摘要 在現(xiàn)代寬帶技術(shù)發(fā)展的過(guò)程中，以太網(wǎng)技術(shù)以其技術(shù)簡(jiǎn)單、成本低廉、高帶寬等特點(diǎn)獲得迅猛的發(fā)展，由桌面辦公環(huán)境逐步進(jìn)入到了寬帶接入網(wǎng)的應(yīng)用領(lǐng)域中。但其“連通和共享”的特性，使得該技術(shù)在接入網(wǎng)中的應(yīng)用出現(xiàn)了安全隱患和難以實(shí)現(xiàn)用戶(hù)差別化服務(wù)的問(wèn)題，因此開(kāi)發(fā)以太網(wǎng)接入的認(rèn)證技術(shù)成為構(gòu)建可管理、可運(yùn)營(yíng)網(wǎng)絡(luò)至關(guān)重要的條件。 基于 議的以太網(wǎng)接入認(rèn)證技術(shù)，實(shí)現(xiàn)了分散的用戶(hù)控制和集中的認(rèn)證管理，可有效解決傳統(tǒng)認(rèn)證方式存在的問(wèn)題，更適合在寬帶以太網(wǎng)中使用。本文的工作主要集中在以下幾個(gè)方面：通過(guò)對(duì)各種寬帶 接入技術(shù)的比較，分析了以太網(wǎng)接入的優(yōu)勢(shì)及其存在的安全問(wèn)題，提出了接入認(rèn)證的作用和意義，并簡(jiǎn)要論述了接入認(rèn)證技術(shù)的發(fā)展現(xiàn)狀。較全面地闡述了 作機(jī)制和認(rèn)證各方所采用的通信協(xié)議。對(duì)目前主要認(rèn)證技術(shù) ( 性能進(jìn)行了分析比較，指出 以太網(wǎng)接入認(rèn)證中所具有的優(yōu)勢(shì)。證的以太接入網(wǎng)的網(wǎng)絡(luò)結(jié)構(gòu)，對(duì)其中主要設(shè)備的工作機(jī)制和功能做了簡(jiǎn)要闡述，總結(jié)了在現(xiàn)有網(wǎng)絡(luò)中實(shí)現(xiàn) 證需要考慮的硬件兼容問(wèn)題和相應(yīng)的解決方法。針對(duì) 常見(jiàn)的網(wǎng)絡(luò)安全漏洞提出了 入認(rèn)證的防范措施。 在 議的基礎(chǔ)上，通過(guò)對(duì) 求方的功能分析，在 實(shí)現(xiàn)了 出了客戶(hù)端軟件的總體結(jié)構(gòu)，各模塊的主要功能和工作流程。在對(duì)這些功能模塊的論述過(guò)程中還做了以下工作：討論了基于 法的身份驗(yàn)證法 工作機(jī)制、描述了請(qǐng)求方 態(tài)機(jī)和密鑰接收狀態(tài)機(jī)。該軟件的實(shí)現(xiàn)為 證的后續(xù)開(kāi)發(fā)和研究提供了客戶(hù)端的支持和源代碼級(jí)的資料，具有較為重要的參考價(jià)值。 關(guān)鍵詞： 入認(rèn)證以太網(wǎng)接入擴(kuò)展認(rèn)證協(xié)議 it a in a is an in 001,by is a a eb,t is to so it is to of At as of by it,in of to a of of of to a 第一章緒論 究背景 隨著移動(dòng)辦公及駐地網(wǎng)運(yùn)營(yíng)等應(yīng)用的大規(guī)模發(fā)展，服務(wù)提供者需要對(duì)用戶(hù)的接入進(jìn)行控制和配置。尤其是 應(yīng)用和 入在電信網(wǎng)上大規(guī)模開(kāi)展，有必要對(duì)端口加以控制以實(shí)現(xiàn)用戶(hù)級(jí)的接入控制， 是 了解決基于端口的接入控制 (1而定義的一個(gè)標(biāo)準(zhǔn)。 帶網(wǎng)絡(luò)認(rèn)證系統(tǒng)的必要性 在 02 定義的局域網(wǎng)環(huán)境中，只要存在物理的連接口，未經(jīng)授權(quán)的網(wǎng)絡(luò)設(shè)備就可以接入局域網(wǎng)，或者是未經(jīng)授權(quán)的用戶(hù)可以通過(guò)連接到局域網(wǎng)的設(shè)備進(jìn)入網(wǎng)絡(luò)。例如：一個(gè)可以訪問(wèn)公共網(wǎng)絡(luò)的大廈的辦公網(wǎng)，或者是某個(gè)組織機(jī)構(gòu)與其他組織連接的網(wǎng) 絡(luò)。在這樣的網(wǎng)絡(luò)環(huán)境中，往往不希望未經(jīng)授權(quán)的設(shè)備或用戶(hù)連接到網(wǎng)絡(luò)，使用網(wǎng)絡(luò)提供的服務(wù)。后來(lái)，隨著局域網(wǎng)技術(shù)的廣泛應(yīng)用，特別是在運(yùn)營(yíng)網(wǎng)絡(luò)中的應(yīng)用，對(duì)其安全認(rèn)證的要求已經(jīng)提到了議事日程上。如何既能夠利用局域網(wǎng)技術(shù)簡(jiǎn)單、廉價(jià)的組網(wǎng)特點(diǎn)，同時(shí)又能夠?qū)τ脩?hù)或設(shè)備訪問(wèn)網(wǎng)絡(luò)的合法性提供認(rèn)證，是目前業(yè)界討論的焦點(diǎn)。 議正是在這樣的背景下提出的。 1。 基于端口的訪問(wèn)控 制（ 夠在利用 02 優(yōu)勢(shì)基礎(chǔ)上提供一種對(duì)連接到局域網(wǎng)（ 備或用戶(hù)進(jìn)行認(rèn)證和授權(quán)的手段。通過(guò)這種方式的認(rèn)證，能夠在 種多點(diǎn)訪問(wèn)環(huán)境中提供一種點(diǎn)對(duì)點(diǎn)的識(shí)別用戶(hù)的方式。這里端口是指連接到 一個(gè)單點(diǎn)結(jié)構(gòu)，可以是被認(rèn)證系統(tǒng)的 址，也可以是服務(wù)器或網(wǎng)絡(luò)設(shè)備連接 者是在 線 境中定義的工作站和訪問(wèn)點(diǎn)。 內(nèi)外現(xiàn)狀和發(fā)展趨勢(shì) 統(tǒng)計(jì)數(shù)字表明，目前全球 85%的 網(wǎng)絡(luò)采用以太網(wǎng)技術(shù)。