Сравнивайте с английским: нажмите на абзац — оригинал откроется в окне. Кнопка EN под абзацем показывает его прямо в тексте.
Содержание
Введение
Стандарт IEEE 802.11i 2004, или сокращенно 802.11i, является поправкой к оригинальному стандарту IEEE 802.11, реализованной как Wi-Fi Protected Access II (WPA2). Проект стандарта был утвержден 24 июня 2004 года. Этот стандарт определяет механизмы безопасности для беспроводных сетей, заменяя краткий раздел об аутентификации и конфиденциальности оригинального стандарта подробным разделом о безопасности. В ходе разработки поправки устаревшая Wired Equivalent Privacy (WEP) была признана уязвимой, а впоследствии была включена в опубликованный стандарт IEEE 802.11 2007.
IEEE standard version
IEEE 802.11i 2004, or 802.11i for short, is an amendment to the original IEEE 802.11, implemented as Wi Fi Protected Access II (WPA2). The draft standard was ratified on 24 June 2004. This standard specifies security mechanisms for wireless networks, replacing the short Authentication and privacy clause of the original standard with a detailed Security clause. In the process, the amendment deprecated broken Wired Equivalent Privacy (WEP), while it was later incorporated into the published IEEE 802.11 2007 standard.
Замена WEP
802.11i заменяет предыдущую спецификацию безопасности Wired Equivalent Privacy (WEP), уязвимости в которой были выявлены. Wi-Fi Protected Access (WPA) был ранее представлен Wi-Fi Alliance как временное решение проблем безопасности WEP. WPA реализовал часть черновика стандарта 802.11i. Wi-Fi Alliance называет свою утвержденную, совместимую реализацию полного стандарта 802.11i как WPA2, также известную как RSN (Robust Security Network). 802.11i использует блочный шифр Advanced Encryption Standard (AES), в то время как WEP и WPA используют потоковый шифр RC4.
802.11i supersedes the previous security specification, Wired Equivalent Privacy (WEP), which was shown to have security vulnerabilities. Wi Fi Protected Access (WPA) had previously been introduced by the Wi Fi Alliance as an intermediate solution to WEP insecurities. WPA implemented a subset of a draft of 802.11i. The Wi Fi Alliance refers to their approved, interoperable implementation of the full 802.11i as WPA2, also called RSN (Robust Security Network). 802.11i makes use of the Advanced Encryption Standard (AES) block cipher, whereas WEP and WPA use the RC4 stream cipher.
Протокольная операция
IEEE 802.11i расширяет возможности IEEE 802.11 1999, предоставляя надежную сеть безопасности (RSN) с двумя новыми протоколами: четырехстороннее согласование и согласование группового ключа. Они используют службы аутентификации и контроль доступа к портам, описанные в IEEE 802.1X, для установления и смены соответствующих криптографических ключей. RSN – это сеть безопасности, допускающая создание только надежных ассоциаций сети безопасности (RSNA), представляющих собой тип ассоциации, используемый парой станций (STA), если процедура установления аутентификации или ассоциации между ними включает в себя четырехстороннее согласование. Стандарт также определяет два протокола обеспечения конфиденциальности и целостности данных RSNA: TKIP и CCMP, при этом реализация CCMP является обязательной, поскольку механизмы конфиденциальности и целостности TKIP менее надежны, чем у CCMP. Основной целью внедрения TKIP было обеспечение возможности реализации алгоритма на большинстве старых устройств, поддерживающих только WEP. Начальный процесс аутентификации выполняется либо с использованием предварительно заданного ключа (PSK), либо посредством обмена EAP через 802.1X (известного как EAPOL, требующего наличия сервера аутентификации). Этот процесс гарантирует аутентификацию клиентской станции (STA) с точкой доступа (AP). После аутентификации PSK или 802.1X генерируется общий секретный ключ, называемый главным ключом пары (PMK). В аутентификации PSK, PMK фактически является PSK, который обычно формируется из пароля WiFi путем его обработки функцией получения ключа, использующей SHA 1 в качестве криптографической хеш-функции. Если был выполнен обмен EAP 802.1X, PMK формируется на основе параметров EAP, предоставленных сервером аутентификации.
IEEE 802.11i enhances IEEE 802.11 1999 by providing a Robust Security Network (RSN) with two new protocols: the four way handshake and the group key handshake. These utilize the authentication services and port access control described in IEEE 802.1X to establish and change the appropriate cryptographic keys. The RSN is a security network that only allows the creation of robust security network associations (RSNAs), which are a type of association used by a pair of stations (STAs) if the procedure to establish authentication or association between them includes the 4 Way Handshake. The standard also provides two RSNA data confidentiality and integrity protocols, TKIP and CCMP, with implementation of CCMP being mandatory since the confidentiality and integrity mechanisms of TKIP are not as robust as those of CCMP. The main purpose to implement TKIP was that the algorithm should be implementable within the capabilities of most of the old devices supporting only WEP. The initial authentication process is carried out either using a pre shared key (PSK), or following an EAP exchange through 802.1X (known as EAPOL, which requires the presence of an authentication server). This process ensures that the client station (STA) is authenticated with the access point (AP). After the PSK or 802.1X authentication, a shared secret key is generated, called the Pairwise Master Key (PMK). In PSK authentication, the PMK is actually the PSK, which is typically derived from the WiFi password by putting it through a key derivation function that uses SHA 1 as the cryptographic hash function. If an 802.1X EAP exchange was carried out, the PMK is derived from the EAP parameters provided by the authentication server.
Поле "Защищенная рамка"
Поле Protected Frame имеет длину 1 бит. Поле Protected Frame устанавливается в 1, если поле "Тело кадра" содержит информацию, обработанную алгоритмом криптографической инкапсуляции. Поле Protected Frame устанавливается в 1 только в кадрах данных типа Data и в кадрах управления типа Management, подтипа Authentication. Во всех остальных кадрах поле Protected Frame устанавливается в 0. Если бит Protected Frame установлен в 1 в кадре данных, поле "Тело кадра" защищается с использованием алгоритма криптографической инкапсуляции и расширяется в соответствии с пунктом 8. Для кадров управления подтипа Authentication в качестве алгоритма криптографической инкапсуляции разрешен только WEP.
"The Protected Frame field is 1 bit in length. The Protected Frame field is set to 1 if the Frame Body field contains information that has been processed by a cryptographic encapsulation algorithm. The Protected Frame field is set to 1 only within data frames of type Data and within management frames of type Management, subtype Authentication. The Protected Frame field is set to 0 in all other frames. When the bit Protected Frame field is set to 1 in a data frame, the Frame Body field is protected utilizing the cryptographic encapsulation algorithm and expanded as defined in Clause 8. Only WEP is allowed as the cryptographic encapsulation algorithm for management frames of subtype Authentication."