首先感谢各位兄弟姐妹们的耐心等待。本书预计在3月中旬上市发售。从今天开始，我将在博客中连载此书的一些内容。注意，此处连载的是未经出版社编辑的原始稿件，所以样子会有些非专业。

注意，如下是本章目录，本文节选4.1-4.3  4.5~4.5.2 及4.6节。

为了方便读者深入学习，本系列连载都会将作者研究过

程中所学习的参考文献列出来

                                                     第4章 深入理解wpa_supplicant

本章主要内容

• 介绍wpa_supplicant的初始化
• 介绍EAP和EAPOL
• 介绍wpa_supplicant如何加入无线网络

4.1 概述

wpa_supplicant是一个开源软件项目，它实现了Station[1]对无线网络进行管理和控制的功能。根据官方[2]描述，wpa_supplicant所支持的功能非常多，此处列举其中几个重要的功能点。

支持WPA和IEEE 802.11i所定义的大部分功能：这部分功能集中在安全方面，包括：

• 支持WPA-PSK（即WPA-Personal）和WPA-Enterprise（即利用RAIDUS认证服务器来完成身份认证的情况）。
• 数据加密方面支持CCMP、TKIP、WEP104和WEP40。注意，WEP104和WEP40中的数字代表密钥的长度。104表示密钥长度为104个二进制位（如以ASCII字符个数来计算的话，WEP104支持的密钥长度为13个ASCII字符）。
• 完全支持WPA和WPA2，包括PMKSA缓存，预认证（pre-authentication）等功能。
• 支持IEEE 802.11r和802.11w，其中802.11r规范定义了快速基础服务转移（Fast Transition）功能，而802.11w则新增了对管理帧的安全保护机制。
• 支持WFA制定的Wi-Fi Proctected Setup功能、P2P、TDLS等。

支持多种EAP Method：主要和802.1X中Supplicant的功能有关，wpa_supplicant支持多达25种EAP Method，包括：

• EAP-TLS：TLS（Transport Layer Security）本身是一种传输层安全协议，它利用密钥算法提供端点身份认证与通讯保密，其基础是公钥基础设施（public key infrastructure，简称PKI）。EAP-TLS定义于RFC 5216。
• EAP-PEAP：PEAP（Protected Extensible Authentication Protocol，可扩展EAP）由微软、思科以及RSA Security三个公司共同开发，是一种利用证书加用户名和密码来进行身份验证的方法。
• EAP-TTLS：它是TLS的拓展，全名为Tunneled Transport Layer Security（隧道传输层安全协议），相比TLS，它简化了认证过程中客户端的工作。
• EAP-SIM、EAP-PSK、EAP-GPSK等其他认证方法。

读者可阅读参考资料[1]以了解更多EAP方法的知识。

对各种无线网卡和驱动的支持：

• 支持nl80211/cfg80211驱动和Linux Wireless Extension驱动[3]。
• 支持Windows平台中的NDIS驱动。

提示：wpa_supplicant虽然支持Windows平台，但笔者相信绝大多数读者使用的都是Windows自带的无线网络管理程序（或者Intel芯片相关软件提供的无线网络管理程序）。从功能角度来说，读者可认为wpa_supplicant是这些私有程序的一种开源实现。

Android做为开源世界的集大成者，它在无线网络管理和控制方面直接使用了wpa_supplicant。Android 4.1中，external目录下有两个和wpa_supplicant相关的目录，分别是wpa_supplicant_6和wpa_supplicant_8。6和8分别代表对应wpa_supplicant的版本号为0.6.10和2.0-devel。

本书的分析目标是wpa_supplicant_8，它包含三个主要子目录，分别是：

• hostapd：当手机进入SoftAP模式时，手机将扮演AP的角色，故需要hostapd来提供AP的功能。
• wpa_supplicant：Station模式，也叫Managed模式。它是本书分析的重点。
• src：hostapd和wpa_supplicant中都包含了一些通用的数据结构和处理方法，这些内容都放在此src目录中。注意，hostapd/src和wpa_supplicant/src子目录均链接到此src目录。

wpa_supplicant是Android用户空间中无线网络部分的核心模块，所有Framework层中和Wi-Fi相关的操作最终都将借由wpa_supplicant来完成。另外，wpa_supplicant本身对802.11、802.1X和Wi-Fi Alliance定义的一些规范都有极好的支持。所以，分析它将是加深理解802.11及相关理论知识的一个非常重要的途径。

本章拟打算带领读者从两条分析路线来掌握wpa_supplicant和相关的功能模块。

• 路线一：首先将介绍wpa_supplicant的初始化过程。这条路线将帮助读者了解wpa_supplicant中常见的数据结构及之间的关系。这条路非常难走，请读者做好心理准备。
• 路线二：我们将通过命令行发送命令的方式触发wpa_supplicant进行相关工作，使得手机加入一个利用WPA-PSK进行认证的无线网络。这条路线将帮助读者了解wpa_supplicant中的命令处理、scan、association、4-way handshake等相关处理流程。

