基于无线网络WLAN安全机制分析

来源:用户上传      作者:

　　摘要：随着科技的日新月异,无线局域网(WLAN)得到了广泛应用。在其灵活性、安装维护方便等特点得到了充分体现的同时, 无线局域网的安全性问题也越来越受到人们的关注。WLAN使用无线电波和光波传输数据,只要在无线接入点覆盖范围内,终端都可以接收无线信号,由此产生的数据安全问题尤其突出。本文研究了现阶段无线局域网面临的主要安全问题，并提出相应的解决办法。
　　关键词：WLAN AP 802.11标准 安全性
　　中图分类号：TN925.93 文献标识码：A 文章编号：1007-9416（2011）05-0069-02
　　
　　Abstract: As technology advances, Wireless Local Area Network (WLAN) is widespreadly applied. While its flexibility, convenience of installation and maintenance features are fully manifested, more and more attentions are paid to the secure issues of WLAN. Radio waves and optical waves are used to transfer data in WLAN, as long as in the coverage of wireless access point, the terminal may receive the wireless signal. Therefore, the problem of data security is particularly prominent. This paper has studied the main security issues of WLAN at the present stage, and proposes the corresponding solution.
　　Keyword: Wireless Local Area NetworkAccess Point802.11 StandardsSecurity
　　
　　1、引言
　　近年来，无线局域网以它接入速率高，组网灵活，在传输移动数据方面具有得天独厚的优势等特点得以迅速发展。但是，随着无线局域网应用领域的不断拓展，无线局域网受到越来越多的威胁。无线局域网中数据是在空中传播，只要在无线接入点（AP）覆盖的范围内，终端都可以接收到无线信号，无线接入点（AP）不能将信号定向到一个特定的接收设备，无线网络不但因为基于传统有线网络TCP/IP架构而受到攻击，还受到基于IEEE 802.11标准本身的安全问题而受到威胁，其安全问题也越来越受到重视。
　　2、无线局域网面临的安全问题
　　无线网的信号是在开放空间中传送的，所以只要有合适的无线客户端设备，在合适的信号覆盖范围之内就可以接收无线网的信号。正是由于无线网络的这一传输特性，无线网络存在的核心安全问题归结起来有如下三点：
　　2.1 非法用户接入问题
　　Windows操作系统基本上都具有自动查找无线网络的功能，只要对无线网络有些基本的认识，对于不设防或是安全级别很低的无线网络，未授权的用户或是黑客通过一般的攻击或是借助攻击工具都能够接入发现的无线网络。一旦接入，非法用户将占用合法用户的网络带宽，恶意的非法用户甚至更改路由器的设置，导致合法用户无法正常登陆，而有目的非法接入者还会入侵合法用户的电脑窃取相关信息。
　　2.2 非法接入点连接问题
　　无线局域网易于访问和配置简单的特性，使得任何人的计算机都可以通过自己购买的AP，不经过授权而连入网络，有些用户为了方便使用，通常自行购买AP，未经允许接入无线网络，这便是非法接入点，而在非法接入点信号覆盖范围内的任何人都可以连接和进入无线网络，这将给无线网络带来很大的安全风险。
　　2.3 数据安全问题
　　无线网的信号是在开放空间中传送的，通过获取无线网的信号，非法用户或是恶意攻击者有可能会执行如下操作：
　　第一，通过破解了普通无线网络安全设置，包括SSID隐藏、WEP加密、WPA加密、MAC过滤等就可以以合法设备的身份进入无线网，导致“设备身份”被冒用。
