Jií Peterka 
 
 
Poítaové sít II 
verze 4.0, lekce 6, slide 2  Wi-Fi, certifikace • WLAN (Wireless LAN) je obecné oznaení pro všechny bezdrátové sít LAN 
 – dnes nejrozšíenjší jsou takové sít, které vychází ze standard IEEE 802.11 
• ale existují i jiné bezdrátové sít LAN, nap. HiperLAN, HomeRF ……. 
• Wi-Fi (od: Wireless Fidelity) je „nálepka“, vyjadující získání certifikace o: 
 – dodrení standard IEEE 802.11 
• „nálepku“ Wi-Fi udluje sdruení Wi-Fi Alliance
• díve: sdruení WECA (Wireless Ethernet Compatibility Alliance)
 – udluje ji konkrétním produktm od konkrétních výrobc 
• poté, co tyto produkty úspšn projdou testováním v nezávislých odborných laboratoích 
 – které Wi-Fi Alliance autorizuje (a které testují podle její metodiky a kritérií) 
• výsledky testování lze nalézt v databázi Wi-Fi Alliance (http://www.wi-fi.org/product-finder)
 – certifikuje se vi rzným profilm (programm), které se týkají dílích standard 
 – a tím i konkrétních schopností, funkcí, vlastností atd. 
• nap. podpory standard 802.11b/g/n/ac, WPA, WPA2 atd.
 
právo nosit „nálepku Wi-Fi“ !!! 
 
daný produkt certifikován 
Poítaové sít II 
verze 4.0, lekce 6, slide 4  systémová architektura 802.11  • má následující prvky:
 – (koncové) stanice: STA
 – pístupový bod: AP (Access Point)
• uzly, vystupující v roli pístupových bod 
 – buka: BSS (Basic Services Set)
• základní jednotka infrastruktury 
• v reimu infrastruktury má 1 pístupový bod (AP) a nkolik
stanic (STA)
 – distribuní systém: DS (Distribution System)
• zajišuje vzájemné propojení dvou i více bunk (BSS) 
 – sí: ESS (Extended Services Set)
• nkolik bunk (BSS), propojených mezi sebou pomocí
distribuního systému (DS) 
 – portál 
BSS
Poítaové sít II 
verze 4.0, lekce 6, slide 5  BSS, Basic Services Set (buka)  • jde o základní prvek infrastruktury sítí dle standardu IEEE 802.11 
 – odpovídá segmentu u „drátových“ sítí
• pesnji: kolizní domén v Ethernetu – všechny uzly v BSS spolen sdílí dostupnou kapacitu!! 
• je podobná buce v mobilních sítích 
 – funguje v reimu infrastruktury 
více stanic (STA) 
postavení
AP, které se dotazuje jednotlivých stanic
• stanice v BSS spolu nekomunikují pímo,
ale jen pes AP !!!
