从企业 WiFi (EAP) 网络中提取 CA 证书

Question

我有一个工作网络，它是一个使用PEAP和 的EAP 企业 WiFi 网络MSCHAPv2。不幸的是，我没有网络的 CA 证书，这可能使得通过欺骗网络来获取我的凭据变得微不足道。

有没有办法获取 WiFi 网络提供的 CA，以便将其设置为 CA 证书以防止欺骗？

---

编辑： 根据维基百科上关于 PEAP 的内容，WiFi 服务器使用 CA 签署其服务器端证书以实现信任：

在客户端提交身份验证凭据之前，每个客户端都必须使用 CA 证书来向每个客户端验证服务器的身份。如果 CA 证书未经验证，一般来说，引入一个伪造的无线接入点就可以收集 MS-CHAPv2 握手信息了。 [9]

我需要以某种方式从服务器获取此 CA 证书，因为我确信它会颁发包含服务器公钥证书和 CA 公钥证书的证书链。目前它的配置没有 CA 证书，允许任意欺骗：

Answer 1

是的，可以提取网络提供的证书。

可能有一些更简单的方法可以做到这一点，但我刚刚检查过可以使用 Wireshark 提取它。您必须捕获 802.1X 身份验证。您应该能够找到“可扩展身份验证协议”通信，其中包含“传输层安全”内容和“TLSv1 记录层：握手协议：证书”记录。该记录可能包含一个或多个证书。在下面的示例中，仅给出了一个证书。

如果右键单击该证书，您可以“导出数据包字节...”并将其另存为certificate.der.

然后您将获得标准 DER 格式的证书。例如，您可以使用 检查其内容openssl x509 -inform DER -in certificate.der -text -noout。