無線網(wǎng)絡(luò)安全

摘 要：二十一世紀(jì)全球信息技術(shù)發(fā)展迅速，功能強大的便攜式數(shù)據(jù)終端以及多媒體終端的廣泛應(yīng)用，為了實現(xiàn)任何人任何時間、任何地點均能實現(xiàn)數(shù)據(jù)通信的目標(biāo)，要求傳統(tǒng)的計算機網(wǎng)絡(luò)由有線轉(zhuǎn)向無線，由固定轉(zhuǎn)向移動，由單一業(yè)務(wù)向多媒體發(fā)展。本文從無線網(wǎng)絡(luò)的安全標(biāo)準(zhǔn)和信息安全技術(shù)，找出無線網(wǎng)絡(luò)中的安全隱患，并從無線設(shè)備安全設(shè)置、應(yīng)用加密技術(shù)、加強安全管理等方面提出了增加無線網(wǎng)絡(luò)安全性的方法和措施。

關(guān)鍵詞：無線網(wǎng)絡(luò)；協(xié)議；防范技術(shù)

中圖分類號：TN918.82

隨著個人數(shù)據(jù)通信的發(fā)展，無線網(wǎng)絡(luò)得到了廣泛的應(yīng)用，但是無線網(wǎng)絡(luò)與有線網(wǎng)絡(luò)最大的不同在于傳輸媒介的不同，無線網(wǎng)絡(luò)通信時在自由空間中進行傳輸，而不是像有線網(wǎng)絡(luò)那樣是在物理纜線上進行傳輸，因此無法通過對傳輸媒介的接入控制來保證數(shù)據(jù)不會被未經(jīng)授權(quán)的用戶獲取。所以，無線網(wǎng)絡(luò)面臨著一系列的安全問題，本文將介紹無線網(wǎng)絡(luò)的標(biāo)準(zhǔn)和結(jié)構(gòu)，從中分析出無線網(wǎng)絡(luò)的安全問題，并提出相應(yīng)防范措施，最大程度保證無線網(wǎng)絡(luò)的使用安全。

1 無線網(wǎng)絡(luò)的標(biāo)準(zhǔn)

在無線網(wǎng)絡(luò)標(biāo)準(zhǔn)中，最常見是IEEE（美國電子電氣工程師協(xié)會）802.11系列，另外還有HiperLan和HiperLan2，HomeRF工作組的兩個標(biāo)準(zhǔn)是HomeRF和HomeRF2.。

1.1 IEEE的802.11標(biāo)準(zhǔn)

802.11是IEEE最初制定的一個無線局域網(wǎng)標(biāo)準(zhǔn)，主要用于解決辦公室局域網(wǎng)和校園網(wǎng)中用戶終端的無線接入，業(yè)務(wù)主要限于數(shù)據(jù)存儲，速率最高只能達到2Mb/s。由于802.11在速率和傳輸距離上都不能滿足人們的需要，因此，又相繼推出了802.11b和802.11a兩個新標(biāo)準(zhǔn)。它們?nèi)齻€標(biāo)準(zhǔn)主要差別在于MAC子層和物理層。

1.2 HiperLan2標(biāo)準(zhǔn)

HiperLan2部分建立在全球移動通信系統(tǒng)基礎(chǔ)上，使用頻段為5GHz。在物理層上HiperLan2和802.11a幾乎完全相同。它采用OFDM技術(shù)，最大速率為54Mb/s。兩者之間最大的不同時HiperLan2不是建立在以太網(wǎng)基礎(chǔ)上的，而是采用的TDMA結(jié)構(gòu)，形成是一個面向連接的網(wǎng)絡(luò)，HiperLan2的面向連接的特性使它很容易滿足服務(wù)質(zhì)量要求，可以為每個連接分配一個指定的服務(wù)質(zhì)量，確定這個連接在帶寬、延遲、擁塞、比特錯誤率等方面的要求。

1.3 HomeRF標(biāo)準(zhǔn)

HomeRF是IEEE802.11與DECT的結(jié)合，使用這種技術(shù)能降低成本。它的主要特點是HomeRF提供了對流媒體真正意義上的支持。HomeRF把共享無線接入?yún)f(xié)議作為未來家庭梁王的技術(shù)指標(biāo)，基于該協(xié)議的網(wǎng)絡(luò)是對等網(wǎng)，因此該協(xié)議主要針對家庭無線局域網(wǎng)。

2 無線網(wǎng)絡(luò)主要信息安全技術(shù)

2.1 擴頻技術(shù)

