無線網(wǎng)絡(luò)安全技術(shù)基礎(chǔ)

無線網(wǎng)絡(luò)安全風(fēng)險和隱患

隨著無線網(wǎng)絡(luò)技術(shù)廣泛應(yīng)用,其安全性越來越引起關(guān)注.無線網(wǎng)絡(luò)的安全主要有訪問控制和數(shù)據(jù)加密,訪問控制保證機(jī)密數(shù)據(jù)只能由授權(quán)用戶訪問,而數(shù)據(jù)加密則要求發(fā)送的數(shù)據(jù)只能被授權(quán)用戶所接受和使用。

無線網(wǎng)絡(luò)在數(shù)據(jù)傳輸時以微波進(jìn)行輻射傳播，只要在無線接入點AP（Access Point）覆蓋范圍內(nèi),所有無線終端都可能接收到無線信號。AP無法將無線信號定向到一個特定的接受設(shè)備，時常有無線網(wǎng)絡(luò)用戶被他人免費蹭網(wǎng)接入、盜號或泄密等，因此，無線網(wǎng)絡(luò)的安全威脅、風(fēng)險和隱患更加突出。

無線網(wǎng)絡(luò)安全風(fēng)險及隱患，如圖所示。

國際安全機(jī)構(gòu)的一次調(diào)查表明，有85%的企業(yè)網(wǎng)絡(luò)經(jīng)理認(rèn)為無線網(wǎng)絡(luò)安全防范意識和手段還需要進(jìn)一步加強(qiáng)。由于IEEE 802.11規(guī)范安全協(xié)議設(shè)計與實現(xiàn)缺陷等原因，致使無線網(wǎng)絡(luò)存在著一些安全漏洞和風(fēng)險，黑客可進(jìn)行中間人（Man-in-the-Middle）攻擊、拒絕服務(wù)（DoS）攻擊、封包破解攻擊等。鑒于無線網(wǎng)絡(luò)自身特性，黑客很容易搜尋到一個網(wǎng)絡(luò)接口，利用竊取的有關(guān)信息接入客戶網(wǎng)絡(luò)，肆意盜取機(jī)密信息或進(jìn)行破壞。另外，企業(yè)員工對無線設(shè)備不負(fù)責(zé)任地濫用也會造成安全隱患和風(fēng)險，如隨意開放AP或隨意打開無線網(wǎng)卡的Ad hoc模式，或誤上別人假冒的合法AP導(dǎo)致信息泄露等，無線網(wǎng)絡(luò)安全性問題已經(jīng)引發(fā)新技術(shù)研究和競爭。

無線網(wǎng)絡(luò)AP及路由安全

無線接入點安全
無線接入點AP用于實現(xiàn)無線客戶端之間信號互聯(lián)和中繼,安全措施:

(1) 修改admin密碼

無線AP與其他網(wǎng)絡(luò)設(shè)備一樣，也提供了初始的管理員用戶名和密碼，其默認(rèn)用戶名admin或空。如果不修改將給不法之徒以可乘之機(jī)。

(2) WEP加密傳輸

數(shù)據(jù)加密是實現(xiàn)網(wǎng)絡(luò)安全一項重要技術(shù)，可通過協(xié)議WEP進(jìn)行。WEP是IEEE 802.11b協(xié)議中最基本的無線安全加密措施，是所有經(jīng)過WiFiTM認(rèn)證的無線局域網(wǎng)產(chǎn)品所支持的一項標(biāo)準(zhǔn)功能，主要用途為：

防止數(shù)據(jù)被黑客途中惡意篡改或偽造。
用WEP加密算法對數(shù)據(jù)進(jìn)行加密，防止數(shù)據(jù)被黑客竊聽。
利用接入控制，防止未授權(quán)用戶對其網(wǎng)絡(luò)進(jìn)行訪問。

(3) 禁用DHCP服務(wù)

啟用無線AP的DHCP時，黑客可自動獲取IP地址接入無線網(wǎng)絡(luò)。若禁用此功能，則黑客將只能以猜測破譯IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)等，以增加其安全性。

