浩瀚的大海，深邃的崖洞，在一片銀白的沙灘上，膝蓋上放著筆記本的您正姿態(tài)優(yōu)雅地在躺椅上查看最新的股價(jià)信息、足球資訊，正在享受自由、可移動(dòng)、隨時(shí)隨地的無(wú)線網(wǎng)絡(luò)所帶來(lái)的無(wú)限空間。突然，鼠標(biāo)停滯，屏幕模糊，系統(tǒng)癱瘓，隨即自動(dòng)關(guān)機(jī)，在那一剎那，您的第一感覺是什么?沒錯(cuò)，病毒、黑客，或者是木馬，這就是無(wú)線網(wǎng)絡(luò)的兩面性。
一方面，它可以帶給用戶飛一般網(wǎng)上沖浪的感覺，而另一方面，它也可以帶給用戶不確定的網(wǎng)絡(luò)安全。和有線網(wǎng)絡(luò)一樣，病毒、黑客、蠕蟲，木馬、間諜軟件，隨時(shí)都在威脅著無(wú)線網(wǎng)絡(luò)的安全，并且無(wú)線網(wǎng)絡(luò)比有線網(wǎng)絡(luò)更容易遭侵害，因?yàn)橛脩粼谑褂脽o(wú)線網(wǎng)絡(luò)時(shí)的安全意識(shí)和掌握的技術(shù)手段還比較差。不能因?yàn)橛腥擞脴寶⑷硕Ｖ箻尩纳a(chǎn)，同樣不能因?yàn)闊o(wú)線網(wǎng)絡(luò)會(huì)帶來(lái)安全隱患而不去推廣無(wú)線網(wǎng)絡(luò)的使用。其實(shí)，無(wú)線網(wǎng)絡(luò)安全隱患并不可怕，只要掌握一些基本的無(wú)線網(wǎng)絡(luò)安全技術(shù)，就完全可以暢游網(wǎng)絡(luò)而不懼病毒。
無(wú)線網(wǎng)絡(luò):加強(qiáng)安全防范迫在眉睫
在書房呆累了，小明抗著筆記本來(lái)到了客廳，奇怪的發(fā)現(xiàn)上網(wǎng)的速度怎么突然變快了?難道遠(yuǎn)離了AP(AP在書房)上網(wǎng)速度還更快?當(dāng)然不會(huì)，這是因?yàn)橛捎诳蛷d離隔壁的書房較近的原因，小明無(wú)意間訪問了鄰居的無(wú)線網(wǎng)絡(luò)，而鄰居申請(qǐng)的網(wǎng)絡(luò)速度比小明的快所致。我們假設(shè)，小明接著訪問了鄰居的共享磁盤，正好磁盤里有銀行卡密碼、投標(biāo)書、個(gè)人日記，甚至是一些個(gè)人圖片，結(jié)果會(huì)怎么樣?
為了讓更多的人可以訪問到，無(wú)線網(wǎng)絡(luò)選擇了通過特定的無(wú)線電波來(lái)傳送，在這個(gè)發(fā)射頻率的有效范圍內(nèi)，任何具有合適接收設(shè)備的人都可以捕獲該頻率的信號(hào)，進(jìn)而進(jìn)入目標(biāo)網(wǎng)絡(luò)一個(gè)員工在公司陽(yáng)臺(tái)也可以訪問公司網(wǎng)絡(luò)，但這同時(shí)也意味著，蹲在公司陽(yáng)臺(tái)下面的競(jìng)爭(zhēng)對(duì)手的情報(bào)人員也可以訪問公司的網(wǎng)絡(luò)，暢通無(wú)阻，而這個(gè)人拿著筆記本，也可以到全國(guó)各地的競(jìng)爭(zhēng)對(duì)手陽(yáng)臺(tái)下去拿一些情報(bào)。
