使用hostapd做radius服务器进行EAP认证，巩固无线安全

bestgo

* {6 r# |) Q* @. l' x/ |: x
  K- l3 F1 i5 k% D! E  k& a现在企业级的WIFI应用中都是使用EAP认证了，最常见的应该是EAP-PEAP，TLS和LEAP，其中LEAP已经有破解的方法。这里主要是想使用新兴的EAP-AKA来做WIFI认证，它的应用场景是这样，电信运营商发给用户一张SIM卡，或者是3G的UIM卡，用户使用GSM和WIFI的双模手机，都可以用手机卡进行身份鉴权。这个时候在WIFI上做认证用的就是EAP-AKA。
目前支持EAP-AKA的radius服务器不多，很多都是专用的，一般用户也很难接触到，所以大多数都会选择hostapd。客户端同样也比较少，不过正在增多，一些双模手机支持EAP-AKA，比如黑莓的某几款型号。在PC上，intel proset、wpa_supplicant,Xopen,odyssey等支持EAP-AKA，在PC端，需要一个读卡器和一张SIM卡才能支持EAP-AKA。
目前，本人准备搭建一个测试环境，不知道该怎么进行下去，所以在这里发帖求助，希望有经验的朋友能够提供帮助，谢谢。如果有EAP方面解密研究的朋友也请提供援助，我会把我的进展发在这里。

bestgo

! I/ u' b* M- t9 J: ~* z如何构建hostapd：

: o: x' d  F. V目前hostapd的最新版本是0.7.0，稳定版本是0.6.9，这里使用后者。
平台环境为centos 5.4，如果编译不过，可能要根据提示手工安装一些devel的包

1. 在官方站点获取tar包后解压，进入hostapd这个子目录
9 z0 ?, \: L5 `) s- q  u2. 生成.config文件，cp defconfig .config
3. 配置.config文件
$ J  T3 Y2 n9 o4 A3 p1 t" w% s. GCONFIG_DRIVER_WIRED=y
9 I! ?# y& a8 ~' b4 n8 D4 sCONFIG_DRIVER_NONE=y
CONFIG_EAP=y
CONFIG_EAP_MD5=y
8 A: [2 m$ o6 F" u/ o$ H- z' FCONFIG_EAP_TLS=y
CONFIG_EAP_MSCHAPV2=y
) s* A! |) g0 U* @CONFIG_EAP_PEAP=y
CONFIG_EAP_GTC=y
" J. W) ~' d. kCONFIG_EAP_TTLS=y
# i1 i) `3 j% j; K+ k: j- SCONFIG_EAP_SIM=y
CONFIG_EAP_AKA=y
. D  {; i9 Q+ P; _" o1 {CONFIG_EAP_PAX=y
1 g3 W+ g4 ?( t- kCONFIG_EAP_PSK=y
: U) U- h" L: u1 m( w1 YCONFIG_EAP_SAKE=y
CONFIG_EAP_GPSK=y
CONFIG_EAP_GPSK_SHA256=y
8 L8 C* }0 f( p% e: v; x1 e#CONFIG_EAP_FAST=y
2 H, u' d% n" ]( u8 F% s# N( nCONFIG_EAP_IKEV2=y
. w& T9 h5 I3 e4 P$ D$ l: ^* G  yCONFIG_EAP_TNC=y
! k/ N# q9 ~% ?7 T& r9 i/ W: pCONFIG_PKCS12=y
CONFIG_RADIUS_SERVER=y
( Z5 @7 w: _5 l( h  W9 i. M
4 N8 Z- `+ p' K! g这里需要注意几点：
( P& E; ~& x/ t6 x$ h8 j# `
一，这里我仅仅把hostapd作为一个radius server使用，它还能做AP，.config文件的其它部分都注释掉。

二，这里我只关心eap-aka，其它的eap类型可以根据自己需要添加，用不到的也可以注释掉。

  g4 K- i7 p2 D- U2 P三，这里特别注明eap-fast需要注释掉，因为启用该认证类型需要对openssl这个库打补丁openssl-0.9.9-session-ticket.patch，否则编译会失败，系统默认的openssl版本为openssl-0.9.8e-12.el5。

4. 接着就make，make install
配置文件在hostapd这个目录下有范例，可以自己参考，我这里也放一下最常用配置
1 ^; W1 T& B8 v! p. T5. 配置hostapd.conf
interface=eth0  # 这里设置你用来提供服务的网卡接口名
% L6 J0 A/ u( Leap_server=1
! m- K* d1 o! Q# h0 d/ ceap_user_file=/usr/local/etc/hostapd/hostapd.eap_user
% M8 v. h2 g% P& `$ aca_cert=/usr/local/etc/hostapd/certs/wifiCA.pem
server_cert=/usr/local/etc/hostapd/certs/radius_cert.pem
& C! S! {& z1 q6 ]) T5 gprivate_key=/usr/local/etc/hostapd/certs/radius_key.pem
) {9 J- W/ P( z: F. ~+ Tradius_server_clients=/usr/local/etc/hostapd/radius_clients
$ d# M& G- m$ k# a! C. Y7 ?radius_server_auth_port=1812   # 提供服务的端口号
6. 配置hostapd.eap_user
使用peap、tls或ttls可以这样配置，这里用户名为anywlan，密码为anywlan123：
*           TLS,PEAP,TTLS
$ z- [+ q# k* Y6 _$ k, L"anywlan"    MSCHAPV2,GTC,PSK,PAX,SAKE,TTLS-PAP,TTLS-CHAP,TTLS-MSCHAP,MD5,TTLS-MSCHAPV2 "anywlan123" [2]
$ d% @, ?( a3 Y
7. 配置hostapd.radius_clients
* J/ N8 Y. `8 F8 I6 j. v允许IP为192.168.1.1的无线路由器使用这个radius服务器，共享密码为anywlan123：
# Q) k; w4 \3 L' r( |( G  _* a8 v192.168.1.1       anywlan123

运行hostapd：
; A, N+ S* \, L  }$ e' x' nhostapd hostapd.conf -dd
9 P. i# ~% R/ `/ o+ r0 h使用-dd选项可以输出调试信息，还可以后台运行：
hostapd hostapd.conf -B

1 A8 T! }( d( X( x查看hostapd的状态，占用1812端口为默认的radius认证协议端口

udp        0      0 0.0.0.0:1812                0.0.0.0:*                               28046/hostapd      
4 c# G) j# w6 B) s" kudp        0      0 0.0.0.0:67                  0.0.0.0:*                               28046/hostapd
( O/ C2 J, V% w1 ~$ a% S现在，一个能够工作的radius服务器已经配置好了。
目前不知道该如何配置eap-sim和eap-aka这类需要智能卡辅助的认证方式，请大侠帮忙。

read796

不错，支持~

除非

帮你顶起，以免沉下去了。

aaa9898

帮你顶起来,好贴,值得大家学习.

railgun

GPU运算还是有一些可行的~~增加了运算速度

xuping1029

LZ，想咨询一下你关于EAP-AKA和EAP-SIM的问题，你这边现在什么情况了，能加我好友吗？
" T* e- p( a3 X! f# [1 y- F# l我的QQ：450521723

xuping1029

我在make的时候出现了如下错误，该如何解决？急

xuping1029

我用的系统是ubuntu 10.04

tufeizhu

你好楼主，请教一下如何用make命令啊，如何还有如何生成证书啊

tufeizhu

可以加我好友吗956838593