淺談無線局域網安全的發展

摘要:無線局域網絡(Wireless Local Area Networks，WLAN)是相當便利的數據傳輸系統，它利用射頻(Radio Frequency，RF)的技術取代舊式雙絞銅線構成局域網絡，使得用戶可以在它覆蓋的幾百米范圍內使用無線設備自由移動。其使用及其方便且價格便宜，但由于無線局域網具有很大的開放性，其面臨著更嚴峻的安全問題。該文在闡述無線局域網安全發展概況的基礎上，分析了無線局域網的安全必要性，并從不同方面總結了無線局域網遇到的安全風險，同時重點分析了IEEE802.11 b標準的安全性、影響因素及其解決方案，最后對無線局域網的安全技術發展趨勢進行了展望。

關鍵詞:無線局域網;標準;安全;趨勢

中圖分類號:TP393文獻標識碼:A文章編號:1009-3044(2008)34-1891-03

1 引言

無線局域網本質上是一種網絡互連技術，它是計算機網絡與無線通信技術相結合的產物。其作為一種網絡接入手段，能迅速地應用于需要在移動中聯網和在網間漫游的場合，并在不易架設有線的地力和遠沖離的數據處理節點提供強大的網絡支持。因此，WLAN得到了廣泛的應用，已成為無線通信與Internet技術相結合的新興發展力向之一。WLAN的最大優點就是實現了網絡互連的可移動性，但由于無線局域網應用具有很大的開放性，很難控制數據傳播范圍，因此無線局域網將面臨著嚴峻的安全問題。

2 無線局域網安全發展概況

無線局域網802.11b公布之后，迅速成為事實標準，但其安全協議WEP始終受到人們的質疑。美國加州大學伯克利分校的Borisov，Goldberg和Wagner最早發表論文指出了WEP協議中存在的設計失誤，接下來信息安全研究人員發表了大量論文詳細討論了WEP協議中的安全缺陷，并與工程技術人員協作，在實驗中破譯了經WEP協議加密的無線傳輸數據?，F在，能夠截獲無線傳輸數據的硬件設備己經能夠在市場上買到，能夠對所截獲數據進行解密的黑客軟件也已經能夠在因特網上下載。WEP不安全己經成一個廣為人知的事情，人們期待WEP在安全性方面有質的變化。

3 無線局域網安全風險

安全風險是指無線局域網中的資源面臨的威脅。無線局域網的資源，包括了在無線信道上傳輸的數據和無線局域網中的主機。

3.1 無線信道上傳輸的數據所面臨的威脅

由于無線電波可以繞過障礙物向外傳播，因此，無線局域網中的信號是可以在一定覆蓋范圍內接聽到而不被察覺的 。另外，只要按照無線局域網規定的格式封裝數據包，把數據放到網絡上發送時也可以被其它的設備讀取，并且，如果使用一些信號截獲技術，還可以把某個數據包攔截、修改，然后重新發送，而數據包的接收者并不能察覺。

因此，無線信道上傳輸的數據可能會被偵聽、修改、偽造，對無線網絡的正常通信產生了極大的干擾，并有可能造成經濟損失。

3.2 無線局域網中主機面臨的威脅

無線局域網是用無線技術把多臺主機聯系在一起構成的網絡。對于主機的攻擊可能會以病毒的形式出現，除了目前有線網絡上流行的病毒之外，還可能會出現專門針對無線局域網移動設備，比如手機或者PDA的無線病毒。當無線局域網與無線廣域網或者有線的國際互聯網連接之后，無線病毒的威脅可能會加劇。

對于無線局域網中的接入設備，可能會遭受來自外部網或者內部網的拒絕服務攻擊。當無線局域網和外部網接通后，如果把IP地址直接暴露給外部網，那么針對該IP的Dog或者DoS會使得接入設備無法完成正常服務，造成網絡癱瘓。當某個惡意用戶接入網絡后，通過持續的發送垃圾數據或者利用IP層協議的一些漏洞會造成接入設備工作緩慢或者因資源耗盡而崩潰，造成系統混亂。無線局域網中的用戶設備具有一定的可移動性和通常比較高的價值，這造成的一個負面影響是用戶設備容易丟失。硬件設備的丟失會使得基于硬件的身份識別失效，同時硬件設備中的所有數據都可能會泄漏。