這不是憑空假設(shè)，而是事實(shí)。調(diào)查表明，有85%的IT企業(yè)網(wǎng)絡(luò)經(jīng)理認(rèn)為無(wú)線網(wǎng)絡(luò)的安全防范意識(shí)和手段還需要進(jìn)一步加強(qiáng)。由于WiFi的802.11規(guī)范的安全協(xié)議考慮不周的原因，無(wú)線網(wǎng)絡(luò)存在安全漏洞，這就給了攻擊者進(jìn)行中間人攻擊(man in the middle、DOS、封包破解等攻擊的機(jī)會(huì)。而鑒于無(wú)線網(wǎng)絡(luò)自身特性，攻擊者不費(fèi)吹灰之力就可以找到一個(gè)網(wǎng)絡(luò)接口，在企業(yè)的建筑旁邊接入客戶網(wǎng)絡(luò)，肆意盜取企業(yè)機(jī)密或進(jìn)行破壞。另外，企業(yè)員工對(duì)無(wú)線設(shè)備不負(fù)責(zé)任濫用也會(huì)造成安全隱患，比如不負(fù)責(zé)任假設(shè)開放AP，隨意打開無(wú)線網(wǎng)卡的Ad hoc模式，或者誤上別人假冒的合法AP導(dǎo)致信息泄露等“無(wú)線網(wǎng)絡(luò)行業(yè)下一個(gè)競(jìng)爭(zhēng)點(diǎn)在安全，要想開辟無(wú)線網(wǎng)絡(luò)應(yīng)用新紀(jì)元，就必須編織更高安全的無(wú)線網(wǎng)絡(luò)。”
八大技術(shù)利弊剖析
從上文描述的安全隱患我們可以看到，很多時(shí)候，并不是技術(shù)而是內(nèi)部人員使用無(wú)線網(wǎng)絡(luò)的不當(dāng)做成安全隱患的。所以，要解決無(wú)線網(wǎng)絡(luò)的安全問題，就必須從使用無(wú)線網(wǎng)絡(luò)的人著手，強(qiáng)化他們的安全意識(shí)，強(qiáng)化他們的安全技術(shù)手段。目前很多人對(duì)無(wú)線網(wǎng)絡(luò)的相關(guān)安全技術(shù)都還只是一知半解。
下面，本文將著重分析業(yè)界排除無(wú)線網(wǎng)絡(luò)安全隱患的八大主流技術(shù)各自的利弊和適用范圍，希望能給處于困惑中的無(wú)線用戶和準(zhǔn)備架構(gòu)WLAN設(shè)備的用戶一些建議和指導(dǎo)，在實(shí)際的執(zhí)行過程中做到心中有數(shù)、有備無(wú)患。
一， 隱藏SSID
SSID，即Service Set Identifier的簡(jiǎn)稱，讓無(wú)線客戶端對(duì)不同無(wú)線網(wǎng)絡(luò)的識(shí)別，類似我們的手機(jī)識(shí)別不同的移動(dòng)運(yùn)營(yíng)商的機(jī)制。參數(shù)在設(shè)備缺省設(shè)定中是被AP無(wú)線接入點(diǎn)廣播出去的，客戶端只有收到這個(gè)參數(shù)或者手動(dòng)設(shè)定與AP相同的SSID才能連接到無(wú)線網(wǎng)絡(luò)。而我們?nèi)绻堰@個(gè)廣播禁止，一般的漫游用戶在無(wú)法找到 SSID的情況下是無(wú)法連接到網(wǎng)絡(luò)的。
需要注意的是，如果黑客利用其他手段獲取相應(yīng)參數(shù)，仍可接入目標(biāo)網(wǎng)絡(luò)，因此，隱藏SSID適用于一般SOHO環(huán)境當(dāng)作簡(jiǎn)單口令安全方式。
二， MAC地址過濾
顧名思義，這種方式就是通過對(duì)AP的設(shè)定，將指定的無(wú)線網(wǎng)卡的物理地址(MAC地址)輸入到AP中。而AP對(duì)收到的每個(gè)數(shù)據(jù)包都會(huì)做出判斷，只有符合設(shè)定標(biāo)準(zhǔn)的才能被轉(zhuǎn)發(fā)，否則將會(huì)被丟棄。
這種方式比較麻煩，而且不能支持大量的移動(dòng)客戶端。另外，如果黑客盜取合法的MAC地址信息，仍可以通過各種方法適用假冒的MAC地址登陸網(wǎng)絡(luò)，一般SOHO，小型企業(yè)工作室可以采用該安全手段。
三， WEP加密:
WEP是Wired Equivalent Privacy的簡(jiǎn)稱，所有經(jīng)過WIFI認(rèn)證的設(shè)備都支持該安全協(xié)定。采用64位或128位加密密鑰的RC4加密算法，保證傳輸數(shù)據(jù)不會(huì)以明文方式被截獲。
該方法需要在每套移動(dòng)設(shè)備和AP上配置密碼，部署比較麻煩;使用靜態(tài)非交換式密鑰，安全性也受到了業(yè)界的質(zhì)疑，但是它仍然可以阻擋一般的數(shù)據(jù)截獲攻擊，一般用于SOHO、中小型企業(yè)的安全加密。
四， AP隔離
類似于有線網(wǎng)絡(luò)的VLAN，將所有的無(wú)線客戶端設(shè)備完全隔離，使之只能訪問AP連接的固定網(wǎng)絡(luò)。
該方法用于對(duì)酒店和機(jī)場(chǎng)等公共熱點(diǎn)Hot Spot的架設(shè)，讓接入的無(wú)線客戶端保持隔離，提供安全的Internet接入。
五， 802.1x協(xié)議
802.1x協(xié)議由IEEE定義，用于以太網(wǎng)和無(wú)線局域網(wǎng)中的端口訪問與控制。802.1x引入了PPP協(xié)議定義的擴(kuò)展認(rèn)證協(xié)議EAP。作為擴(kuò)展認(rèn)證協(xié)議，EAP可以采用MD5，一次性口令，智能卡，公共密鑰等等更多的認(rèn)證機(jī)制，從而提供更高級(jí)別的安全。在用戶認(rèn)證方面，802.1x的客戶端認(rèn)證請(qǐng)求也可以由外部的Radius服務(wù)器進(jìn)行認(rèn)證。該認(rèn)證屬于過渡期方法且各廠商實(shí)現(xiàn)方法各有不同，直接造成兼容問題。
該方法需要專業(yè)知識(shí)部署和Radius服務(wù)器支持，費(fèi)用偏高，一般用于企業(yè)無(wú)線網(wǎng)絡(luò)布局。
六， WPA
WPA即Wi-Fi protected access的簡(jiǎn)稱，下一代無(wú)線規(guī)格802.11i之前的過渡方案，也是該標(biāo)準(zhǔn)內(nèi)的一小部分。WPA率先使用802.11i中的加密技術(shù)-TKIP (Temporal Key Integrity Protocol)，這項(xiàng)技術(shù)可大幅解決802.11原先使用WEP所隱藏的安全問題。
很多客戶端和AP并不支持WPA協(xié)議，而且TKIP加密仍不能滿足高端企業(yè)和政府的加密需求，該方法多用于企業(yè)無(wú)線網(wǎng)絡(luò)部署。
七，WPA2
WPA2與WPA后向兼容，支持更高級(jí)的AES加密，能夠更好地解決無(wú)線網(wǎng)絡(luò)的安全問題。
由于部分AP和大多數(shù)移動(dòng)客戶端不支持此協(xié)議，盡管微軟已經(jīng)提供最新的WPA2補(bǔ)丁，但是仍需要對(duì)客戶端逐一部署。該方法適用于企業(yè)、政府及SOHO用戶。
八， 802.11i
IEEE正在開發(fā)的新一代的無(wú)線規(guī)格，致力于徹底解決無(wú)線網(wǎng)絡(luò)的安全問題，草案中包含加密技術(shù)AES(Advanced Encryption Standard)與TKIP，以及認(rèn)證協(xié)議IEEE802.1x。
盡管理論上講此協(xié)議可以徹底解決無(wú)線網(wǎng)絡(luò)安全問題，適用于所有企業(yè)網(wǎng)絡(luò)的無(wú)線部署，但是目前為止尚未有支持此協(xié)議的產(chǎn)品問世。
綜上所述，不同的無(wú)線網(wǎng)絡(luò)用戶遭受安全隱患威脅的程度不同，他們需要的技術(shù)支持也就有所區(qū)別。因此，根據(jù)不同用戶的不同需求，應(yīng)該不同的安全解決方案。