(4) 修改SNMP字符串

必要時應(yīng)禁用無線AP支持的SNMP功能，特別對無專用網(wǎng)絡(luò)管理軟件且規(guī)模較小的網(wǎng)絡(luò)。若確需SNMP進(jìn)行遠(yuǎn)程管理，則須修改公開及專用的共用字符串。否則，黑客可能利用SNMP獲得有關(guān)的重要信息，借助SNMP漏洞進(jìn)行攻擊破壞。

(5) 禁止遠(yuǎn)程管理

較小網(wǎng)絡(luò)直接登錄到無線AP管理，無需開啟AP的遠(yuǎn)程管理功能。

(6) 修改SSID標(biāo)識

無線AP廠商可利用SSID（初始化字符串），在默認(rèn)狀態(tài)下檢驗登錄無線網(wǎng)絡(luò)結(jié)點的連接請求，檢驗一通過即可連接到無線網(wǎng)絡(luò)。由于同一廠商的產(chǎn)品都使用相同的SSID名稱，從而給黑客提供了可乘之機(jī)，使之以非授權(quán)連接對無線網(wǎng)絡(luò)帶來威脅。所以，在安裝無線局域網(wǎng)之初，就應(yīng)盡快登錄到結(jié)點的管理頁面，修改默認(rèn)的SSID。

(7) 禁止SSID廣播

為了保證無線網(wǎng)絡(luò)安全，應(yīng)當(dāng)禁用SSID通知客戶端所采用的默認(rèn)廣播方式。可使非授權(quán)客戶端無法通過廣播獲得SSID，即無法連接到無線網(wǎng)絡(luò)。否則，再復(fù)雜的SSID設(shè)置也無安全可言。

(8) 過濾MAC地址

利用無線AP的訪問列表功能可精確限制連接到結(jié)點工作站。對不在訪問列表中的工作站，將無權(quán)訪問無線網(wǎng)絡(luò)。無線網(wǎng)卡都有各自的MAC地址，可在結(jié)點設(shè)備中創(chuàng)建一張“MAC訪問控制列表”，將合法網(wǎng)卡的MAC地址輸入到此列表中。使之只有“MAC訪問控制列表”中顯示的MAC地址才能進(jìn)入到無線網(wǎng)絡(luò)。

(9) 合理放置無線AP

將無線AP放置在一個合適的位置非常重要。由于無線AP的放置位置不僅能決定無線局域網(wǎng)的信號傳輸速度、通信信號強(qiáng)弱，還影響網(wǎng)絡(luò)通信安全。另外，在放置天線前，應(yīng)先確定無線信號覆蓋范圍，并根據(jù)范圍大小將其到其他用戶無法觸及的位置，將AP放在房間正中間。

(10) WPA用戶認(rèn)證

WPA（Wi-Fi Protected Access）利用一種暫時密鑰完整性協(xié)議TKIP處理WEP所不能解決的各設(shè)備共用一個密鑰的安全問題。
無線路由器安全
無線路由器位于網(wǎng)絡(luò)邊緣，面臨更多安全危險.不僅具有無線AP功能,還集成了寬帶路由器的功能，因此，可實現(xiàn)小型網(wǎng)絡(luò)的Internet連接共享。除了采用無線AP的安全策略外，還應(yīng)采用如下安全策略。

利用網(wǎng)絡(luò)防火墻。充分利用無線路由器內(nèi)置的防火墻功能,以加強(qiáng)防護(hù)能力.
IP地址過濾。啟用IP地址過濾列表，進(jìn)一步提高無線網(wǎng)絡(luò)的安全性。
IEEE802.1x身份認(rèn)證

IEEE 802.1x是一種基于端口的網(wǎng)絡(luò)接入控制技術(shù)，以網(wǎng)絡(luò)設(shè)備的物理接入級（交換機(jī)端口）對接入設(shè)備進(jìn)行認(rèn)證和控制?？商峁┮粋€可靠的用戶認(rèn)證和密鑰分發(fā)的框架，控制用戶只在認(rèn)證通過后才可連接網(wǎng)絡(luò)。本身并不提供實際的認(rèn)證機(jī)制，需要和上層認(rèn)證協(xié)議EAP配合實現(xiàn)用戶認(rèn)證和密鑰分發(fā)。
IEEE 802.1x認(rèn)證過程
1）無線客戶端向AP發(fā)送請求，嘗試與AP進(jìn)行通信。
2）AP將加密數(shù)據(jù)發(fā)送給驗證服務(wù)器進(jìn)行用戶身份認(rèn)證。
3）驗證服務(wù)器確認(rèn)用戶身份后，AP允許該用戶接入。
4）建立網(wǎng)絡(luò)連接后授權(quán)用戶通過AP訪問網(wǎng)絡(luò)資源。

