无线局域网的安全威胁分析及防范措施

有线局域 网的数 据通 过双绞线或光纤传输到特定 的目的地址， 一般只有在物理链路遭到破坏的情况下，
数据才有 可能泄 露。 但是 在无 线Ａ Ｐ 覆 盖 的范围内， 所 有的无 线终端都可以接收到无线信号， 无线Ａ Ｐ 无法将 无 线信号定 向到一个 特定的接 收设备上， 因此无 线局
域网被窃听和干扰 的问题就显得尤为突出。
在一定的缺 陷， 安全漏洞较 多， 给无线局域网的安全带
来了威 胁 。比如 ， 无 线局 域
网安全加密协议ｗＥ Ｐ 的加密 算法存在较 大的漏洞 ， 攻击 者可以借助工具 软件轻易地
破解无线局域网的共享密钥
实现非法接入。
＝． 无线局 域网安全 防范 的主要技术
（ 一） 无线Ａ Ｐ 静默
２ ０１ ４ 年 ・ 第３ 期
栏 目编辑 －罗锦莉 Ｅ － ｍａ ｉ ｌ ： ｌ ｕ ｏ ｌ ０ ２ ５ ０ ０ ＠１ ６ ３ ｃ ｏ ｎ ｒ
Ｐ
无线局域网的安全威胁分析及防范措施
■ 中国人民银行重庆营业管理部 彭 州
无线局域 网 （ ＷＬ Ａ Ｎ， Ｗｉ ｒ ｅ ｌ ｅ ｓ ｓ Ｌ ｏ ｃ ａ ｌ Ａ ｒ ｅ ａ Ｎ ｅ ｔ ｗ ｏ ｒ ｋ ） 本质上是 对有线局域 网的延伸 ， 它采用无线 射频技 术 基于电磁 波进行辐射传播 ， 实现无线终端在 较远距离 内的高速接人和访 问网络 。 无 线局域 网具有便捷 性 、 灵活性 、 移动性等优 点， 可以极大地提 高用户访 问网络 的及 时性和有效性， 因此受到越来越多用户的青睐。 但 是， 由于无线局域网具 有很大的开放性 ， 用户接人和数 据传输 较难控 制， 使得无线局 域网面临非常严峻 的安
ＷＰ Ａ 协议是 一种 替代ＷＥ Ｐ 协议 的无线安 全标 准
协议。 该 协议沿用ＷＥ Ｐ 协议 的基本原理 ， 进一步加强了
加密算 法和用 户认证机制 ， 解决了ＷＥ Ｐ 协议存 在的安
投 稿邮 箱： ｈ ｎ ｆ ｃ ＠ ２ １ ｃ ｎ ． ｎ ｅ ｔ 佐 斗 抬 咕 Ｉ ８ ７
Ｐ ｒ 信 ａ 息 ｃ ｔ 安 ｉ ｃ 全 ｅ
网的Ｓ Ｓ Ｉ Ｄ 广播 出去， 无 线局域 网覆 盖范围内的所有无
２ ０１ ４ 年 ・ 第３ 期
栏 目编辑 ．罗锦莉 Ｅ — ｍａ ｉ ｌ ： ｌ ｕ ｏ ｔ ０ ２ ５ ０ ０ ＠１ ６ ３ ｃ ｏ ｒ ｎ
（ 三） ＷＥ Ｐ ￣ Ｉ ］ 密协议 ｗＥ Ｐ 协议是Ｉ Ｅ Ｅ Ｅ ８ ０ ２ ． １ ｌ ｂ 协议中最基本的无线局 域网安全加密协议 。 该协议 的主要功能包括 ： 一是对无
线终端的接入 进行身份 认证 ， 防止 未授 权用户访问网
络； 二是 使用Ｒ ｃ ４ 加密算法对数 据进行加密， 防止数据
（ 三） 协议 漏 洞
本文 将对 无线 局域 网所 面临 的安 全 威胁 进行分
析， 并提 出技术防范措施 。
一
，
பைடு நூலகம்
