詳解EAPOL協議

一、EAPOL概述

EAPOL（Extensible Authentication Protocol over LAN）是在局域網（LAN）中運行的一種擴展認證協議。該協議主要用於對接接入控制系統（ACS）。它的主要目的是通過驗證用戶的身份，控制用戶連接到局域網的訪問，從而保護局域網的安全。EAPOL作為一種認證協議，大致可以分為下面幾個部分：

1. EAPOL客戶端：用於向服務器提供用戶的認證信息，通常包含一個EAPOL客戶端標識符和一個會話密鑰。
2. EAPOL服務器：用於接收客戶端發送的認證信息，並根據客戶端提供的信息進行身份驗證。
3. ACS：用於監視和控制用戶對局域網訪問的權限。
4. EAPOL認證的「四次握手」過程：具體包括身份驗證請求、身份驗證響應、會話密鑰請求和會話密鑰響應。

二、EAPOL認證過程

EAPOL協議通常有兩個實現方案，一種是802.1X認證，另外一個是WPA/WPA2認證。

1. 802.1X認證

802.1X認證主要針對個人或企業局域網的接入控制。一般可以分為以下幾個步驟：

1. 開啟802.1X認證功能，並限制只有認證的設備才能夠連接到局域網。
2. 客戶端通過EAPOL協議發送身份驗證請求，請求接入局域網。
3. 服務器接收到身份驗證請求，發送身份驗證響應。
4. 客戶端回復會話密鑰請求，服務器返回會話密鑰響應。
5. 客戶端獲取會話密鑰，完成認證。

2. WPA/WPA2認證

WPA/WPA2認證是基於802.1X認證和TKIP/AES加密的安全協議。它不僅支持個人和企業的接入控制，而且可以為數據的加密和鑒別提供更高的安全保障。WPA認證包括以下幾個步驟：

1. 開啟WPA認證功能，並限制只有認證的設備才能夠連接到局域網。
2. 客戶端通過EAPOL協議發送身份驗證請求，請求接入局域網。
3. 服務器接收到身份驗證請求，發送身份驗證響應，並請求生成帶有TKIP或AES密鑰的會話密鑰。
4. 客戶端回復會話密鑰請求，服務器返回帶有TKIP或AES密鑰的會話密鑰響應。
5. 客戶端獲取會話密鑰，並使用TKIP或AES加密數據傳輸，完成認證。

三、EAPOL協議的代碼實現

下面是一個基於Python的EAPOL認證代碼例子，該示例主要實現了802.1X認證的「四次握手」過程。

import struct
import socket

class EAPOL:
  # EAPOL協議的Header使用16個位元組的數據結構表示
  def __init__(self, version=1, packet_type=0, eapol_length=0, eapol_data=b''):
    self.version = version
    self.packet_type = packet_type
    self.eapol_length = eapol_length
    self.eapol_data = eapol_data

  def __str__(self):
    return struct.pack('!BBH', self.version, self.packet_type, self.eapol_length) + self.eapol_data

class EAPOLClient:
  def __init__(self, interface):
    self.interface = interface

  def send_packet(self, packet):
    s = socket.socket(socket.AF_PACKET, socket.SOCK_RAW)
    s.bind((self.interface, 0))
    s.send(packet)

  def receive_packet(self):
    s = socket.socket(socket.AF_PACKET, socket.SOCK_RAW, socket.htons(0x888e))
    return s.recvfrom(2048)

  def authenticate(self, username, password):
    # 第一步：發送EAPOL Start請求
    start_packet = EAPOL()
    start_packet.packet_type = 1
    start_packet.eapol_length = 0
    self.send_packet(str(start_packet))

    # 第二步：發送EAP Request Identity請求，請求用戶名
    request_identity_packet = EAPOL(packet_type=0x01) + b'\x01' + b'\x00\x05' + b'\x01'
    self.send_packet(str(request_identity_packet))

    # 第三步：接收EAP Response Identity響應，獲取用戶名
    response_identity_packet = self.receive_packet()[0]
    username = response_identity_packet[18:response_identity_packet[17]+18]

    # 第四步：發送EAP Request Md5 Challenge請求，請求MD5挑戰
    request_md5_challenge_packet = EAPOL(packet_type=0x01) + b'\x02' + b'\x00\x07' + b'\x02' + b'\x12' + b'\x34' + b'\x56'
    self.send_packet(str(request_md5_challenge_packet))

    # 第五步：接收EAP Response Md5 Challenge響應，獲取MD5挑戰
    response_md5_challenge_packet = self.receive_packet()[0]
    md5_challenge = response_md5_challenge_packet[26:]

    # 第六步：通過MD5算法生成挑戰響應，並構造EAP Response Md5 Challenge響應
    challenge_response = bytes.fromhex(md5_challenge.hex() + '6867696D6A6B6F6C')
    response_md5_challenge_packet = EAPOL(packet_type=0x01) + b'\x02' + b'\x00\x17' + b'\x0a' + challenge_response
    self.send_packet(str(response_md5_challenge_packet))

    # 第七步：接收EAP Success響應，認證成功
    success_packet = self.receive_packet()[0]
    return True

四、EAPOL協議的應用場景

EAPOL協議廣泛應用於各種局域網及無線局域網（WLAN）中的認證和授權，例如企業、學校、圖書館等等，以保障局域網的訪問安全。此外，EAPOL還可以應用於無線路由器、移動設備等個人設備上，以保障個人設備的接入安全。