18、802.1X/EAP认证及802.11层2动态加密密钥生成解析

802.1X/EAP认证及802.11层2动态加密密钥生成解析

1. 多样的EAP协议

EAP（可扩展认证协议）存在多种类型。除了常见的协议外，还有一些专有协议，如AirFortress EAP和Cogent Systems Biometrics Authentication EAP。

1.1 EAP - POTP

IETF RFC 4793定义了EAP - Protected One - Time Password Protocol（EAP - POTP），它适用于一次性密码（OTP）令牌设备，可作为EAP - PEAP或EAP - TTLS等协议TLS隧道内的内部认证方法的更好替代方案。

1.2 面向移动电话行业的EAP协议

1.2.1 EAP - SIM

EAP - Subscriber Identity Module（EAP - SIM）主要为移动电话行业，特别是第二代（2G）移动网络开发。它基于2G移动网络GSM认证和密钥协商原语，在IETF RFC 4186中有详细说明。不过，EAP - SIM不提供相互认证，且密钥长度比第三代（3G）移动网络机制短。

1.2.2 EAP - AKA

EAP - Authentication and Key Agreement（EAP - AKA）主要为3G移动网络开发，在IETF RFC 4187中定义。它基于挑战 - 响应机制和对称密码学，运行在USIM或RUIM模块中，支持相互认证，密钥长度更长。随着WLAN越来越多地用于语音通信，EAP - AKA标准化后，单个用户标识符可用于移动网络和企业WLAN的设备认证。2