802.1X SSIDでのOver-the-Airパケットキャプチャの復号化

概要

このドキュメントでは、Catalyst 9800 WLCで利用可能なトラブルシューティングツールを使用して、802.1X WLANのOver-the-Air(OTA)パケットキャプチャを復号化する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Catalyst 9800 WLCでの802.1X WLANの設定方法
• Catalyst 9800 WLCで条件付きデバッグを有効にして放射性トレースを実行する方法
• スニファモードのアクセスポイントまたはワイヤレス診断ツールを使用したMacBookを使用してOver-the-Airパケットキャプチャを取得する方法

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Catalyst 9800-L WLC、Cisco IOS® XE Cupertino 17.9.3
• スニファモードのCatalyst 9130AXEアクセスポイント
• Cisco ISE バージョン 3.3
• Wireshark 4.0.8

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

EAP+8021XでIDが検証されると、サプリカントとオーセンティケータ間のハンドシェイクから生成されたPairwise Transient Key(PTK)を使用してワイヤレストラフィックが暗号化されます。PTKは、計算にPairwise Master Key(PMK)を使用します。このPMKは、マスターセッションキー(MSK)から取得されます。MSKは、RADIUS Access-Acceptメッセージ（RADIUS共有秘密を使用して暗号化）の属性値ペア(AVP)に含まれます。その結果、4ウェイハンドシェイクがサードパーティによって代行受信されても、Over-the-Air(OTA)パケットキャプチャでトラフィックを透過的に確認することはできません。

通常、PMKの生成は、有線ネットワークで取得されるパケットキャプチャ、RADIUS共有秘密の知識、および対象の値を抽出するためのいくつかのコーディングを意味します。代わりに、この方法では、Catalyst 9800 WLC（放射性トレース）のトラブルシューティングに使用できるツールの1つを使用してMSKを取得し、Wiresharkなどの既知のパケット分析ツールでMSKを使用できます。

設定

ステップ 1：目的のエンドポイントの放射性トレースの開始

Catalyst 9800 WLCで、Troubleshooting > Radioactive Tracesの順に選択し、Addボタンをクリックして、トラフィックを復号化するデバイスのMACアドレスを入力します。

放射性トレースリストに追加されたMACアドレス

追加したら、リストの上部にあるStartボタンをクリックして、Conditional Debugを有効にします。これにより、データプレーンで交換される情報を確認できます（MSKはここにあります）。

条件付きデバッグが有効な状態で、放射性トレースリストに追加されたデバイス。

ステップ 2：Over-the-Airパケットキャプチャの取得

Over-the-Airパケットキャプチャを開始し、エンドポイントを802.1X WLANに接続します。

このOver-the-Air(OTA)パケットキャプチャは、スニファモードのアクセスポイントを使用するか、またはワイヤレス診断組み込みツールを使用するMacBookで入手できます。