以太網(wǎng)技術(shù)的優(yōu)勢(shì)是成本低、靈活，在接入領(lǐng)域使用以太網(wǎng)技術(shù)作為產(chǎn)品開(kāi)發(fā)平臺(tái)已經(jīng)成為一個(gè)必然的發(fā)展趨勢(shì)，有一統(tǒng)天下之勢(shì)。以前用以太網(wǎng)技術(shù)開(kāi)發(fā)的相關(guān)產(chǎn)品，比如以太網(wǎng)交換機(jī)和無(wú)線局域網(wǎng)等設(shè)備，主要應(yīng)用于企業(yè)環(huán)境，不能很好地滿足商業(yè)應(yīng)用領(lǐng)域或企業(yè)客戶(hù)業(yè)務(wù)與網(wǎng)絡(luò)融合更加緊密的需要，比如管理性不強(qiáng)、對(duì)業(yè)務(wù)的識(shí)別控制能力不強(qiáng)，無(wú)論是在企業(yè)網(wǎng)還是在電信網(wǎng)中，以太網(wǎng)產(chǎn)品都需要加以變革才能真正地適應(yīng)用戶(hù)的需求。目前國(guó)內(nèi)流行的認(rèn)證方式較多，主要有基于 證、 證等。 這些認(rèn)證方式各有千秋。但是，針對(duì) 入 ,目前傳統(tǒng)采用的寬帶接入服務(wù)器和 證方式還存在一些問(wèn)題 2。寬帶接入服務(wù)器需要終結(jié)大量用戶(hù)的 話， 并且轉(zhuǎn)發(fā) 據(jù)包，某種程度上使得寬帶接入服務(wù)器成為網(wǎng)絡(luò)的瓶頸。 到點(diǎn)傳輸?shù)奶攸c(diǎn)極大地限制了寬帶城域網(wǎng)所要開(kāi)展的組播視頻業(yè)務(wù)。此外，寬帶接入服務(wù)器引入也無(wú)形中增加了寬帶城域網(wǎng)的建設(shè)成本。而 于端口訪問(wèn)控制的技術(shù)，實(shí)現(xiàn)了用戶(hù)設(shè)備在城域網(wǎng)邊緣的分散用戶(hù)控制和集中的認(rèn)證管理；可以替代寬帶接入服務(wù)器實(shí)現(xiàn)城域網(wǎng)范圍內(nèi)的用戶(hù)管理功能 ，并且可以克服 來(lái)的諸多問(wèn)題， 僅關(guān)注端口的打開(kāi)和關(guān)閉 ,是十分簡(jiǎn)單高效的認(rèn)證方式 3。 基于端口的訪問(wèn)控制協(xié)議，是 了解決基于端口的接入控制而定義的一個(gè)標(biāo)準(zhǔn)。它對(duì)認(rèn)證方式和認(rèn)證體系結(jié)構(gòu)進(jìn)行了優(yōu)化，解決了傳統(tǒng) 證方式帶來(lái)的問(wèn)題，更適合在寬帶以太網(wǎng)中的使用，便于寬帶網(wǎng)絡(luò)建立一個(gè)可運(yùn)營(yíng)、可管理的城域電信網(wǎng)絡(luò)。證具有使用簡(jiǎn)單、不需要特殊的設(shè)備支持，同時(shí)支持各種網(wǎng)絡(luò)，因而廣泛應(yīng)用于校園網(wǎng)絡(luò)，能夠方便實(shí)現(xiàn)對(duì)接入用戶(hù)進(jìn)行全網(wǎng)管理； 在功能點(diǎn)上，能夠充分解決 突、 用等問(wèn)題；實(shí)現(xiàn) 號(hào)等多元素綁定，確保用戶(hù)的唯一性、安全性。國(guó)內(nèi)外的許多大學(xué)等都相繼基于 絡(luò)開(kāi)發(fā)了 證系統(tǒng)。一些高校和中等職業(yè)技術(shù)學(xué)校也紛紛建立自己的校園網(wǎng)。一些公司企業(yè)也相繼開(kāi)發(fā)了功能各異的基于 議的交換機(jī)以及 證系統(tǒng)，如華為 證系統(tǒng)，實(shí)達(dá)基于 組網(wǎng)方安等。各種各樣的基于 議的認(rèn)證系統(tǒng)如雨后春筍般層出不窮。 證系統(tǒng)的發(fā)展過(guò)程 計(jì)算機(jī)技術(shù)與通信技術(shù)的結(jié)合促進(jìn) 了計(jì)算機(jī)局域網(wǎng)絡(luò)的飛速發(fā)展，從 20 世年代末 0 年代中期 1000換式以太網(wǎng)的登臺(tái)亮相，短短十年間經(jīng)過(guò)了從單工到雙工，從共享到交換，從低速到高速，從簡(jiǎn)單到復(fù)雜，從到普及的飛躍。 20 世紀(jì) 80 年代中后期，由于通信量的急劇增加，促進(jìn)了技術(shù)的使局域網(wǎng)的性能越來(lái)越高。最早的 1速率已廣泛地被今天的 100代。但是，傳統(tǒng)的媒體訪問(wèn)方法都局限于使大量的站點(diǎn)共一個(gè)公共傳輸媒體的訪問(wèn)，即 式。 90 年代初，隨著計(jì)算機(jī)性能高及通信量的劇增，傳統(tǒng)局域網(wǎng) 已經(jīng)愈來(lái)愈超出了自身的負(fù)荷，交換式以太網(wǎng)技運(yùn)而生，大大提高了局域網(wǎng)的性能4。 隨著以太網(wǎng)的廣泛應(yīng)用，用戶(hù)數(shù)量的增多，認(rèn)證技術(shù)相續(xù)出現(xiàn)，早期的認(rèn)證是一種人工的認(rèn)證方式。人工統(tǒng)計(jì)合法用戶(hù)，然后通過(guò)與交換機(jī)的連接來(lái)控制。一點(diǎn)就是用拔網(wǎng)線的方式來(lái)控制上網(wǎng)用戶(hù)。這種方式非常麻煩，而且不利于局域控制，該方式只能用于小型局域網(wǎng)，一但用戶(hù)數(shù)量過(guò)多，基本上是不可操作。隨著認(rèn)證和 證的方式的出現(xiàn)解決了這種問(wèn)題，但是由于在 證中，系統(tǒng)必須將每個(gè)包進(jìn)行拆解，以驗(yàn)證用戶(hù)的合法性，一旦用戶(hù)數(shù)量劇增或數(shù)據(jù)包封裝速 度跟不上，就很容易形成網(wǎng)絡(luò)瓶頸。而且這種認(rèn)證方式的大量拆解包過(guò)要通過(guò)價(jià)格不菲的設(shè)備完成，因而增加了網(wǎng)絡(luò)部署與運(yùn)營(yíng)成本。