无线局域网的安全性

无线局域网的最大优点(WLAN)也正是它的最大缺点：已部署的这些网络都是开放式和易于接入的。为满足当今的要求，原本设想可用于保护这些网络的安全机制需要更新。对于各种无线数据接入方法，人们对据称可保护我们的专有资源的现行行业标准机制存在着盲目依赖。

2001年2月，无线以太网兼容性联盟(WECA)发布了一份关于无线局域网安全性的声明。这份声明是对第一次针对有线等同保密(WEP)－用于Wi-Fi(IEEE802.11b标准)无线局域网的保密与验证机制－发起的第一次成功侵入所作出的反应。

自那时起，又进行了数次攻击和分析，严重阻碍了面向无线局域网的可互操作的安全解决方案的进展。美国英特尔公司、思科公司、加州大学伯克利分校以及马里兰大学的论文都指出了WEP标准中的无数缺陷。

影响无线局域网的安全问题

在任何通过无线媒介传输数据的环境中，都必须具备安全保护措施，并对其实施有效管理。就无线局域网而言，由于不能信赖媒介的基本物理特性来提供最低层次的保护，其信任模式就与有线局域网不同。换句话说，单是因为无线的关系，无线局域网就容易召来窃听！

无线局域网的安全系统要做到有效，就必须解决下面三个安全问题：

提供接入控制：验证用户，授权他们接入特定的资源，同时拒绝为未经授权的用户提供接入

确保链路的保密与完好：防止未经授权的用户读取、引入或更动在网络上传输的数据

防止阻断服务攻击：确保没有一个用户或一小批用户可占用某个接入点的所有可用带宽，阻断其他用户的正当接入。

初期802.11安全实现方式

验证

802.11网络中的每一个节点都使用一个网络名称(被称为SSID，即服务集标识)。在接通一个特定的接入点(AP)之前，用户可能被要求输入此AP的SSID和密码通行字。不幸的是，SSID定期被AP播放，可轻易探测到；通行字未经加密即发送，而且允许无限多次的尝试。这些都削弱了SSID作为验证令牌的作用。Wi-Fi卡的媒体接入控制(MAC)地址亦可用于验证和授权。MAC是一个48位的独特序列号码，每一个以太网

类型的装置都分配到一个。尽管接入控制清单不是802.11标准的一部分，很多卖主还是允许使用接入控制。经过授权的MAC地址清单可储存在每一个AP内，只允许AP的接入控制清单上有其MAC地址的客户端装置接通此AP。但此种方式的问题是，攻击者可轻易探查到与AP连接的客户端装置的MAC地址，因为它们从来都是不经加密的。多数Wi-Fi客户端装置允许经由软件更

动MAC地址，因此，一旦获得了一个有效

的MAC地址，攻击者可轻易假冒为正当用户。

有线等同保密

除了上述措施外，802.11标准还定义了一套结合接入控制、数据保密和数据完好性的体系，称为有线等同保密(WEP)。它针对下列问题：

接入控制：Wi-Fi网络上可配置WEP，使没有正确密钥的用户不能得到接入。这种对称的密钥从40位到128位，而且通常是物理键入每一个装置，保存起来以备后用。由于每一种移动装置使用同样的密钥，假如一个密钥暴露了(如笔记本计算机失窃了)，那其它所有装置都需要改动密钥。WEP目前还不提供这种密钥管理功能

链路保密性：802.11
标准采用WEP作为加密算法，用于确保无线局域网保密性。具体算法是基于一种称为RC4的标准，由RSA数据安全公司开发。IEEE802.11小组选择RC4用于WEP的原因是其产权使用费低廉，而且易于实施，使作为小组成员的各家卖主能以适中的价格快速向市场推出产品。不过，RC4只是一种低层次的流密码，已经不算先进了，而且必须以合适的方式实施

链路与数据完好性：确保完好性的标准方式，是在传输前在每一个数据块上附加某种形式的讯息验证码。在WEP中，传输装置产生一个32位的循环冗余码(CRC-32)校验码，附加在数据帧上。接收装置对数据进行一次运算，假如答案与校验码相符，就假定数据未受损。这是一种相当基本的做法，但优点是实施简便。

WEP的致命缺陷

WEP未能构成一个优良安全体系的原因，在于试图将RC4用于验证和保密两项功能。RC4固然是一种没什么不好的加密算法，但它未得到正确运用。RC4明确警告永远不要两次使用同样的密钥资料－无论负载是什么－因为它只是一种简单的XOR流密码。在实地演示中，计算机黑客可在数小时内破解WEP加密。