IEEE802.1x身份認(rèn)證
用IEEE 802.1x和EAP作為身份認(rèn)證的無線網(wǎng)絡(luò)，
可分為如圖2-6所示的3個主要部分。
（1）請求者。運行在無線工作站上的軟件客戶端。
（2）認(rèn)證者。無線訪問點。
（3）認(rèn)證服務(wù)器。作為一個認(rèn)證數(shù)據(jù)庫,通常是一個RADIUS服務(wù)器的形式，如微軟公司的IAS等。
遠(yuǎn)程用戶撥號認(rèn)證系統(tǒng)是應(yīng)用最廣泛的AAA協(xié)議(認(rèn)證、授權(quán)、審計(計費))

使用802.1x及EAP身份認(rèn)證的無線網(wǎng)絡(luò)

無線網(wǎng)絡(luò)安全技術(shù)應(yīng)用

無線網(wǎng)絡(luò)在不同的應(yīng)用環(huán)境對其安全性的需求各異,以AboveCable公司的無線網(wǎng)絡(luò)安全技術(shù)作為實例。為了更好地發(fā)揮無線網(wǎng)絡(luò)“有線速度無線自由”的特性，該公司根據(jù)長期積累的經(jīng)驗，針對各行業(yè)對無線網(wǎng)絡(luò)的需求，
制定了一系列的安全方案，最大程度上方便用戶構(gòu)建
安全的無線網(wǎng)絡(luò)，節(jié)省不必要的經(jīng)費。

1、小型企業(yè)及家庭用戶

小型企業(yè)和一般家庭用戶使用的網(wǎng)絡(luò)范圍相對較小，且終端用戶數(shù)量有限，AboveCable的初級安全方案可滿足對網(wǎng)絡(luò)安全需求，且投資成本低,配置方便效果顯著。此方案建議使用傳統(tǒng)的WEP認(rèn)證與加密技術(shù)，各種型號AP和無線路由器都支持64位、128位WEP認(rèn)證與加密，以保證無線鏈路中的數(shù)據(jù)安全，防止數(shù)據(jù)被盜用。同時，由于這些場合終端用戶數(shù)量穩(wěn)定且有限，手工配置WEP密鑰也可行。

2、倉庫物流、醫(yī)院、學(xué)校和餐飲娛樂行業(yè)

在這些行業(yè)中，網(wǎng)絡(luò)覆蓋范圍及終端用戶的數(shù)量增大，AP和無線網(wǎng)卡的數(shù)量需要增多，同時安全風(fēng)險及隱患也有所增加，僅依靠單一的WEP已無法滿足其安全需求。AboveCable的中級安全方案使用IEEE802.1x認(rèn)證技術(shù)作為無線網(wǎng)絡(luò)的安全核心，并通過后臺的RADIUS服務(wù)器進(jìn)行用戶身份驗證，有效地阻止未經(jīng)授權(quán)的接入。
對多個AP的管理問題，若管理不當(dāng)也會增加網(wǎng)絡(luò)的安全隱患。為此，需要產(chǎn)品不僅支持IEEE 802.1x認(rèn)證機(jī)制，同時還支持SNMP網(wǎng)絡(luò)管理協(xié)議，在此基礎(chǔ)上以AirPanel Pro AP集群管理系統(tǒng)，便于對AP的管理和監(jiān)控。

3、公共場所及網(wǎng)絡(luò)運營商、大中型企業(yè)和金融機(jī)構(gòu)

