可替換的 撥接使用者遠端認証服務

Replaceable RADIUS (Remote Authentication Dial-In User Service)

張道相(Tao-Hsiang Chang)

指導教授 ： 湯耀中

國立臺灣大學/電機資訊學院/資訊工程學研究所/碩士(2005年)

https://doi.org/10.6342/NTU.2005.02636

摘要

摘　要
本論文開發一個有原始碼可客製化的撥接使用者遠端証服務（RADIUS），市面上的許多RADIUS伺服器是嵌入式系統，不開放原始碼且需要收費的程式，在做測試時僅能做黑盒子的測試，而黑盒子的測試硬體設備，是木馬或後門程式的溫床，有原始碼可客製化的程式可以解決這個問題。
這協定利用MD5 的認證特性，對RADIUS 的CLIENT端跟SERVER端的傳輸封包作認證，在RADIUS封包中，有個叫AUTHENTICATOR的欄位，是將整個封包訊息加上收送雙方的SHARE　SECRET (就是加密的KEY) 作MD5的運算，送到對方時，也同樣的方式以MD5 作運算，可以證明此封包是完整的，沒有被偽造的和被認證過的，然後以此認證過的封包作進一步的交換安全屬性訊息，得到更強的認證效果，而確保網際網路的安全。
EAP認證則是利用RADIUS屬性中的EAP､Message authenticator的兩個屬性，將EAP認證架構在RADIUS通訊協定之上，可同時跑一種以上的認證方法，來認證身分，常見的有（1）USERCODE 跟PASSWORD （2）SECUEID 標記（TOKEN），這叫雙因素（TWO FACTOR）認證，更多因素的認證，可得到更強的安全認證效果。
依照RADIUS協定認證的規格，以 Winsock UDP及MFC VC++語言開發一個叫RADIUS身分認證通訊協定的程式，包括了基本的認證功能，用MD5 作出封包的Authentictor 欄位，再加上幾個RADIUS認證屬性 USERCODE 跟PASSWORD等屬性的檢查，作通訊兩端的身分認證。
認證的安全需求跟屬性有關，最基本是以USERCODE 跟PASSWORD屬性的認證，不同的認證安全需求，就有多種數目､不同種類屬性的需要，本文實作以VC++來製作一個可用來擴充RADIUS的模組，方便客製化 RADIUS伺服器中各種安全屬性，用來製作不同安全層級需求的認證伺服器。

關鍵字

身分認證 ； 一次性密碼 ； 撥接使用者遠端認証服務 ； 黑盒子

並列摘要

無資料

並列關鍵字

MD5 ； AAA ； IAS ； SHARE　SECRET ； Token ； OTP ； One Time Password ； DIAMETER ； RADIUS ； 802.1x

參考文獻

[4] Hill, Joshua. “An Analysis of the RADIUS Authentication Protocol”,

Dial In User Service (RADIUS)", RFC 2865, June 2000.

2869, June 2000.

November 2001.

[5] Bruce Schneier “Applied Cryptography: Protocols, Algorithms, and Source Code in C” 2005.1