nco poslat jiné stanici (STA2) ve stejné
BSS, pošle to nejprve pístupovému
bodu (AP), a ten to následn pedá
druhé stanici (STA2) 
komunikace (a to od/k pístupovému
bodu)
AP
Poítaové sít II 
verze 4.0, lekce 6, slide 6  ESS, Extended Services Set (sí)  • ESS je „vyšší“ prvek infrastruktury sítí dle standardu IEEE 802.11 
 – odpovídá síti (u „drátových“ sítí)
• celku, propojenému na úrovni linkové vrstvy (L2) 
• má vlastní identifikátor: SSID (32-znakový etzec) 
 – všechny stanice (STA) v ESS jsou „jakoby: na jedné hromad“
• mohou si myslet, e patí „do stejného oblaku“ a mají pímé (L2) spojení mezi sebou 
 – obdobn, jako uzly „drátových“ sítí
 – ve skutenosti je to ale jinak: 
• jednotlivé stanice (STA) patí do konkrétních bunk (BSS) 
 – kadá stanice me „patit“ jen do jedné buky (BSS) 
• v kadé buce je jeden pístupový bod (AP) 
 – a kadá stanice v BSS komunikuje jen s tímto pístupovým bodem 
• jednotlivé BSS jsou vzájemn propojeny (do výsledného ESS)
prostednictvím  distribuního  systému (DS) 
 
Poítaové sít II 
verze 4.0, lekce 6, slide 7  identifikátory  • SSID (32 znak) je „jméno sít“ 
• nkdy oznaováno té jako ESSID
 – identifikátor ESS 
 – pro všechny BSS v ESS 
 – tento identifikátor nastavuje správce
sít, podle svého uváení 
• identifikátor BSS 
• BSSID zobrazují jen specializované programy
 
• DS (distribuní systém) je nutný kvli tomu, aby bylo moné: 
 – napojit buku (BSS) na „okolí“ 
• aby buka nebyla zcela izolovaná od vnjšího svta
 – existují i izolované buky (bez napojení na okolí): IBSSS (Independent BSS), viz dále 
 – „spojit“ více bunk (BSS) do jedné sít (ESS) 
• a bylo moné vytváet iluzi, e všechny stanice v síti (ESS) jsou “jakoby na jedné hromad“ 
 – realizovat agendu, spojenou se strukturou sítí a píslušností jednotlivých stanic
(STA) do konkrétních bunk (BSS) 
• které buky tvoí sí? Které uzly jsou jejich pístupovými body? 
• kdy zde „nejsou dráty“, jak se pozná, do které buky patí konkrétní stanice?  
 – zajišovat penos dat v rámci bunk, mezi bukami i z/do sít 
• standardy IEEE nedefinují zpsob implementace DS !!!!  
 – ale definují sluby, které má DS zajišovat  !!!
• Station Services (SS)
• týkají se vazby mezi AP a STA v rámci buky 
 –  Authentication (autentizace)
 –  Deauthentication (de-autentizace)
 –  MAC Service Data Unit (MSDU) Delivery
• vlastní penos dat mezi STA a AP 
• Distribution System Services (DSS)
 –  Association (asociace STA k AP)
 –  Reassociation (další asociace …) 
 –  Disassociation (zrušení asociace) 
ESS
eduroam
Poítaové sít II 
verze 4.0, lekce 6, slide 9  DSS: Association, Deassociation • pro je nutná asociace (a de-asociace)?
 – u „drátových“ sítí o píslušnosti uzlu ke
konkrétnímu segmentu i síti rozhoduje jeho pipojení
(„vedení drátu“) 
 – mezi pístupovým bodem (AP) a stanicemi (STA)
nevedou ádné dráty …. 
stanicí (STA) a pístupovým bodem (AP) konkrétní
buky 
• stanice (STA) musí být v dosahu signálu pístupového
bodu (AP) konkrétní buky (BSS) 
 – dosah se oznauje jako BSA (Basic Set Area) 
1. stanice poádá pístupový bod o „lenství“ v BSS 
• STA pošle AP ádost o asociaci (DSS: Association)
2. pístupový bod ádosti o asociaci vyhoví
• AP pošle STA kladné vyrozumní o asociaci 
• obdobn probíhá i vyazení z buky 
• pomocí ádosti o zrušení asociace (DSS: Deassociation)
BSS
1
BSA
BSSBSA
2
• dsledek: 
 – distribuní systém (DS) si musí vést uritou formu evidence (databázi) toho, „kde se
která stanice nachází “ 
DSS: Reassociation • pipomenutí: 
• propojených pomocí distribuního systému (DS) 
 – stanice (STA) se asociuje vdy k „nejlepší“ buce
(BSS)
• otázka: 
• napíklad kdy se stanice (STA) pemístí a bude mít
lepší podmínky pro komunikaci s jiným
pístupovým bodem (AP) v jiné buce tée sít?
 – pak by mlo dojít ke zmn asociace 
• pomocí sluby DSS: Reassociation
ESS
eduroam
• kdy me pístupový bod (AP) vyhovt ádosti o asociaci? 
