【毕业学位论文】（Word原稿）基于IEEE802.Ix协议的以太网接入认证技术-软件工程

摘要 在现代宽带技术发展的过程中，以太网技术以其技术简单、成本低廉、高带宽等特点获得迅猛的发展，由桌面办公环境逐步进入到了宽带接入网的应用领域中。但其“连通和共享”的特性，使得该技术在接入网中的应用出现了安全隐患和难以实现用户差别化服务的问题，因此开发以太网接入的认证技术成为构建可管理、可运营网络至关重要的条件。 基于 议的以太网接入认证技术，实现了分散的用户控制和集中的认证管理，可有效解决传统认证方式存在的问题，更适合在宽带以太网中使用。本文的工作主要集中在以下几个方面：通过对各种宽带 接入技术的比较，分析了以太网接入的优势及其存在的安全问题，提出了接入认证的作用和意义，并简要论述了接入认证技术的发展现状。较全面地阐述了 作机制和认证各方所采用的通信协议。对目前主要认证技术 ( 性能进行了分析比较，指出 以太网接入认证中所具有的优势。证的以太接入网的网络结构，对其中主要设备的工作机制和功能做了简要阐述，总结了在现有网络中实现 证需要考虑的硬件兼容问题和相应的解决方法。针对 常见的网络安全漏洞提出了 入认证的防范措施。 在 议的基础上，通过对 求方的功能分析，在 实现了 出了客户端软件的总体结构，各模块的主要功能和工作流程。在对这些功能模块的论述过程中还做了以下工作：讨论了基于 法的身份验证法 工作机制、描述了请求方 态机和密钥接收状态机。该软件的实现为 证的后续开发和研究提供了客户端的支持和源代码级的资料，具有较为重要的参考价值。 关键词： 入认证以太网接入扩展认证协议 it a in a is an in 001,by is a a eb,t is to so it is to of At as of by it,in of to a of of of to a 第一章绪论 究背景 随着移动办公及驻地网运营等应用的大规模发展，服务提供者需要对用户的接入进行控制和配置。尤其是 应用和 入在电信网上大规模开展，有必要对端口加以控制以实现用户级的接入控制， 是 了解决基于端口的接入控制 (1而定义的一个标准。 带网络认证系统的必要性 在 02 定义的局域网环境中，只要存在物理的连接口，未经授权的网络设备就可以接入局域网，或者是未经授权的用户可以通过连接到局域网的设备进入网络。例如：一个可以访问公共网络的大厦的办公网，或者是某个组织机构与其他组织连接的网 络。在这样的网络环境中，往往不希望未经授权的设备或用户连接到网络，使用网络提供的服务。后来，随着局域网技术的广泛应用，特别是在运营网络中的应用，对其安全认证的要求已经提到了议事日程上。如何既能够利用局域网技术简单、廉价的组网特点，同时又能够对用户或设备访问网络的合法性提供认证，是目前业界讨论的焦点。 议正是在这样的背景下提出的。 1。 基于端口的访问控 制（ 够在利用 02 优势基础上提供一种对连接到局域网（ 备或用户进行认证和授权的手段。通过这种方式的认证，能够在 种多点访问环境中提供一种点对点的识别用户的方式。这里端口是指连接到 一个单点结构，可以是被认证系统的 址，也可以是服务器或网络设备连接 者是在 线 境中定义的工作站和访问点。 内外现状和发展趋势 统计数字表明，目前全球 85%的 网络采用以太网技术。以太网技术的优势是成本低、灵活，在接入领域使用以太网技术作为产品开发平台已经成为一个必然的发展趋势，有一统天下之势。以前用以太网技术开发的相关产品，比如以太网交换机和无线局域网等设备，主要应用于企业环境，不能很好地满足商业应用领域或企业客户业务与网络融合更加紧密的需要，比如管理性不强、对业务的识别控制能力不强，无论是在企业网还是在电信网中，以太网产品都需要加以变革才能真正地适应用户的需求。目前国内流行的认证方式较多，主要有基于 证、 证等。 