　　第二，对传输信息进行窃听、截取和破坏。窃听以被动和无法觉察的方式人侵检测设备，即使网络不对外广播网络信息，只要能够发现任何明文信息，攻击者仍然可以使用一些网络工具，如Ethereal 和TCPDump来监听和分析通信量，从而识别出可以破坏的信息。
　　3、无线局域网的安全技术研究
　　为了保证无线网络安全通信，无线局域网中应采取必要的安全技术，包括访问控制、认证、加密、数据完整性及不可否认性等。
　　3.1 认证
　　认证提供了关于用户的身份的保证，这意味着当用户声称具有一个特别的身份时，认证将提供某种方法来证实这一声明是正确的。用户在访问无线局域网之前，首先需要经过认证验证身份以决定其是否具有相关权限，再对用户进行授权，允许用户接入网络，访问权限内的资源。
　　尽管不同的认证方式决定用户身份验证的具体流程不同，但认证过程中所应实现的基本功能是一致的。目前无线局域网中采用的认证方式主要有PPPoE认证、WEB认证和802.1X认证。
　　3.2 访问控制
　　访问控制的目标是防止任何资源（如计算资源、通信资源或信息资源）进行非授权的访问，所谓非授权访问包括未经授权的使用、泄露、修改、销毁以及发布指令等。用户通过认证，只是完成了接入无线局域网的第一步，还要获得授权，才能开始访问权限范围内的网络资源，授权主要是通过访问控制机制来实现。访问控制也是一种安全机制，它通过访问BSSID、MAC地址过滤、控制列表ACL等技术实现对用户访问网络资源的限制。访问控制可以基于下列属性进行：源MAC地址、目的MAC地址、源IP地址、目的IP地址、源端口、目的端口、协议类型、用户ID、用户时长等。
　　3.3 加密
　　加密就是保护信息不泄露或不暴露给那些未授权掌握这一信息的实体。加密又可细分为两种类型：数据保密业务和业务流保密业务。数据保密业务使得攻击者想要从某个数据项中推出敏感信息是困难的，而业务流保密业务使得攻击者想要通过观察网络的业务流来获得敏感信息也是十分困难的。
　　根据密码算法所使用的加密密钥和解密是否相同，由加密过程能否推导出解密过程（或是由解密过程推导出加密过程），可将密码体制分为单钥密码体制（也叫做对称密码体制、秘密密钥密码体制）和双钥密码体制（也叫做非对称密码体制、公开密钥密码体制）。
　　3.4 数据完整性
　　所谓数据完整性，是使接收方能够确切地判断所接收到的消息有没有在传输过程中遭到插入、篡改、重排序等形式的破坏。完善的数据完整性业务不仅能发现完整性是否遭到破坏，还能采取某种措施从完整性中恢复出来。
　　3.5 不可否认性
　　不可否认性是防止发送方或接收方抵赖所传输的消息的一种安全服务，也就是说，当接收方接收到一条消息后，能够提供足够的证据向第三方证明这条消息的确来自某个发送方，而使得发送方抵赖发送过这条消息的图谋失败。同理，当发送一条消息时，发送方也有足够的证据证明某个接收方的确已经收到这条消息。
　　4、无线局域网的安全保障措施
　　无线局域网采用公共的电磁波作为载体，而电磁波能够穿越天花板、玻璃、墙等物体，因此在一个无线局域网接入点(AccessPoint，AP)的服务区域中，任何一个无线客户端（包括未授权的客户端）都可以接收到此接入点的电磁波信号。也就是说，由于采用电磁波来传输信号，未授权用户在无线局域网（相对于有线局域网）中窃听或干扰信息就容易得多。所以为了阻止这些非授权用户访问无线局域网络，必须在无线局域网引入全面的安全措施。
　　4.1防止非法用户的接入
　　(1)基于服务设置标识符(SSID)防止非法用户接入。服务设置标识符SSID是用来标识一个网络的名称，以此来区分不同的网络，最多可以有32个字符。无线工作站设置了不同的SSID就可以进入不同网络。无线工作站必须提供正确的SSID，与无线访问点AP的SSID相同，才能访问AP；如果出示的SSID与AP的SSID不同，那么AP将拒绝它通过本服务区上网。因此可以认为SSID是一个简单的口令，从而提供口令认证机制，阻止非法用户的接入，保障无线局域网的安全。
　　(2)基于无线网卡物理地址过滤防止非法用户接入。由于每个无线工作站的网卡都有惟一的物理地址，利用MAC地址阻止未经授权的无限工作站接入。为AP设置基于MAC 地址的Access Control（访问控制表），确保只有经过注册的设备才能进入网络。
　　(3)基于端口访问控制技术（802.1x） 防止非法用户接入。802.1x技术也是用于无线局域网的一种增强性网络安全解决方案。当无线工作站与无线访问点AP关联后，是否可以使用AP的服务要取决于802.1x的认证结果。如果认证通过，则AP为无线工作站打开这个逻辑端口，否则不允许用户上网。