 – kdy ví, kdo (která stanice, STA) ho o asociaci ádá! 
• teprve pak se me rozhodovat  
 – zda novou stanici „pustí“ do své buky, i nikoli  
• proto je nutná autentizace 
• coby ovení identity té stanice, která se chce asociovat
• stanice (STA) musí být v dosahu signálu (BSA) pístupového bodu (AP) konkrétní buky (BSS) 
1. stanice pošle pístupovému bodu ádost o (svou) autentizaci (SS: Authentication)
• spolu s dalšími údaji, které osvdují identitu stanice 
 – nap. sdílený klí 
• pokud se mu podailo úspšn autentizovat stanici 
 – nebo odpoví záporn, pokud autentizace nebyla úspšná 
• pvodní standard 802.11 definoval 2 varianty autentizace 
• novjší standardy monosti autentizace rozšiují (MAC address, 802.1X, WPA, WPA2, viz dále)  
 – Open System Authentication
• a nic neposuzuje, na nic se neptá 
 – Shared Key Authentication
 – implementováno pomocí technologie
autentizuje se pouze stanice
vi AP, naopak nikoli !!  
verze 4.0, lekce 6, slide 12   SS: Delivery a Privacy
• další sluby ze skupiny SS (Station Services)
 – Delivery: penos dat mezi stanicí (STA)
a pístupovým bodem (AP) 
Unit)
rámc 
802.11
(802.3), ale nejsou totoné – viz dále 
• nap. obsahují a 4 MAC adresy (zatímco
rámce 802.3 obsahují jen 2 MAC adresy) 
 – Privacy: (volitelné) zajištní dvrnosti
 – obsahu MAC rámc (MSDU) 
technologii WEP (Wired Equivalent
• novjší standardy nabízí další,
Adr 1
verze 4.0, lekce 6, slide 13   DSS: Distribution • sluba Delivery
 – je souástí slueb SS (Station Services)
• protoe se týká penosu dat jen v rámci buky (BSS)
 – mezi stanicí (STA) a pístupovým bodem (AP) 
• nemusí ešit „kde se kdo nachází “ 
• sluba Distribution
• proto ji musí ešit, „kde se kdo nachází “ 
 – potebuje mít informace o tom, kde se nachází zdrojová i cílová stanice (STA) 
• a z toho si odvodit, pes které pístupové body (AP) musí data projít  
 – takovéto informaci má a udruje distribuní systém (DS) 
• získává je na základ asociací/deasociací/reasociací 
• k pístupovým bodm v jednotlivých bukách 
 
Poítaové sít II 
verze 4.0, lekce 6, slide 14   Jak je realizován distribuní systém? 
• pipomenutí: 
 – standardy IEEE 802.11 nedefinují, jak má být distribuní systém (DS) implementován 
• ale definují sluby, které má distribuní systém zajišovat  
 – funkce DSS: Association, Reassociation, Disassociation, Distribution, Integration
• v praxi (obvykle):
 – distribuní systém (DS) je realizován propojením pístupových bod (AP) pomocí
klasického „drátového“ Ethernetu (dle IEEE 802.3) 
• pedstava: pístupový bod má 2 rozhraní a „mezi nimi“ se chová jako pepína 
 – jedno rozhraní je bezdrátové (802.11), druhé je „drátové“ (802.3) 
• dsledek: pokud MAC rámec prochází skrz pístupový bod, je pekládán z/do „bezdrátového“
formátu (dle 802.11) a „drátového“ formátu (dle 802.3) 
 – zatímco vloený obsah (LLC rámec) zstává beze zmny 
 – sluby distribuního systému (DSS) zajišují jednotlivé pístupové body (AP) 
• ve vzájemné souinnosti 