这些认证方式各有千秋。但是，针对 入 ,目前传统采用的宽带接入服务器和 证方式还存在一些问题 2。宽带接入服务器需要终结大量用户的 话， 并且转发 据包，某种程度上使得宽带接入服务器成为网络的瓶颈。 到点传输的特点极大地限制了宽带城域网所要开展的组播视频业务。此外，宽带接入服务器引入也无形中增加了宽带城域网的建设成本。而 于端口访问控制的技术，实现了用户设备在城域网边缘的分散用户控制和集中的认证管理；可以替代宽带接入服务器实现城域网范围内的用户管理功能 ，并且可以克服 来的诸多问题， 仅关注端口的打开和关闭 ,是十分简单高效的认证方式 3。 基于端口的访问控制协议，是 了解决基于端口的接入控制而定义的一个标准。它对认证方式和认证体系结构进行了优化，解决了传统 证方式带来的问题，更适合在宽带以太网中的使用，便于宽带网络建立一个可运营、可管理的城域电信网络。证具有使用简单、不需要特殊的设备支持，同时支持各种网络，因而广泛应用于校园网络，能够方便实现对接入用户进行全网管理； 在功能点上，能够充分解决 突、 用等问题；实现 号等多元素绑定，确保用户的唯一性、安全性。国内外的许多大学等都相继基于 络开发了 证系统。一些高校和中等职业技术学校也纷纷建立自己的校园网。一些公司企业也相继开发了功能各异的基于 议的交换机以及 证系统，如华为 证系统，实达基于 组网方安等。各种各样的基于 议的认证系统如雨后春笋般层出不穷。 证系统的发展过程 计算机技术与通信技术的结合促进 了计算机局域网络的飞速发展，从 20 世年代末 0 年代中期 1000换式以太网的登台亮相，短短十年间经过了从单工到双工，从共享到交换，从低速到高速，从简单到复杂，从到普及的飞跃。 20 世纪 80 年代中后期，由于通信量的急剧增加，促进了技术的使局域网的性能越来越高。最早的 1速率已广泛地被今天的 100代。但是，传统的媒体访问方法都局限于使大量的站点共一个公共传输媒体的访问，即 式。 90 年代初，随着计算机性能高及通信量的剧增，传统局域网 已经愈来愈超出了自身的负荷，交换式以太网技运而生，大大提高了局域网的性能4。 随着以太网的广泛应用，用户数量的增多，认证技术相续出现，早期的认证是一种人工的认证方式。人工统计合法用户，然后通过与交换机的连接来控制。一点就是用拔网线的方式来控制上网用户。这种方式非常麻烦，而且不利于局域控制，该方式只能用于小型局域网，一但用户数量过多，基本上是不可操作。随着认证和 证的方式的出现解决了这种问题，但是由于在 证中，系统必须将每个包进行拆解，以验证用户的合法性，一旦用户数量剧增或数据包封装速 度跟不上，就很容易形成网络瓶颈。而且这种认证方式的大量拆解包过要通过价格不菲的设备完成，因而增加了网络部署与运营成本。而 种基于业务类型的认证，尽管无需特定客户端软件，只需浏览器即可完成，极大便了用户。但由于这种认证方式需要七层协议支持，为实现二层连接与认证而七层，不仅不符合网络逻辑，而且这种基于七层的认证对四层以 下的网络问题往测不到，尤其是对断电、突发故障等必须在二层检测的异常离线情况往往束手 。同时，在 证体系中，用户首先获得 址，再通过客户端认证无疑是对 址资源的极大浪费；而且分配 址的 证服务器对用户而全裸露，极易遭受恶意攻击，导致整个认证系统的瘫痪。在这种情况下， 电子工程师协会为解决基于端口的网络接入控制问题，研发出了新的 举解决了 传统认证方式的不足，成为一种可以较为理满足当前日益增长的宽带以太网与无线 证需求的新型认证解决方案 5。 文选题背景 本课题源于 交换机的认证功能的开发 ， 证系统为 交换机 的一个重要组成部分。网络安全技术的重要组成部分的认证技术。 校园 网 是一个很复杂的网络，他面向的对象主要是学校里面的老师和学生。由于此项目涉及到数栋教师、学生宿舍楼，信息点达到数千个。