1.4 Аутентификация в сетях 802.11.
Стандарт IEEE 802.11 сети с традиционной безопасностью
Стандарт IEEE 802.11 с традиционной безопасностью (TraditionSecurityNetwork - TSN) предусматривает два механизма аутентификации беспроводных абонентов: открытую аутентификацию (Open Authentication) иаутентификациюсобщимключом (Shared Key Authentication). В аутентификации в беспроводных сетях также широко используются два других механизма, выходящих за рамки стандарта 802.11, а именно назначение идентификатора беспроводной локальной сети (ServiceSetIdentifier - SSID) и аутентификация абонента поего MAC-адресу (MAC AddressAuthentication).
Принцип аутентификации абонента в IEEE 802.11
Аутентификация в стандарте IEEE 802.11 ориентирована на аутентификацию абонентского устройства радиодоступа, а не конкретного абонента как пользователя сетевых ресурсов. Процесс аутентификации абонента беспроводной локальной сети IEEE 802.11 состоит из следующих этапов:
Абонент (Client) посылает фрейм ProbeRequest во все радиоканалы.
Каждая точка радиодоступа (AccessPoint - AP), в зоне радиовидимости которой находится абонент, посылает в ответ фрейм ProbeResponse.
Абонент выбирает предпочтительную для него точку радиодоступа и посылает в обслуживаемый ею радиоканал запрос на аутентификацию (AuthenticationRequest).
Точка радиодоступа посылает подтверждение аутентификации (AuthenticationReply).
В случае успешной аутентификации абонент посылает точке радиодоступа фрейм ассоциации (AssociationRequest).
Точка радиодоступа посылает в ответ фрейм подтверждения ассоциации (AssociationResponse).
Абонент может теперь осуществлять обмен пользовательским трафиком с точкой радиодоступа и проводной сетью.
Рисунок 2 - Аутентификация по стандарту 802.11
При активизации беспроводный абонент начинает поиск точек радиодоступа в своей зоне радиовидимости с помощью управляющих фреймов ProbeRequest. Фреймы ProbeRequest посылаются в каждый из радиоканалов, поддерживаемых абонентским радиоинтерфейсом, чтобы найти все точки радиодоступа с необходимыми клиенту идентификатором SSID и поддерживаемыми скоростями радиообмена. Каждая точка радиодоступа из находящихся в зоне радиовидимости абонента, удовлетворяющая запрашиваемым во фрейме ProbeRequest параметрам, отвечает фреймом ProbeResponse, содержащим синхронизирующую информацию и данные о текущей загрузке точки радиодоступа. Абонент определяет, с какой точкой радиодоступа он будет работать, путем сопоставления поддерживаемых ими скоростей радиообмена и загрузки. После того как предпочтительная точка радиодоступа определена, абонент переходит в фазу аутентификации.
Открытая аутентификация
Открытая аутентификация по сути не является алгоритмом аутентификации в привычном понимании. Точка радиодоступа удовлетворит любой запрос открытой аутентификации. В процессе открытой аутентификации происходит обмен сообщениями двух типов:
запрос аутентификации (AuthenticationRequest);
подтверждение аутентификации (AuthenticationResponse).
Таким образом, при открытой аутентификации возможен доступ любого абонента к беспроводной локальной сети. Если в беспроводной сети шифрование не используется, любой абонент, знающий идентификатор SSID точки радиодоступа, получит доступ к сети.
Рисунок 3 - Открытая аутентификация
Аутентификация с общим ключом
Аутентификация с общим ключом является вторым методом аутентификации стандарта IEEE 802.11. Аутентификация с общим ключом требует настройки у абонента статического ключа шифрования WEP. Процесс аутентификации иллюстрирует рис. 9.3:
Абонент посылает точке радиодоступа запрос аутентификации, указывая при этом необходимость использования режима аутентификации с общим ключом.
Точка радиодоступа посылает подтверждение аутентификации, содержащее ChallengeText.
Абонент шифрует ChallengeText своим статическим WEP-ключом и посылает точке радиодоступа запрос аутентификации.
Если точка радиодоступа в состоянии успешно расшифровать запрос аутентификации и содержащийся в нем ChallengeText, она посылает абоненту подтверждение аутентификации, таким образом предоставляя доступ к сети.
Рисунок 4 - Аутентификация с общим ключом