- 1 -
中国科技论文在线
基于 的 EAP-SIM 的研究与应用
肖清，唐碧华，胡鹤飞，袁东明*
作者简介：肖清（1985-），男，硕士，研究方向为无线网络安全体系架构
（北京邮电大学电子工程学院，北京 100876）
摘要：在无线局域网中，IEEE Std 标准定义了一套基于端口接入控制的机制。扩展
认证协议定义了一整套支持多种认证方法的认证框架。本论文中详细接收了 标准和
EAP-SIM 协议以及 EAP-SIM 的详细认证流程。同时提出了一个具体的无线局域网安全认证系
统解决方案。并在理论和实践上验证了 EAP-SIM 认证方法对增强无线局域网安全性的可行性
和实用性。
关键词：无线局域网；；扩展认证协议；EAP-SIM 协议；认证服务器
中图分类号：
Study on and its application
Xiao Qing, Tang Bihua, Hu Hefei, Yuan Dongming
(School of Electronic engineering, Beijing University of Posts and Telecommunications,
Beijng 100876)
Abstract: IEEE Std defines a mechanism for Port-based network access control in
WLAN(Wireless Local Area Network). Extensible Authentication Protocol is an authentication
framework which supports multiple authentication methods. the protocol , EAP-SIM
anthentication mechanism in EAP and the detailed procedures of EAP-SIM anthentication are
introduced in this paper. A systematic method for solving the problem of security authentication in
WLAN is proposed. Based on the theory and the pratice, the EAP-SIM anthentication technology is
proved to be feasible and the practical in enhancing the security of WLAN.
Keywords:WLAN; ; Extensible Authentication Protocol (EAP); Extensible Authentication
Protocol Method for Global System for Mobile Communications (GSM) Subscriber Identity Modules
(EAP-SIM); Authentication Server
0 引言
随着无线局域网（Wireless Local Area Networks，WLAN）标准和技术的发展，WLAN
逐渐得到了业界及公众的关注，同时其应用也逐渐发展起来。与有线网络相比，其具有安装
便捷、使用灵活、经济节约、易于扩展和无需布线等优点，但相对于有线局域网，WLAN
的传输介质-电磁波，容易被非授权用户在 WLAN 中窃听或非法接入。因此 WLAN 的安全
问题一直是研究学者的关注重点。WLAN 的安全包括数据的保密性、完整性和有效性以及
用户之间的相互认证[6]。
第二代移动通信网络-蜂窝移动通信网以其覆盖面广、较高速的移动性和较高的安全性，
得到了广泛的应用。但其接入速率理论上只有 144Kbps，相比 WLAN 高达 54Mbps 的接入
速率，已难以满足人们目前的视频通话需求。因此，联合 WLAN 与蜂窝移动通信网络二者
的优势[4]，并做适当的改进，达到目前的视频通讯的数据传输要求，已势在必行。
本文在研究和分析 EAP-SIM[2]协议的基础上，针对 Windows mobile 平台实现了
EAP-SIM 协议，完成 WLAN 与蜂窝移动通信网络融合的关键之处——统一身份认证；为
EAP-SIM 协议的实际应用奠定基础。
- 2 -
中国科技论文在线
1 认证技术简介
最初是 IEEE 在 2001 年 6 月份发布的标准，在 2004 年做了修订，重新发布，