整个网络十分复杂，要对数千个信息点进行管理、监控，涉及到网络管理、认证、计费、安全、网络故障查找等方面的复杂应用。为了满足对用户的管理，网络的控制，把 校园 网建设成一个安全可靠、可运营、可管理的网络。为了避免滥用网络给学校和社会带来不必要的损失和危害。所以该系统采用了业界最新流行的 证计费系统。 文主要研究工作 议有效解决了传统的 证方式带来的问题如网络认证瓶颈，优化了认证过程，降低了建网成本，增强了网络安全，因此 证方式可为运营商采用以太网接入技术建设可运营、可管理的电信级宽带网络提供很好的支持。目前 议已成为主流交换机的标准配置，也是用户在选型时考察设备的一个指标。因此本文选择 议作为毕业论文设计的目的，在于深入学习 种新兴的接入认证方式，在通过对该协议进行分析研究的基础上，解决实际应用中遇到的问题，为 802.l x 认证方式的应用提供一点参考 6。 本文主要讨论作为网络安全技术 的重要组成部分的认证技术，校园网中的应用和实现并提出自己的改进意见和看法。论文的主要研究内容是根据目前赛尔宽带的现状和需求，设计一个通用性强的基于 议的上网认证系统，并在实际应用中予以实现和评价。具体的研究内容如下： （ 1）对目前的国内外几种流行的认证方式研究发展概况进行全面分析，找出存在 的差距与不足，明确采用 证方式。 （ 2）完成整个网络运营平台的实施模式和详细设计，提供了相当完善的功能。其中包括认证系统、用户管理、计费和费用管理、网 络管理、网络安全、网络控制、 。 （ 3）对 证系统原理与工作机制做详细的分析。详细设计满足宽带网络的私有协议。 （ 4） 通过 结合设计与分析系统 来讨论 该运营平台 是如何 实现 的 。 （ 5）提出 证系统目前还存在的问题，以及对未来的展望。 由于 是提出了一个认证协议框架， 它 必须和 其它 协议 协同工作，所以先详细的介绍 技术细节，本论文简要的介绍了 议和 议，并介绍了这两个协议如何和 同搭建认证体系结构。其次为了讨论了 话，论文先讨论了和 关的网络安全背景知识后，介绍了 议。至此，基于 认证系统所涉及的知识介绍完成后，论文介绍了在 台下客户端的实现，如何搭建务器，和对 3 层交换机进行配置使之成为认证方。了对比，并对 出了修改意见。 文的组织结构 本文一共分为 6 章，各章的主要内容如下： 第 1 章是绪论，主要介绍选题背景、研究现状、论文的 内容及组织结构等。 第 2 章是 议及安全问题分析，介绍了 议及存在的安全问题， 描述了己有的一些解决方案，并对这些方案的优缺点进行了总结。 第 3 章首先 分析 三种接入认证技术 ， 然后通过比较三种接入认证技术，最后叙述 第 4 章是重点，主要介绍 议 在 台的实现，叙述了 议 的客户端的交互、交互过程中的客户端的状态机 以及交互过程中的报文信息。 第 5 章是系统测试， 介绍客户端、交换机、服务器的配置，验证 接入认证功能 。 第 6 章是总结和展望，对整个课题完成情况进行总结，分析设计实现中的重点和难点，并提出了进一步的工作。 第二章 议和相关解决方案分析 议称为基于端口的访问控制协议 (议的主要目的是为了解决无线局域网用户的接入认证问题。在 议出现之前，有线局域网应用都没有直接控制到端口的方法，也不需要控制到端口。为了实现对用户级接入的需求， 义了 议。 该协议提供了一种对设备进行认证和授权的方法，在认证和授权过程失败的情况下防止对端口进行访问。 其结构如图 2示 : 客户端客户端受控端口认证服务器认证服务器设备端证 系统机构 客户端一般为一个用户终端系统，该终端系统通常要安装一个客户端软件，用户通过启动这个客户端软件发起 议的认证过程。为支持基于端口的接入控制，客户端到认证者端采用 议，因此客户端需要支持 议。 认证者通常为支持 议的网络设备。 该设备对应于不同用户的端口，一般有两个逻辑端口 :受控端口和不受控端口。