而 種基于業(yè)務(wù)類(lèi)型的認(rèn)證，盡管無(wú)需特定客戶(hù)端軟件，只需瀏覽器即可完成，極大便了用戶(hù)。但由于這種認(rèn)證方式需要七層協(xié)議支持，為實(shí)現(xiàn)二層連接與認(rèn)證而七層，不僅不符合網(wǎng)絡(luò)邏輯，而且這種基于七層的認(rèn)證對(duì)四層以 下的網(wǎng)絡(luò)問(wèn)題往測(cè)不到，尤其是對(duì)斷電、突發(fā)故障等必須在二層檢測(cè)的異常離線情況往往束手 。同時(shí)，在 證體系中，用戶(hù)首先獲得 址，再通過(guò)客戶(hù)端認(rèn)證無(wú)疑是對(duì) 址資源的極大浪費(fèi)；而且分配 址的 證服務(wù)器對(duì)用戶(hù)而全裸露，極易遭受惡意攻擊，導(dǎo)致整個(gè)認(rèn)證系統(tǒng)的癱瘓。在這種情況下， 電子工程師協(xié)會(huì)為解決基于端口的網(wǎng)絡(luò)接入控制問(wèn)題，研發(fā)出了新的 舉解決了 傳統(tǒng)認(rèn)證方式的不足，成為一種可以較為理滿足當(dāng)前日益增長(zhǎng)的寬帶以太網(wǎng)與無(wú)線 證需求的新型認(rèn)證解決方案 5。 文選題背景 本課題源于 交換機(jī)的認(rèn)證功能的開(kāi)發(fā) ， 證系統(tǒng)為 交換機(jī) 的一個(gè)重要組成部分。網(wǎng)絡(luò)安全技術(shù)的重要組成部分的認(rèn)證技術(shù)。 校園 網(wǎng) 是一個(gè)很復(fù)雜的網(wǎng)絡(luò)，他面向的對(duì)象主要是學(xué)校里面的老師和學(xué)生。由于此項(xiàng)目涉及到數(shù)棟教師、學(xué)生宿舍樓，信息點(diǎn)達(dá)到數(shù)千個(gè)。整個(gè)網(wǎng)絡(luò)十分復(fù)雜，要對(duì)數(shù)千個(gè)信息點(diǎn)進(jìn)行管理、監(jiān)控，涉及到網(wǎng)絡(luò)管理、認(rèn)證、計(jì)費(fèi)、安全、網(wǎng)絡(luò)故障查找等方面的復(fù)雜應(yīng)用。為了滿足對(duì)用戶(hù)的管理，網(wǎng)絡(luò)的控制，把 校園 網(wǎng)建設(shè)成一個(gè)安全可靠、可運(yùn)營(yíng)、可管理的網(wǎng)絡(luò)。為了避免濫用網(wǎng)絡(luò)給學(xué)校和社會(huì)帶來(lái)不必要的損失和危害。所以該系統(tǒng)采用了業(yè)界最新流行的 證計(jì)費(fèi)系統(tǒng)。 文主要研究工作 議有效解決了傳統(tǒng)的 證方式帶來(lái)的問(wèn)題如網(wǎng)絡(luò)認(rèn)證瓶頸，優(yōu)化了認(rèn)證過(guò)程，降低了建網(wǎng)成本，增強(qiáng)了網(wǎng)絡(luò)安全，因此 證方式可為運(yùn)營(yíng)商采用以太網(wǎng)接入技術(shù)建設(shè)可運(yùn)營(yíng)、可管理的電信級(jí)寬帶網(wǎng)絡(luò)提供很好的支持。目前 議已成為主流交換機(jī)的標(biāo)準(zhǔn)配置，也是用戶(hù)在選型時(shí)考察設(shè)備的一個(gè)指標(biāo)。因此本文選擇 議作為畢業(yè)論文設(shè)計(jì)的目的，在于深入學(xué)習(xí) 種新興的接入認(rèn)證方式，在通過(guò)對(duì)該協(xié)議進(jìn)行分析研究的基礎(chǔ)上，解決實(shí)際應(yīng)用中遇到的問(wèn)題，為 802.l x 認(rèn)證方式的應(yīng)用提供一點(diǎn)參考 6。 本文主要討論作為網(wǎng)絡(luò)安全技術(shù) 的重要組成部分的認(rèn)證技術(shù)，校園網(wǎng)中的應(yīng)用和實(shí)現(xiàn)并提出自己的改進(jìn)意見(jiàn)和看法。論文的主要研究?jī)?nèi)容是根據(jù)目前賽爾寬帶的現(xiàn)狀和需求，設(shè)計(jì)一個(gè)通用性強(qiáng)的基于 議的上網(wǎng)認(rèn)證系統(tǒng)，并在實(shí)際應(yīng)用中予以實(shí)現(xiàn)和評(píng)價(jià)。具體的研究?jī)?nèi)容如下： （ 1）對(duì)目前的國(guó)內(nèi)外幾種流行的認(rèn)證方式研究發(fā)展概況進(jìn)行全面分析，找出存在 的差距與不足，明確采用 證方式。 （ 2）完成整個(gè)網(wǎng)絡(luò)運(yùn)營(yíng)平臺(tái)的實(shí)施模式和詳細(xì)設(shè)計(jì)，提供了相當(dāng)完善的功能。其中包括認(rèn)證系統(tǒng)、用戶(hù)管理、計(jì)費(fèi)和費(fèi)用管理、網(wǎng) 絡(luò)管理、網(wǎng)絡(luò)安全、網(wǎng)絡(luò)控制、 。 （ 3）對(duì) 證系統(tǒng)原理與工作機(jī)制做詳細(xì)的分析。詳細(xì)設(shè)計(jì)滿足寬帶網(wǎng)絡(luò)的私有協(xié)議。 （ 4） 通過(guò) 結(jié)合設(shè)計(jì)與分析系統(tǒng) 來(lái)討論 該運(yùn)營(yíng)平臺(tái) 是如何 實(shí)現(xiàn) 的 。 （ 5）提出 證系統(tǒng)目前還存在的問(wèn)題，以及對(duì)未來(lái)的展望。 由于 是提出了一個(gè)認(rèn)證協(xié)議框架， 它 必須和 其它 協(xié)議 協(xié)同工作，所以先詳細(xì)的介紹 技術(shù)細(xì)節(jié)，本論文簡(jiǎn)要的介紹了 議和 議，并介紹了這兩個(gè)協(xié)議如何和 同搭建認(rèn)證體系結(jié)構(gòu)。其次為了討論了 話，論文先討論了和 關(guān)的網(wǎng)絡(luò)安全背景知識(shí)后，介紹了 議。