802.11结合802.1x、RADIUS提升WLAN安全性

转载：http://www.doxing.com/list.asp?id=187

虽然眼下很多人都在谈论着无线局域网，而且据悉在美国已经有不少公共场合开始为公众提供无线接入服务，国内也有越来越多的公司、企业在组建局域网时开始考虑无线方案，但无线局域网的安全始终是个令人头痛的问题。802.11规范确实提供了认证和加密服务，但它却没有定义或提供WEP密钥管理协议，这是IEEE 802.11安全服务的一大不足之处。在拥有较多STA的大型无线infrastructure模式中，这一局限性所带来的安全缺陷尤为明显。对于无何提高WLAN安全性能，几家大公司如RSA、IBM和微软各有招数。本文介绍微软在Windows XP中所采用的方法，即在802.11中结合802.1x、RADIUS来改善WLAN安全服务。  
 
802.1x  
802.1x是针对以太网而提出的基于端口进行网络访问控制的安全性标准草案。基于端口的网络访问控制利用物理层特性对连接到LAN端口的设备进行身份认证。如果认证失败，则禁止该设备访问LAN资源。尽管802.1x标准最初是为有线以太网设计制定的，但它也适用于符合802.11标准的无线局域网，且被视为是WLAN的一种增强性网络安全解决方案。  
 
802.1x体系结构包括三个主要的组件：  
● 请求方（Supplicant）： 提出认证申请的用户接入设备，在WLAN中，通常指待入网的无线站点STA。  
 
● 认证方（Authenticator）：允许客户机进行网络访问的实体，在WLAN中，通常指访问接入点AP。  
 
● 认证服务器（Authentication Sever）：为认证方提供认证服务的实体。认证服务器对请求方进行鉴权，然后告知认证方该请求者是否为授权用户。认证服务器可以是某个单独的服务器实体，也可以不是，后一种情况通常是将认证功能集成在认证方Authenticator中。  
 
802.1x草案为认证方定义了两种端口访问控制方法："受控的"端口访问法和"非受控的"端口访问法。"受控端口"分配给那些已经成功通过认证的实体进行网络访问；而在认证尚未完成之前，所有的通信数据流从"非受控端口"进出。一旦认证成功通过，请求方就可以通过"受控端口"访问LAN资源和服务。  
802.1x认证过程如下图所示：  
<IMG SRC="http://www.doxing.com/image/02_3_11_2.gif" border=0>  
 
 
802.1x的认证协议——PPP EAP（可扩展认证协议）  
PPP协议本身并不要求认证，但它提供了一个可选的认证过程。EAP（Extensible Authentication Protocol，可扩展认证协议）是由IETF提出的PPP协议的扩展，允许使用任意方式对一条PPP连接的有效性进行验证。802.1x草案选用了EAP来提供请求方和认证服务器两者之间的认证服务。最常用的EAP认证方法有MD5-Challenge和TLS。  
 
● EAP-TLS（传输层安全协议） EAP-TLS使用在基于证书的安全环境中，是一个安全信道的认证和加密协议，采用公钥证书加密体系在两个端点之间提供双向认证，加密协商，密钥交换等服务。  
 
● EAP-MD5（消息摘要5） EAP-MD5使用的挑战-握手协议与基于PPP的CHAP相同，但挑战和应答均以EAP消息形式发送。EAP-MD5主要用在软件原型的构建和测试中。  
 
802.1x、RADIUS和802.11的结合  
目前无线网络技术在为用户提供了便利的同时，也存在着不少安全方面的隐忧和风险：  
● 任何人只要有无线网卡，就可以轻易获得WLAN的访问权。  
 
● 无线网络使用射频收发信息，任何人只要在AP覆盖范围内，都可以侦听并接收所有来自或发送至AP的数据信息。  
 
为了防范第一类安全风险，一种行之有效的措施就是要求AP对企图入网的无线站点进行身份认证，并在允许STA收发数据前先对它进行授权。可是如果要提供安全的认证和授权，AP就必须有一个能提供每个用户信息和一套授权规则的用户帐号数据库，但这又会给AP带来额外开销和管理上的难度，为了解决这个矛盾，Windows XP的做法是结合802.1x标准，引入RADIUS机制，也就是将RADIUS作为上述802.1x体系结构中的第三方认证中心。  
 
在这种情况下，用户帐号数据库是建立在RADIUS服务器端，而非AP端。AP一方面作为RADIUS服务器（认证服务器）的客户机，另一方面则充当请求方STA的认证方。它在接收到STA的认证请求后，将用户信任状和连接请求参数等作为一系列请求消息流发送至RADIUS服务器。RADIUS服务器收到消息后，处理AP的连接请求，查询用户帐号数据库，完成用户身份鉴定，并根据授权规则对通过认证的用户进行授权（整个认证流程参见上图）。  
 
使用RADIUS服务器还有一个好处在于，RADIUS服务器上还常备有一个记录用户其他特性的数据库。这样，对于认证请求，RADIUS除了可以作出是与否的判断外，还可提供该用户的其他连接参数，诸如允许的最大连接时间和静态IP地址等等。  
 
在WLAN中使用802.1x标准，为了能获得最佳的认证安全度，最好是选用EAP-TLS认证协议，因为EAP-TLS能提供双向认证，且在认证过程中动态进行密钥交换和生成密钥，所生成的密钥只能被申请认证的STA与AP两者读取，从而可以在最大限度上保证认证过程的安全性。  
 
防范上述第二类安全风险的最有效的措施就是对STA与AP之间的数据通信进行加密处理。将802.11与RADIUS服务器和802.1x标准相结合，除了可以为WLAN提供认证和加密这两项安全措施外，还可提供密钥管理功能，而这正是802.11标准所缺乏的。  
 
结束语  
尽管802.11结合802.1x和RADIUS,可以在一定程度上提升WLAN的安全性,但其实这还是远远不够的。目前正在制定中的新的802.11i标准"许诺"会在WLAN的安全方面做较大的改进。但不论802.11i何时出台,相信无线局域网都还将要走过很长一段"安全之路"。