這樣，無線局域網中主機的操作系統面臨著病毒的挑戰，接入設備面臨著拒絕服務攻擊的威脅，用戶設備則要考慮丟失的后果。

4 無線局域網安全性

無線局域網與有線局域網緊密地結合在一起，并且己經成為市場的主流產品。在無線局域網上，數據傳輸是通過無線電波在空中廣播的，因此在發射機覆蓋范圍內數據可以被任何無線局域網終端接收。安裝一套無線局域網就好象在任何地方都放置了以太網接口。因此，無線局域網的用戶主要關心的是網絡的安全性，主要包括接入控制和加密兩個方面。除非無線局域網能夠提供等同于有線局域網的安全性和管理能力，否則人們還是對使用無線局域網存在顧慮。

4.1 IEEE802.11b標準的安全性

IEEE 802.11b標準定義了兩種方法實現無線局域網的接入控制和加密:系統ID(SSID)和有線對等加密(WEP)。

4.1.1 認證

當一個站點與另一個站點建立網絡連接之前，必須首先通過認證。執行認證的站點發送一個管理認證幀到一個相應的站點。IEEE 802.11b標準詳細定義了兩種認證服務:一、開放系統認證(Open System Authentication):是802.11b默認的認證方式。這種認證方式非常簡單，分為兩步:首先，想認證另一站點的站點發送一個含有發送站點身份的認證管理幀;然后，接收站發回一個提醒它是否識別認證站點身份的幀;二、共享密鑰認證(Shared Key Authentication ):這種認證先假定每個站點通過一個獨立于802.11網絡的安全信道，已經接收到一個秘密共享密鑰，然后這些站點通過共享密鑰的加密認證，加密算法是有線等價加密(WEP)。

4.1.2 WEP

IEEE 802.11b規定了一個可選擇的加密稱為有線對等加密，即WEP。WEP提供一種無線局域網數據流的安全方法。WEP是一種對稱加密，加密和解密的密鑰及算法相同。WEP的目標是接入控制，防止未授權用戶接入網絡，沒有正確的WEP密鑰。

加密:通過加密和只允許有正確WEP密鑰的用戶解密來保護數據流。

IEEE 802.11b標準提供了兩種用于無線局域網的WEP加密方案。第一種方案可提供四個缺省密鑰以供所有的終端共享一包括一個子系統內的所有接入點和客戶適配器。當用戶得到缺省密鑰以后，就可以與子系統內所有用戶安全地通信。缺省密鑰存在的問題是當它被廣泛分配時可能會危及安全。第二種方案中是在每一個客戶適配器建立一個與其它用戶聯系的密鑰表。該方案比第一種方案更加安全，但隨著終端數量的增加給每一個終端分配密鑰很困難。

4.2 影響安全的因素

4.2.1 硬件設備

在現有的WLAN產品中，常用的加密方法是給用戶靜態分配一個密鑰，該密鑰或者存儲在磁盤上或者存儲在無線局域網客戶適配器的存儲器上。這樣，擁有客戶適配器就有了MAC地址和WEP密鑰并可用它接入到接入點。如果多個用戶共享一個客戶適配器，這些用戶有效地共享MAC地址和WEP密鑰。

當一個客戶適配器丟失或被竊的時候，合法用戶沒有MAC地址和WEP密鑰不能接入，但非法用戶可以。網絡管理系統不可能檢測到這種問題，因此用戶必須立即通知網絡管理員。接到通知后，網絡管理員必須改變接入到MAC地址的安全表和WEP密鑰，并給與丟失或被竊的客戶適配器使用相同密鑰的客戶適配器重新編碼靜態加密密鑰。客戶端越多，重新編碼WEP密鑰的數量越大。

4.2.2 虛假接入點

IEEE802.11b共享密鑰認證表采用單向認證，而不是互相認證。接入點鑒別用戶，但用戶不能鑒別接入點。如果一個虛假接入點放在無線局域網內，它可以通過劫持合法用戶的客戶適配器進行拒絕服務或攻擊。

因此在用戶和認證服務器之間進行相互認證是需要的，每一方在合理的時間內證明自己是合法的。因為用戶和認證服務器是通過接入點進行通信的，接入點必須支持相互認證。相互認證使檢測和隔離虛假接入點成為可能。

4.2.3 其它安全問題

標準WEP支持對每一組加密但不支持對每一組認證。從響應和傳送的數據包中一個黑客可以重建一個數據流，組成欺騙性數據包。減輕這種安全威脅的方法是經常更換WEP密鑰。通過監測工EEE802.11b控制信道和數據信道，黑客可以得到如下信息:客戶端和接入點MAC地址，內部主機MAC地址，上網時間。黑客可以利用這些信息研究提供給用戶或設備的詳細資料。為減少這種黑客活動，一個終端應該使用每一個時期的WEP密鑰。

4.3 完整的安全解決方案

無線局域網完整的安全方案以IEEE802.11b比為基礎，是一個標準的開放式的安全方案，它能為用戶提供最強的安全保障，確保從控制中心進行有效的集中管理。它的核心部分是:

擴展認證協議(Extensible Authentication Protocol，EAP)，是遠程認證撥入用戶服務(RADIUS)的擴展。可以使無線客戶適配器與RADIUS服務器通信。

當無線局域網執行安全保密方案時，在一個BSS范圍內的站點只有通過認證以后才能與接入點結合。當站點在網絡登錄對話框或類似的東西內輸入用戶名和密碼時，客戶端和RADIUS服務器(或其它認證服務器)進行雙向認證，客戶通過提供用戶名和密碼來認證。然后RADIUS服務器和用戶服務器確定客戶端在當前登錄期內使用的WEP密鑰。所有的敏感信息，如密碼，都要加密使免于攻擊。

這種方案認證的過程是:一個站點要與一個接入點連接。除非站點成功登錄到網絡，否則接入點將禁止站點使用網絡資源。用戶在網絡登錄對話框和類似的結構中輸入用戶名和密碼。用IEEE802.lx協議，站點和RADIUS服務器在有線局域網上通過接入點進行雙向認證?？梢允褂脦讉€認證方法中的一個。

相互認證成功完成后，RADIUS服務器和用戶確定一個WEP密鑰來區分用戶并提供給用戶適當等級的網絡接入。以此給每一個用戶提供與有線交換幾乎相同的安全性。用戶加載這個密鑰并在該登錄期內使用。

RADIUS服務器發送給用戶的WEP密鑰，稱為時期密鑰。接入點用時期密鑰加密它的廣播密鑰并把加密密鑰發送給用戶，用戶用時期密鑰來解密。用戶和接入點激活WEP，在這時期剩余的時間內用時期密鑰和廣播密鑰通信。

網絡安全性指的是防止信息和資源的丟失、破壞和不適當的使用。無論有線絡還是無線網絡都必須防止物理上的損害、竊聽、非法接入和各種內部(合法用戶)的攻擊。

無線網絡傳播數據所覆蓋的區域可能會超出一個組織物理上控制的區域，這樣就存在電子破壞(或干擾)的可能性。無線網絡具有各種內在的安全機制，其代碼清理和模式跳躍是隨機的。在整個傳輸過程中，頻率波段和調制不斷變化，計時和解碼采用不規則技術。

正是可選擇的加密運算法則和IEEE 802.11的規定要求無線網絡至少要和有線網絡(不使用加密技術)一樣安全。其中，認證提供接入控制，減少網絡的非法使用，加密則可以減少破壞和竊聽。目前，在基本的WEP安全機制之外，更多的安全機制正在出現和發展之中。

5 無線局域網安全技術的發展趨勢

目前無線局域網的發展勢頭十分強勁，但是起真正的應用前景還不是十分的明朗。主要表現在:1) 是真正的安全保障;2)將來的技術發展方向;3) WLAN有什么比較好的應用模式;4) WLAN的終端除PCMCIA卡、PDA有沒有其他更好的形式;5) WLAN的市場規模?？磥頍o線局域網真正的騰飛并非一己之事。

無線局域網同樣需要與其他已經成熟的網絡進行互動，達到互利互惠的目的。歐洲是GSM網的天下，而WLAN的崛起使得他們開始考慮WLAN和3G的互通，兩者之間的優勢互補性必將使得WLAN與廣域網的融合迅速發展?，F在國內中興通訊己經實現了WLAN和CI}IVIA系統的互通，而對于使用中興設備的WLAN與GSM/GPRS系統的互通也提出了解決方案，這條路必定越走越寬。

互通中的安全問題也必然首當其沖，IEEE的無線局域網工作組己經決定將EAP-SIIVI納入無線局域網安全標準系列里面，并且與3G互通的認證標準EAP-AID也成為討論的焦點。

無線網絡的互通，現在是一個趨勢。802.11工作組新成立了WIG(Wireless lnterworking Grouq)，該工作組的目的在于使現存的符合ETSI，IEEE，MMAC所制訂的標準的無線域網之間實現互通。另外3GPP也給出了無線局域網和3G互通的兩個草案，定義了互通的基本需求，基本模型和基本框架。還有就是愛立信公司的一份文檔給出了在現有的網絡基礎上，實現無線局域網和G1VIS/GPRS的互通。