802.1x

IEEE始终明白WEP对称密钥方式的安全影响以及实施问题，而思科与微软提议了一种称为802.1x的解决方案，为任何以太网端口－有线或无线－提供接入控制。目前正等候IEEE标准组织的批准。

802.1x仍然使用WEP算法，但在一个移动装置每次接通AP时都产生和散布一个新的对称密钥，也就是每一次用户会话有一个新的密钥。

这就大幅减少了与同样的密钥一起传输的数据量，因而基本上可挫败伯克利大学所使用的攻击方法。

802.1x采用Radius/LDAP服务器来验证用户和管理密钥。验证数据(用户名和通行字)采用LEAP(轻量级可扩展验证协议)传送。新的WEP密钥用上次会话所用的WEP密钥对其加密，再传输到移动装置，或

用默认的WEP密钥传输到移动装置。

问题难以解决吗？

由于无线局域网的环境与有线局域网完全不同，需要一种不同的解决方案。为无线局域网保障安全的早期方式，是创建等同于有线系统的保密性：那是一个必要因素，而不是一个充分的解决方案。

链路层安全的设计宗旨，是提供从一点到另一点的保护机制。其基础假设是，在此链路上通行的任何数据都被认为是“生来平等”的，即所传输的数据之间没有内在差异。运用于无线局域网时，链路层(层2)安全只提供关于网络接入的粗糙决策(接受或是拒绝)。

与其说是有线局域网的链路延伸，不如说无线局域网更象传统的客户端／服务器环境。无线网络要求能够精确识别数据的来源，并判定该业务流是否属于该链路。从根本上说，就是没有什么数据能获得成批处理。

为无线局域网提供验证、授权、服务控制和安全管理的传统基础设施解决方案，要求对数个网络构件进行配置和集成。这些构件往往都有不同的用户界面，在部署无线解决方案时可能带来高度的复杂性和配置错误的风险。

类似地，最终用户对安全性可能关心，也可能不关心；在很多情况下，雇主的关心程度比他们高得多。假如安全系统使用起来太难或太繁琐，用户会设法绕过它。因此，使安全性尽可能透明是一项关键设计目标。

面向无线局域网的完善安全体系

为保障安全，无线局域网需要
提供改进的接入控制，并确保链路保密性和完好性。

接入控制

对最终用户的验证技术，已随着远程接入系统的发展而成熟。验证是关于识别请求服务之用户的能力。采用最新技术，同一系统中可部署数种机制。验证需要在用户层面进行，而不是在机器层面。理想情况下，安全结构可支持与所需保护的信息价值相称的多因素验证。

验证的威力来自于多种信息因素的综合使用，即：你知道的(通行字)，你拥有的(硬件令牌卡、数字证书)，你的特征(生物测量数据)。

授权是确定一个已通过验证的用户是否具有访问所请求之资源的特权的过程。

验证与授权的结合通常被称为接入控制。

管理联网系统的一个挑战性问题是安全管理。现今，安全管理复杂、成本高，而且易于出错，因为管理员通常为系统上的每一个用户分别制订接入控制清单。

基于角色的接入控制(RBAC)是一种已获得强烈认同的技术，因为它在大型联网系统中减小了安全管理的复杂性和成本。

RBAC确定须由特

定职位人员执行的任务，并为雇员分配合适的角色，从而简化了安全管理。RBAC安全管理与组织结构紧密相符。每一个用户被分配到一个或多个角色，而每一个角色被分配到该角色用户被许可的一个或多个特权。

链路保密性与完好性

有下列类别的要求：

隧道建立：需要采用IPSec和PPTP之类的通信协议，以提供各种密钥管理和加密算法谈判操作。这些通信协议内在的压缩能力，也有助于在无线环境中提高性能

探测假冒接入点：防止闯入者将他们自己的接入点连接到网络上，以捕捉用户的通行字，发起‘混入者攻击’

探测无赖接入点：防止用户利用不良配置或设计，安装未经授权的接入点，以作为提供企业网络无保护接入的‘后门’

针对无线链路进行优化：可移动性是有线网和无线网之间的另一项根本差异。为使安全解决方案透明，达到用户的期望，必须在企业内任何地方提供经验证的无缝移动切换

防止阻断服务：由于无线网结构带来的潜在带宽瓶颈，有必要确保一个用户或一小批用户无法占用一个接入点上的所有可用带宽，阻止其他正当用户的接入及获得可接受的网络性能水平。