在公共地區(qū)，如機(jī)場、火車站等，一些用戶需要通過無線接入Internet、瀏覽web頁面、接收e-mail，對此安全可靠地接入Internet很關(guān)鍵。這些區(qū)域通常由網(wǎng)絡(luò)運營商提供網(wǎng)絡(luò)設(shè)施，對用戶認(rèn)證問題至關(guān)重要。否則，可能造成盜用服務(wù)等危險，為提供商和用戶造成損失。AboveCable提出使用IEEE 802.1x的認(rèn)證方式，并通過后臺RADIUS服務(wù)器進(jìn)行認(rèn)證計費。
針對公共場所存在相鄰用戶互訪引起的數(shù)據(jù)泄漏問題，設(shè)計了公共場所專用的AP— HotSpot AP?？蓪⑦B接到其所有無線終端的MAC地址自動記錄，在轉(zhuǎn)發(fā)報文的同時，判斷該段報文是否發(fā)送給MAC列表的某個地址，若在列表中則中斷發(fā)送，實現(xiàn)用戶隔離。
對于大中型企業(yè)和金融機(jī)構(gòu)，網(wǎng)絡(luò)安全性是首選的至關(guān)重要問題。在使用IEEE 802.1x認(rèn)證機(jī)制的基礎(chǔ)上，為了更好地解決遠(yuǎn)程辦公用戶安全訪問公司內(nèi)部網(wǎng)絡(luò)信息的要求，AboveCable建議利用現(xiàn)有的VPN設(shè)施，進(jìn)一步完善網(wǎng)絡(luò)的安全性能。

WIFI的安全性和措施

1、WIFI的概念及應(yīng)用

WiFi（Wireless Fidelity）又稱IEEE802.11b標(biāo)準(zhǔn)，是一種可以將終端(電腦、PDA和手機(jī))無線方式互連的技術(shù)。用于改善無線網(wǎng)路之間互通性。WiFi三個標(biāo)準(zhǔn):較少使用的802.11a、低速的802.11b和高速的802.11g。WiFi工作模式:AD-HOC、無線接入點AP、點對多點路由P to MP、無線客戶端AP Client和無線轉(zhuǎn)發(fā)器Repeater。

WiFi支持智能手機(jī),平板電腦和新型相機(jī)等。將有線網(wǎng)絡(luò)信號轉(zhuǎn)成無線信號,使用無線路由器供支持其技術(shù)的相關(guān)電腦、手機(jī)、平板等接收上網(wǎng)節(jié)省流量費。WiFi信號也需要ADSL、寬帶、無線路由器等，WiFi Phone的使用，如查詢或轉(zhuǎn)發(fā)信息、下載、看新聞、撥VOIP電話（語音及視頻）、收發(fā)郵件、實時定位、游戲等，很多機(jī)構(gòu)都提供免費服務(wù)的WiFi。

2、WiFi特點及組成

WiFi的特點可從八個方面體現(xiàn)：帶寬、信號、功耗、便捷、節(jié)省、安全、融網(wǎng)、個人服務(wù)、移動特性。IEEE啟動項目計劃將802.11標(biāo)準(zhǔn)數(shù)據(jù)速率提高到千兆或幾千兆，并通過802.11n標(biāo)準(zhǔn)將數(shù)據(jù)速率提高，以適應(yīng)不同的功能和設(shè)備，通過802.11s標(biāo)準(zhǔn)將這些高端結(jié)點連接，形成類似互聯(lián)網(wǎng)的具有冗余能力的WiFi網(wǎng)絡(luò)。

