質問: radiusサーバーはwpa2 enterpriseセットアップで何をしますか? 「wpa2パーソナル」モードから「wpa2エンタープライズ」モードにwifiをアップグレードしたいのは、原則として、「wpa2パーソナル」で保護されたwifiでは、pskを知っているデバイスがキャプチャした後、お互いのトラフィックを傍受できるからです。ステーションとap間の関連付け。 wifi上の単一の危険にさらされたデバイスが持つ影響を減らすために(「wpa2パーソナル」モードでは、他の「関連リクエスト」をキャプチャする前に、他の妥協のないwifiクライアントのトラフィックを復号化できます。無差別/監視モードのクライアント)wifiを「wpa2エンタープライズ」セキュリティにアップグレードしたいのですが、私の理解によれば、これはもう不可能です。残念ながら、「wpa2 enterprise」の場合、radiusサーバーが必要です。今、私が理解している限り、radiusサーバーは認証のみを実行し、暗号化やキーマテリアルの交換は実行しません。したがって、基本的に、apはクライアントであるstaからアソシエーション要求を取得します資格情報を提供し、apはそれらをradiusサーバーに渡します、radiusサーバーは「資格情報は問題ありません」と言い、apはstaに関連付けます。それ以外の場合はない。これは正しいモデルですか?もしそうなら、radiusサーバーは、基本的にはユーザー資格情報(ユーザー名とパスワードのペア)でいっぱいのデータベースにすぎません。もしそうなら、本格的なサーバーが必要な理由に興味があります。このためのサーバーマシン。何千人ものユーザーにとっても、ユーザー名とパスワードは保存するデータ量が多くなく、資格情報の確認はかなり基本的なタスクであるため、これはapでも簡単に実行できることのようです。それでは、なぜこのために専用サーバーが必要なのでしょうか。おそらく私はこれを間違っており、radiusサーバーは認証だけでなく実際の暗号化にも使用されていますか?staが "wpa2 enterprise"を使用してネットワークにデータを送信する場合、それは一部のセッションキー、次にapは暗号化されたデータを受信しますが、「wpa2 personal」とは逆に、それを復号化できないため、キーを持っているradiusサーバーにデータを渡します材料(および計算能力)を使用して復号化します。radiusがクリアテキストを取得した後、暗号化されていない材料を有線ネットワークに戻します。これはどのように行われますか?これを知りたいのは以下の理由です。ここにはかなり古いデバイスがあり、radiusサーバーが実行されています。しかし、私が言ったように、デバイスはかなり古いため、radius既知のセキュリティ上の弱点があります。「wpa2 enterprise」モードの暗号化に使用すると、これが私のwifiセキュリティを危険にさらすかどうかを知りたいです。攻撃者がradiusサーバーが認証されていない場合、これはネットワークのセキュリティを危険にさらす可能性があるので、私はこれを行うべきではありません。一方、攻撃者がapとしか通信できない場合、apはradius資格情報をチェックするサーバー、次に「脆弱なradiusサーバー」はそれほど問題ではないかもしれません。攻撃者はwifiネットワークに侵入できないため、次のことができません。最初にradiusサーバーと通信します。radiusサーバーと通信する唯一のデバイスは、資格情報をチェックするためのap自体です。生成された鍵素材と実行された暗号(妥協のない)ap自体に。攻撃者は取り消され、ネットワークに参加できなくなり、潜在的に脆弱なradiusサーバー上の脆弱性を悪用する可能性があります。radiusサーバーは「wpa2 enterprise」セキュリティにどの程度正確に関与しているのでしょうか?
回答: wpaエンタープライズ(eapを使用したwpa)では、デジタル証明書、rsaトークンなど、他の多くの認証方法を使用できます。これらの方法はすべて単純なユーザー名+パスワードを超えており、radiusプロトコルはaaa(認証、承認、アカウンティング)を必要とするほとんどのシステムの事実上の標準。これは言われている、1)radiusサーバーはファイアウォールルールで簡単に保護でき、apからのパケットのみを受け入れます(wifiクライアントはradiusサーバーと直接通信しません)2)古い半径を使用すると機能しない場合があります。最新のfreeradiusサーバーの1つをお勧めしますこれがどのように機能し、何をする必要があるかについての詳細: http://wiki.freeradius.org/guide/wpa-howto#why-would-i-want-wpa ?