 – mezi sluby distribuního systému (DSS, DS Services) patí sluba Delivery
• pro (bezdrátový) penos mezi stanicí a pístupovým bodem (v rámci buky) 
 – vyuívá MAC rámce 802.11 
• které se liší od rámc 802.11 
• dsledek: 
 – musí existovat další sluba distribuního systému (DSS): Integration
• umouje provázat (propojit) bezdrátové sít dle IEEE 802.11 s jinými sítmi 
 – hlavn se sítmi IEEE 802.3 („drátovým“ Ethernetem)
 – integrovat je do jednoho celku
• hlavní úkol sluby: pevod mezi MAC rámci 802.11 a jinými (obvykle MAC rámci 802.3) 
802.11 802.11 802.3
Poítaové sít II 
verze 4.0, lekce 6, slide 16   MAC rámce 802.11  • bezdrátové sít dle standardu IEEE 802.11 pouívají 3 druhy MAC rámc  
1. ídící MAC rámce (Control Frames), slouí potebám ízení pístupu 
• rámce pro zprávy RTS/CTS (ešení problému pedsunuté a skryté stanice) 
• rámce pro zprávy ACK (potvrzování pijatých datových rámc) 
2. MAC rámce pro správu (Management Frames)
• Beacon rámce ("maják")
 – vyuívá je pístupový bod (AP) k inzerování své pítomnosti a svých parametr 
• Probe, Probe Response
 – rámce pro zjišování pítomnosti a schopnosti uzl (stanic i pístupových bod) 
• Authentication, De-authentication
• Association Request/Response
• Re-association Request/Response
 – rámce pro ádost/odpov na asociaci stanice (STA) s pístupovým bodem (AP) v jiné
buce (BSS) tée sít (ESS) 
• Disassociation
 – rámec pro ádost o ukonení asociace stanice (STA) s AP
3. datové MAC rámce 
 – pro vlastní penos dat  
verze 4.0, lekce 6, slide 17   formát MAC rámc 802.11 
• Frame Control:
 – „hlavní ást“ hlaviky MAC rámce, obsahuje údaje o typu rámce 
• Type: zda jde o ídící rámec (00), rámec pro správu (01) nebo datový rámec (10) 
• Subtype: detailnjší rozlišení typu rámce pro jednotlivé kategorie 
 – 0000: Association Request (ádost o asociaci), 0001: Association Response (odpov) 
 – 0100: Probe Request („dotaz“, viz dále), 0101: Probe Response
 – 1000: Beacon („vysílání majáku“, viz dále) 
 – 1011: Authentication (ádost o autentizaci), 1100: Deauthentication
 – ……. 
 – 1011: zpráva RTS (Request to Send), 1100: zpráva CTS (Clear to Send)
 – 1101: zpráva ACK (potvrzení doruených dat) 
 – …….. 
 – ……. 
Type=00
Type=01
Type=10
verze 4.0, lekce 6, slide 18   formát MAC rámc 802.11 
• píznaky „To DS“ a „From DS“ 
 – týkají se toho, zda (datový) MAC rámec smuje z/do distribuního systému 
• a podle toho jsou nastaveny i MAC adresy v MAC rámci
 – musí rozlišit 3 adresy: STA, AP a uzlu v DS 
Type
2b 4b 1b 1b
verze 4.0, lekce 6, slide 19   formát MAC rámc 802.11 
• otázka (na fungování sluby Integration):
 – jak se pekládají MAC adresy pi pevodu „bezdrátového“ datového MAC rámce 802.11
na „drátový“ rámec 802.3?
2b 4b 1b 1b
verze 4.0, lekce 6, slide 20   bezdrátový distribuní systém  • odboení: 
 – k emu je v „bezdrátovém“ MAC rámci (rámci IEEE 802.11) 4. MAC adresa? 
• pro pípad pouití bezdrátového distribuního systému 
• WDS: Wireless Distribution System, nkdy té: Wireless Bridge, WDS Bridge, ….. 