其用于对 IEEE802 局域网的认证和密钥管理[1]。 是一种基于端口的认证协议，
利用 IEEE802LAN 体系结构的物理接入特性，提供认证和授权的方法，是与 LAN 端口连接
的用户接入 LAN 或者不能接入 LAN； 采用 IETF 提出的可扩展认证协议
（Extensible Authentication Protocol，EAP）[3]作为它的认证框架，在此框架中再采用合适的
认证方法进行相互认证。
的认证体系结构
标准的认证体系结构包含三个重要部分：客户端（Supplicant）、认证系统
（Authenticator）和认证服务器（Authentication Server）。图 1-1 描述了三者之间的关系。
图 1-1 认证体系结构示意图
客户端与认证系统之间运行 标准中定义的 EAPOL 协议；认证系统与认证
服务器之间运行 RADIUS 或者 DIAMETR 协议（本文中采用 RADIUS 协议），封装了认证
数据的 EAP 协议封装在 RADIUS 协议中。
在逻辑上，认证系统的端口分为受控端口（Controlled Port）和非受控端口（Uncontrolled
Port）。非受控端口始终处于双向连通状态，主要用来传递用于身份认证的 EAPOL 协议帧，
可保证客户端与认证系统之间认证信息的随时更新。受控端口只有在身份认证通过的前提下
才能打开，主要用于传递网络资源和服务。
认证流程
认证流程如图 1-2 所示：
- 3 -
中国科技论文在线
图 1-2 认证流程示意图
认证流程说明如下：
1）客户端首先发送 EAPOL_Start 报文，发起 身份认证请求；
2）认证系统接收到 EAPOL_Start 报文之后，向客户端发送 EAP_Request Identity 请求，
要求客户端发送用户 Identity；
3）客户端接收到 EAP_Request Identity 请求之后，认证系统发送 EAP_Response Identity
报文，其中包含识别用户的 Identity；
4）认证系统将 EAP_Response Identity 报文封装在 RADIUS 协议中，以 RADIUS Request
报文形式转发给认证服务器；
5）认证服务器根据选择认证方法与客户端进行进一步的认证交互，直至发送 RADIUS
Accept 报文至认证系统；
6）认证系统接收 RADIUS Accept 报文之后，解出此报文中的 EAP_Success 报文，转发
给客户端，认证结束；
综上所述， 认证的关键是 EAP 认证框架，EAP 认证框架决定了
认证的安全性，而 EAP 认证框架的关键则在于 EAP 认证方法的选取。
2 EAP 认证框架
标准中要求的EAP协议本身只是一个框架，不能作为真正的认证方法协议。
在客户端与认证系统之间，EAP 协议是封装在 EAPOL（EAP Over LAN）协议中，EAPOL
是 中的标准协议。在本认证框架下，可以定义多种认证方法，以便提供认证过
程中的信息安全。目前，EAP 认证框架支持多种认证方法，如 EAP-MD5、EAP-TLS、
EAP-TTLS、EAP-PEAP 和 EAP-SIM 等，用户可以根据自己的安全需要，选择合适的认证方
法。本论文主要讨论 EAP-SIM 认证方法。
GSM 认证
GSM，即全球移动通讯系统（Global System for Mobile Communication），是起源于欧
洲的移动通信技术标准[7,8]。它的安全性需要下面三个算法：
1）A3 算法用于认证授权；
2）A5 算法加密用户通话内容；
3）A8 算法用于产生 A5 算法中加密语音和数据的密钥。
目前，各运营商方便起见，A3、A8 算法通常为同一个算法，只是取其输出结果的不同
部分。GSM 认证是基于挑战响应的认证机制，其认证框图如下图所示：
- 4 -
中国科技论文在线
图 2-1 GSM 认证安全框架示意图
GSM 的认证安全依赖于存储在 SIM 卡中的 128 位密钥 Ki，Ki 永远不会在网络中传输。
首先，网络运营商生成 128 位的随机数作为一个挑战发送到用户端，用户端和运营商端同时
采用 Ki 和 128 位随机数作为 A3 和 A8 算法的输入，通过 A3 算法，用户得到 32 位的 signed
response（SRES），运营商端藉此 SRES 验证用户身份的有效性；而通过 A8 算法，用户端
和运营商端都获得 64 位的密钥 Kc，两端采用此 Kc 作为加解密的密钥，实现数据的保密通