至此，基于 認(rèn)證系統(tǒng)所涉及的知識(shí)介紹完成后，論文介紹了在 臺(tái)下客戶(hù)端的實(shí)現(xiàn)，如何搭建務(wù)器，和對(duì) 3 層交換機(jī)進(jìn)行配置使之成為認(rèn)證方。了對(duì)比，并對(duì) 出了修改意見(jiàn)。 文的組織結(jié)構(gòu) 本文一共分為 6 章，各章的主要內(nèi)容如下： 第 1 章是緒論，主要介紹選題背景、研究現(xiàn)狀、論文的 內(nèi)容及組織結(jié)構(gòu)等。 第 2 章是 議及安全問(wèn)題分析，介紹了 議及存在的安全問(wèn)題， 描述了己有的一些解決方案，并對(duì)這些方案的優(yōu)缺點(diǎn)進(jìn)行了總結(jié)。 第 3 章首先 分析 三種接入認(rèn)證技術(shù) ， 然后通過(guò)比較三種接入認(rèn)證技術(shù)，最后敘述 第 4 章是重點(diǎn)，主要介紹 議 在 臺(tái)的實(shí)現(xiàn)，敘述了 議 的客戶(hù)端的交互、交互過(guò)程中的客戶(hù)端的狀態(tài)機(jī) 以及交互過(guò)程中的報(bào)文信息。 第 5 章是系統(tǒng)測(cè)試， 介紹客戶(hù)端、交換機(jī)、服務(wù)器的配置，驗(yàn)證 接入認(rèn)證功能 。 第 6 章是總結(jié)和展望，對(duì)整個(gè)課題完成情況進(jìn)行總結(jié)，分析設(shè)計(jì)實(shí)現(xiàn)中的重點(diǎn)和難點(diǎn)，并提出了進(jìn)一步的工作。 第二章 議和相關(guān)解決方案分析 議稱(chēng)為基于端口的訪問(wèn)控制協(xié)議 (議的主要目的是為了解決無(wú)線局域網(wǎng)用戶(hù)的接入認(rèn)證問(wèn)題。在 議出現(xiàn)之前，有線局域網(wǎng)應(yīng)用都沒(méi)有直接控制到端口的方法，也不需要控制到端口。為了實(shí)現(xiàn)對(duì)用戶(hù)級(jí)接入的需求， 義了 議。 該協(xié)議提供了一種對(duì)設(shè)備進(jìn)行認(rèn)證和授權(quán)的方法，在認(rèn)證和授權(quán)過(guò)程失敗的情況下防止對(duì)端口進(jìn)行訪問(wèn)。 其結(jié)構(gòu)如圖 2示 : 客戶(hù)端客戶(hù)端受控端口認(rèn)證服務(wù)器認(rèn)證服務(wù)器設(shè)備端證 系統(tǒng)機(jī)構(gòu) 客戶(hù)端一般為一個(gè)用戶(hù)終端系統(tǒng)，該終端系統(tǒng)通常要安裝一個(gè)客戶(hù)端軟件，用戶(hù)通過(guò)啟動(dòng)這個(gè)客戶(hù)端軟件發(fā)起 議的認(rèn)證過(guò)程。為支持基于端口的接入控制，客戶(hù)端到認(rèn)證者端采用 議，因此客戶(hù)端需要支持 議。 認(rèn)證者通常為支持 議的網(wǎng)絡(luò)設(shè)備。 該設(shè)備對(duì)應(yīng)于不同用戶(hù)的端口，一般有兩個(gè)邏輯端口 :受控端口和不受控端口。不受控端口始終處于雙向連通狀態(tài)，主要用來(lái)傳遞 證客戶(hù)端始終可以發(fā)出或接受認(rèn)證。受控端口只有在認(rèn)證通過(guò)的狀態(tài)下才打開(kāi)，用于傳遞網(wǎng)絡(luò)資源和服務(wù)。受控端口可配置為雙向受控、僅輸入受控兩種方式，以適應(yīng)不同的應(yīng)用需求。如果用戶(hù)未通過(guò)認(rèn)證，則受控端口處于未認(rèn)證狀態(tài)，用戶(hù)無(wú)法訪問(wèn)認(rèn)證系統(tǒng)提供的服務(wù)。 認(rèn)證服務(wù)器通常為支持 議的 務(wù)器，該服務(wù)器可以存儲(chǔ)有關(guān)用戶(hù)的信息，比如用戶(hù)名、密碼、訪問(wèn)流量和時(shí)間、用戶(hù)的訪問(wèn)控制列表 等等。認(rèn)證者端到認(rèn)證服務(wù)器采用議。當(dāng)用戶(hù)通過(guò)認(rèn)證后，認(rèn)證服務(wù)器會(huì)把用戶(hù)的相關(guān)信息傳遞給認(rèn)證者，由認(rèn)證者系統(tǒng)構(gòu)建動(dòng)態(tài)的訪問(wèn)控制列表，用戶(hù)的后續(xù)流量就將接受上述參數(shù)的監(jiān)管。 在 議 7中認(rèn)證者在客戶(hù)端和認(rèn)證服務(wù)器之間起傳遞認(rèn)證信息的作用，這樣就將客戶(hù)端和認(rèn)證服務(wù)器從邏輯上分開(kāi)，它們之間不直接通訊，增強(qiáng)了認(rèn)證過(guò)程的安全性。 認(rèn)證流程 在基于 證技術(shù)的網(wǎng)絡(luò)系統(tǒng)中，在用戶(hù)對(duì)網(wǎng)絡(luò)資源進(jìn)行訪問(wèn)之前必須要完成如圖 客戶(hù)端P A E 設(shè)備端P A E R A D I U S 服務(wù)器手定時(shí)器超時(shí)握手請(qǐng)求報(bào)文手應(yīng)答報(bào)文.證系統(tǒng)的 式業(yè)務(wù)流程 根據(jù)上述認(rèn)證流程，對(duì) 認(rèn)證過(guò)程簡(jiǎn)要說(shuō)明如下 : (l)申請(qǐng)者啟動(dòng)客戶(hù)端程序，發(fā)出認(rèn)證請(qǐng)求報(bào)文 證過(guò)程開(kāi)始 ; (2)認(rèn)證者收到消息后向申請(qǐng)者發(fā)送 息，要求申請(qǐng)者提 供認(rèn)證信息 ; (3)申請(qǐng)者響應(yīng)認(rèn)證者發(fā)出的請(qǐng)求，通過(guò)數(shù)據(jù)幀 用戶(hù)名信息發(fā)送給認(rèn)證者。