WIFI由AP和無線網(wǎng)卡組成無線網(wǎng)絡(luò)，如圖所示。一般架設(shè)無線網(wǎng)絡(luò)的基本配備就是無線網(wǎng)卡及一個AP，便能以無線的模式配合既有的有線架構(gòu)來分享網(wǎng)絡(luò)資源，架設(shè)費用和復(fù)雜程序遠(yuǎn)遠(yuǎn)低于傳統(tǒng)的有線網(wǎng)絡(luò)。如果只是幾臺電腦的對等網(wǎng)，也可不用AP，只需要每臺電腦配備無線網(wǎng)卡。AP可作為“無線訪問結(jié)點”或“橋接器”。主要當(dāng)作傳統(tǒng)的有線局域網(wǎng)絡(luò)與無線局域網(wǎng)絡(luò)之間的橋梁，因此任何一臺裝有無線網(wǎng)卡的PC均可透過AP去分享有線局域網(wǎng)絡(luò)甚至廣域網(wǎng)絡(luò)的資源，其工作原理相當(dāng)于一個內(nèi)置無線發(fā)射器的HUB或者是路由,而無線網(wǎng)卡則是負(fù)責(zé)接收由AP所發(fā)射信號的CLIENT端設(shè)備。有了AP就像有線網(wǎng)絡(luò)的Hub,無線工作站可快速與網(wǎng)絡(luò)相連.特別對寬帶使用,WiFi更顯優(yōu)勢,有線寬帶到戶后,連接到一個AP,然后在電腦中安裝一個無線網(wǎng)卡即可。若機(jī)構(gòu)或家庭有AP，用戶獲得授權(quán)后，就可以共享方式上網(wǎng)。

3、WiFi的認(rèn)證種類

WiFi聯(lián)盟所公布的認(rèn)證種類包括：
1）WPA/WPA2：WPA/WPA2是基于IEEE802.11a、802.11b、802.11g的單模、雙?；螂p頻的產(chǎn)品所建立的測試程序。內(nèi)容包含通訊協(xié)定的驗證、無線網(wǎng)絡(luò)安全性機(jī)制的驗證，以及網(wǎng)絡(luò)傳輸表現(xiàn)與相容性測試。

2）WMM(WIFI MultiMedia)：當(dāng)影音多媒體透過無線網(wǎng)絡(luò)傳遞時，驗證其帶寬保證的機(jī)制正常運作在不同的無線網(wǎng)絡(luò)裝置及不同的安全性設(shè)定上是WMM測試目的。

3）WMM Power Save：在影音多媒體透過無線網(wǎng)絡(luò)的傳遞時，透過管理無線網(wǎng)絡(luò)裝置的待命時間延長電池壽命且不影響其功能性，可透過WMM Power Save測試驗證。

4）WPS(WIFI Protected Setup)：可讓消費者透過更簡單的方式設(shè)定無線網(wǎng)絡(luò)裝置，并保證一定的安全性。當(dāng)前WPS允許透過Pin Input Config(PIN)、Push Button Config(PBC)、USB Flash Drive Config(UFD)、Near Field Communication和 Contactless Token Config(NFC)的方式設(shè)定無線網(wǎng)絡(luò)裝置。

5）ASD(Application Specific Device):是針對除了無線網(wǎng)絡(luò)存取點(AP)及站臺之外有特殊應(yīng)用的無線網(wǎng)絡(luò)裝置，如DVD播放器、投影機(jī)、打印機(jī)等。

6）CWG(Converged Wireless Group)：主要是針對WIFI mobile converged devices 的RF 部分測量的測試程序。

4、增強(qiáng)WiFi的安全措施

無線路由器密碼破解的速度取決于軟件和硬件，只要注意在密碼設(shè)置時盡量復(fù)雜些，即可增強(qiáng)安全性。此外，采用以下幾種設(shè)置方法。
1）采用WPA/WPA2加密方式,不用有缺陷加密,這是最常用的加密方式。

2）不用初始口令和密碼,用長且復(fù)雜密碼并定期更換,不用易猜密碼。

3）無線路由后臺管理默認(rèn)的用戶名和密碼一定盡快更改并定期更換。

4）禁用WPS( 保護(hù)設(shè)置)功能?，F(xiàn)有的WPS功能存在漏洞，使路由器的接入密碼和后臺管理密碼有可能暴露。

5）啟用MAC地址過濾功能，綁定常用設(shè)備。

6）關(guān)閉遠(yuǎn)程管理端口和路由器的DHCP功能，啟用固定IP地址，不要讓路由器自動分配IP地址。

7）注意固件升級.及時修補(bǔ)漏洞升級或換成更安全的無線路由器。

8）不管在手機(jī)端還是電腦端都應(yīng)安裝病毒檢測安全軟件。對于黑客常用的釣魚網(wǎng)站等攻擊手法，安全軟件可以及時攔截提醒。