搜索
CodeIdentifierLengthTypeSubtypeReservedAttributeFieldEAP-SIM技术手册一．基本概念1.EAP-SIM定义EAP-SIM是采用GSM-SIM卡作为EAP认证和密匙分发机制。它是基于GSM，即全球移动通讯系统（GlobalSystemforMobileCommunication）认证基本上产生。由于GSM认证缺少双向认证，只是服务器端认证了顾客端；并且，会话密钥Kc只有64位，密钥长度太短，没有足够强度抵抗暴力袭击。因此，EAP-SIM才应运而生。EAP-SIM提供了双向认证，即服务器端认证客户端，客户端也认证服务器端，只有双向认证通过之后，服务器端才发送EAP-Success消息至客户端，客户端才可以接入网络。同步，EAP-SIM认证机制还通过多次挑战响应机制，生成更强会话密钥。2.EAP-SIM合同包格式在上表中表达EAP-SIM合同包格式。Code域占据一种字节，代表EAP包类型，其中1代表request类型，2代表response类型，3代表success类型，4代表failure类型。Identifier域占据一种字节，指代数据包标记域，以便request包与response包匹配。Length域占据两个字节，标记EAP包总长度。Type域占据一种字节，此处值为18。Subtype域占据一种字节，标记EAP-SIM子类型，其中10表达start类型，11表达challenge类型。Reserved域占据两个字节，为合同将来扩展，当前保存，值置为0。数据包随后字段为属性域，依照包类型不同，属性域也有所不同。3.EAP-SIM工作原理客户端可以是手机或是具备SIM卡读卡器电脑。一方面，客户端通过安全隧道与支持802.1x无线接入点(AP)获得联系，而后通过WLANAP连接到Radius服务器，Radius服务器支持EAP-SIM认证合同，并且具备GSM/MAP/SS7数据通道，通过此通道与存储着顾客信息HLR(HomeLocationRegister，归属位置寄存器)进行连接。从理论上讲，在EAP-SIM服务器端，需要有Radius服务器和HLR（归属位置寄存器），两者通过GSM/MAP/SS7数据通道进行连接。但在本手册中，咱们是将HLR和Radius服务器整合为一种整体，即HLR数据库仅仅是Hostapd服务器中一种文献——hostapd.sim_db，在这个文献中存储着要接入顾客信息。本实验用到EAP-SIM认证构造如下图所示：4.EAP-SIM认证流程整个EAP-SIM认证流程如下所示：(1).客户端发送EAPOL_Start帧，祈求认证接入；(2).WLANAP发出祈求帧，祈求客户端发送身份信息；(3).客户端响应祈求，将身份信息发送至AP；(4).AP将客户端身份信息重新封装成RADIUSAccess-Request帧转发至服务器端；(5).服务器验证客户端身份，验证合法之后向顾客发送EAP-Request/SIM/Start帧,封装在RADIUSAccess-Challenge帧中；(6).AP提取RADIUSAccess-Challenge帧中EAP-Request/SIM/Start帧，转发至客户端；(7).客户端响应祈求，将EAP-Response/SIM/Start帧发送至AP；(8).AP将EAP-Response/SIM/Start帧重新封装成RADIUSAccess-Request帧，转发至服务器端；(9).服务器依照客户端响应成果，回送EAP-Request/SIM/Challenge帧至AP，此帧封装在RADIUSAccess-Challenge帧中；(10).AP提取RADIUSAccess-Challenge帧中EAP-Request/SIM/Challenge帧，转发至客户端；(11).客户端响应祈求，将EAP-Response/SIM/Challenge帧发送至AP；(12).AP将EAP-Response/SIM/Challenge帧重新封装成RADIUSAccess-Request帧，转发至服务器端；(13).服务器端认证成功，将EAP-Success帧封装在RADIUSAccess-Accept帧中，发送至AP；(14).AP提取RADIUSAccess-Accept帧中EAP-Success帧，转发至客户端.EAP-SIM双向认证结束，认证成功。二．实验某些1.搭建EAP-SIM测试环境需求清单1、一张sim卡。无特殊规定，当前通用sim卡即可。2、一部支持EAP-SIM认证手机用作客户端。例如华为安卓手机T8830。售价在800元左右。或者华为安卓手机AscendG305T，已通过四川现网测试，具备真正EAP-SIM商用能力。售价大概在600元左右。3、一款支持802.1X合同无线路由器。