一种改进的ieee802.1x认证机制

《一种改进的ieee802.1x认证机制》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、一种改进的IEEE802.1x认证机制摘要：本文主要介绍了IEEE802.1x的体系结构和认证流程，分析了它的缺陷，从数据完整性保护角度出发，在EAPOL包中增加了一个Protection字段，提出了SDVIA(SourceDataVerityandIntegrityAuthentication，数据真实性和完整性认证)认证。该认证技术可以弥补IEEE802.1x认证协议设计上存在的缺陷，有效地预防中间人和会话劫持攻击。关键词：IEEE802.1x；EAPOL；RADIUS；SDVIA1引言有线局域X通过固定线路连接组建，计算机终端通过X络接入固定位置物理端口，实现局域X接入，数据传输直接送到

2、目的地，这里没有直接控制到端口的方法，也不需要控制到端口，这些固定位置的物理端口构成有线局域X的封闭物理空间。但是，由于无线局域X的X络空间具有开放性和终端可移动性，因此很难通过X络物理空间来界定终端是否属于该X络。随着无线局域X的广泛应用，如何通过端口认证来实现用户级的接入控制就成为一项非常现实的问题。IEEE802.1x正是基于这一需求而出现的一种认证技术[1]。IEEE802.1x协议，称为基于端口的访问控制协议(PortBasedNetoteAuthenticationDialInUserService)服务器，该服务器存储有关用户的信息，比如用户的身份标识和密码等等。当用户进行认证时

3、，认证系统需要通过认证服务器来验证用户是否合法。如果用户合法，认证服务器通知认证系统，用户已经通过认证，把可控端口打开。此后，用户就可以正常地通过端口访问认证系统所提供的服务。认证系统和RADIUS服务器之间通过承载于RADIUS协议之上的EAP协议进行通信。3IEEE802.1x的EAP认证过程1)IEEE802.1x认证过程IEEE802.1x采用EAP点对点协议认证，EAP消息被封装在IEEE802.1x消息中，称做EAPOL。EAP消息有EAP请求，EAP响应，EAP成功通知和EAP失败通知四类。其中，只有EAP请求消息是可以在认证系统和接入客户端系统之间直接发送，其它的消息都是从认证

4、服务器发给客户端系统，或者从客户端系统发给鉴权服务器的，认证系统只是完成中转和协议转换(认证系统与客户端系统之间用EAPOL承载，客户端系统与认证服务器之间用其它高层协议，如RADIUS)。图3描述的是由客户端系统发起认证请求，一次口令交换下，鉴权成功的消息流。其中，实线代表EAPOL数据帧的交换，虚线代表认证系统与认证服务器间的高层协议，采用RADIUS协议。可以看出，认证者完成EAP消息的重新封装，来传输认证消息。认证服务器把认证结果以RADIUS-ACCEPT或者RADIUS-REJECT的形式传给认证者，认证者再重新封装成EAP-Success或者EAP-Failure消息给申请者。当

5、申请者收到EAP-Success消息时，说明认证成功，可以接入局域X络了[1]。2)EAPOL数据包的格式(如图4所示)●PAEEther类型：取值范围0x88~0x8e。●协议版本：现在取值为0x01。●类型：EAPOL数据包的类型。●长度：后面数据体的字节数。●数据体：根据类型的不同，数据体有不同的格式。4IEEE802.1x协议的缺陷分析1)中间人攻击由于IEEE802.1x是一个不对称协议，它只允许X络鉴别用户，而不允许用户鉴别X络。因而，攻击者能够窃听用户和访问点之间的通信，扮演“中间人”的角色在移动用户和合法访问点之间传递虚假信息，实施中间人攻击。在客户端系统发出接入请求时，攻击者

6、在客户端一方假冒认证系统，在认证系统一方假冒客户端系统，就可以绕过认证机制。2)会话劫持[3]IEEE802.1x认证缺乏清晰的通信和消息真实性，所以很可能遭到会话劫持攻击。图5显示了会话劫持是如何实现的，攻击的过程描述如下：(1)消息1、2、3和4：合法的申请者进行认证(假设EAP认证只包含这4条消息，实际的EAP认证多于4条消息)。(2)消息5：攻击者冒充AP的MAC地址发送一条Disassociate管理帧给申请者。这使得申请者的状态为Disassociated。这条消息使RSN状态机被设置为Unassociated，而802.1x状态机的状态仍为Authenticated。(3)消息6

7、：这时攻击者冒充申请者的MAC地址接入到X络。5SDVIA认证的提出IEEE802.1x认证虽然不完善，但是在无线局域X中起着不可替代的作用。目前协议的缺陷主要原因是缺少数据包的源真实性和完整性保护，因此在充分考虑了源真实性和完整性的基础上提出了改进的IEEE802.1x认证--SDVIA(SourceDataVerityandIntegrityAuthentication，数据真实性和完整性认证