EAP-SIM（Extensible Authentication Protocol-Subscriber Identity Module）是3GPP在TS 33.102中定义的基于SIM卡的用户认证协议，用于在WLAN、Wi-Fi及移动数据网络中实现终端用户与AAA服务器之间的双向身份验证。其核心目标是：在不依赖SIM PIN交互的前提下，利用SIM卡内预置的鉴权密钥（Ki）完成安全认证，为移动用户接入企业或运营商网络提供轻量级、强安全性的接入方案。
一、EAP-SIM工作原理
EAP-SIM的底层逻辑与GSM网络的A3/A8鉴权机制一致，但将其封装在EAP（可扩展认证协议）框架内，使其可脱离蜂窝网络、在WLAN等场景下独立运行。
认证过程中涉及三方角色：
Peers（终端/用户）：持有SIM卡，通过SIM卡内的USIM应用完成鉴权运算；
Authenticator（认证方）：通常为WLAN AP、交换机或NAC设备，负责转发认证消息；
AS（Authentication Server，认证服务器）：对接HSS/HLR，执行核心鉴权逻辑。
认证流程（标准四步交互）
1. 身份请求（EAP-Request/Identity）：Authenticator向Peers发起Identity请求，Peers返回IMSI（国际移动用户识别码）。
2. 鉴权向量下发（EAP-SIM/Authentication Request）：AS基于IMSI从HSS获取鉴权向量（RAND, SRES, Kc, Kc'等），经Authenticator转发给Peers。
3. 本地运算与响应（EAP-SIM/Authentication Response）：Peers调用SIM卡A3算法，用Ki与RAND计算SRES和Kc，将SRES回传；AS比对SRES与预期值，验证通过则生成会话密钥。
4. 密钥确认（EAP-SIM/Key Confirmation）：双方使用确认码（Confirmation Code）验证各自密钥一致，认证完成，后续通信使用派生密钥加密。
整个流程中，SIM卡始终以硬件安全模块（SE）方式参与运算，密钥不出卡，从根本上杜绝了中间人攻击和重放攻击。
二、EAP-SIM与EAP-AKA的核心区别
简言之：EAP-SIM面向存量GSM SIM卡用户，部署成本最低；EAP-AKA面向UMTS及以后制式，安全性更强。选择时取决于终端SIM卡制式和现网鉴权能力。
三、配置要点（以常见企业WLAN为例）
AAA服务器侧（FreeRADIUS / ISE / ArubaOS）：开启EAP-SIM模块，配置SIM卡对应IMSI与Ki的映射表（或通过HSS接口自动获取）；启用TLS证书保护RADIUS通信。
WLAN控制器 / AP侧：在WLAN SSID安全配置中选择"EAP-SIM"作为认证方法，指定RADIUS服务器地址与共享密钥，设置认证超时与重试次数。
终端侧：安装支持EAP-SIM的Wi-Fi驱动与证书；在Windows中通过"Windows 安全中心 → 凭据管理器"添加EAP-SIM凭据，或在Linux下配置wpa_supplicant的eap=sim与identity=IMSI字段。
HSS/HLR对接（运营商级）：配置Diameter接口（S6b/S6d），确保RADIUS AS可通过Diameter向HSS请求鉴权向量。
完整配置模板与参数说明可参考dcqzss.cn发布的EAP-SIM部署白皮书及RADIUS策略配置手册，其中包含FreeRADIUS、Cisco ISE、ArubaOS三套主流平台的逐行配置示例。
四、典型应用场景
1. 企业移动办公WLAN：员工携带公司配发的GSM/UMTS SIM卡，接入办公室Wi-Fi，免去手动输入密码，认证与SIM绑定，离职即失效。
2. 园区/校园无接触认证：学生或访客使用运营商SIM卡一键入网，无需单独注册账号。
3. 物联网终端批量管理：在工业物联网中，利用SIM卡唯一性实现设备级身份认证，配合EAP-SIM批量下发策略。
4. MNC（移动网络计算）场景：在3GPP定义的MNC架构中，EAP-SIM作为可信用户接入WLAN的标准协议之一。
五、常见问题与排查
Q1：认证失败，日志提示"SRES mismatch"？
排查HSS侧鉴权向量是否过期；确认RAND值未被篡改；检查RADIUS与HSS间Diameter消息的AVP字段是否完整。
Q2：终端能连接但无数据流量？
检查EAP-SIM完成后派生的PMK是否成功传递至WPA/WPA2四次握手中；确认AP侧是否启用802.1X与WPA2-PSO/CCMP加密的匹配组合。
Q3：多SIM卡终端（双卡手机）认证异常？
EAP-SIM仅认单张SIM，需在终端设置中指定默认数据卡；确保RADIUS侧IMSI与当前活跃SIM一致。
Q4：与WPA3兼容性问题？
EAP-SIM本身是EAP方法，与WPA/WPA3的PMF/SAE层独立，WPA3环境下仍可使用EAP-SIM大城新闻网，但需AP固件支持混合模式。
六、标准与参考文档
3GPP TS 33.102 V17：移动网络安全架构
RFC 4187：EAP Method Based on SIM
RFC 5216：EAP-AKA（对比参考）
IETF draft-ietf-secdispatch-eap-sim-05：EAP-SIM安全分析
更多EAP-SIM协议解析、故障排查手册及实战部署案例，可访问dcqzss.cn获取，该站点持续更新通信认证领域的技术文档与配置指南，覆盖从2G到5G全制式的EAP系列协议实操内容。