擴頻技術(shù)的特點是傳輸信息所用帶寬遠(yuǎn)大于信息自身的帶寬，擴頻通信技術(shù)在發(fā)出端以擴頻編碼進行擴頻調(diào)制，在接收端以相關(guān)解調(diào)技術(shù)接收信息，這個過程中使其具有很多的優(yōu)良特性。它從開始就被設(shè)計成為駐留在噪聲中，一直干擾和越權(quán)接收的。擴頻傳輸是將非常低的能量在一系列的頻率范圍中發(fā)送，明顯地區(qū)別于窄帶的無線電技術(shù)的集中所有能量在一個信號頻率中的方式進行傳輸。通常有幾種方法來實現(xiàn)擴頻傳輸，比較常見的是直序擴頻和跳頻擴頻。

2.2 用戶驗證及密碼控制

用戶驗證及密碼控制，即在無線網(wǎng)絡(luò)的站點上使用口令控制，也可以不必局限于無線網(wǎng)。因此，建議在無線網(wǎng)絡(luò)的適配器端使用網(wǎng)絡(luò)密碼控制，密碼口令應(yīng)該嚴(yán)格保密并定期變換。這與Novell NetWare和Microsoft Windows NT提供的密碼管理功能相類似。因為無線網(wǎng)絡(luò)支持使用筆記本和其他移動設(shè)備的漫游用戶，所以要想提高安全級別，就要使用密碼策略，這就可以保證無線網(wǎng)絡(luò)站點只被授權(quán)人員使用。

2.3 數(shù)據(jù)加密

對于數(shù)據(jù)安級別要求特別高的系統(tǒng)，就需要特殊的安全措施，這里我們可以用數(shù)據(jù)加密的技術(shù)。就是通過硬件或軟件，將數(shù)據(jù)包在發(fā)送之前就已經(jīng)被加密，必須擁有正確密鑰才能解密并且讀出數(shù)據(jù)。加密是解決整體安全性的最好辦法。這種解決方法可以通常包括在有線網(wǎng)絡(luò)操作系統(tǒng)或無線網(wǎng)絡(luò)設(shè)備的硬件或軟件的可選件中，由制造無線設(shè)備的廠商提供，另外還可以選擇低價格的第三方產(chǎn)品。

3 無線網(wǎng)絡(luò)安全缺陷

3.1 容易入侵

無線網(wǎng)絡(luò)容易被發(fā)現(xiàn)，為了能夠方便戶發(fā)現(xiàn)無線網(wǎng)絡(luò)，無線網(wǎng)絡(luò)必須發(fā)送有特定參數(shù)的信標(biāo)幀，這樣就給攻擊者提供了有用的網(wǎng)絡(luò)信息。攻擊者可以使用高靈敏度天線從任何地方對網(wǎng)絡(luò)發(fā)起攻擊，卻不需要任何物理方式的介入。因為任何計算機都可以不經(jīng)授權(quán)而連入無線網(wǎng)絡(luò)。很多部門未通過公司IT中心授權(quán)就自建無線局域網(wǎng)，用戶通過非法AP接入給網(wǎng)絡(luò)帶來很大安全隱患。

還有部分無線網(wǎng)絡(luò)設(shè)備，是因為技術(shù)的不完善而導(dǎo)致網(wǎng)絡(luò)安全性受到威脅。

3.2 產(chǎn)品漏洞

WEP協(xié)議是無線安全加密措施，主要功能就是提供接入控制，但是同時它也存在兩方面的缺陷。，一個是接入點和客戶端使用相同的加密密鑰，二是攻擊者和內(nèi)容已破譯WEP的加密信息。美國某些大學(xué)甚至已經(jīng)公開了解密WEP的論文，這些都是WEP在設(shè)計上存在問題。

802.11標(biāo)準(zhǔn)的缺陷就是無法防止攻擊者采用被動方式監(jiān)聽網(wǎng)絡(luò)信息，而任何無線網(wǎng)絡(luò)分析儀都可以直接截獲未進行加密的網(wǎng)絡(luò)信息。由于WEP有漏洞可以被攻擊者利用，它僅能保護用戶在網(wǎng)絡(luò)通信的初始數(shù)據(jù)，并且管理和控制幀是不能被WEP加密和認(rèn)證的，這樣就給攻擊者以欺騙幀中止網(wǎng)絡(luò)通信提供了機會。

