Java SpringBoot用TinyRadius生成Message-Authenticator遇阻求助

问题背景 #

使用Java SpringBoot + TinyRadius对接Radius服务器进行认证，未添加Message-Authenticator属性时代码可正常运行：

AccessRequest ar = new AccessRequest(userid, passcode);
ar.setAuthProtocol(AccessRequest.AUTH_PAP);
RadiusPacket response = rc.authenticate(ar);

但手动添加Message-Authenticator属性后出现超时，自行实现的两种生成方法均无效，需要正确的实现方案。

错误原因分析 #

自行实现的两个方法均不符合RFC 2869定义的Message-Authenticator生成规范：

• 第一种方法仅更新了数据包类型，未基于完整的临时请求包计算HMAC-MD5
• 第二种方法混淆了Request Authenticator与Message-Authenticator的生成逻辑，未遵循规范构造临时请求

正确实现方案 #

Message-Authenticator的核心逻辑是：先构造包含全0值Message-Authenticator的临时请求包，再基于该包计算HMAC-MD5，最终将结果作为真实属性值添加到原请求中。

步骤1：实现正确的生成方法 #

import org.tinyradius.packet.AccessRequest;
import org.tinyradius.attribute.RadiusAttribute;
import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;

public static byte[] generateMessageAuthenticator(AccessRequest request, byte[] sharedSecret) throws Exception {
    // 复制原请求包，用于构造临时计算用数据包
    AccessRequest tempRequest = new AccessRequest(request.getAuthenticator(), request.getAttributes());
    tempRequest.setAuthProtocol(request.getAuthProtocol());
    tempRequest.setUserName(request.getUserName());
    tempRequest.setUserPassword(request.getUserPassword());

    // 添加临时全0的Message-Authenticator属性（属性类型80对应Message-Authenticator）
    byte[] zeroAuthenticator = new byte[16];
    tempRequest.addAttribute(new RadiusAttribute(80, zeroAuthenticator));

    // 计算HMAC-MD5
    Mac mac = Mac.getInstance("HmacMD5");
    mac.init(new SecretKeySpec(sharedSecret, "HmacMD5"));
    return mac.doFinal(tempRequest.toByteArray());
}

步骤2：修改调用代码 #

byte[] secret = mySecretValue.getBytes();
RadiusPacket response = null;
try {
    AccessRequest ar = new AccessRequest(userid, passcode);
    ar.setAuthProtocol(AccessRequest.AUTH_PAP);
    
    // 生成合规的Message-Authenticator并添加到请求
    byte[] msgAuth = generateMessageAuthenticator(ar, secret);
    ar.addAttribute(new RadiusAttribute(80, msgAuth));
    
    response = rc.authenticate(ar);
} catch (Exception e) {            
    e.printStackTrace();
}

关键注意事项 #

• Message-Authenticator的属性类型固定为80（对应RadiusAttributeType.MESSAGE_AUTHENTICATOR.getValue()）
• 计算HMAC-MD5时必须使用完整的请求包字节数组，且临时Message-Authenticator字段必须为全0
• 确保客户端与Radius服务器使用完全一致的共享密钥及编码格式（如UTF-8）

内容的提问来源于stack exchange，提问作者Developer