扩展认证协议（EAP）方式是一项关键的安全决定，并且常常是不容易做出的决定。考虑到一些EAP方式（如LEAP、EAP-MD5）存在固有的安全缺陷，最好不要轻易使用它们，不过要在PEAPv0（保护性EAP）、PEAPv1、TTLS（隧道传输层安全协议）和EAP/TLS（传输层安全协议）中做出选择也并非易事。
    实际上，选择一种EAP的标准常常归结于是否支持企业中已部署的基础设施。在对客户机的EAP支持方面，主要客户机的操作系统将对EAP的选择产生重要影响。WindowsXP等客户机操作系统内置对PEAP和EAP/TLS的支持，但却不支持TTLS或EAP-SIM。如果想使用后两种EAP，可以使用第三方软件，但这样做会令管理员不能发挥WindowsXP的优势，如组策略控制等。而对认证服务器的支持来说，并不是所有类型的EAP都支持企业网络中使用的各种认证证书。例如，PEAPv0局限在使用MS-CHAPv2认证的用户，而EAP/TLS则依靠客户端数字证书进行认证。TTLS在这方面最为灵活，它允许用户使用任意数量的认证证书。
    哪种EAP方式最适合你的企业？这还取决于进行无线认证的主要出发点。如果安全性是首选因素，那么EAP/TLS是最安全EAP机制，但它需要为所有最终用户部署PKI（公共钥密基础设施）。如果你主要考虑灵活性，TTLS可以适应几乎所有的认证协议，包括一次性密码、基于令牌的认证和各种流行的口令认证机制。PEAPv0则是以Windows为中心的网络的明智选择，它内置对客户机和WindowsActiveDirectory认证源的支持。
    谨慎选择EAP类型是你无线战略的重要组成部分。同IT业中的很多决定一样，你必须根据自身的需求，在安全性、灵活性和简易性之间做出选择。这个过程很像是在挑选某种数

    字产品，你很清楚不会买到一件完美的东西，但在令人眼花的柜台面前，你却可以作出一个完美的选择，最好的方法就是从需求出发，从最关注的功能出发。实际上EAP的诞生正是由用户的实际安全需求所驱动的，在IEEE802.1x本身并不提供实际认证机制的情况下，需要扩展认证协议也就是EAP的配合来解决无线局域网用户的接入认证问题。同样，当用户面对不同种类的EAP方式时，最终还是要回到最初的需求角度作出选择。

    免费下载 Word文档免费下载： wpa认证流程

    TOP热门搜索

    相关推荐：

    古文韵味的生日祝福

    • ￥29.8

      ￥45 每天只需1.0元
      1个月 推荐

    • ￥9.9

      ￥15
      1天

    • ￥59.8

      ￥90
      3个月

    选择支付方式

    • 微信付款
    会员须知 联系在线客服 登录账号
    郑重提醒：支付后，系统自动为您完成注册

    请使用微信扫码支付(元)

    订单号：
    支付后，系统自动为您完成注册
    遇到问题请联系 在线客服

    常用手机号：
    用于找回密码
    图片验证码：
    看不清？点击更换
    短信验证码：
    新密码：
     
    绑定后可用手机号登录
    请不要关闭本页面，支付完成后请点击【支付完成】按钮
    遇到问题请联系 在线客服

    侵权投诉  © 2013-2019 http://www.tcm999.cn   站点地图 |  手机版

    本站文档均来自互联网及网友上传分享，本站只负责收集和整理，有任何问题可通过上访投诉通道进行反馈