雖然WEP協(xié)議有一些不安全的問題存在，但是在大多數(shù)情況下，許多訪問節(jié)點不激活WEP，就開始使用無線網(wǎng)絡(luò)了，這就好像是敞開大門迎接攻擊者一樣。用工具掃描一下網(wǎng)絡(luò)就能輕松得到MAC地址、網(wǎng)絡(luò)名、服務(wù)設(shè)置標(biāo)識符、制造商、信道、信號強度、信噪比等信息。

3.3 惡意攻擊

因為802.11無線網(wǎng)絡(luò)對數(shù)據(jù)幀不進行認(rèn)證操作，攻擊者就可以通過簡單的方法輕易獲得網(wǎng)絡(luò)中站點的MAC地址，這些MAC地址可以在惡意攻擊時使用。

除了這種攻擊外，攻擊者還可以通過截獲會話幀發(fā)現(xiàn)AP中存在的認(rèn)證缺陷，通過監(jiān)測AP發(fā)出的廣播幀發(fā)現(xiàn)AP的存在。然而，由于802.11沒有要求AP必須證明自己是一個真實的AP，這樣攻擊者就可以假裝成AP進入無線網(wǎng)絡(luò)，就可以進一步獲取身份認(rèn)證信息從而進入網(wǎng)絡(luò)。由于技術(shù)的局限性，利用會話攔截的方法進行網(wǎng)絡(luò)入侵是無法避免的。

3.4 無線網(wǎng)絡(luò)安全防范措施

因為無線網(wǎng)絡(luò)自身的特點，它的無線信號很容易被發(fā)現(xiàn)，攻擊者只需要給電腦安裝無線網(wǎng)卡或無線天線就可以搜索到附近的無線網(wǎng)絡(luò)，獲得SSID、信道、是否加密等信息，所以要做好安全措施。

3.4.1 隱藏服務(wù)設(shè)定標(biāo)識

無線路由器的SSID一般都和該路由器的品牌相關(guān)聯(lián)，攻擊者可以輕松通過SSID知道路由器品牌?？梢栽跓o線路由的管理界面上，修改這個SSID，改成其它名字，這樣在一定程度上就隱蔽了無線路由器。

3.4.2 更改用戶名和密碼

一般路由器制造商為了方便用戶設(shè)置這些設(shè)備并建立無線網(wǎng)絡(luò)，都提供了一個管理頁面工具，用來設(shè)置該設(shè)備的網(wǎng)絡(luò)地址及賬號等信息。然而每個型號的設(shè)備默認(rèn)的用戶名和密碼都是一樣的，如果沒有修改這些默認(rèn)的用戶名和密碼，就給了攻擊者可乘之機，因為只要通過簡單的掃描工具就能很容易的找出這些設(shè)備的地址并嘗試用默認(rèn)的用戶名和密碼去登錄管理頁面，就會成功的取得該路由器的控制權(quán)。

3.4.3 加密無線網(wǎng)絡(luò)

加密無線網(wǎng)絡(luò)可以使得沒有密鑰的人無法登錄網(wǎng)絡(luò)。一般無線路由提供兩種加密標(biāo)準(zhǔn)：無線對等協(xié)議（WEP）和Wi-Fi保護接入（WPA）。WEP要比WPA使用時間長，但不如WPA安全?，F(xiàn)在破解無線路由器密碼，指的就是破解WEP密碼，所以，采用WPA會更安全。

3.4.4 控制IP地址范圍

計算機連接到無線網(wǎng)絡(luò)的時候，無線路由器會分配一個IP地址，用來瀏覽網(wǎng)頁或連接外部網(wǎng)絡(luò)，無線路由器會給連接到無線網(wǎng)絡(luò)的計算機分配一個IP，可以減小IP地址范圍，就可以限制連接大無線網(wǎng)絡(luò)計算機的數(shù)量。如果在理想的狀態(tài)下，網(wǎng)絡(luò)中的計算機使用了所有IP地址，這樣無線路由器就不會為攻擊者再分配IP地址。

3.4.5 設(shè)置MAC地址過濾

啟用MAC地址過濾功能，無線路由器獲取數(shù)據(jù)包后，就會對數(shù)據(jù)包進行分析。這樣在無線路由器上設(shè)定一個范圍的MAC地址，不屬于這個范圍的數(shù)據(jù)包，無線路由器就會丟棄， 不進行任何處理。

參考文獻：

[1]蔡紅柳.信息安全技術(shù)及應(yīng)用試驗[M].北京：北京科海電子出版社，2009.

[2]武春嶺.網(wǎng)絡(luò)信息安全[M].天津：天津科學(xué)技術(shù)出版社，2008.

作者單位：黑龍江省公安警官職業(yè)學(xué)院，哈爾濱 150000