不受控端口始终处于双向连通状态，主要用来传递 证客户端始终可以发出或接受认证。受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务。受控端口可配置为双向受控、仅输入受控两种方式，以适应不同的应用需求。如果用户未通过认证，则受控端口处于未认证状态，用户无法访问认证系统提供的服务。 认证服务器通常为支持 议的 务器，该服务器可以存储有关用户的信息，比如用户名、密码、访问流量和时间、用户的访问控制列表 等等。认证者端到认证服务器采用议。当用户通过认证后，认证服务器会把用户的相关信息传递给认证者，由认证者系统构建动态的访问控制列表，用户的后续流量就将接受上述参数的监管。 在 议 7中认证者在客户端和认证服务器之间起传递认证信息的作用，这样就将客户端和认证服务器从逻辑上分开，它们之间不直接通讯，增强了认证过程的安全性。 认证流程 在基于 证技术的网络系统中，在用户对网络资源进行访问之前必须要完成如图 客户端P A E 设备端P A E R A D I U S 服务器手定时器超时握手请求报文手应答报文.证系统的 式业务流程 根据上述认证流程，对 认证过程简要说明如下 : (l)申请者启动客户端程序，发出认证请求报文 证过程开始 ; (2)认证者收到消息后向申请者发送 息，要求申请者提 供认证信息 ; (3)申请者响应认证者发出的请求，通过数据帧 用户名信息发送给认证者。认证者将申请者送上来的数据帧经过封包处理后通过 据帧送给认证服务器进行处理 : (4)认证服务器收到认证者转发上来的用户名信息后，将该信息与数据库中的用户名表相比较，找到该用户名对应的口令信息，用随机生成的一个加密字对它进行加密处理，同时将此加密字通过 传送给认证者，由认证者通过 传给申请者 ; (5)申请者收到由认证者传来的加密字后，用该加密字对口令部分进行加密处理，并通过据帧交给认证者，认证者通过枷 再传给认证服务器 : (6)认证服务器将送上来的加密后的口令信息和自己经过加密运算后的口令信息进行对比，如果相同，则认为该用户为合法用户，反馈认证通过的消息 其传给认证者，认证者发出打开端口的指令，并通过 通知用户可通过端口访问网络。否则，反馈认证失败的消息，并保持认证者端口的关闭状态，只允许认证信息数据通过而不允许业务数据通过 ; (7)当用户要求下线或者是用户系统关机等需要断开网络连接时，请求方发送一个断网请求认证者，然后认证者即把端口设为非授权状态，从而断开连接。 议 是 证中的一个通用协议，可以支持多种认证机制。特点是 链路控制阶段没有选定一种认证机制，而把这一步推迟到认证阶段。它允许认证者作为后端认证服务器的代理，仅查看认证的成功与否。 格式如图 示 : 帧格式 其中 段取值为 求 /应答 包中 的类型域规定了 各种类型，其中， 段的取值主要有以下几种 : l)来查询对方的身份 ; 2)认证者用来向对方传递一条可显示的消息 ; 3)对应答包有效，作为不接受请求认证类型时的响应 ; 4) 似于 议，包含质询消息 ; 5)求包中含有一个 询消息 ; 6)于要求用户输入各种类型的令牌卡。 议有多种表现形式，议中，申请者和认证者之 间采用 议，认证者和认证服务器之间采用议 9。 (l) 证机制中，申请者和认证者之间在数据链路层传递的认证信息是 据帧。定义了 据包的一种封装技术。目前， 要用于以太网和令牌环网 /。以太网 ( 据帧的格式如图 示 : 帧格式 其中队 含队 E 使用的以太网类型值。 定 据帧发送方所支持的 议版本号。 明当前 的类型。 长度。 含了该数据包所传输的数据。 