信。
综上所述，GSM 认证缺少双向认证，只是运营商端认证了用户端；而且，会话密钥 Kc
只有 64 位，密钥长度太短，没有足够的强度抵抗暴力攻击。
EAP-SIM 认证方法原理
EAP-SIM 认证机制提供基于 GSM-SIM 卡的认证和密钥分发机制[2]，在 GSM 单向认证
的基础上，提供了双向认证，即服务器端认证客户端，客户端也认证服务器端，只有双向认
证通过之后，服务器端才发送 EAP-Success 消息至客户端，客户端才可以接入网络。同时，
EAP-SIM 认证机制还通过多次挑战响应机制，生成更强的会话密钥。
EAP-SIM 协议在 PWLAN 中的应用
在 Internet 迅速发展时期，许多网络服务商预见到了 WLAN 的一种潜在应用，即公共
无线局域网（public WLAN，PWLAN）[4,5]。目前，PWLAN 在机场、咖啡厅和图书馆等热
点网络拥有巨大的发展前景。移动运营商运用 EAP-SIM 协议，使移动通信网与 PWLAN 实
现二网融合，提高了移动运营商在诸如机场、车站和咖啡厅等热点地区的移动接入速率，因
此，EAP-SIM 协议在 PWLAN 中发展前景远大。
EAP-SIM 协议的包格式
下图是 EAP-SIM 协议的包格式：
- 5 -
中国科技论文在线
Code
0
Identifier Length
Type Subtype Reserved
1 2 3
Attribute field
图 2-2 EAP-SIM 协议包格式示意图
图 2-2 中 EAP-SIM 协议包格式的前四个字节与 EAP 协议相同，Code 域占据一个字节，
代表 EAP 包类型，其中 1 等价 request 类型，2 等价 response 类型，3 等价 success 类型，4
等价 failure 类型；目前只有这四种 EAP 类型包。Identifier 域 占据一个字节，指代数据包的
标识域，方便 request 包与 response 包的匹配。Length 域占据两个字节，标识 EAP 包的总长
度。Type 域占据一个字节，此处其值为 18。Subtype 域占据一个字节，标识 EAP-SIM 子类
型，其中 10 等价 start 类型，11 等价 challenge 类型；目前只有这两种子类型。Reserved 域
占据两个字节，为协议将来的扩展，目前保留，值置 0。数据包随后的字段为属性域，根据
包的类型不同，属性域也有所不同。属性域包格式如下图所示：
图 2-3 EAP-SIM 属性域格式示意图
Type 域占据一个字节，标识属性域类型；Length 域占据一个字节，标识属性域长度，
Length 域值增 1，属性域长度相应增加四个字节；Attribute 值依据 Type 值变化而变化。
EAP-SIM 协议的认证流程
EAP-SIM 协议的认证流程如下图所示：
图 2-4 EAP-SIM 协议认证流程示意图
- 6 -
中国科技论文在线
认证流程说明如下：
（1） 客户端发送 EAPOL_Start 帧，请求认证接入；
（2） WLAN AP 发出请求帧，请求客户端发送身份信息；
（3） 客户端响应请求，将身份信息发送至 AP；
（4） AP 将客户端身份信息重新封装成 RADIUS Access-Request 帧转发至服务器端；
（5） 服务器验证客户端身份，验证合法之后向用户发送 EAP-Request/SIM/Start 帧，
封装在 RADIUS Access-Challenge 帧中；
（6） AP 提取 RADIUS Access-Challenge 帧中的 EAP-Request/SIM/Start 帧，转发至客
户端；
（7） 客户端响应请求，将 EAP-Response/SIM/Start 帧发送至 AP；
（8） AP 将 EAP-Response/SIM/Start 帧重新封装成 RADIUS Access-Request 帧，转发
至服务器端；
（9） 服务器根据客户端响应结果，回送 EAP-Request/SIM/Challenge 帧至 AP，此帧
封装在 RADIUS Access-Challenge 帧中；
（10） AP 提取 RADIUS Access-Challenge 帧中的 EAP-Request/SIM/Challenge 帧，转发
至客户端；
（11） 客户端响应请求，将 EAP-Response/SIM/Challenge 帧发送至 AP；