認(rèn)證者將申請(qǐng)者送上來(lái)的數(shù)據(jù)幀經(jīng)過(guò)封包處理后通過(guò) 據(jù)幀送給認(rèn)證服務(wù)器進(jìn)行處理 : (4)認(rèn)證服務(wù)器收到認(rèn)證者轉(zhuǎn)發(fā)上來(lái)的用戶(hù)名信息后，將該信息與數(shù)據(jù)庫(kù)中的用戶(hù)名表相比較，找到該用戶(hù)名對(duì)應(yīng)的口令信息，用隨機(jī)生成的一個(gè)加密字對(duì)它進(jìn)行加密處理，同時(shí)將此加密字通過(guò) 傳送給認(rèn)證者，由認(rèn)證者通過(guò) 傳給申請(qǐng)者 ; (5)申請(qǐng)者收到由認(rèn)證者傳來(lái)的加密字后，用該加密字對(duì)口令部分進(jìn)行加密處理，并通過(guò)據(jù)幀交給認(rèn)證者，認(rèn)證者通過(guò)枷 再傳給認(rèn)證服務(wù)器 : (6)認(rèn)證服務(wù)器將送上來(lái)的加密后的口令信息和自己經(jīng)過(guò)加密運(yùn)算后的口令信息進(jìn)行對(duì)比，如果相同，則認(rèn)為該用戶(hù)為合法用戶(hù)，反饋認(rèn)證通過(guò)的消息 其傳給認(rèn)證者，認(rèn)證者發(fā)出打開(kāi)端口的指令，并通過(guò) 通知用戶(hù)可通過(guò)端口訪問(wèn)網(wǎng)絡(luò)。否則，反饋認(rèn)證失敗的消息，并保持認(rèn)證者端口的關(guān)閉狀態(tài)，只允許認(rèn)證信息數(shù)據(jù)通過(guò)而不允許業(yè)務(wù)數(shù)據(jù)通過(guò) ; (7)當(dāng)用戶(hù)要求下線或者是用戶(hù)系統(tǒng)關(guān)機(jī)等需要斷開(kāi)網(wǎng)絡(luò)連接時(shí)，請(qǐng)求方發(fā)送一個(gè)斷網(wǎng)請(qǐng)求認(rèn)證者，然后認(rèn)證者即把端口設(shè)為非授權(quán)狀態(tài)，從而斷開(kāi)連接。 議 是 證中的一個(gè)通用協(xié)議，可以支持多種認(rèn)證機(jī)制。特點(diǎn)是 鏈路控制階段沒(méi)有選定一種認(rèn)證機(jī)制，而把這一步推遲到認(rèn)證階段。它允許認(rèn)證者作為后端認(rèn)證服務(wù)器的代理，僅查看認(rèn)證的成功與否。 格式如圖 示 : 幀格式 其中 段取值為 求 /應(yīng)答 包中 的類(lèi)型域規(guī)定了 各種類(lèi)型，其中， 段的取值主要有以下幾種 : l)來(lái)查詢(xún)對(duì)方的身份 ; 2)認(rèn)證者用來(lái)向?qū)Ψ絺鬟f一條可顯示的消息 ; 3)對(duì)應(yīng)答包有效，作為不接受請(qǐng)求認(rèn)證類(lèi)型時(shí)的響應(yīng) ; 4) 似于 議，包含質(zhì)詢(xún)消息 ; 5)求包中含有一個(gè) 詢(xún)消息 ; 6)于要求用戶(hù)輸入各種類(lèi)型的令牌卡。 議有多種表現(xiàn)形式，議中，申請(qǐng)者和認(rèn)證者之 間采用 議，認(rèn)證者和認(rèn)證服務(wù)器之間采用議 9。 (l) 證機(jī)制中，申請(qǐng)者和認(rèn)證者之間在數(shù)據(jù)鏈路層傳遞的認(rèn)證信息是 據(jù)幀。定義了 據(jù)包的一種封裝技術(shù)。目前， 要用于以太網(wǎng)和令牌環(huán)網(wǎng) /。以太網(wǎng) ( 據(jù)幀的格式如圖 示 : 幀格式 其中隊(duì) 含隊(duì) E 使用的以太網(wǎng)類(lèi)型值。 定 據(jù)幀發(fā)送方所支持的 議版本號(hào)。 明當(dāng)前 的類(lèi)型。 長(zhǎng)度。 含了該數(shù)據(jù)包所傳輸?shù)臄?shù)據(jù)。 定義了如下 類(lèi)型 ( 1) 證信息幀，值為 00000000，用于承載認(rèn)證信息 ; 2) 證發(fā)起幀，值為 00000001， 可以發(fā)起 : 3) 出請(qǐng)求幀，值為 00000010，用戶(hù)可主動(dòng)終止已認(rèn)證狀態(tài) ; 4) 鑰信息幀，值為 00000011，支持對(duì) 文的加密 ; 5) 為 00000100，用于支持 文 ; 其中 在發(fā)起者和認(rèn)證者之間存在 ;當(dāng) 發(fā)起者和認(rèn)證服務(wù)器之間傳遞時(shí)，由認(rèn)證者將報(bào)文重新封裝，并承載于 便穿越復(fù)雜的網(wǎng)絡(luò)到達(dá)認(rèn)證服務(wù)器，但一般 的 息不會(huì)改變，這時(shí)候的認(rèn)證者僅僅起到中繼作用。 (2)0 議體系結(jié)構(gòu)中除了有申請(qǐng)者和認(rèn)證者之外，還引入了一個(gè)重要的組成部分，那就是認(rèn)證服務(wù)器。一般情況下，認(rèn)證者與認(rèn)證服務(wù)器之間的 證信息的交 承載的。 義了在 戶(hù)端和服務(wù)器之間傳輸認(rèn)證、授權(quán)和配置信息的協(xié)議。將 文從訪問(wèn)服務(wù)器送到 務(wù)器的一種認(rèn)證機(jī)制。在 證者可以作為 客戶(hù)端，將連接請(qǐng)求和計(jì)帳信息傳遞給 務(wù)器。為了便于 議的封裝，在原有 議的基礎(chǔ)上增加了若干新的屬性，其中有兩個(gè)屬性極為重要 : 息 )和 息認(rèn)證碼 )。 據(jù)報(bào)文格式如圖 示 : 據(jù)報(bào)文格式 代碼 (編碼域占一個(gè)字節(jié)，該值決定了 據(jù)包的類(lèi)型。在接收到一個(gè)無(wú)效編碼域的協(xié)議包后， 務(wù)器會(huì)直接丟棄該數(shù)據(jù)包。 定了如下編碼 : l 接入請(qǐng)求 ( 2 接入應(yīng)答 ( 3 接入拒絕 ( 4 計(jì)費(fèi)請(qǐng)求 ( 5 費(fèi)應(yīng)答 ( 11 接入詢(xún)問(wèn) ( 12 服務(wù)器狀態(tài) ( 13 客戶(hù)機(jī)狀態(tài) ( 標(biāo)識(shí)符 ( 標(biāo)識(shí)符域占一個(gè)字節(jié)，用于輔助鑒別請(qǐng)求包與響應(yīng)包。