无线 局域网安全威胁分析
（ 一） 非授权接人无线局域 网
无线局域 网的主流标准Ｉ Ｅ Ｅ Ｅ ８ ０ ２ ． １ １ 在设计方面存
基于公共 的电磁波 进行辐射传播 ， 电磁 波能够 穿
被攻击者窃听或篡改。 （ 四） ｗＰ Ａ 加密协议
使用ｗＰ Ａ 加密协议对无线局域网进行身份认证和传输
加密。
四是使用Ｉ Ｐ Ｓ ｅ ｃ Ｖ Ｐ Ｎ 或Ｓ Ｓ Ｌ Ｖ Ｐ Ｎ 技术进一步增强对 无线 局域网的安全保护。 五是在 无线局域 网和有线 网络之间部署防火墙 ， 设置 必要的安全控制策略， 对无 线终端的网络接人和 访 问进行安全控制。
Ｖ Ｐ Ｎ 是一种采用 Ｉ Ｐ Ｓ ｅ ｃ 协议 来实现 网络接人 的Ｖ Ｐ Ｎ 技
线终端都 可以自动接收到这些Ｓ Ｓ Ｉ Ｄ 信息。 如果将无 线
Ａ Ｐ 设 置为静默状态 ， 即手动关 闭Ｓ Ｓ Ｉ Ｄ 广播功能 ， 无 线
术， 可 以提供 公用和专用网络 的端 到端加密和认证 服 务； Ｓ Ｓ Ｌ Ｖ Ｐ Ｎ ￣ ］ Ｉ 采用了Ｓ Ｓ Ｌ 协议来实现 网络接人的Ｖ Ｐ Ｎ 技术 ， 保证信息的真实性 、 完整性和保密性。
终端在无法获得Ｓ Ｓ Ｉ Ｄ 信息的情况下不能连接到无线局
域网。
（ 二） Ｍ Ａ Ｃ 地址 过滤
三、 无线局域网安全防范的主要措施
为了加 强无 线局域网的管理 ， 进一 步防范和化解 无线局域网所面临的安全风险， 可考虑以下几种安全 防
范措施。
一
在 无 线 ＡＰ 中设 置一 组 允许 接入 无 线 局 域 网 的
全 问题 。
越一定 范围内的玻璃 、 墙、 天花板等物体， 因此在一个 无线接入点 （ Ａ Ｐ ， Ａ ｃ ｃ ｅ ｓ ｓ Ｐ ｏ ｉ ｎ ｔ ） 覆 盖的区域内， 未授权 用户也可以轻 易地接 收到无线ＡＰ 的电磁波信号。 如果
无 线局域 网缺少全面 可靠 的网络接入 控制措施 ， 可能 导致非授权用户非法接人无线局域网。 （ 二） 数据窃取
ＭＡ Ｃ 地址列表 ， 实现物理地 址过滤。 无线Ａ Ｐ 会对接收 到的每个 数据包 的ＭＡ Ｃ 地址进 行检查 ， 只有具有授权 ＭＡ Ｃ 地址 的无线 终端的数 据包 才能被转发 ， 否则将被
丢弃 。
是启用无线Ａ Ｐ 的静 默和ＭＡ Ｃ 地址过滤功能 ， 防
止非授权用户非法接入无线局域网。 二是采用Ｉ Ｅ Ｅ Ｅ ８ ０ ２ ． １ ｘ 技术对无线终端接人无线 局 域网进行控制和认证 。 三是 由于ＷＥ Ｐ ￣ Ｉ Ｉ 密协议存在安 全漏 洞， 建议 尽量
每 个 无 线 ＡＰ 都 有 一 个 服务 集 标 识 符 （ ｓ Ｓ Ｉ Ｄ，
Ｓ ｅ ｒ ｖ ｉ ｃ ｅ Ｓ ｅ ｔ Ｉ ｄ ｅ ｎ ｔ ｉ ｆ ｉ ｅ ｒ ） ， 以便 无线终端识别不同的无线局
域 网， 类似手机识别 不 同的
移动运营商的机制 。 默认情
况下， 无线Ａ Ｐ 会将无 线局域