定义了如下 类型 ( 1) 证信息帧，值为 00000000，用于承载认证信息 ; 2) 证发起帧，值为 00000001， 可以发起 : 3) 出请求帧，值为 00000010，用户可主动终止已认证状态 ; 4) 钥信息帧，值为 00000011，支持对 文的加密 ; 5) 为 00000100，用于支持 文 ; 其中 在发起者和认证者之间存在 ;当 发起者和认证服务器之间传递时，由认证者将报文重新封装，并承载于 便穿越复杂的网络到达认证服务器，但一般 的 息不会改变，这时候的认证者仅仅起到中继作用。 (2)0 议体系结构中除了有申请者和认证者之外，还引入了一个重要的组成部分，那就是认证服务器。一般情况下，认证者与认证服务器之间的 证信息的交 承载的。 义了在 户端和服务器之间传输认证、授权和配置信息的协议。将 文从访问服务器送到 务器的一种认证机制。在 证者可以作为 客户端，将连接请求和计帐信息传递给 务器。为了便于 议的封装，在原有 议的基础上增加了若干新的属性，其中有两个属性极为重要 : 息 )和 息认证码 )。 据报文格式如图 示 : 据报文格式 代码 (编码域占一个字节，该值决定了 据包的类型。在接收到一个无效编码域的协议包后， 务器会直接丢弃该数据包。 定了如下编码 : l 接入请求 ( 2 接入应答 ( 3 接入拒绝 ( 4 计费请求 ( 5 费应答 ( 11 接入询问 ( 12 服务器状态 ( 13 客户机状态 ( 标识符 ( 标识符域占一个字节，用于辅助鉴别请求包与响应包。如果在一个很短的时间片内，不同请求有相同的源 址、源 口号和标识符，则 务器会认为这是上一个请求的重复。 长度 (长度 域占两个字节，它指包括编码、标识符、长度、鉴别码和属性域在内的数据包的总长度。如果数据包的长度比这个长度要短，则此数据包会被直接丢弃。数据包最小的长度是 20 个字节，最大的长度是 4096 个字节。 鉴别码 (鉴别码占十六个字节，其中最重要的字节最先被传输。这个值是用来鉴别 信的数据源和隐藏用户密码的。根据所在数据包的不同，可将它分为请求鉴别码和响应鉴别码两大类。 属性 (性在请求和响应协议包中携带详细的认证、授权、信息和配置细节。所有的 属性在数据包中均以变长的类型、长度和值这样的三元组的形式出现。其结构如图 示 : 性字段的结构 (3)1 就如前面内容中所提到的，本文中 上层认证协议采用 证，即 向认证。 议标准是 一个派生。 构位于 应用层协议之间，提供的安全通道有机密性、确认性、可靠性三个特性。 议主要有两个部分 :录协议 (在这之上的几个 协议更改密码规格 协议 (告警协议(握手协议 (其中握手协议在客户和服务器双方进行保密通信前确定密钥、加密认证算法等安全参数，协议的大部分内容就是通信双方如何利用它来安全地协商出一份密钥，握手协议由一系列在客户和服务器之间交换的报文组成，这些报文中包括客户端和服务器端的 书等等。 在 构体系中采用 证方式，就成了 证。 了具有 证机制的优点外，还具有 优点 :双向身份认证 ;密钥协商的保密性 ;消息协商的可靠性。 如图 示为 据包格式 ( 同 格式 ): C o d e I d e n t i f i e r L e n g t h T y p e T y p e D a t aF l a g S M e s s a g e L e n g t h T L S D a t 据包格式 3，指明 个字节， 证 ; 标志位域，有 L、 M、 S 标志位。 L=位表示包含后面的 ; M=帧的时候，除了最后一个分帧，其余都要置位 ; S= 置位 ; 个字节，指明 长度 ; 据记录协议封装的 文，一个 录的最大长度是 16384 字节，但是一个 息可能包含多个 录，为了避免一次传送的 息超出 度或是最大 长度等，设置 息的最大长度为 1398。 