4、基于 Kerberos 的 WLAN 认证架构

基于 Kerberos 的 WLAN 认证架构

1. 引言

基于 IEEE 802.11 的无线接入网络便捷性高，在众多领域广泛部署。其使用基于对访问控制、机密性和可用性的隐含假设。然而，广泛部署也使 802.11 网络成为潜在攻击者的目标，许多研究已证实 802.11 的加密机制和认证协议存在基本缺陷。虽然 IEEE 802.11i 框架提出了解决无线网络安全限制的方案，但目前尚无一套完整的标准能解决所有无线安全问题。

为克服 Wi-Fi 网络的安全限制，我们提出了一种基于 IEEE 802.11i 工作并利用 Kerberos 协议的 802.11 网络移动感知认证架构。本文将介绍类似 Kerberos 的认证架构，评估并实验其安全性。

2. IEEE 802.1X 框架

IEEE 802.1X 标准定义了基于端口的网络访问控制，利用局域网基础设施的物理特性进行数据链路层访问控制。该标准抽象出三个实体：
- 申请者：希望访问服务的实体，通常是客户端。
- 认证者：在允许访问其服务之前执行认证的实体，通常在申请者连接的设备内。
- 认证服务器：代表认证者对申请者进行认证。

IEEE 802.1X 框架未指定特定的认证机制，而是使用可扩展认证协议（EAP）作为认证框架。EAP 支持多种认证机制的信息交换，认证者负责在申请者和认证服务器之间转发此信息。

认证者的基于端口的访问控制通过单个物理局域网端口定义两个逻辑端口：受控端口和非受控端口。非受控端口允许认证者与局域网上的其他实体进行不受控制的交换（通常是认证机制的信息），而其他交换则通过受控端口进行。

3. Kerb