使用hostapd做radius服务器进行EAP认证，巩固无线安全

bestgo

- U6 Z' Z& S- X# E" l
现在企业级的WIFI应用中都是使用EAP认证了，最常见的应该是EAP-PEAP，TLS和LEAP，其中LEAP已经有破解的方法。这里主要是想使用新兴的EAP-AKA来做WIFI认证，它的应用场景是这样，电信运营商发给用户一张SIM卡，或者是3G的UIM卡，用户使用GSM和WIFI的双模手机，都可以用手机卡进行身份鉴权。这个时候在WIFI上做认证用的就是EAP-AKA。
目前支持EAP-AKA的radius服务器不多，很多都是专用的，一般用户也很难接触到，所以大多数都会选择hostapd。客户端同样也比较少，不过正在增多，一些双模手机支持EAP-AKA，比如黑莓的某几款型号。在PC上，intel proset、wpa_supplicant,Xopen,odyssey等支持EAP-AKA，在PC端，需要一个读卡器和一张SIM卡才能支持EAP-AKA。
5 D8 d% H$ t$ \. `7 R7 G目前，本人准备搭建一个测试环境，不知道该怎么进行下去，所以在这里发帖求助，希望有经验的朋友能够提供帮助，谢谢。如果有EAP方面解密研究的朋友也请提供援助，我会把我的进展发在这里。

bestgo

如何构建hostapd：
. Y% ~5 z) c- y+ R1 m1 h9 L
目前hostapd的最新版本是0.7.0，稳定版本是0.6.9，这里使用后者。
) N2 E( V0 p; K8 K# `7 e平台环境为centos 5.4，如果编译不过，可能要根据提示手工安装一些devel的包

1. 在官方站点获取tar包后解压，进入hostapd这个子目录
2. 生成.config文件，cp defconfig .config
3 @' r0 c7 D, I3 ?  U( z# B/ U. S* U3. 配置.config文件
CONFIG_DRIVER_WIRED=y
( w: C, R* i' |+ N, F# ]3 d; xCONFIG_DRIVER_NONE=y
6 w4 ]8 p! {6 K; u2 E# \) uCONFIG_EAP=y
7 t- o( w& s6 ?* gCONFIG_EAP_MD5=y
CONFIG_EAP_TLS=y
. ]( g7 M, T* B2 I* J0 x' F5 z, BCONFIG_EAP_MSCHAPV2=y
$ ?& B5 w$ d, UCONFIG_EAP_PEAP=y
CONFIG_EAP_GTC=y
CONFIG_EAP_TTLS=y
% t, Z- L5 h/ R! k1 G- O( ~# K& YCONFIG_EAP_SIM=y
4 r+ i5 L: G2 @; Z+ Y: QCONFIG_EAP_AKA=y
CONFIG_EAP_PAX=y
CONFIG_EAP_PSK=y
$ A& i$ M- m2 W4 h4 ?/ J0 ZCONFIG_EAP_SAKE=y
CONFIG_EAP_GPSK=y
CONFIG_EAP_GPSK_SHA256=y
#CONFIG_EAP_FAST=y
& e6 V% f' h* XCONFIG_EAP_IKEV2=y
2 X; ]( D* }, n9 k8 }8 ^CONFIG_EAP_TNC=y
CONFIG_PKCS12=y
CONFIG_RADIUS_SERVER=y

这里需要注意几点：

一，这里我仅仅把hostapd作为一个radius server使用，它还能做AP，.config文件的其它部分都注释掉。
$ x4 s- r( Y* x2 W
二，这里我只关心eap-aka，其它的eap类型可以根据自己需要添加，用不到的也可以注释掉。
3 c2 s+ B1 A+ O' y# \3 U! K
三，这里特别注明eap-fast需要注释掉，因为启用该认证类型需要对openssl这个库打补丁openssl-0.9.9-session-ticket.patch，否则编译会失败，系统默认的openssl版本为openssl-0.9.8e-12.el5。
6 T! b% M* [& n- B, O( a
4. 接着就make，make install
配置文件在hostapd这个目录下有范例，可以自己参考，我这里也放一下最常用配置
7 W1 P3 A9 n: i4 D9 _4 Z5. 配置hostapd.conf
7 N# Z! D5 e6 l0 y9 N# m% [/ ointerface=eth0  # 这里设置你用来提供服务的网卡接口名
5 y8 \, d2 B! z3 m. heap_server=1
4 D( [% {) M$ s$ f0 Keap_user_file=/usr/local/etc/hostapd/hostapd.eap_user
/ U" E0 a; x$ Q2 G, kca_cert=/usr/local/etc/hostapd/certs/wifiCA.pem
server_cert=/usr/local/etc/hostapd/certs/radius_cert.pem
% n: R' ]  n2 \+ c- t6 x9 Dprivate_key=/usr/local/etc/hostapd/certs/radius_key.pem
radius_server_clients=/usr/local/etc/hostapd/radius_clients
. ~: j! l) ]& m/ `$ Q) C5 J9 bradius_server_auth_port=1812   # 提供服务的端口号
# ~; n; d2 v  F( G! V  [  u6. 配置hostapd.eap_user
; r, b. U% J6 [+ J; l! X9 g1 y使用peap、tls或ttls可以这样配置，这里用户名为anywlan，密码为anywlan123：
7 q- t- O% o9 K! h4 i; |+ J*           TLS,PEAP,TTLS
"anywlan"    MSCHAPV2,GTC,PSK,PAX,SAKE,TTLS-PAP,TTLS-CHAP,TTLS-MSCHAP,MD5,TTLS-MSCHAPV2 "anywlan123" [2]
5 n! Z5 A; [% P6 t3 W5 [
: }! T# v/ w: `, R; ?) ]0 K4 a$ p7. 配置hostapd.radius_clients
允许IP为192.168.1.1的无线路由器使用这个radius服务器，共享密码为anywlan123：
, a: h9 g! e: C/ p192.168.1.1       anywlan123

运行hostapd：
hostapd hostapd.conf -dd
使用-dd选项可以输出调试信息，还可以后台运行：
2 x6 w9 F  y) I4 U' z+ mhostapd hostapd.conf -B

* n! U) ^# ?4 h2 a" T查看hostapd的状态，占用1812端口为默认的radius认证协议端口

$ n, M/ q7 s! O* A( J" Xudp        0      0 0.0.0.0:1812                0.0.0.0:*                               28046/hostapd      
$ D4 @# h" n7 g7 D* D6 Xudp        0      0 0.0.0.0:67                  0.0.0.0:*                               28046/hostapd
! e, M5 O, ?  m% |) j' `! z6 y- x现在，一个能够工作的radius服务器已经配置好了。
4 `/ M% y( p$ r! }! S4 X目前不知道该如何配置eap-sim和eap-aka这类需要智能卡辅助的认证方式，请大侠帮忙。

read796

不错，支持~

除非

帮你顶起，以免沉下去了。

aaa9898

帮你顶起来,好贴,值得大家学习.

railgun

GPU运算还是有一些可行的~~增加了运算速度

xuping1029

LZ，想咨询一下你关于EAP-AKA和EAP-SIM的问题，你这边现在什么情况了，能加我好友吗？
6 N5 ^# L3 B  J+ n. B我的QQ：450521723

xuping1029

我在make的时候出现了如下错误，该如何解决？急

xuping1029

我用的系统是ubuntu 10.04

tufeizhu

你好楼主，请教一下如何用make命令啊，如何还有如何生成证书啊

tufeizhu

可以加我好友吗956838593