4ウェイハンドシェイク（パケット475 ～ 478）を通過するすべてのトラフィックがどのように暗号化されるかを観察します。

暗号化されたワイヤレストラフィック。

ステップ 3：デバイスの放射性トレースの生成とエクスポート

ステップ1と同じ画面で、ワイヤレストラフィックをキャプチャしたら、緑色のGenerateボタンをクリックします。

時間間隔ポップアップウィンドウで、ニーズに合った期間を選択します。ここでは内部ログを有効にする必要はありません。

Apply to Deviceをクリックして、Radioactive Traceを生成します。

RAトレースの時間間隔。

放射性トレースの準備が整うと、トレースファイル名の横にダウンロードアイコンが表示されます。これをクリックして放射性トレースをダウンロードします。

放射性トレースをダウンロードできます。

ステップ 4：放射性トレースからのMSKの取得

ダウンロードした放射性トレースファイルを開き、Access-Acceptメッセージの後にeap-msk属性を検索します。

2022/09/23 20:00:08.646494126 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: Received from id 1812/143 172.16.5.112:0, Access-Accept, len 289
2022/09/23 20:00:08.646504952 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: authenticator 8b 11 23 7f 6a 37 4c 9a - dd e0 26 88 56 6a 82 f5
2022/09/23 20:00:08.646511532 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: User-Name [1] 7 "Alice"
2022/09/23 20:00:08.646516250 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: Class [25] 55 ...
2022/09/23 20:00:08.646566556 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: EAP-Message [79] 6 ...
2022/09/23 20:00:08.646577756 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: Message-Authenticator[80] 18 ...
2022/09/23 20:00:08.646601246 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: EAP-Key-Name [102] 67 *
2022/09/23 20:00:08.646610188 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: Vendor, Microsoft [26] 58
2022/09/23 20:00:08.646614262 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: MS-MPPE-Send-Key [16] 52 *
2022/09/23 20:00:08.646622868 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: Vendor, Microsoft [26] 58
2022/09/23 20:00:08.646642158 {wncd_x_R0-0}{1}: [radius] [15612]: (info): RADIUS: MS-MPPE-Recv-Key [17] 52 *
2022/09/23 20:00:08.646668839 {wncd_x_R0-0}{1}: [radius] [15612]: (info): Valid Response Packet, Free the identifier
2022/09/23 20:00:08.646843647 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0093.3794.2730:capwap_9000000c] Received an EAP Success
2022/09/23 20:00:08.646878921 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0093.3794.2730:capwap_9000000c] Entering idle state
2022/09/23 20:00:08.646884283 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0093.3794.2730:capwap_9000000c] Posting AUTH_SUCCESS on Client
2022/09/23 20:00:08.646913535 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0000.0000.0000:capwap_9000000c] Setting EAPOL eth-type to 0x888e, destination mac to 0093.3794.2730
2022/09/23 20:00:08.646914875 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0000.0000.0000:capwap_9000000c] Sending out EAPOL packet
2022/09/23 20:00:08.646996798 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0093.3794.2730:capwap_9000000c] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 4, EAP-Type = 0
2022/09/23 20:00:08.646998966 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0093.3794.2730:capwap_9000000c] EAP Packet - SUCCESS, ID : 0x95
2022/09/23 20:00:08.647000954 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0000.0000.0000:unknown] Pkt body: 03 95 00 04 
2022/09/23 20:00:08.647004108 {wncd_x_R0-0}{1}: [dot1x] [15612]: (info): [0093.3794.2730:capwap_9000000c] EAPOL packet sent to client
2022/09/23 20:00:08.647008702 {wncd_x_R0-0}{1}: [auth-mgr] [15612]: (info): [0093.3794.2730:capwap_9000000c] Authc success from Dot1X, Auth event success
2022/09/23 20:00:08.647025898 {wncd_x_R0-0}{1}: [auth-mgr] [15612]: (info): [0093.3794.2730:capwap_9000000c] Raised event APPLY_USER_PROFILE (14)
2022/09/23 20:00:08.647033682 {wncd_x_R0-0}{1}: [auth-mgr] [15612]: (info): [0093.3794.2730:capwap_9000000c] Raised event RX_METHOD_AUTHC_SUCCESS (3)
2022/09/23 20:00:08.647101204 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : username 0 "Alice"
2022/09/23 20:00:08.647115452 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : class 0 43 41 43 53 3a 30 42 30 35 31 30 41 43 30 30 30 30 30 30 31 41 36 42 45 46 33 34 37 35 3a 69 73 65 6c 61 62 2d 75 77 75 2f 34 38 34 36 32 34 34 35 31 2f 33 38 
2022/09/23 20:00:08.647116846 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : EAP-Message 0 <hidden>
2022/09/23 20:00:08.647118074 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : Message-Authenticator 0 <hidden>
2022/09/23 20:00:08.647119674 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : EAP-session-id 0 "O×.Ê$2VÖï<úiUˆú ”­ó>“>ƒôE9Æ#1oÊ0ÖÕM°8p’ŠÀ1ò¿–ã‡|¥–p”½"
2022/09/23 20:00:08.647128748 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : MS-MPPE-Send-Key 0 c7 22 cb f0 93 31 02 a4 1b b0 2f 0a 76 9b b2 23 81 0c b1 e1 4f b6 37 2e 8e 33 78 22 3d c8 1d 7d 
2022/09/23 20:00:08.647137606 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : MS-MPPE-Recv-Key 0 fb c1 c3 f8 2c 13 66 6e 4d dc 26 b8 79 7e 89 83 f0 12 54 73 cb 61 51 da fa af 02 bf 96 87 67 4c 
2022/09/23 20:00:08.647139194 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : dnis 0 "A4-9B-CD-AA-18-80"
2022/09/23 20:00:08.647140612 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : formatted-clid 0 "00-93-37-94-27-30"
2022/09/23 20:00:08.647141990 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : audit-session-id 0 "0B0510AC0000001A6BEF3475"
2022/09/23 20:00:08.647158674 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : eap-msk 0 fb c1 c3 f8 2c 13 66 6e 4d dc 26 b8 79 7e 89 83 f0 12 54 73 cb 61 51 da fa af 02 bf 96 87 67 4c c7 22 cb f0 93 31 02 a4 1b b0 2f 0a 76 9b b2 23 81 0c b1 e1 4f b6 37 2e 8e 33 78 22 3d c8 1d 7d 
2022/09/23 20:00:08.647159912 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : eap-emsk 0 
2022/09/23 20:00:08.647161666 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : method 0 0 [dot1x]
2022/09/23 20:00:08.647164452 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : clid-mac-addr 0 00 93 37 94 27 30 
2022/09/23 20:00:08.647166150 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : intf-id 0 2415919116 (0x9000000c)
2022/09/23 20:00:08.647202312 {wncd_x_R0-0}{1}: [auth-mgr] [15612]: (info): [0093.3794.2730:capwap_9000000c] Method dot1x changing state from 'Running' to 'Authc Success

eap-msk文字列が後に続く値はMSKです。これをコピーして保存し、次の手順で使用します。

2022/09/23 20:00:08.647158674 {wncd_x_R0-0}{1}: [aaa-attr-inf] [15612]: (info): Applying Attribute : eap-msk 0 fb c1 c3 f8 2c 13 66 6e 4d dc 26 b8 79 7e 89 83 f0 12 54 73 cb 61 51 da fa af 02 bf 96 87 67 4c c7 22 cb f0 93 31 02 a4 1b b0 2f 0a 76 9b b2 23 81 0c b1 e1 4f b6 37 2e 8e 33 78 22 3d c8 1d 7d 

ステップ 5：WiresharkでMSKをIEEE 802.11復号化キーとして追加する

Wiresharkで、Wireshark > Preferences > Protocols > IEEE 802.11の順に選択します。

「Enable decryption」というボックスにチェックマークを入れて、Decryption keysの右側にあるEditを選択します。

下部にある+ボタンをクリックして新しい復号化キーを追加し、キーのタイプとしてmskを選択します。

手順4で取得したeap-msk値を（スペースを含めずに）貼り付けます。

最後にOKをクリックしてDecryption keysウィンドウを閉じ、さらにOKをクリックしてPreferencesウィンドウを閉じ、復号化キーを適用します。

Wireshark設定に追加された復号化キー。

手順 6：復号化された802.1Xトラフィックの分析

ワイヤレストラフィックが表示される様子を確認します。このスクリーンショットでは、ARPトラフィック（パケット482および484）、DNSクエリと応答（パケット487および488）、ICMPトラフィック（パケット491 ～ 497）、およびTCPセッションの3ウェイハンドシェイク（パケット507）の開始を確認できます。

復号化されたワイヤレストラフィック。