天下网吧 >> 网吧方案 >> 无线方案 >> 正文

揭密无线网络访问和802.1x安全性的疑惑

无线网络的开放性为网络管理员和用户增加了不确定性。

网络管理员希望只允许授权用户访问其网络,而用户则需要确保自己访问的是恰当的网络。本文深入讨论了典型的无线局域网客户登录过程以及802.1x和 EAP 验证过程。网络管理员和网络用户都关心网络访问权限和安全性。网络管理员希望确保请求访问网络的客户端确实是其本身——是已授权用户而非冒名顶替的用户。而网络用户所希望的是当笔记本电脑连接到无线网络时,他确实连接到了自己的网络——而不是由黑客建成,用于收集用户信息的假冒网络。对网络管理员和用户来说,他们最基本的需要是对网络的信任。

事实证明,初期开发的一些安全和保密性方案所提供的信任,对于黑客的攻击是脆弱的。例如:802.11的有线等效保密协议(WEP)。今天的网络管理员正在体现802.1X,希望它可以提供一个可靠的安全环境。到目前为止,802.1X还能满足这个诺言。

在2004年12月13日,IEEE 发布了 802.1X 标准“基于端口的网络访问控制”。 可以访问http://standards.ieee.org /getieee802/802.1.html 获取相关信息。802.1X 标准对于尝试连接到局域网的设备,提供了认证和授权的方法。防止认证和授权失败的用户访问局域网。

由于无法将WLAN像有线网一样从物理上放到墙后或用门锁上,这使他们更加容易受到攻击。无线局域网的管理员是第一批实施802.1X 的人。现在 802.1X 的应用,已经扩展到有线网络,作为补充的安全措施。

IEEE802.1X是从点对点协议(PPP) 和扩展的认证协议 (EAP) 演变而来。PPP 通常用于因特网 (Internet) 拨号访问。它包括认证机制,含有用户名和密码。EAP 的出现,提供了更丰富的安全机制。EAP 驻留在 PPP 认证协议中,为几个不同的认证方法提供广义的框架。EAP 在 IETF's RFC 3748 中定义 EAP,可以从http://www.ietf.org/rfc 获取相关信息。IEEE 802.1X 是在有线或无线局域网上传递 EAP 的标准。802.1X 不使用 PPP;而是把 EAP 消息被封装在以太网帧中。封装的 EAP 包被称为局域网上的 EAP 或 EAPOL (EAP Over LAN)。

IEEE802.1X定义三个必要的角色完成认证交换。1.认证者是网络设备(例如:接入点、交换机)希望在允许访问前增强认证。2. 请求者是网络设备(例如客户端 PC、PDA)正在请求访问。3. 认证服务器,典型的是 RADIUS 服务器,执行必要的认证功能,代替认证者检查请求者的认证证书,指示是否请求者已被授权访问认证者的服务。仅管一台设备可能既是认证者又是认证服务器,但通常情况下,它们都是独立的设备。独立的认证服务器最有效是当大多数的认证工作可以在被请求者(无线笔记本电脑)上实现时,认证服务器可以具有较小的处理能力和内存,节省成本。


图1:802.1X角色

揭密无线网络访问和802.1x安全性的疑惑

以下是通过802.1x成功认证的典型过程。一旦请求者检测到以激活的链接,则启动本过程(例如笔记本电脑和接入点关联)。

现在存在许多版本的EAP。他们的差别在于论证(challenge)过程的复杂性和安全性的不同。一些论证过程仅认证客户端,而其他论证则需要客户端和网络互相认证。一些论证要求对请求和响应加密。最常见的EAP类型是建立在交换机、路由器和操作系统上的,因为在这些环境中通常最容易实现。以下表格列出了与 802.1x 共同使用的一些常见的 EAP 类型。

以下是几个最常用EAP类型的认证过程举例:EAP-TLS、LEAP和 PEAP-MSCHAP-V2。在第一个例子中,我们将添加无线局域网关联过程和 IP 地址解析过程,因为这些过程与认证过程都是最典型的客户端登录过程。


图2:典型的WLAN客户端登录过程

[1] [2] [3] 下一页

本文来源:天下网吧 作者:网吧方案

声明
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。若文章侵犯了您的相关权益,请及时与我们联系,我们会及时处理,感谢您对本站的支持!联系Email:support@txwb.com,系统开号,技术支持,服务联系QQ:1175525021本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下