如果在一個(gè)很短的時(shí)間片內(nèi)，不同請(qǐng)求有相同的源 址、源 口號(hào)和標(biāo)識(shí)符，則 務(wù)器會(huì)認(rèn)為這是上一個(gè)請(qǐng)求的重復(fù)。 長(zhǎng)度 (長(zhǎng)度 域占兩個(gè)字節(jié)，它指包括編碼、標(biāo)識(shí)符、長(zhǎng)度、鑒別碼和屬性域在內(nèi)的數(shù)據(jù)包的總長(zhǎng)度。如果數(shù)據(jù)包的長(zhǎng)度比這個(gè)長(zhǎng)度要短，則此數(shù)據(jù)包會(huì)被直接丟棄。數(shù)據(jù)包最小的長(zhǎng)度是 20 個(gè)字節(jié)，最大的長(zhǎng)度是 4096 個(gè)字節(jié)。 鑒別碼 (鑒別碼占十六個(gè)字節(jié)，其中最重要的字節(jié)最先被傳輸。這個(gè)值是用來(lái)鑒別 信的數(shù)據(jù)源和隱藏用戶(hù)密碼的。根據(jù)所在數(shù)據(jù)包的不同，可將它分為請(qǐng)求鑒別碼和響應(yīng)鑒別碼兩大類(lèi)。 屬性 (性在請(qǐng)求和響應(yīng)協(xié)議包中攜帶詳細(xì)的認(rèn)證、授權(quán)、信息和配置細(xì)節(jié)。所有的 屬性在數(shù)據(jù)包中均以變長(zhǎng)的類(lèi)型、長(zhǎng)度和值這樣的三元組的形式出現(xiàn)。其結(jié)構(gòu)如圖 示 : 性字段的結(jié)構(gòu) (3)1 就如前面內(nèi)容中所提到的，本文中 上層認(rèn)證協(xié)議采用 證，即 向認(rèn)證。 議標(biāo)準(zhǔn)是 一個(gè)派生。 構(gòu)位于 應(yīng)用層協(xié)議之間，提供的安全通道有機(jī)密性、確認(rèn)性、可靠性三個(gè)特性。 議主要有兩個(gè)部分 :錄協(xié)議 (在這之上的幾個(gè) 協(xié)議更改密碼規(guī)格 協(xié)議 (告警協(xié)議(握手協(xié)議 (其中握手協(xié)議在客戶(hù)和服務(wù)器雙方進(jìn)行保密通信前確定密鑰、加密認(rèn)證算法等安全參數(shù)，協(xié)議的大部分內(nèi)容就是通信雙方如何利用它來(lái)安全地協(xié)商出一份密鑰，握手協(xié)議由一系列在客戶(hù)和服務(wù)器之間交換的報(bào)文組成，這些報(bào)文中包括客戶(hù)端和服務(wù)器端的 書(shū)等等。 在 構(gòu)體系中采用 證方式，就成了 證。 了具有 證機(jī)制的優(yōu)點(diǎn)外，還具有 優(yōu)點(diǎn) :雙向身份認(rèn)證 ;密鑰協(xié)商的保密性 ;消息協(xié)商的可靠性。 如圖 示為 據(jù)包格式 ( 同 格式 ): C o d e I d e n t i f i e r L e n g t h T y p e T y p e D a t aF l a g S M e s s a g e L e n g t h T L S D a t 據(jù)包格式 3，指明 個(gè)字節(jié)， 證 ; 標(biāo)志位域，有 L、 M、 S 標(biāo)志位。 L=位表示包含后面的 ; M=幀的時(shí)候，除了最后一個(gè)分幀，其余都要置位 ; S= 置位 ; 個(gè)字節(jié)，指明 長(zhǎng)度 ; 據(jù)記錄協(xié)議封裝的 文，一個(gè) 錄的最大長(zhǎng)度是 16384 字節(jié)，但是一個(gè) 息可能包含多個(gè) 錄，為了避免一次傳送的 息超出 度或是最大 長(zhǎng)度等，設(shè)置 息的最大長(zhǎng)度為 1398。 證過(guò)程如下 : l)客戶(hù)首先通過(guò) 安全認(rèn)證，與認(rèn)證者關(guān)聯(lián)，建立起物理鏈路 ; 2)客戶(hù)發(fā)起 證請(qǐng)求，向認(rèn)證者發(fā)出 據(jù)包 ; 3)認(rèn)證者發(fā)送 ，要求客戶(hù)的 4)客戶(hù)端發(fā)送 ，將自己的用戶(hù)名信息發(fā)送給認(rèn)證者 ; 5)認(rèn)證者將客戶(hù)的用戶(hù)名信息重新封裝成 發(fā)送給 證服務(wù)器 ; 6)認(rèn)證服務(wù)器查看服務(wù)器數(shù)據(jù)庫(kù)有該用戶(hù)名后，發(fā)起 證請(qǐng)求 ; 7)認(rèn)證者將 證請(qǐng)求封裝在 中 發(fā)給客戶(hù) ; 8)客戶(hù)得到 證請(qǐng)求后，開(kāi)始 證流程 ; 9)經(jīng)過(guò)雙方互相認(rèn)證后，認(rèn)證服務(wù)器以 束 證，而客戶(hù) 響應(yīng)一個(gè)無(wú)任何數(shù)據(jù)的 ; 10)認(rèn)證服務(wù)器在確定了該用戶(hù)為合法用戶(hù)之后向認(rèn)證者發(fā)送 ，同時(shí)將算出的對(duì)等主密鑰 密鑰材料封裝在 2屬性中 ; 11)認(rèn)證者解析 取出密鑰材料，打開(kāi)網(wǎng)絡(luò)資源端口并發(fā)送 知客戶(hù)認(rèn)證成功。至此 證完成。接下來(lái)客戶(hù)端和認(rèn)證者 之間的會(huì)話交互由在 生出來(lái)的會(huì)話密鑰加密保護(hù)。 (4)書(shū)在 的應(yīng)用 在 證過(guò)程中，客戶(hù)端和服務(wù)器端是通過(guò)使用 書(shū)來(lái)證明自己的身份的。一般來(lái)說(shuō)，證書(shū)是作為分發(fā)公鑰問(wèn)題的解決方案而使用的。公鑰證書(shū)是從某個(gè)實(shí)體獲得的數(shù)字簽名聲明，表示另一個(gè)實(shí)體的公鑰 (及其它一些信息 )，具有某些特定值。 