16、802.1X/EAP 认证：从基础到安全实践

802.1X/EAP 认证：从基础到安全实践

1. MS-CHAPv2 与 EAP 概述

MS-CHAPv2 采用了更强的哈希算法，并且在交换过程中支持相互认证。EAP-PEAP、EAP-TTLS 和 EAP-FAST 都可选择使用 MS-CHAPv2，而 EAP-LEAP 则专门使用它。不过，MS-CHAPv2 也存在漏洞，应仅在 TLS 隧道内使用。

EAP（可扩展认证协议）由 IETF RFC 2284 定义，支持多种认证方法。它最初用于 PPP，后经 IETF RFC 3748 重新定义，用于 802.1X 基于端口的访问控制。EAP 是一个灵活的二层协议，有多种类型。一些是专有的，如思科的 LEAP；另一些则基于标准，如 EAP-TLS。部分 EAP 类型仅提供单向认证，而另一些则支持双向认证，即相互认证。相互认证要求认证服务器验证客户端凭证，同时客户端也要验证认证服务器的有效性。多数需要相互认证的 EAP 类型使用服务器端数字证书来验证认证服务器，该证书还用于创建加密的 TLS 隧道，以保护客户端凭证的交换。

2. 802.1X 与 EAP 的关系

802.1X 是一个授权框架，包含客户端（Supplicant）、认证器（Authenticator）和认证服务器（Authentication Server）三个组件。其主要目的是授权客户端使用网络资源，客户端在二层身份验证通过之前，无法在三层至七层进行通信。EAP 是 802.1X 框架内使用的二层协议。

EAP 消息封装在 EAP over LAN（EAPOL）帧中，主要有以下五种类型：
| 数据包类型 | 名称 | 描述 |
| — | — | — |