提示：后续章节还将围绕Android中无线网络技术开展更多的讨论：

1）第5章将介绍Android Framework中的WifiService及其相关模块。

2）第6、7章节将继续wpa_supplicant之旅，其内容和WPS、Wi-Fi P2P以及WifiP2pService有关。

为了行文方便，本书将用WPAS来表示wpa_supplicant。另外，后文代码分析中还能见到一种重要的数据结构，它也叫wpa_supplicant。请读者根据上下文信息来理解wpa_supplicant的含义。

正式开始分析之旅前，我们先来简单了解下wpa_supplicant。

4.2 初识wpa_supplicant

本节介绍WPAS一些外围知识，包括软件结构、编译配置、控制命令和对应控制API的用法。其中，控制命令的格式和API的用法将在后续介绍WifiService相关模块时会见到。另外，在研究WPAS时，能熟练掌握用git查询历史版本信息也非常关键。WPAS的故事首先从其软件架构开始。

4.2.1 wpa_supplicant架构介绍

wpa_supplicant是一个比较庞大的开源软件项目，包含500多个文件，20万行代码，其内部模块构成如图4-1所示[2]。

图4-1  wpa_supplicant软件架构

图4-1所示的WPAS软件架构包括如下重要模块：

• WPAS所有工作都围绕事件（对应图4-1中的event loop模块）展开。即，它是基于事件驱动的。事件驱动和消息驱动类似，主线程等待事件的发生并处理它们。WPAS没有使用多线程编程，所有事件处理都在主线程中完成。从这一点看，WPAS的运行机制倒是很简单。
• 位于event loop模块下方的driver i/f（i/f代表interface）接口模块用于隔离和底层驱动直接交互的那些driver控制模块（如wext、ndiswrapper等，WPAS中称之为driver wrapper）。这些driver wrapper和平台以及芯片所使用的驱动相关。不过，由于driver i/f的隔离作用，WPAS中其他模块将能最大程度保持平台以及驱动无关性。
• driver wrapper经常要返回一些信息给上层。WPAS中，这些信息将通过driver events的方式反馈给WPAS其他模块进行处理。
• 上一章曾介绍过EAP以及EAPOL协议。除了定义消息格式外，RFC4137文档定义了EAP状态机，而802.1X文档中还定义了EAPOL状态机。WPAS根据这两个协议分别实现了EAP和EAPOL状态机。本章后续将详细分析这两个状态机以及背后的协议。除此之外，WPAS还定义了自己的状态机（即WPA/WPA2 State Machine）。
• WPAS实现了多种EAP方法，如图4-1中EAP method模块所示。另外它还包含了TLS模块和crypto模块用于支持对应的EAP方法。
• EAPOL以及EAP消息都属于LLC层数据，所以WPAS的l2_packet模块用于收发EAPOL和EAP消息。
• WPAS支持较多的配置参数，这些参数的处理由configuration模块完成。
• WPAS是C/S结构中的Server端，它通过ctrl i/f模块向客户端提供通信接口。Linux/Unix平台中，Client端利用Unix域socket与其通信。目前常用的Client端wpa_cli（无界面的命令行程序）和wpa_gui（UI用Qt实现）。

WPAS支持众多功能，使用前往往需根据平台或驱动的特性进行编译配置，下面通过一个实例来介绍如何在Android中编译wpa_supplicant。

4.2.2 wpa_supplicant编译配置介绍

本实例的背景情况如下：

笔者有一台三星Galaxy Note2手机，其OS为Android 4.1.2。现在，笔者打算编译一个AOSP（Android Open Source Project）的wpa_supplicant程序以替换Note2中原有的wpa_supplicant。

假设读者已经按第1章要求部署完毕Android 4.1源码和开发环境，那么接下来要做的是：

由上述配置可知，笔者将使用generic的版本来编译一个wpa_supplicant以运行在真实的机器上。

接下来要为generic平台定制所使用的wpa_supplicant版本，这是通过修改BoardConfig.mk来完成的。

[-->BoardConfig.mk]

巧合的是，Note 2使用的wlan芯片刚好为bcmdhd。

除了修改BoardConfig.mk外，WPAS也定义了自己的编译配置文件android.config，其内容如下：

配置完毕后，开始编译：

然后将编译后wpa_supplicant替换Note 2的/system/bin/wpa_supplicant并设置其为可运行（通过chmod命令设置其权限位0755）。同时，笔者也把wpa_cli push到/system/bin下为后续测试做准备。

经过测试，笔者发现AOSP的wpa_supplicant以及wpa_cli均能正常工作在Note 2上。这也间接表明Note 2并未对wpa_supplicant以及博通芯片相关的代码做较大改动。

4.2.3 命令和控制API介绍

1.  命令介绍

由图4-1的介绍可知，WPAS对外通过控制接口模块与客户端通信。在Android平台中，WPAS的客户端是位于Framework中的WifiService。用户在Settings界面进行Wi-Fi相关的操作最终都会经由WifiService通过发送命令的方式转交给wpa_supplicant去执行。WPAS定义了许多命令，常见的：