（12） AP 将 EAP-Response/SIM/Challenge 帧重新封装成 RADIUS Access-Request 帧，
转发至服务器端；
（13） 服务器端认证成功，将 EAP-Success 帧封装在 RADIUS Access-Accept 帧中，发
送至 AP；
（14） AP 提取 RADIUS Access-Accept 帧中的 EAP-Success 帧，转发至客户端；
EAP-SIM 双向认证结束，认证成功。
3 实现方案
基于 EAP-SIM 的无线局域网的安全认证系统方案，主要结合 RFC4186 协议，基于 IEEE
的 标准的申请者状态机的基础上才得以实现，同时在开发过程中借助了 Openssl[9]、
Winpcap[10]和 Libnet[11]等开发工具包。最终得以在 Windows mobile 平台上得以实现，将
EAP-SIM 的无线局域网的安全认证系统方案，从实验阶段推向了实用阶段；在服务器端，
采用了开源组织开发的 freeradius服务器，作为后台认证服务器；在AP端，采用了支持
标准和 RADIUS 协议的无线接入点，作为 WLAN AP；至此，基于 EAP-SIM 的无线局域网
的安全认证系统平台搭建完成。
在实际测试中，验证了基于 EAP-SIM 的无线局域网的安全认证系统方案的可行性和实
用性。客户端、AP 和服务器端，在本系统中所采用的设备和配置以及网络拓扑图如下图所
示：
- 7 -
中国科技论文在线
图 3-1 EAP-SIM 无线局域网安全认证系统网络拓扑示意图
4 结束语
随着无线局域网网络技术的不断发展， 协议随之也得到了越来越多的关注
和重视。而 EAP-SIM 协议作为 EAP 框架协议中的一种认证协议，可以改善 标
准中的一些缺陷。本文提出的基于 的 EAP-SIM 认证机制的研究与应用，是在
WLAN 与移动通信网融合的前提下，针对目前无线局域网方案存在的安全性问题，提出的
一个具体的无线局域网安全认证系统解决方案，从理论和实践上都验证了 EAP-SIM 认证机
制对增强无线局域网安全性的可行性和实用性；同时也验证了无线局域网与移动通信网融合
中统一身份认证的可行性和实用性。
[参考文献]
[1] IEEE Std -2004, IEEE Standard for Local and Metropolitan Area Networks-Port-Based Network
Access Control.
[2] H. Haverinen, J. Salowey, Ed. RFC4186—2006. Extensible Authentication Protocol Method for Global
System for Mobile Communications (GSM) Subscriber Identity Modules (EAP-SIM) [S].
[3] B. Aboba, L. Blunk, J. Vollbrecht, etal. RFC3748—2004. Extensible Authentication Protocol (EAP)[S].
[4] 马良川. WLAN 与 WCDMA 网络及业务融合初探[J]. 无线通信，2009，11：47~50.
[5] 朱翠涛，陈少平，陈亚光. WLAN 与 3G 融合网络中认证体系研究[J]. 云南民族大学学报，2005，14（1）:
37~39.
[6] Xinyu Xing, Elhadi Shakshuki, Darcy Benoit. Security Analysis and Authentication Improvement for IEEE
Specification [A]. Tarek Sheltami. Global Telecommunications Conference[C]. New Orleans, LO:
IEEE GLOBECOM, 2008. 1~5.
[7] 王华奎，李艳萍，张立毅，等. 移动通信原理与技术[M]. 北京：清华大学出版社，2009.
[8] 移动通信国家工程研究中心. GSM 蜂窝移动通信系统[OL].[2002].
[9] Eric A. Young, Tim J. Hudson. Openssl toolkit[OL]. .
[10] Berkeley Laboratory. WinPcapDeveloper’s pack[OL].
[11] ETER Wang. Libnet networking library[OL].