当前市面上大某些TP-LINK路由器均支持。4、认证服务器。Linux系统下hostapd或者freeradius服务器均可。Hostapd配备比较简朴，容易上手。Freeradius服务器配备难度大，但是功能更强。2.配备路由器进入路由器设立界面。配备如下：认证类型使用WPA2。由于EAP-SIM认证类型是WPA2认证类型其中一种。加密算法采用AES。Radius服务器IP：设立成radius服务器所在电脑IP。Radius端口：设立成1812。Radius密码：这是radius服务器和路由器之间进行通信密码。3.radius服务器安装使用开源软件hostapd来搭建radius服务器。1、在hostapd官方网站。2、将获取到包解压，进入hostapd。在终端输入命令：tarxzvfhostapd-x.y.z.tar.gzcdhostapd-x.y.z/hostapd3、复制配备文献在终端输入命令：cpdefconfig.config4、配备.config文献选用如下配备：CONFIG_DRIVER_WIRED=yCONFIG_DRIVER_NONE=yCONFIG_EAP=yCONFIG_EAP_MD5=yCONFIG_EAP_TLS=yCONFIG_EAP_MSCHAPV2=yCONFIG_EAP_PEAP=yCONFIG_EAP_GTC=yCONFIG_EAP_TTLS=yCONFIG_EAP_SIM=yCONFIG_EAP_AKA=yCONFIG_EAP_PAX=yCONFIG_EAP_PSK=yCONFIG_EAP_SAKE=yCONFIG_EAP_GPSK=yCONFIG_EAP_GPSK_SHA256=yCONFIG_EAP_IKEV2=yCONFIG_EAP_TNC=yCONFIG_PKCS12=yCONFIG_RADIUS_SERVER=y这里需要注意几点：1)这里我仅仅把hostapd作为一种radiusserver使用，因而.config文献其他某些都注释掉。2)编译过程中也许会浮现缺少openssl文献等错误，需要下载编译安装openssl。5、在终端输入命令make、makeinstall，hostapd安装成功。4.radius服务器配备1、启动radius服务器前需要先对配备文献hostapd.conf进行配备。在安装目录下找到hostapd.conf文献，进行配备。重要配备如下内容：interface=eth0eap_server=1eap_user_file=/home/yang/hostapd.eap_usereap_sim_db=unix:/tmp/hlr_auc_gw.sockown_ip_addr=192.168.1.253#用于配备路由器IPauth_server_addr=127.0.0.1#radius服务器地址auth_server_port=1812#radius服务器端口auth_server_shared_secret=secretradius_server_clients=/home/yang/hostapd.radius_clients#配备客户端文献途径radius_server_auth_port=18122、配备hostapd.eap_user将安装目录下范例文献hostapd.eap_user直接拷来用即可。3、配备hostapd.radius_clients容许IP为192.168.1.253无线路由器使用这个radius服务器，共享密码为yangrenjie：192.168.1.253yangrenjie5.编译安装hlr_auc_gw程序hlr_auc_gw程序用于radius认证服务器和hlr连接。同步可以监听客户端发来祈求。在安装目录下找到hlr_auc_gw.c文献，在终端输入make、makeinstall，编译并安装。6.模仿测试1、在手机端用hellosim.apk这个软件读出sim卡IMIS、Kc、SRES、Rand这个四个值。将这四个值以一定格式写入到hostapd安装目录下hostapd.sim_db这个文献中。此文献相称于HLR。2、在hostapd安装目录下，启动终端。输入命令：sudo./hlr_auc_gw–ghostapd.sim_db该命令用于服务器和hlr连接，并监听客户端祈求。3、启动另一种终端。输入命令：sudohostapdhostapd.conf–dd本命令用于启动radius服务器。4、用手机搜寻测试用路由器SSID。安全类型为802.1X。图中SSID为fengfengfeng路由器，就是咱们测试用路由器。5、连接时候对手机进行设立，将验证类型改为EAP-SIM方式。6、进行连接监听端显示信息如下所示：服务器端显示信息如下所示：最后，实验成果阐明，手机无需输入顾客名和密码，只要运用SIM卡信息即可通过认证，与服务器连接。