不同類型無線局域網互通標準的制定，使得用戶可以使用同一設備接入無線局域網。3G和無線局域網的互通者可以使用戶在一個運營商那里注冊，就可以在各地接入。當然，用戶享用上述方便的同時，必然會使運營商或制造商獲得利潤，而利潤的驅動，則是這個互通風潮的根本動力。為了達到互通的安全，有以下需求:支持傳統的無線局域網設備，對用戶端設備，比如客戶端軟件，影響要最小，對經營者管理和維護客戶端SW的要求要盡量少，應該支持現存的UICC卡，不應該要求該卡有任何改動，敏感數據，比如存在UICC卡中的長期密鑰不能傳輸。對于UICC卡的認證接口應該是基于該密鑰的Challenge， Response模式。用戶對無線局域網接入的安全級別應該和3GPP接入一樣，應該支持雙向認證，所選的認證方案應該顧及到授權服務，應該支持無線局域網接入NW的密鑰分配方法，無線局域網與3GPP互通所選擇的認證機制至少要提供3GPP系統認證的安全級別，無線局域網的重連接不應該危及3GPP系統重連接的安全，所選擇的無線局域網認證機制應該支持會話密鑰素材的協商，所選擇的無線局域網密鑰協商和密鑰分配機制應該能防止中間人攻擊。也就是說中間人不能得到會話密鑰素材，無線局域網技術應當保證無線局域網UE和無線局域網AN的特定的認證后建立的連接可以使用生成的密鑰素材來保證完整性。所有的用于用戶和網絡進行認證的長期的安全要素應該可以在一張UICC卡中存下。

對于非漫游情況的互通時，這種情況是指當用戶接入的熱點地區是在3GPP的歸屬網絡范圍內。簡單地說，就是用戶在運營商那里注冊，然后在該運營商的本地網絡范圍內的熱點地區接入時的一種情況。無線局域網與3G網絡安全單元功能如下:UE(用戶設備)、3G-AAA(移動網絡的認證、授權和計帳服務器)、HSS(歸屬業務服務器)、CG/CCF(支付網關/支付采集功能)、OCS(在線計帳系統)。

對于漫游的互通情況時，3G網絡是個全域性網絡借助3G網絡的全域性也可以實現無線局域網的漫游。在漫游情況下，一種常用的方法是將歸屬網絡和訪問網絡分開，歸屬網絡AAA服務作為認證的代理找到用戶所注冊的歸屬網絡。

在無線局域網與3G互通中有如下認證要求:該認證流程從用戶設備到無線局域網連接開始。使用EAP方法，順次封裝基于USIM的用戶ID，AKA-Challenge消息。具體的認證在用戶設備和3GP-AAA服務器之間展開。走的是AKA過程，有一點不同在于在認證服務器要檢查用戶是否有接入無線局域網的權限。

上述互通方案要求客戶端有能夠接入無線局域網的網卡，同時還要實現USIM或者SIM的功能。服務網絡要求修改用戶權限表，增加對于無線局域網的接入權限的判斷。

無線局域網的崛起使得人們開始考慮無線局域網和3G的互通，兩者之間的優勢互補性必將使得無線局域網與廣域網的融合迅速發展?，F在國內中興通訊已經實現了無線局域網和CDMA系統的互通，而對于使用中興設備的無線局域網與GSM/GPRS系統的互通也提出了解決方案，這條路必定越走越寬。

參考文獻:

[1] 郭峰，曾興雯，劉乃安.無線局域網[M].北京:電子工業出版杜，1997.

[2] 馮錫生，朱榮.無線數據通信[M].北京:中國鐵道出版社，1997.

[3] 你震亞.現代計算機網絡教程[M].北京:電子工業出版社，1999.

[4] 劉元安.寬帶無線接入和無線局域網[M].北京:北京郵電大學出版社，2000.

[5] 吳偉陵.移動通信中的關鍵技術[M].北京:北京郵電大學出版社，2000.

[6] 張公忠，陳錦章.當代組網技術[M].北京:清華大學出版社，2000.

[7] 牛偉，郭世澤，吳志軍，等.無線局域網[M].北京:人民郵電出版社，2003.

[8] Wheat J.無線網絡設計[M].莫蓉蓉，譯.北京:機械工業出版社，2002.

[9] Held G.構建無線局域網[M].沈金龍，澤.北京:人民郵電出版社，2002.

[10] Barnes C.無線網絡安全防護[M].林生，譯.北京:機械工業出版社，2003.

[11] Heiskala J.OFDM無線局域網[M].暢曉春，譯.北京:電子工業出版社，2003.

[12] Ouellet E.構建Cisco無線局域網[M].張穎，譯.北京:科學出版社，2003.

[13] Ciampa M.無線周域網設計一與實現[M].王順滿，譯.北京:科學出版社，2003 .

[14] 張振川.無線局域網技術與協議[M].沈陽:東北大學出版社，2003 .

[15] 金純，陳林星，楊吉云.IEEE 802.11無線局域網[M].北京:電子工業出版社，2004.