Radius原理与应用培训.pptVIP

口令的加密 口令的加密: 称共享密钥（key）为Key；16字节的认证请求验证字 (Authenticator)为Auth；将口令(Password)分割成16字节一 段（最后一段不足16字节时用0补齐），为p1、p2等；加密后 的口令块为c(1)、c(2)等。下面运算中b1、b2为中间值： b1 = MD5(Key + Auth) b2 = MD5(Key + c(1)) …… …… …… bi = MD5(Key+ c(i-1)) c(1) = p1 xor b1 c(2) = p2 xor b2 c(i) = pi xor bi 那么加密后的口令为c(1)+c(2)+...+c(i)。 上面是协议规定的算法，也有的RADIUS服务器为了实 现起来简单，修改了上述的算法，具体的讲，b1的算法同上， 但bi=b2=b1(i=1)，其他运算不变。当用户的口令长度不超过 16字节时，两种算法的结果是一样的。 33 远端认证——PAP ? 远端（Radius）验证——PAP方式： Secret password =Password XOR MD5（Challenge ＋ Key） (Challenge就是Radius报文中的Authenticator) 我查…… 我算…… 我验…… Username,Password Username,Secret Password 用户 验证结果 Radius （PPP） 验证结果 NAS (Radius Client) Server 34 远端认证——PAP 如果用户配置了RADIUS验证，其PAP验证过程如下： 采用PAP验证：用户以明文的形式把用户名和他的 密码传递给NAS。NAS把用户名和加密过的密码放到验证 请求包的相应属性中传递给RADIUS服务器，根据RADIUS 服务器的返回结果来决定是否允许用户上网。 用户名、密码 放行 35 远端认证——PAP username,password username,password 数据库 User NAS Radius username+password（明文） Code+ID+Length+Authenticator+Attributes Secret Password=Password XOR MD5（Challenge ＋ Key） 除密码加密，其余属性为明文 查找数据库中该username 及其在数据库中对应的 Password；同时用收到的 Secret Password XOR MD5(Authenticator+key)并 与前面查到的Password比 Code+ID+Length+A2+Attributes 较，相同的话认证通过。 A2=MD5(Code+ID+Length+Authenticator+Attributes+Key) 除A2加密，其余属性为明文 A1=MD5(Code+ID+Length+Authenticator+Attributes+Key) 比较A1与A2，相同的话用 Radius反馈回来的属性去配置 用户，否则将该包丢弃。 36 例1：用户telnet到特定的主机 例1： 1)NAS：192.168.1.16 发送 Access-Request UDP 数据包到 RADIUS Server 。 User-name Port logging in ：nemo ：3 Code = 1 (Access-Request) ID = 0 Length = 56 Request Authenticator = {16 octet random number} Attributes: User-Name = nemo User-Password = {16 octets of Password padded at end with nulls, XORed with MD5(key|Request Authenticator)} NAS-IP-Address = 192.168.1.16 NAS-Port = 3 37 例1：用户telnet到特定的主机 2)RADIUS server 验证了 nemo, 并且发送了 Access-Accept UDP 数据包到接 入服务器，告诉把用户 nemo 登陆到主机 192.168.1.3. Code = 2 ID = 0 (Access-Accept) (same as in A