证过程如下 : l)客户首先通过 安全认证，与认证者关联，建立起物理链路 ; 2)客户发起 证请求，向认证者发出 据包 ; 3)认证者发送 ，要求客户的 4)客户端发送 ，将自己的用户名信息发送给认证者 ; 5)认证者将客户的用户名信息重新封装成 发送给 证服务器 ; 6)认证服务器查看服务器数据库有该用户名后，发起 证请求 ; 7)认证者将 证请求封装在 中 发给客户 ; 8)客户得到 证请求后，开始 证流程 ; 9)经过双方互相认证后，认证服务器以 束 证，而客户 响应一个无任何数据的 ; 10)认证服务器在确定了该用户为合法用户之后向认证者发送 ，同时将算出的对等主密钥 密钥材料封装在 2属性中 ; 11)认证者解析 取出密钥材料，打开网络资源端口并发送 知客户认证成功。至此 证完成。接下来客户端和认证者 之间的会话交互由在 生出来的会话密钥加密保护。 (4)书在 的应用 在 证过程中，客户端和服务器端是通过使用 书来证明自己的身份的。一般来说，证书是作为分发公钥问题的解决方案而使用的。公钥证书是从某个实体获得的数字签名声明，表示另一个实体的公钥 (及其它一些信息 )，具有某些特定值。 准规定了证书可以包含什么信息，并说明了记录信息的方法。除了签名外，所有 X， 509 证书还包含以下数据 : l)版本 识别用于该证书 的 X， 509 标准的版本，这可以影响证书中所能指定的信息。 迄今为止，己定义的版本有三个。 2)序列号 发放证书的实体有责任为证书指定序列号，以使其区别于该实体发放的其它 证书。此信息用途很多。例如，如果某一证书被撤消，其序列号将放到证书撤消 清单 (。 3)签名算法标识符 用于识别 写证书时所用的算法。 4)签发人姓名 签写证书的实体的 称。它通常为一个 用该证书意味着信任签 写该证书的实体。 5)有效期 每个证书均只能在一个有限时间段内有效。该有效期以起始日期和时间及终止日期和 时间表示，可以短至几秒或长至一世纪。该有效期取决于许多因素，如用于签写证书的私钥的使用频率及愿为证书支付的金钱等。它是在没有危及相关私钥的条件下，实体可以依赖公钥值的预计时间。 6)主体名 证书可以识别其公钥的实体名。此名称使用 准，因此在 应是唯一的。 7)主体公钥信息 这是被命名实体的公钥，同时包括指定该密钥所属公钥密码系统的算法标识符及所有相关的密钥参数。 议的安全问题 在分析了 体系结构和认证过程之后，不难发现，尽管 经在某种程度上提供了更高层次上的安全性，但其自身仍然存在很多的不安全的因素，其中最主要的是缺少相互认证过程及对数据的源真实性和完整性保护，针对这些不安全因素可以实现很多种攻击。 间人攻击 议最重要的缺陷是申请者和认证者的状态机不平等。根据标准，认证者的受控端口只有当会话通过认证后才打开。而对于申请者，端口始终是处于已认证状态。申请者与认证者之间的这种单向认证使申请者容易遭到中间人攻击 13。 证者状态机只接受 息，并且只发送 息，而申请者状态机不发送 息，显然状态机执行的是单向认证。 如果 层协议采用的也是单向认证将使整个认证体系更加脆弱。 实能提供 强相互认证但不是强制的而且也可以绕过 行中间人攻击。如图 示是一个简单的中间人攻击的例子 : 当认证者从 务器收到 息后，就向申请者发送一个 息。这就提示状态机认证己经成功。无论上层认证方法采用 条消息都没有完整性保护，而且不管当前条件是什么，申请者的状态机无条件地转换到已认证状态。因此，攻击者可以伪造这个数据包来冒充认证者实现中间人攻击。这样被攻击的申请者会认为冒充的认证者就是合法的认证者，并把数据包发送到这个冒充的认证者，这样，攻击者就在申请者和认证者之间传输数据，并可以随意地篡改。 话劫持 在 议中，对用户的认证是在会话开始进行，一旦用户通过认证，则对应用户的逻辑受控端口就转为授权状态，用户可以自由获得网络服务。在用户接受认证系统服务的过程中，除 非到了预先设置的重新认证时间，认证系统不再对该用户进行认证。 利用 议的这个设计缺陷，攻击者可以进行会话劫持攻击。攻击者可以发动网络攻击，使某个已经认证通过的用户无法工作，然后，利用该用户的 址与认证系统通信 14。