 – jde o ešení pro bezdrátové propojení dvou drátových segment 
 – pístupový bod (AP) ale
Poítaové sít II 
verze 4.0, lekce 6, slide 21   odboení: reim ad-hoc • buka bezdrátové sít (BSS) nemusí fungovat jen dosud popisovaným
zpsobem
 – v reimu infrastruktury: s píst. bodem (AP) a napojením na distribuní systém (DS) 
• toto je obvyklé ešení – pro „plánované“ bezdrátové sít 
 – takové bezdrátové sít, které si nkdo dopedu vytvoí (nap. doma, v kancelái, škole, …),
a pak je opakovan pouívá 
• typicky: jejich pístupové body (AP) jsou umístny pevn (nepemisují se), a jsou propojeny mezi
sebou a napojeny na pevné (drátové) sít pomocí distribuních systém (DS) 
• alternativa:
 – buka (BSS) me fungovat v reimu ad-hoc, jako tzv. Independent BSS (IBSS)
• nemá ádný pístupový bod 
• a komunikují mezi sebou pímo 
 – buka je izolovaná od okolního svta
• není napojena na ádný distribuní systém 
• proto pro všechny MAC rámce platí: 
 – typické vyuití: 
• nap. penos soubor mezi tablety, tisk na tiskárn apod.
IBSS
0 0
Poítaové sít II 
verze 4.0, lekce 6, slide 22    ídící rámce a rámce pro správu 
• tyto MAC rámce (dle 802.11) „nepechází“ do distribuního systému (DS) 
 – penáší se jen mezi stanicemi (STA) a pístupovými body (AP) 
• pípadn jen mezi stanicemi (STA) v rámci bunk, fungujících v reimu ad-hod (IBSSS)
 – proto pro tyto rámce musí být nastaveno 
• ídící rámce slouí potebám ízení pístupu 
 – pro zprávy RTS/CTS, pro potvrzen ACK atd. 
• rámce pro správu zajišují „agendu fungování buky“ 
 – ve smyslu „domluvy“ mezi stanicemi (STA) a pístupovými body (AP) 
• mj. pro poteby autentizace (deautentizace), asociace (reasociace, de-asociace) atd.
 – ale také v podob: 
Probe Request, a vyzývá tím pístupové
body (i jiné stanice) k urité reakci
• testuje jejich existenci a dostupnost
 – ostatní uzly na tyto rámce odpovídají 
• existují „odpovdní“ rámce: Probe
bod, aby inzeroval svou existenci a své
parametry
a o dostupných monostech penosu 
 – na tento druh rámc se neodpovídá 
• neexistuje rámec pro odpov 
 
 
• otázka: 
 – jak se konkrétní stanice (STA) dozví o tom, které sít a buky jsou v jejím dosahu? 
• vetn jejich parametr: jmen sítí a bunk, podporovaných rychlostí, zpsob zabezpeení …. 
• monosti: 
Probe Request ) na konkrétních kanálech
 – musí to být frekvenní kanály, které je
moné (povolené) vyuívat
• viz licenní/bezlicenní pásma
aby se ozvaly (formou rámc Probe Response)
 – v odpovdi pístupové body (AP) sdlují
poadované informace o sob 
zvoleném kanále 
kanály 
Beacon, z nich se dozví vše potebné 
• k emu (a jak) stanice vyuívá informace získané skenováním? 
 – pro výbr sít (ESS) a pecházení mezi sítmi („roaming“) 
• toto není souástí (základních) standard IEEE 802.11 !!!! 
 – eší to uivatel, nebo aplikaní SW na jeho stanici 
 
 
Poítaové sít II 
verze 4.0, lekce 6, slide 24   postup pihlašování k síti  • jak se stanice (STA) dozví, ke kterému pístupovému bodu (AP) se má,
resp. me asociovat? 
 – provede pasivní nebo aktivní skenování 
 – aktivn: pomocí rámc Probe Request , pasivn ekáním na Beacon i Probe Response
• dozví se o existenci sítí (získá jejich SSID) i jednotlivých pístupových bod 
 – i „sílu“ jejich signálu, poadavky na zabezpeení, i další parametry ….  
