• 状态 Resolved
  • 已锁定 已锁定
  • 回复 12 回复
  • 订户 0 订户
  • 视图 167 视图
  • 用户 0 会员在此处
选项
选项
相关

This thread has been locked.

If you have a related question, please click the "Ask a related question" button in the top right corner. The newly created question will be automatically linked to this question.

[参考译文] CC3135：企业服务器身份验证

admin
Guru**** 2509965 points
Other Parts Discussed in Thread: CC3135

请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

https://e2e.ti.com/support/wireless-connectivity/wi-fi-group/wifi/f/wi-fi-forum/1554529/cc3135-enterprise-server-authentication

器件型号：CC3135


工具/软件：

我已使用 PEAP-MSCHAPv2 为企业安全配置了 cc3135 的设置、我正在测试服务器身份验证功能。 我有两个具有不同密钥的根 CA 证书、但颁发者和主题相同。 其中一个用于对 RADIUS 服务器证书签名、另一个则不用于签名。 我使用openssl verify命令确认了这一点。

问题是两个证书的身份验证都成功。 另一方面、当我使用 OpenSSL 生成具有相同 DN 和 CN 的假根 CA 证书时、身份验证失败。

我的问题是：

  • 如何使用两个不同的根 CA 证书成功进行身份验证？

  • 在服务器证书身份验证过程中究竟要验证什么？

使用 SP 4.4.1.4_3.1.0.5_3.1.0.19

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、Michael：

    请允许我为您的第一个问题更新星期三。

    关于您的第二个问题、请查看此 主题。  

    谢谢您、

    Brandon Liu

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、Michael：

    只是一个快速的问题。 是否使用 API  sl_WlanSet (SL_WLAN_CFG_GENERAL_PARAM_ID、SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH...)？ 如何设置参数？

    对于 ：该线程与 TLS 套接字相关、而不是与 EAP 安全身份验证协议 RADIUS 服务器相关。

    1 月

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、Jan、

    感谢您的提问。

    我更倾向于触及证书身份验证。  

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    参数设置如下：

    uint8_t 参数= 1；

    LOGT_D (“启用服务器身份验证“）；
    sl_WlanSet (
    SL_WLAN_CFG_GENERAL_PARAM_ID、
    SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH
    1、
    param)；

    文档中说明了其他情况、但 如果我记得没错、这里有一个拼写错误、1 是启用身份验证的正确值

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    更新：很抱歉给出错误答案。 通过参数设置为 0 禁用 CA 身份验证。 这意味着参数 1 在您的情况下是正确的。 您能否将该代码注释为测试？

    1 月

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、Jan

    我会再次检查它,但它似乎 3 年前你建议的 相反..

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    是的、我知道。 我的错。 请尝试注释该代码并重新测试。

    过去、我使用 CC3220 和 FreeRADIS 测试了 EAP 安全性、并且工作正常。 但可能会存在与 CC3135 和 CC3235 相关的问题。 我不确定。

    当您设置错误的时间时、验证是否因 CA 文件过期而失败？

    1 月

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、Jan

    使用伪造的根 CA 证书进行了一些测试 当  SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH 参数设置为 0 或根本未设置时、无论时间是正确设置还是在“之前“/"不“不是之后“之外、sl_WlanConnect 始终会成功。 也会成功、没有证书。
    但是 、当 SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH 参数设置为 1 时、正确设置时间时、连接因 208 而失败、时间设置为 “不在之前“/"不“不在之后“时、连接因 210 而失败、没有证书时、连接因 209 而失败。
    因此、将 SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH 设置为 1 可启用服务器身份验证。

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    是的、过去我使用证书测试了多个场景、它在 CC3220 中运行正常。 但我没有使用 CC3x35 进行测试。 在我旧的文档中、我通过  WlanDisconnectEvt 处理程序找到了有关错误代码的注释（抱歉拼写错误，但我快速将注释从捷克语翻译成英语）：

    代码=208：

    • EAP 的用户或密码不正确（取决于所选的 EAP 模式）
    • 无法根据上载的 CA 文件验证服务器
    • 私钥错误（对于 TLS EAP 模式）
    • RADIUS 服务器不支持用于 EAP 的 TLS 1.0
    • 其他错误 — 例如 RADIUS 服务器未运行、RADIUS 服务器配置不正确、方法集不受支持等

    代码=209：

    •  文件系统中缺少 CA 文件
    • 文件系统中缺少证书

    代码=210：

    •  CA 文件已过期

      每次调用 sl_WlanConnec  () 之前、都需要完成参数 SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH 的设置。 将此参数设置为 0 时、CA 验证将被禁用。 这意味着即使文件系统中缺少 CA 文件或在 NWP RTC 中未设置时间、连接也将成功。 如果要启用 CA 验证、请勿调用 API  SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH。 是的,当你调用  sl_WlanConnect () 时,应该会返回成功。 因为通过调用该 API、您只需开始尝试连接。 并且成功或未成功连接通过异步处理程序返回。

    在测试过程中看到的就是我之前在 CC3220 中看到的、

    回到错误 CA 文件的问题。 我认为您在这两种情况下都需要捕获 NWP 日志 （CA 文件错误且正确）。 也许提供 CA 文件、私钥和证书也很有用。 由于我没有解码 NWP 日志的工具、因此您需要 TI 回答。 NWP 日志可通过连接到 CC3135 其中一个引脚的 UART 捕获。 有关 NWP 日志的一些详细信息、您可以在SWRU455 第 20 章中读取。

    BTW ...您可以使用最新的 ServicePack 进行测试吗？ 您可以从 CC32xx SDK 获取最新服务包（是的，在 CC32xx 上找到适用于 CC3135 的最新服务包很奇怪、但不会询问我...）

    1 月

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、Jan

    感谢您的信息、将尝试获取日志。 只有一个问题：   在每次调用 sl_WlanConnect  () 之前、“参数 SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH 的设置“是什么意思？
    在某些情况下 、我用不同的凭据集多次调用 sl_WlanConnect ()、是否表示每次调用前都需要有  SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH？ 我认为它需要根据 sl_Start () 配置一次,作为每个非持久参数

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    编号 该 API 需要在每次  sl_WlanConnect () 调用之前调用 。 从 SWRU455：可通过 WLAN 设置取消对服务器身份验证的需求。 取消此身份验证仅对单个手动连接有效。

    也许这可以解释您看到的行为、如果您  在每个 sl_Start ()“session"（“（会话（会话）中仅调用一次 SL_WLAN_GENERAL_PARAM_DISABLE_ENT_SERVER_AUTH。

    1 月

  • 0
    TI__Guru**** 2509965 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    谢谢、Jan、这是重要提示。 和 BTW、使用最新的 Service Pack、 CA 文件问题将消失、只有正确的根 CA 才能对 RADIUS 服务器进行身份验证。 不是它解决了我的问题,但至少现在的画面是清楚的。 感谢您的帮助！