　　4.2防止非法AP的接入
　　(1)基于无线网络的入侵检测系统防止非法AP接入。使用入侵检测系统IDS防止非法AP的接入主要有两个步骤，即发现非法AP和清除非法AP。发现非法AP是通过分布于网络各处的探测器完成数据包的捕获和解析，它们能迅速地发现所有无线设备的操作，并报告给管理员或IDS系统。当然通过网络管理软件，比如SNMP，也可以确定AP 接入有线网络的具体物理地址。发现AP后，可以根据合法AP认证列表(ACL)判断该AP是否合法，如果列表中没有列出该新检测到的AP的相关参数，那么就用Rogue AP识别每个AP的MAC地址、SSID、Vendor(提供商)、无线媒介类型以及信道。判断新检测到AP的MAC地址、SSID、Vendor(提供商)、无线媒介类型或者信道异常，就可以认为是非法AP。当发现非法AP之后，应该立即采取的措施，阻断该AP的连接，有以下三种方式可以阻断AP连接：1)采用DoS攻击的办法，迫使其拒绝对所有客户的无线服务；2)网络管理员利用网络管理软件，确定该非法AP的物理连接位置，从物理上断开；3)检测出非法AP连接在交换机的端口，并禁止该端口。
　　(2)基于802.1x双向验证防止非法AP接入。利用对AP的合法性验证以及定期进行站点审查，防止非法AP的接入。在无线AP接入有线交换设备时，可能会遇到非法AP的攻击，非法安装的AP会危害无线网络的宝贵资源，因此必须对AP的合法性进行验证。AP支持IEEE802.1x技术提供了一个客户机和网络相互验证的方法，在此验证过程中不但AP 需要确认无线用户的合法性，无线终端设备也必须验证AP 是否为虚假的访问点，然后才能进行通信。通过双向认证，可以有效地防止非法AP的接入。
　　4.3数据加密技术
　　4.3.1 IEEE802.11中的WEP 
　　有线对等保密协议（WEP）是由IEEE 802.11标准定义的，用于在无线局域网中保护链路层数据。WEP使用40位钥匙，采用RSA开发的RC4对称加密算法，在链路层加密数据。 WEP加密是存在固有的缺陷的。由于它的密钥固定，初始向量仅为24位，算法强度并不算高，于是有了安全漏洞。现在，已经出现了专门的破解WEP加密的程序，其代表是WEPCrack和AirSnort。
　　4.3.2 IEEE802.11i中的WPA 
　　Wi-Fi保护接入(WPA)是由IEEE802.11i标准定义的，用来改进WEP所使用密钥的安全性的协议和算法。它改变了密钥生成方式，更频繁地变换密钥来获得安全。它还增加了消息完整性检查功能来防止数据包伪造。WPA是继承了WEP基本原理而又解决了WEP缺点的一种新技术。由于加强了生成加密密钥的算法，因此即便收集到分组信息并对其进行解析，也几乎无法计算出通用密钥。WPA还追加了防止数据中途被篡改的功能和认证功能。由于具备这些功能，WEP中的缺点得以解决。 
　　4.4其他安全性措施
　　许多安全问题都是由于AP没有处在一个封闭的环境中造成的。所以，首先,应注意合理放置AP的天线。以便能够限制信号在覆盖区以外的传输距离。例如，将天线远离窗户附近，因为玻璃无法阻挡信号。最好将天线放在需要覆盖的区域的中心，尽量减少信号泄露到墙外，必要时要增加屏蔽设备来限制无线局域网的覆盖范围。其次，由于很多无线设备是放置在室外的，因此需要做好防盗、防风、防雨、防雷等措施，保障这些无线设备的物理安全。
　　为了保障无线局域网的安全，除了通过技术手段进行保障之外，制定完善的管理和使用制度也是很有必要的。
　　5、结语
　　无线局域网目前正处于蓬勃发展时期，而无线局域网的安全问题也是业界尤为关注的焦点之一。只有在现有的无线局域网安全框架基础上，运用相关的关键技术搭建一个增强的、有足够安全性的无线局域网，才能推动无线局域网的实际应用，尤其是在企业、机关等重要部门中的使用。
　　参考文献
　　[1]刘乃安.无线局域网―原理、技术及应用[M].西安:西安电子科技大学出版社,2004.
　　[2]钱进.无线局域网技术与应用[M].北京:电子工业出版社,2004.
　　[3]王茂才等.无线局域网的安全性研究[J].计算机应用研究,2007 年01期.
　　[4]赵伟艇.无线局域网的加密和访问控制安全性分析[J].微计算机信息,2007年21期.

转载注明来源:https://www.xzbu.com/8/view-9026378.htm