 – svému uivateli me sestavit seznam dostupných sítí 
• i s píslušnými parametry 
• volbu sít provede uivatel 
 – „run“ vybere sí 
 – pokud je v takto zvolené sítí více pístupových bod (AP), stanice mezi nimi sama
vybere ten, který je (podle ní) nejlépe dostupný 
• k takto zvolenému pístupovému bodu se stanice nejprve autentizuje („802.11 autentizace“) 
 – stanice (STA) vyšle k pístupovému bodu MAC rámec Authentication
• identitou stanice je její MAC adresa (48-bitová Ethernet adresa) 
• autentizaním údajem bu není nic (Open System Authentication), nebo WEP klí 
 – pístupový bod odpoví, opt pomocí MAC rámce Authentication
• následn se stanice k pístupovému bodu asociuje 
 – stanice pošle Association Request , pístupový bod odpoví pomocí Association Response
Authentication
Authentication
Poítaové sít II 
verze 4.0, lekce 6, slide 25   zabezpeení sítí dle 802.11  • dosud popisované zabezpeení 
 – vychází ze standard IEEE 802.11 z roku 1999 (IEEE 802.11-1999), zahrnuje
1. autentizaci: jde o autentizaci stanice (nikoli uivatele), eší se sdílením WEP klíe 
2. dvrnost (šifrování) dat: eší se pomocí algoritmu WEP (Wired Equivalent Privacy)
• WEP pouívá šifru RC4 a pvodn pracoval s klíi o velikosti 64 bit  
 – 40 bit základu klíe (proto: WEP-40), 24 bit inicializaní vektor 
• bylo to dáno hlavn exportním omezením šifrovacích technologií ze strany USA 
• 40-bitové základy pro 64-bitové WEP klíe se zadávaly jako posloupnost 10 hexadecimálních
ísel (0-9,A-F), tj. 10x4 bity, nebo jako 5 ASCII znak (5x8 bit) 
• pozdji (bez exportních omezení) se pouíval WEP s klíem 128 bit 
 – 104 bit základu klíe (WEP-104), 24 bit inicializaní vektor 
• 104-bit základu se zadávalo jako 26 hexadecimálních ísel 
• toto zabezpeení se velmi brzy ukázalo jako píliš slabé!!! 
 – WEP-u lze zadat a 4 rzné klíe, ale pepínat mezi nimi musí sám uivatel
• WEP jinak pracuje stále se stejným klíem 
 – co významn usnaduje prolomení WEP-u
• pi dostaten dlouhém odposlechu
 
verze 4.0, lekce 6, slide 26   IEEE 802.11i
• v roce 2004 byl pijat standard IEEE 802.11i (týkající se bezpenosti)  
 – jako doplnk pvodního standardu IEE 802.11 (z roku 1999), který:
• mní tu ást pvodního standardu, která definovala oblasti autentizace a dvrnosti
(privacy)
 – hlavn: slabý a zranitelný WEP nahrazuje silnjšími metodami
• a umouje autentizovat i konkrétní uivatele (a ne pouze stanice jako takové) 
• konkrétn: 
bit a šifruje bloky o velikosti 128 bit 
• „master key“, ze kterého CCMP odvozuje
šifrovací klíe, má 256 bit
 – zajišuje: 
• nov jiné 2 monosti: 
umouje autentizovat konkrétní
sdíleného klíe
verze 4.0, lekce 6, slide 27   WPA (Wi-Fi Protected Access)
• jde o (doasné) ešení, které vytvoila Wi-Fi Alliance v roce 2003
 – není to standard IEEE 802.11
 – vychází z pracovní verze standardu IEEE 802.11i (ten byl dokonen a v roce 2004) 
• „WPA vzniklo z nedokavosti –  práce na standardu nepokraovaly dostaten rychle, a Wi-Fi
 Alliance se nemohla dokat …. proto vydala nehotové ešení …. jako WPA ….. „ 