• PING：心跳检测命令。客户端用它判断WPAS是否工作正常。WPAS收到”PING”命令后需要回复“PONG”。
• MIB：客户端用该命令获取设备的MIB信息。
• STATUS：客户端用该命令来获取WPAS的工作状态。
• ADD_NETWORK：为WPAS添加一个新的无线网络。它将返回此新无线网络的id（从0开始）。注意：此network id非常重要，客户端后续将通过它来指明自己想操作的无线网络。
• SET_NETWORK <network id> <variable> <value>：network id是无线网络的id。此命令用于设置指定无线网络的信息。其中variable为参数名，value为参数的值。
• ENABLE_NETWORK <network id>：使能某个无线网络。此命令最终将促使WPAS发起一系列操作以加入该无线网络。

除了接收来自Client的命令外，WPAS也会主动给Client发送命令。例如，WPAS需用户为某个无线网络输入密码。这类命令称之为Interactive Request，其格式如下。

• WPAS向客户端发送的命令遵循CTRL-REQ-<field name>-<network id>-<human readable text>格式。如CTRL-REQ-PASSWORD-0-Passwork needed for SSID test-network。这条命令表示需要用户为0号网络输入密码。
• 客户端处理完后，需回复CTRL-RSP-<field name>-<network id>-<value>。目前支持的field包括PASSWORD、IDENTITY（EAP中的identity或者用户名）、PIN等。
• 最后，WPAS还可通过形如“CTRL-EVENT-<field>-<text>”的命令向客户端通知一些事情。

提示：除了“CTRL-EVENT-XXX”之外，WPAS还支持形如“WPA:XXX”和“WPS-XXX”的通知事件。这些事件和WPA和WPS有关。下一章分析WifiService时我们还能见到它们。

图4-2所示为笔者利用wpa_cli测试status命令得到的结果。

图4-2  wpa_cli命令测试示意

图4-2所示为status命令的结果。图中最后几行显示WPAS向wpa_cli返回了两个CTRL-EVENT信息。

2.  控制API介绍

Android平台中WifiService是WPAS的客户端，它和WPAS交互时必须使用wpa_supplicant提供的API。这些API声明于wpa_ctrl.h中，其用法如下：

客户端使用wpa_ctrl时首先要分配控制对象。下面两个API用于创建和销毁控制对象wpa_ctrl：

下面这个函数用于发送命令给WPAS。

msg_cb是一个回调函数，该参数的设置和WPAS中C/S通信机制的设计有关：

从Client角度来看，它发送给WPAS的命令所对应的回复属于solicited event（意为有请求的事件），而前面所提到的CTRL-EVENT事件（用于通知事件）对应为unsolicited event（意为未请求的事件）。当Client在等待某个命令的回复时，WPAS同时可能有些通知事件要发送给客户端，这些通知事件不是该命令的回复，所以不能通过wpa_ctrl_request的reply参数返回。

为了防止丢失这些通知事件，wpa_cli设计了一个msg_cb回调用于客户端在等待命令回复的时候处理那些unsolicited event。

这种一个函数完成两样完全不同的功能的设计实在有些特别，所以wpa_supplicant规定只有打开通知事件监听功能的wpa_ctrl对象才能在wpa_ctrl_request中通过msg_cb获取通知事件。而打开通知事件监听功能相关的API如下所示。

如果客户端并不发送命令，而只是想接收Unsolicited event的话，可通过wpa_ctrl_recv函数来达到此目的。

综上所述，单独使用wpa_ctrl_recv和wpa_ctrl_request都不方便。所以，一种常见的用法是：客户端创建两个wpa_ctrl对象来简化自己的逻辑处理：

• 一个打开了通知事件监听功能的wpa_ctrl对象将只通过wpa_ctrl_recv来接收通知事件。
• 另外一个wpa_ctrl专职用于发送命令和接收回复。由于没有调用wpa_ctrl_attach，故它不会收到通知事件。

提示：下一章分析WifiService时将见到这种创建两个wpa_ctrl对象的做法。

4.2.4  git的使用

WPAS难度较大的一个重要原因是其注释较少，很多变量的含义没有任何解释。笔者也为此大伤脑筋。不得以，只能通过查看WPAS代码的历史版本来寻根溯源。经过实践，笔者总结了利用git来查询WPAS历史版本信息的一些步骤，分别如下。

用git clone命令下载WPAS官方代码。

以下命令的含义是查询use_monitor在driver_nl80211.c中的变化情况。

因为use_monitor定义于该文件中，所以用git blame去查看它。得到的结果如图4-3所示。

图4-3  git blame结果

图4-3中的第一行显示了use_monitor最早出现的那个patch的情况，其对应的commit id是a11241fa。接着，再通过命令git log a11241fa可查看当时的commit信息，结果如图4-4所示。

图4-4  git log结果

图4-4展示了a11241fa对应的commit消息。由于提交者一般会在该消息中添加注释性内容。所以可通过研究这些内容来了解代码中某些变量的含义。

下面正式开始WPAS的代码分析之旅。首先是WPAS的初始化流程分析。