如图 示，当用户成功地通过 证后，攻击者可以窃取认证者的 址，利用它伪造一个“解除联系 (帧，假冒认证者将此帧发送给用户，而用户认为该帧是认证者发来的，将断开和认证者的连接。但此时认证者并不知道用户已断开连接，所以对该用户仍处于授权 状 态，攻击者则可通过伪造该用户的 址从而获得认证系统的服务，会话劫持攻击取得成功。 “会话劫持”能成功的原因是由于在 证过程中，用户身份认证结束和开始传输正常业务流的这个时刻之间，用户状态的转换与认证者状态的转换不同步，同时 议也没有对管理数据帧进行加密。 击 在基于 认证过程中，拒绝服务攻击 ， 主要表现在以下两方面 : (l)一种针对 证的拒绝服务攻击就是传统意义上的拒绝服务攻击，这种攻击实质上是攻击者在很短的时间内，通过伪造大量的 连接请求帧 断地向认证者发送认证请求，从而进行洪泛攻击。当申请者发送了一个认证请求而又没有进行连接之前，认证者必须分配某些资源，停留在特定状态等待申请者的连接请求，如果在很短时间内发送大量的伪造的认证请求帧，就会很快地耗尽认证者的存储和带宽资源，使认证者瘫痪，从而不能再继续提供合法服务，也就无法响应其他合法用户的接入请求。 (2)另一种拒绝服务攻击的方法是攻击者可以通过伪造 息来断开连接。具体表现为两种情况 : l)在 议中规 定，当申请者不再需要认证者提供的服务，想要断开连接时，向认证者发送 文。如果攻击者用申请者的 址信息假冒申请者，向认证者发送 据包，认证者被欺骗，将受控端口状态转为未授权，终止向用户提供服务，被攻击者被迫下线，实现拒绝服务攻击。 2)在认证者和申请者正常的认证过程中，如果对客户的认证没有成功，认证者会向客户发送据包，表示认证失败，这时申请者状态机转到 态，直到 605(缺省值 )后，才再次尝试与认证者进行连接。攻击者可以假冒认 证者，向用户发送 据包。攻 击者只要每 605 向用户发送一个 据包，就可以使用户始终处于 态无法完成认证过程从而实现拒绝服务攻击。 对单个问题的解决方案 针对单方面的安全问题，很多学者和专业人士也都提出了自己的解决方法，并进行了相应的实践，下面分别来进行介绍。 (l)中间人攻击 据格式，可以在 中增加一个认证区段，字段内容一般是签名或者是高层协议产生的会话密钥的 密值，但是对源真实性保护仍然不够，黑客可以利用这一点进行重放攻击以及 击 15。 址进行本地运算，从而产生认证密钥 K，并将其放在 发送给申请者，申请者进行同样计算后与 较，若一致，则相互认证成功。 以，可以在原来的接 入认证消息流中增加两条管理消息，并要求接入认证者在管理消息 做数字签名。这样，申请者在收到这个 息后，将认证者的数字签名和自己的数字签名一同用 服务器。如果认证服务器确认曾受理过此认证者的接入请求认证 (通过查询认证纪录 )，则再次发送 则发送 记录可能的中间人攻击事件。认证者在 第二个 理消息上做数字签名。请求者在收到第二个有接入认证者数字签名的 息后，开始数据传送。改进后的消息流如图 示 : 上层协议采用单向认证 23l，即 证，则没有很好的软件办法来弥补这个缺陷，只能使硬件具有唯一标识，并且固化在硬件中使其不可更改。这样一来 ，申请者和认证者的联系就有了唯一的硬件标识，使中间人攻击无法奏效。 上层协议采用双向认证，可以在申请者端建立认证者信息记录表，当申请者发送 息给认证者时，认证者给出 息，其中包含特定的字段 录着具体的时间，申请者收到认证者的应答包后 将认证者信息保存到记录表，如果 记录请求连接的时间到字段 ，同时规定认证者发送 息必须包括 址、 申请者收到 息后，首先判断 址是否与先前收到的 息中的地址一致，不同则丢弃该包，继续发起认证请求并告知认证者连接异常。相同就继续判断 否与认证者信息记录表中的信息一致，若不同则丢弃该包并继续发起认证请求，