我在哪里获得 Golang 的 Radius MSCHAPv2 中的密码？

Question

我无法弄清楚如何编辑此 Radius MSCHAPv2 示例并从 radius 客户端获取密码。我正在使用的 go 库是https://github.com/layeh/radius。

MSCHAPv2 是否发送带有密码的用户名？如何从客户端获取密码到服务器？

package microsoft

import (

    "log"

    "reflect"

    "layeh.com/radius"

    "layeh.com/radius/rfc2759"

    "layeh.com/radius/rfc2865"

    "layeh.com/radius/rfc2868"

    "layeh.com/radius/rfc2869"

    "layeh.com/radius/rfc3079"

)

const (

    radiusSecret = "secret"

)

func RunRadiusServer() {

    handler := func(w radius.ResponseWriter, r *radius.Request) {

        username := rfc2865.UserName_GetString(r.Packet)

        challenge := MSCHAPChallenge_Get(r.Packet)

        response := MSCHAP2Response_Get(r.Packet)

        // TODO: look up user in local database.

        // The password must be stored in the clear for CHAP mechanisms to work.

        // In theory, it would be possible to use a password hashed with MD4 as

        // all the functions in MSCHAPv2 use the MD4 hash of the password anyway,

        // but given that MD4 is so vulerable that breaking a hash is almost as

        // fast as computing it, it's just not worth it.

        password := "password-from-database"

        if len(challenge) == 16 && len(response) == 50 {

            // See rfc2548 - 2.3.2. MS-CHAP2-Response

            ident := response[0]

            peerChallenge := response[2:18]

            peerResponse := response[26:50]

            ntResponse, err := rfc2759.GenerateNTResponse(challenge, peerChallenge, username, password)

            if err != nil {

                log.Printf("Cannot generate ntResponse for %s: %v", username, err)

                w.Write(r.Response(radius.CodeAccessReject))

                return

            }

我编辑了函数的顶部：

username := rfc2865.UserName_GetString(r.Packet)

password := rfc2865.UserPassword_GetString(r.Packet)

log.Printf("bytes %+v", r.Get(1), string(r.Get(1)))

log.Printf("bytes %+v", r.Get(2), string(r.Get(2)))

log.Printf("u/p %v, %v\n", username, password)

用户名正确。密码为空。1 是用户名。我无法对 2 进行排序，因为它不会将字节转换为字符串。

这里有一个类似但不是 Go 特定的问题，也没有正确回答。谢谢！

Answer 1

这不是我特别熟悉的机制，但我的期望是 CHAP 协议不会通过网络发送密码，因此您无法从客户端获取密码。相反，您生成一个预期的响应，知道客户端应该使用的密码并与您从客户端获得的响应进行比较 - 如果它们匹配，则使用相同的秘密密码生成两个响应，一切都很好，否则不匹配某处，您不授予访问权限。

Answer 2

在 MSCHAPv2 中，客户端发送用户密码哈希。无法访问明文密码。如果您需要进行身份验证-您需要从用户身份存储中获取密码，以相同的方式对其进行哈希处理并比较两个哈希值-您的哈希值和从客户端获得的哈希值。详细来说，客户端发送：MSCHAP-Challenge 包含 16 字节挑战MSCHAP 响应包含：16 字节客户端挑战8 字节保留24 字节 NT 响应 = DesEncrypt( SHA1( 客户端质询 , 服务器质询 , 用户名 ) , MD4Hash(密码) )1 字节标志“使用 NT 质询响应或 LAN 质询响应”服务器从 ID 存储中获取 MSCHAP-Challenge、客户端挑战和用户密码并计算 NT-response。如果等于收到 - 服务器发送访问接受，否则访问拒绝