• hlavní odlišnosti (oproti finální verzi standardu 802.11i): 
 – místo protokolu CCMP pouívá protokol
TKIP
doasné šifrovací klíe, a rychle je stídá 
• aby se ztíila monost odposlechu klíe,
a tím monost prolomení šifrování 
 – pro zajištní integrity penášených
zpráv (rámc) pouívá algoritmus
• dnes je WPA pekonané 
slabý a zranitelný
 – pesto je WPA dodnes implementováno ve vtšin
Wi-Fi zaízení 
Poítaové sít II 
verze 4.0, lekce 6, slide 28   WPA 2 (Wi-Fi Protected Access 2) • WPA2 je „finálním“ ešením (z roku 2006) 
 – opírá se o (finální verzi) standardu IEEE 802.11i
• formáln: nejde o standard, ale o celý „bezpenostní rámec“ 
• a také o trademark: obchodní znaku/chránnou známku 
 – stejn jako u WPA: od Wi-Fi Alliance
• konkrétní zaízení jsou certifikována na podporu WPA i WPA2 
• hlavní rozdíl (oproti WPA): 
 – protokol TKIP byl nahrazen „bytelnjším“ protokolem CCMP 
• tak, jak to poaduje (finální verze standardu 802.11i) protokol CCMP zajišuje: 
 – protokol CCMP zajišuje 
• šifrování penášených dat, a tím jejich dvrnost (u WPA toto zajišoval protokol TKIP) 
• ochranu penášených dat proti zmn, resp. zajištní integrity (toto u WPA dlal Michael MIC) 
• existuje i tzv. smíšený reim (WPA/WPA2 mixed mode)
 – týká se pístupových bod (AP) 
• umouje, aby v jedné buce (BSS) koexistovaly stanice fungující dle WPA i stanice WPA2 
 – princip fungování smíšeného reimu: 
• pístupový bod „inzeruje“ (ve svých beacon rámcích), jaké šifrování podporuje 
 – TKIP, CCMP i jiné 
 
 
verze 4.0, lekce 6, slide 29   autentizace dle IEEE 802.11i
• pvodní standard (IEEE 802.11-1999):
• autentizovala se pouze stanice
 – identifikovala se pomocí své MAC adresy, autentizovala nijak / pomocí sdíleného WEP klíe 
• všechny stanice se autentizovaly stejn (pomocí stejných WEP klí) 
• nedal se brát zetel na to, kdo je uivatelem stanice 
• WEP byl píliš slabý a zranitelný (navíc se pouíval souasn i pro šifrování) 
• ani samotný postup autentizace (penos autent . údaj, komunikace obou stran) nebyl ideální 
• nový standard (IEEE 802.11i-2004) mní celou koncepci autentizace 
 – zavádí dva rzné reimy autentizace 
• WPA(2) Enterprise (pro firmy, …) 
• uivatel poskytne pístupovému bodu
(AP) své autentizaní údaje,
identitu stanice u autentizaního
• vhodné pro domácnosti, …. 
pístupovému bodu (AP) prokazují
znalostí stejného (pedem na-)
Poítaové sít II 
verze 4.0, lekce 6, slide 30   IEEE 802.1x • jde o samostatný standard od IEEE (pracovní skupiny 802.1)  
 – umouje autentizaci zaízení, která se chtjí „pihlásit“ do (drátových) sítí LAN, i
do (bezdrátových) sítí WLAN 
• dokáe brát ohled na konkrétní uivatele 
 – pouité identifikaní a autentizaní údaje mohou patit uivateli (a ne stanici jako takové) 
• dokáe soustedit (lokalizovat) „rozhodování“ do jednoho místa 
 – posuzování a hodnocení identifikaních a autentizaních údaj (tzv. credentials) zajišuje
jeden spolený server 
 – je nezávislý na konkrétních zpsobech a metodách identifikace a autentizace 
• neíká, jaké konkrétní údaje mají slouit pro identifikaci a autentizaci (ani koho …..)  
 – ani jak mají být vyhodnocovány a posuzovány 
 – terminologie:
• suplikant : „ten, kdo ádá o pístup / pihlašuje se“ (stanice, resp. SW bící na stanici)
• autentizátor: „ten, kdo pidluje pístup ….“ (pístupový uzel / AP) 
• autentizaní server: „ten, kdo o pístupu rozhoduje“ (spolený autentizaní server) 
Q
A
suplikant
autentizátor 
verze 4.0, lekce 6, slide 31   EAP (Extensible Authentication Protocol)
• standard IEEE 802.1x pedpokládá, e: 
 – existuje mechanismus (protokol) pro vzájemnou komunikaci mezi všemi 3 prvky 
• mezi suplikantem, autentizátorem a autentizaním serverem 
 – aby si mohli vzájemn pedávat poadované údaje, ádosti i odpovdi 
• takovým protokolem je protokol EAP (Extensible Authentication Protocol)
 – píklad dialogu: 
 – pošle mu ádost EAP-Request/Identity
 – pošle mu odpov EAP-Response/Identity
 – pokud neodmítne adatele (suplikanta) ji na základ jeho identity  
• autentizaní server pošle suplikantovi ádost o poskytnutí autentizaních
údaj 
• autentizaní server posoudí poskytnuté údaje a rozhodne o povolení pístupu 
 – vrátí zprávu EAP-Success (nebo EAP-Failure)
 
 
 
Poítaové sít II 
verze 4.0, lekce 6, slide 32   EAP, EAPOL, RADIUS a IEEE 802.1x
• EAP je obecné ešení, pvodn vyvinuté pro protokol PPP 
 – umouje i „opaný smr“ autentizace: aby stanice (STA) vdla, k emu se pihlašuje 
• aby se jí identifikoval a autentizoval pístupový bod (AP / Autentizátor)
 – a stanice (resp. její uivatel) vdli, komu poskytují své identifikaní a autentizaní údaje 
• EAPOL (EAP over LAN) je konkrétní variantou EAP 
 – urenou pro nasazení a fungování v prostedí sítí LAN (nad Ethernetem i Wi-Fi)
• zprávy EAP se vkládají do ethernetových linkových rámc 
 – u „drátových“ sítí Ethernet s EtherType=888EH
• standard IEEE 802.1x pouívá práv EAPOL 
 –  resp. EAPoW (EAP over Wireless), pro vkládání do MAC rámc 802.11 
• RADIUS (Remote Authentication Dial In User Service)
 – je obvyklým ešením pro autentizaní server (v rámci IEEE 802.1x) 
• má vlastní protokol pro komunikaci se svými klienty
 – zde: pro komunikaci autentizaního serveru s autentizátorem (AP)
• zprávy EAP se vkládají do zpráv protokolu RADIUS 
 – RADIUS spadá do kategorie ešení pro AAA: 
• Authorization
• Authentication
• Accounting
• EAP je pouze obecným rámcem pro autentizaci 
 – nedefinuje konkrétní metody a postupy autentizace 
• ty definují a jeho rozšíení (proto také: „Extensible“ Authentication Protocol)
 – rozšíení protokolu EAP se týkají:
• celkové metody
suplikantem a autentizaním serverem 
• je nutný SSL certifikát autentizaního
serveru
 – EAP-TTLS
 – PEAP: Protected EAP
 – EAP-SIM, EAP-AKA
 – …… 
• 2-fázový handshake
 – CHAP (Challenge Handshake
 – MS-CHAP-V2
• píklady: 
 
aut. server se prokazuje SSL certifikátem,
 
 
Poítaové sít II 
verze 4.0, lekce 6, slide 34   píklad: pístup k sítí Eduroam
nutno zadat pouze tehdy,
pokud certifik át  serveru
ješt není povaován za