準(zhǔn)規(guī)定了證書(shū)可以包含什么信息，并說(shuō)明了記錄信息的方法。除了簽名外，所有 X， 509 證書(shū)還包含以下數(shù)據(jù) : l)版本 識(shí)別用于該證書(shū) 的 X， 509 標(biāo)準(zhǔn)的版本，這可以影響證書(shū)中所能指定的信息。 迄今為止，己定義的版本有三個(gè)。 2)序列號(hào) 發(fā)放證書(shū)的實(shí)體有責(zé)任為證書(shū)指定序列號(hào)，以使其區(qū)別于該實(shí)體發(fā)放的其它 證書(shū)。此信息用途很多。例如，如果某一證書(shū)被撤消，其序列號(hào)將放到證書(shū)撤消 清單 (。 3)簽名算法標(biāo)識(shí)符 用于識(shí)別 寫(xiě)證書(shū)時(shí)所用的算法。 4)簽發(fā)人姓名 簽寫(xiě)證書(shū)的實(shí)體的 稱(chēng)。它通常為一個(gè) 用該證書(shū)意味著信任簽 寫(xiě)該證書(shū)的實(shí)體。 5)有效期 每個(gè)證書(shū)均只能在一個(gè)有限時(shí)間段內(nèi)有效。該有效期以起始日期和時(shí)間及終止日期和 時(shí)間表示，可以短至幾秒或長(zhǎng)至一世紀(jì)。該有效期取決于許多因素，如用于簽寫(xiě)證書(shū)的私鑰的使用頻率及愿為證書(shū)支付的金錢(qián)等。它是在沒(méi)有危及相關(guān)私鑰的條件下，實(shí)體可以依賴(lài)公鑰值的預(yù)計(jì)時(shí)間。 6)主體名 證書(shū)可以識(shí)別其公鑰的實(shí)體名。此名稱(chēng)使用 準(zhǔn)，因此在 應(yīng)是唯一的。 7)主體公鑰信息 這是被命名實(shí)體的公鑰，同時(shí)包括指定該密鑰所屬公鑰密碼系統(tǒng)的算法標(biāo)識(shí)符及所有相關(guān)的密鑰參數(shù)。 議的安全問(wèn)題 在分析了 體系結(jié)構(gòu)和認(rèn)證過(guò)程之后，不難發(fā)現(xiàn)，盡管 經(jīng)在某種程度上提供了更高層次上的安全性，但其自身仍然存在很多的不安全的因素，其中最主要的是缺少相互認(rèn)證過(guò)程及對(duì)數(shù)據(jù)的源真實(shí)性和完整性保護(hù)，針對(duì)這些不安全因素可以實(shí)現(xiàn)很多種攻擊。 間人攻擊 議最重要的缺陷是申請(qǐng)者和認(rèn)證者的狀態(tài)機(jī)不平等。根據(jù)標(biāo)準(zhǔn)，認(rèn)證者的受控端口只有當(dāng)會(huì)話通過(guò)認(rèn)證后才打開(kāi)。而對(duì)于申請(qǐng)者，端口始終是處于已認(rèn)證狀態(tài)。申請(qǐng)者與認(rèn)證者之間的這種單向認(rèn)證使申請(qǐng)者容易遭到中間人攻擊 13。 證者狀態(tài)機(jī)只接受 息，并且只發(fā)送 息，而申請(qǐng)者狀態(tài)機(jī)不發(fā)送 息，顯然狀態(tài)機(jī)執(zhí)行的是單向認(rèn)證。 如果 層協(xié)議采用的也是單向認(rèn)證將使整個(gè)認(rèn)證體系更加脆弱。 實(shí)能提供 強(qiáng)相互認(rèn)證但不是強(qiáng)制的而且也可以繞過(guò) 行中間人攻擊。如圖 示是一個(gè)簡(jiǎn)單的中間人攻擊的例子 : 當(dāng)認(rèn)證者從 務(wù)器收到 息后，就向申請(qǐng)者發(fā)送一個(gè) 息。這就提示狀態(tài)機(jī)認(rèn)證己經(jīng)成功。無(wú)論上層認(rèn)證方法采用 條消息都沒(méi)有完整性保護(hù)，而且不管當(dāng)前條件是什么，申請(qǐng)者的狀態(tài)機(jī)無(wú)條件地轉(zhuǎn)換到已認(rèn)證狀態(tài)。因此，攻擊者可以偽造這個(gè)數(shù)據(jù)包來(lái)冒充認(rèn)證者實(shí)現(xiàn)中間人攻擊。這樣被攻擊的申請(qǐng)者會(huì)認(rèn)為冒充的認(rèn)證者就是合法的認(rèn)證者，并把數(shù)據(jù)包發(fā)送到這個(gè)冒充的認(rèn)證者，這樣，攻擊者就在申請(qǐng)者和認(rèn)證者之間傳輸數(shù)據(jù)，并可以隨意地篡改。 話劫持 在 議中，對(duì)用戶(hù)的認(rèn)證是在會(huì)話開(kāi)始進(jìn)行，一旦用戶(hù)通過(guò)認(rèn)證，則對(duì)應(yīng)用戶(hù)的邏輯受控端口就轉(zhuǎn)為授權(quán)狀態(tài)，用戶(hù)可以自由獲得網(wǎng)絡(luò)服務(wù)。在用戶(hù)接受認(rèn)證系統(tǒng)服務(wù)的過(guò)程中，除 非到了預(yù)先設(shè)置的重新認(rèn)證時(shí)間，認(rèn)證系統(tǒng)不再對(duì)該用戶(hù)進(jìn)行認(rèn)證。 利用 議的這個(gè)設(shè)計(jì)缺陷，攻擊者可以進(jìn)行會(huì)話劫持攻擊。攻擊者可以發(fā)動(dòng)網(wǎng)絡(luò)攻擊，使某個(gè)已經(jīng)認(rèn)證通過(guò)的用戶(hù)無(wú)法工作，然后，利用該用戶(hù)的 址與認(rèn)證系統(tǒng)通信 14。如圖 示，當(dāng)用戶(hù)成功地通過(guò) 證后，攻擊者可以竊取認(rèn)證者的 址，利用它偽造一個(gè)“解除聯(lián)系 (幀，假冒認(rèn)證者將此幀發(fā)送給用戶(hù)，而用戶(hù)認(rèn)為該幀是認(rèn)證者發(fā)來(lái)的，將斷開(kāi)和認(rèn)證者的連接。但此時(shí)認(rèn)證者并不知道用戶(hù)已斷開(kāi)連接，所以對(duì)該用戶(hù)仍處于授權(quán) 狀 態(tài)，攻擊者則可通過(guò)偽造該用戶(hù)的 址從而獲得認(rèn)證系統(tǒng)的服務(wù)，會(huì)話劫持攻擊取得成功。 “會(huì)話劫持”能成功的原因是由于在 證過(guò)程中，用戶(hù)身份認(rèn)證結(jié)束和開(kāi)始傳輸正常業(yè)務(wù)流的這個(gè)時(shí)刻之間，用戶(hù)狀態(tài)的轉(zhuǎn)換與認(rèn)證者狀態(tài)的轉(zhuǎn)換不同步，同時(shí) 議也沒(méi)有對(duì)管理數(shù)據(jù)幀進(jìn)行加密。 擊 在基于 認(rèn)證過(guò)程中，拒絕服務(wù)攻擊 ， 主要表現(xiàn)在以下兩方面 : (l)一種針對(duì) 證的拒絕服務(wù)攻擊就是傳統(tǒng)意義上的拒絕服務(wù)攻擊，這種攻擊實(shí)質(zhì)上是攻擊者在很短的時(shí)間內(nèi)，通過(guò)偽造大量的 連接請(qǐng)求幀 斷地向認(rèn)證者發(fā)送認(rèn)證請(qǐng)求，從而進(jìn)行洪泛攻擊。當(dāng)申請(qǐng)者發(fā)送了一個(gè)認(rèn)證請(qǐng)求而又沒(méi)有進(jìn)行連接之前，認(rèn)證者必須分配某些資源，停留在特定狀態(tài)等待申請(qǐng)者的連接請(qǐng)求，如果在很短時(shí)間內(nèi)發(fā)送大量的偽造的認(rèn)證請(qǐng)求幀，就會(huì)很快地耗盡認(rèn)證者的存儲(chǔ)和帶寬資源，使認(rèn)證者癱瘓，從而不能再繼續(xù)提供合法服務(wù)，也就無(wú)法響應(yīng)其他合法用戶(hù)的接入請(qǐng)求。 (2)另一種拒絕服務(wù)攻擊的方法是攻擊者可以通過(guò)偽造 息來(lái)斷開(kāi)連接。具體表現(xiàn)為兩種情況 : l)在 議中規(guī) 定，當(dāng)申請(qǐng)者不再需要認(rèn)證者提供的服務(wù)，想要斷開(kāi)連接時(shí)，向認(rèn)證者發(fā)送 文。如果攻擊者用申請(qǐng)者的 址信息假冒申請(qǐng)者，向認(rèn)證者發(fā)送 據(jù)包，認(rèn)證者被欺騙，將受控端口狀態(tài)轉(zhuǎn)為未授權(quán)，終止向用戶(hù)提供服務(wù)，被攻擊者被迫下線，實(shí)現(xiàn)拒絕服務(wù)攻擊。 2)在認(rèn)證者和申請(qǐng)者正常的認(rèn)證過(guò)程中，如果對(duì)客戶(hù)的認(rèn)證沒(méi)有成功，認(rèn)證者會(huì)向客戶(hù)發(fā)送據(jù)包，表示認(rèn)證失敗，這時(shí)申請(qǐng)者狀態(tài)機(jī)轉(zhuǎn)到 態(tài)，直到 605(缺省值 )后，才再次嘗試與認(rèn)證者進(jìn)行連接。攻擊者可以假冒認(rèn) 證者，向用戶(hù)發(fā)送 據(jù)包。攻 擊者只要每 605 向用戶(hù)發(fā)送一個(gè) 據(jù)包，就可以使用戶(hù)始終處于 態(tài)無(wú)法完成認(rèn)證過(guò)程從而實(shí)現(xiàn)拒絕服務(wù)攻擊。 對(duì)單個(gè)問(wèn)題的解決方案 針對(duì)單方面的安全問(wèn)題，很多學(xué)者和專(zhuān)業(yè)人士也都提出了自己的解決方法，并進(jìn)行了相應(yīng)的實(shí)踐，下面分別來(lái)進(jìn)行介紹。 (l)中間人攻擊 據(jù)格式，可以在 中增加一個(gè)認(rèn)證區(qū)段，字段內(nèi)容一般是簽名或者是高層協(xié)議產(chǎn)生的會(huì)話密鑰的 密值，但是對(duì)源真實(shí)性保護(hù)仍然不夠，黑客可以利用這一點(diǎn)進(jìn)行重放攻擊以及 擊 15。 址進(jìn)行本地運(yùn)算，從而產(chǎn)生認(rèn)證密鑰 K，并將其放在 發(fā)送給申請(qǐng)者，申請(qǐng)者進(jìn)行同樣計(jì)算后與 較，若一致，則相互認(rèn)證成功。 以，可以在原來(lái)的接 入認(rèn)證消息流中增加兩條管理消息，并要求接入認(rèn)證者在管理消息 做數(shù)字簽名。這樣，申請(qǐng)者在收到這個(gè) 息后，將認(rèn)證者的數(shù)字簽名和自己的數(shù)字簽名一同用 服務(wù)器。如果認(rèn)證服務(wù)器確認(rèn)曾受理過(guò)此認(rèn)證者的接入請(qǐng)求認(rèn)證 (通過(guò)查詢(xún)認(rèn)證紀(jì)錄 )，則再次發(fā)送 則發(fā)送 記錄可能的中間人攻擊事件。認(rèn)證者在 第二個(gè) 理消息上做數(shù)字簽名。請(qǐng)求者在收到第二個(gè)有接入認(rèn)證者數(shù)字簽名的 息后，開(kāi)始數(shù)據(jù)傳送。改進(jìn)后的消息流如圖 示 : 上層協(xié)議采用單向認(rèn)證 23l，即 證，則沒(méi)有很好的軟件辦法來(lái)彌補(bǔ)這個(gè)缺陷，只能使硬件具有唯一標(biāo)識(shí)，并且固化在硬件中使其不可更改。這樣一來(lái) ，申請(qǐng)者和認(rèn)證者的聯(lián)系就有了唯一的硬件標(biāo)識(shí)，使中間人攻擊無(wú)法奏效。 上層協(xié)議采用雙向認(rèn)證，可以在申請(qǐng)者端建立認(rèn)證者信息記錄表，當(dāng)申請(qǐng)者發(fā)送 息給認(rèn)證者時(shí)，認(rèn)證者給出 息，其中包含特定的字段 錄著具體的時(shí)間，申請(qǐng)者收到認(rèn)證者的應(yīng)答包后 將認(rèn)證者信息保存到記錄表，如果 記錄請(qǐng)求連接的時(shí)間到字段 ，同時(shí)規(guī)定認(rèn)證者發(fā)送 息必須包括 址、 申請(qǐng)者收到 息后，首先判斷 址是否與先前收到的 息中的地址一致，不同則丟棄該包，繼續(xù)發(fā)起認(rèn)證請(qǐng)求并告知認(rèn)證者連接異常。相同就繼續(xù)判斷 否與認(rèn)證者信息記錄表中的信息一致，若不同則丟棄該包并繼續(xù)發(fā)起認(rèn)證請(qǐng)求，