Szczegółowa procedura EAP/EAPoL.

Przepływ zarządzania skojarzeniami zabezpieczeń wysokiego poziomu RSN. Składa się z pięciu etapów, które:

  1. Ustanawiają bezpieczny kanał między serwerem uwierzytelniającym a serwerem uwierzytelniającym
  2. Lokalizują sieć, negocjują algorytmy kryptograficzne i powiąż z nią
  3. Zapewniają uwierzytelnianie 802.1X na serwerze uwierzytelniającym
  4. Zapewniają wzajemne uwierzytelnianie i utwórz para kluczy kryptograficznych
  5. Ustanawiają klucze kryptograficzne grupy/multiemisji

Poniższe sekcje opisują te etapy. Istnieją dwa aspekty, które różnią przepływ skojarzeń zabezpieczeń. Pierwszym z nich jest to, czy sieć bezprzewodowa zawiera punkt dostępowy (podstawowy zestaw usług lub BSS) lub czy jest to niezależny BSS (IBSS), znany również jako sieć ad-hoc, która jest topologią sieci peer-to-peer. Druga dotyczy tego, czy główny klucz kryptograficzny jest globalnym kluczem PSK, czy też został ustanowiony podczas protokołu uwierzytelniania 802.1X.

Etap 1: Ustanowienie bezpiecznego kanału między programem uwierzytelniającym a serwerem uwierzytelniającym

Na tym etapie strona uwierzytelniająca i AS wzajemnie się uwierzytelniają i ustanawiają między sobą bezpieczny kanał przy użyciu protokołu takiego jak RADIUS, IP Security (IPSec) lub TLS. Ten kanał jest używany do bezpiecznego przeprowadzania wymiany uwierzytelniania między suplikantem a AS. Ten etap nie jest wymagany, jeśli sieć korzysta z PSK.

Etap 2: Lokalizowanie sieci i kojarzenie z nią

Ten etap to głównie oryginalna funkcjonalność 802.11 do lokalizowania, uwierzytelniania i kojarzenia z siecią bezprzewodową. Kluczową różnicą w RSN jest to, że ramki nawigacyjne, odpowiedzi sondy i żądania asocjacji zawierają elementy informacyjne, które wskazują:

obsługiwane i dostępne protokoły uwierzytelniania i prywatności. Ponadto szybki protokół przejścia BSS zdefiniowany w 802.11r22 ponownie ulepszył te ramki, aby przyspieszyć roaming AP.

Etap 3-802.1X Uwierzytelnianie na serwerze uwierzytelniania

Celem tego etapu jest wzajemne uwierzytelnienie suplikanta i AS względem siebie oraz niezależne wygenerowanie PMK do wykorzystania w etapie 4. Do tego celu służy opisany powyżej EAP. Komunikaty wymieniane między suplikantem a AS są definiowane metodą EAP. Przegląd tego etapu znajduje się w Dowodzie 33.4. W przypadku sieci BSS klientem bezprzewodowym jest suplikant 802.1X, a punktem uwierzytelniającym jest punkt dostępowy. Punkt dostępowy przekazuje komunikaty uwierzytelniające między suplikantem a serwerem uwierzytelniającym, który może być oddzielną usługą lub wbudowaną. W przypadku IBSS klient chcący powiązać się z innym klientem jest suplikantem, a klient docelowy jest uwierzytelniającym. Oznacza to, że klienci w IBSS mogą jednocześnie być suplikantami i uwierzytelniającymi, w zależności od tego, kto zainicjował powiązanie. Dodatkowo każdy klient IBSS będzie potrzebował serwera uwierzytelniania, chyba że sieć korzysta z PSK. Jak opisano w etapie 1, przed tą wymianą należy ustanowić bezpieczny kanał między serwerem uwierzytelniającym a serwerem uwierzytelniającym; służy to dwóm celom. Pierwszym jest ochrona integralności i autentyczności wymiany uwierzytelniania, drugim jest umożliwienie AS bezpiecznego wysyłania PMK do uwierzytelniania po zakończeniu uwierzytelniania.

Etap 4 — wzajemne uwierzytelnianie i ustanowienie parami kluczy roboczych

Etap 3 ustanowił PMK zarówno po stronie wnioskującego, jak i uwierzytelniającego. Jeśli sieć używa klucza wstępnego (PSK), to PSK jest PMK. Ten etap nosi nazwę 4-way handshake i ma następujące cele:

  1. Wzajemne uwierzytelnienie petenta i osoby uwierzytelniającej względem siebie poprzez potwierdzenie, że obaj mają ten sam ważny PMK.
  2. Aby wygenerować klucz przejściowy parami (PTK) z PMK i świeżych kluczy tymczasowych powiązanych z ich adresami MAC.
  3. Aby zsynchronizować instalację kluczy w obu urządzeniach.

Czterostronne uzgadnianie jest realizowane za pomocą komunikatów klucza EAPoL wymienianych między suplikantem a uwierzytelniającym i składa się z następujących elementów, jak pokazano na Dowodzie 33.5.

  1. Uwierzytelniający i suplikant generują jednorazową wartość jednorazową do wykorzystania w protokole uwierzytelniania. Nonce uwierzytelniającego nazywa się ANOnce, a nonce wnioskującego nazywa się SNonce.
  2. Uwierzytelniający wysyła wiadomość EAPoL-Key zawierającą Anonce (Wiadomość 1).
  3. Wnioskodawca wyprowadza PTK za pomocą ANOnce i SNonce i oblicza klucz szyfrujący EAPoL-Key (KEK) i EAPoL-Key Message Integrity Code (MIC).
  4. Wnioskodawca wysyła wiadomość EAPoL-Key zawierającą SNonce i MIC obliczony przy użyciu klucza EAPoL MIC (Wiadomość 2).
  5. Uwierzytelniający może teraz uzyskać PTK, ponieważ ma zarówno ANOnce, jak i SNonce. Następnie oblicza klucz EAPoL-Key KEK i EAPoL-Key MIC Key i weryfikuje MIC w komunikacie 2.
  6. Uwierzytelniający wysyła wiadomość zawierającą ANonce oraz flagę nakazującą suplikantowi instalację klucza. Wiadomość jest również uwierzytelniana przez MIC (komunikat 3).
  7. Suplikant weryfikuje MIC i wysyła wiadomość do autoryzacji potwierdzającą instalację klucza. Ta wiadomość jest uwierzytelniana przez MIC i szyfrowana przy użyciu klucza EAPoL-KEK (komunikat 4).
  8. Autoryzator instaluje nowe klucze i rozpoczyna ostatni etap ustanawiania kluczy grupowych.

Etap 5 — tworzenie grupowych/multiemisji kluczy kryptograficznych

W etapie 4 ustalono klucze PTK i czasowe. Klucze te służą do zabezpieczenia dodatkowej pary komunikatów, w której strona uwierzytelniająca wysyła do klienta zaszyfrowany klucz czasowy grupy (GTK). Klucze grupowe służą do zabezpieczania komunikatów rozgłoszeniowych, takich jak żądania ARP i ruch multiemisji. W sieci BSS wszyscy klienci mają ten sam klucz grupy/multiemisji, który jest wysyłany do każdego klienta przez punkt dostępowy. Jednak w przypadku sieci IBSS nie ma punktu dostępowego, który mógłby ustawić wspólny klucz, więc każdy klient ma swój własny klucz transmisji grupowej, który wysyła do wszystkich klientów w IBSS. Osiąga się to poprzez wykonanie 4-way handshake i group key handshake w obu kierunkach.

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *