我在哪里获得 Golang 的 Radius MSCHAPv2 中的密码？

Question

我无法弄清楚如何编辑此 Radius MSCHAPv2 示例并从 radius 客户端获取密码。我正在使用的 go 库是https://github.com/layeh/radius。MSCHAPv2 是否发送带有密码的用户名？如何从客户端获取密码到服务器？package microsoftimport (    "log"    "reflect"    "layeh.com/radius"    "layeh.com/radius/rfc2759"    "layeh.com/radius/rfc2865"    "layeh.com/radius/rfc2868"    "layeh.com/radius/rfc2869"    "layeh.com/radius/rfc3079")const (    radiusSecret = "secret")func RunRadiusServer() {    handler := func(w radius.ResponseWriter, r *radius.Request) {        username := rfc2865.UserName_GetString(r.Packet)        challenge := MSCHAPChallenge_Get(r.Packet)        response := MSCHAP2Response_Get(r.Packet)        // TODO: look up user in local database.        // The password must be stored in the clear for CHAP mechanisms to work.        // In theory, it would be possible to use a password hashed with MD4 as        // all the functions in MSCHAPv2 use the MD4 hash of the password anyway,        // but given that MD4 is so vulerable that breaking a hash is almost as        // fast as computing it, it's just not worth it.        password := "password-from-database"        if len(challenge) == 16 && len(response) == 50 {            // See rfc2548 - 2.3.2. MS-CHAP2-Response            ident := response[0]            peerChallenge := response[2:18]            peerResponse := response[26:50]            ntResponse, err := rfc2759.GenerateNTResponse(challenge, peerChallenge, username, password)            if err != nil {                log.Printf("Cannot generate ntResponse for %s: %v", username, err)                w.Write(r.Response(radius.CodeAccessReject))                return            }我编辑了函数的顶部：username := rfc2865.UserName_GetString(r.Packet)password := rfc2865.UserPassword_GetString(r.Packet)log.Printf("bytes %+v", r.Get(1), string(r.Get(1)))log.Printf("bytes %+v", r.Get(2), string(r.Get(2)))log.Printf("u/p %v, %v\n", username, password)用户名正确。密码为空。1 是用户名。我无法对 2 进行排序，因为它不会将字节转换为字符串。这里有一个类似但不是 Go 特定的问题，也没有正确回答。谢谢！

Answer 1

这不是我特别熟悉的机制，但我的期望是 CHAP 协议不会通过网络发送密码，因此您无法从客户端获取密码。相反，您生成一个预期的响应，知道客户端应该使用的密码并与您从客户端获得的响应进行比较 - 如果它们匹配，则使用相同的秘密密码生成两个响应，一切都很好，否则不匹配某处，您不授予访问权限。

Answer 2

在 MSCHAPv2 中，客户端发送用户密码哈希。无法访问明文密码。如果您需要进行身份验证-您需要从用户身份存储中获取密码，以相同的方式对其进行哈希处理并比较两个哈希值-您的哈希值和从客户端获得的哈希值。

详细来说，客户端发送：

• MSCHAP-Challenge 包含 16 字节挑战

• MSCHAP 响应包含：

• 16 字节客户端挑战

• 8 字节保留

• 24 字节 NT 响应 = DesEncrypt( SHA1( 客户端质询 , 服务器质询 , 用户名 ) , MD4Hash(密码) )

• 1 字节标志“使用 NT 质询响应或 LAN 质询响应”

服务器从 ID 存储中获取 MSCHAP-Challenge、客户端挑战和用户密码并计算 NT-response。如果等于收到 - 服务器发送访问接受，否则访问拒绝