802.1X и 802.11 - можете ли вы предотвратить мошенническую точку доступа с самого начала?

Question

Предполагает ли механизм аутентификации 802.1X, что вы изначально подключились к доверенной сети? Что меня удивляет, так это то, что если я настрою клонированную точку доступа, чтобы обмануть пользователей, чтобы они подключались через меня, если они подключились ко мне до того, как подключились к соответствующей сети, как бы они поняли, что я не являюсь подходящей сетью? Моя хитрая точка доступа может использовать 802.1X, и я могу дать им свои сообщения аутентификации, и они могут использовать мой открытый ключ для расшифровки? Это не говорит им, что они не в той сети?

Я предполагаю, что 802.1X хорош в предотвращении атак такого типа, если у вас уже есть открытый ключ доверенной сети на вашем компьютере? Но теперь я снова сбит с толку: как мой компьютер узнает, какой открытый ключ использовать, когда я подключаюсь к сети? Он не может хранить открытые ключи в соответствии с SSID, потому что SSID не уникальны.

Answer 1

[H] Как мой компьютер знает, какой открытый ключ использовать при подключении к сети? Он не может хранить открытые ключи в соответствии с SSID, потому что SSID не уникальны?

У клиента есть набор учетных данных, который используется в различных сетях. Каждое удостоверение связано с открытым ключом, принадлежащим этой соответствующей сети. Аутентификация происходит следующим образом:

1) Клиент подключается к сети.

2) Сеть аутентифицируется на клиенте, используя закрытый ключ, соответствующий его открытому ключу.

3) Клиент теперь знает, что сеть владеет определенным открытым ключом. Клиент проверяет, есть ли у него идентификатор, соответствующий этому открытому ключу.

4) Клиент подтверждает свою идентичность серверу с помощью идентификатора клиента, связанного с открытым ключом сети.

Клиенту не нужно заранее знать, к какой сети он подключается.