配置FreeRadius和相关的证书信任链

寝室一直使用我的WNDR4300给全寝室提供Wifi接入。昨晚我突然想利用一下DD-WRT上自带的FreeRadius,然后用WPA2 Enterprise,然后给每个人一组用户名密码以便于管理。下面是配置过程和遇到并解决了的问题。

首先打开FreeRadius。DD-WRT给的配置界面比较傻瓜,看着配置就行。首先填写用于RADIUS服务器的证书,然后Generate Cert,路由器就会给自己签发一个证书。之后,Client里添加上要使用这个RADIUS服务器的主机的地址(其实也就是hocalhost),User里创建一下帐户就行。

之后,进到无线安全页面,认证模式选WPA2 Enterprise,加密算法务必选AES,鉴权服务器地址就填FreeRadius运行的主机的地址(其实也是localhost),Passphrase填刚才创建Client的时候写的那个。之后,就能正常运行了。

如果认为这样就能把WPA2 Enterprise无缝部署到所有设备上,那就大错特错了!事实上,昨晚搞定上述步骤之后,不同的设备上出现了不同的问题。而这些问题的核心都是自签发的证书不受信任。

首先描述一下不同设备上出现的问题。Mac OS X上的问题最小,只是在尝试登录时提示根证书不被信任,然后会提示把这个根证书加入系统信任列表。照做之后可以正常连上,但是为此,需要往系统根证书列表中添加一个随便自签发的证书,让人比较担心潜在的安全风险,至少如果我是用户,我是不可能愿意的。Windows上问题比较严重,因为Windows默认检查证书是否被信任,如果不信任,那就直接不连接。这个选项可以关掉,但是藏的非常深。iOS上连接时也需要手动把证书添加进信任列表,但是麻烦的是,这个过程似乎是不可逆的!要恢复原状,至少需要重置网络设置,相当麻烦,而且也有安全性隐患。只有Android上似乎没有任何提示就放行了(可是这才是最大的安全性问题吧!!)。

其实,利用IEEE 802.1X和EAP做鉴权时,操作系统根本无法通过证书完全确认主机的真实性。因为,在没有联网时,可以认为没有网络,没有DNS(故而无法确认该证书是否签发给该主机),甚至可以认为没有可靠的同步时钟(故而无法确认证书有效期)。所以理论上,使用一个自签发的证书用于RADIUS服务器并没有任何的问题,或者说,和使用一个权威CA签发的证书没有任何区别。事实上也是如此:无论用什么证书,在首次连接时都会提示用户人工确认证书正确性。然而,也有操作系统选择只信任权威CA签发的证书,否则连人工确认的机会都不给(如Windows)。而且,使用权威CA的证书好处在于,不用修改系统根证书列表,因而不会影响其他情况下的安全性。因此,配置一个具有完整信任链的证书用于RADIUS服务器是有意义的。

我使用的CA是StartSSL,他家提供免费Class 1 SSL证书。从CA那里获取证书的步骤很平常,但是把这些东西放到路由器上就比较麻烦。首先,我们要确认DD-WRT把各种配置文件放在哪里了:在我的WNDR4300上,是放在 /jffs/etc下,而不是Linux惯例的/etc下。/etc貌似是个只读的目录。然后需要稍微了解下FreeRadius的配置文件:grep一下发现全集中在eap.conf中。事实上,要给的只有Server Cert路径、Private Key路径,CA Cert路径和Private Key Passphrase。最后这个Private Key Passphrase我发现有点麻烦,因为每次重启都会被重置回DD-WRT的Web界面上(用于自签发证书)填的那个。我的解决办法是用在Web界面上填进新的Passphrase,然后重新Gen Cert,然后就不管Web界面了。

Server Cert需要一个完整的信任链,因为StartSSL的Intermediate CA似乎没有被Mac OS X识别,必须从StartSSL的Root CA开始走。所以Server Cert文件中,我们首先需要把三个证书:Root CA、Intermediate CA和Server Certificate合并到一起。这一步StartSSL帮我做了,retrieve下来的用于Nginx Server的就是bundle在一起的一个pem。然后,我把Private Key也放进同一个文件里了,之后Server Cert路径和Private Key路径填同一个就行。最后,把CA Cert路径指向下载下来的StartSSL Root Cert。重启路由器,验证可用即可。

配置的思路其实相当简单:尽量确保操作系统可以识别Server Cert并信任它(通过配一个完整的信任链)。

这样搞定后,在Mac OS X上首次连接时提示用户确认证书,但证书信息边上显示的不再是红色小叉,而是绿色小勾,表示操作系统信任此证书。Windows上首次连接时提示用户确认服务器指纹(无警告),之后一切正常。

唯一出问题的是iOS:连接时提示确认证书,但边上仍然显示一个红色“不被信任的”。我尝试给手机添加描述文件,把StartSSL Intermediate CA加进信任列表,也没用(其实是当然的,因为我在服务器上已经把信任链配好了)。Google多时后发现这似乎是iOS的一个安全机制。最后的解决办法是把Wi-Fi连接一并配好:在描述文件中添加一项Wi-Fi配置,然后选择WPA2 Enterprise并手动选择服务器证书。至此,所有设备都可以无缝使用WPA2 Enterprise,同时不会产生任何安全隐患。