無線局域網安全性淺析與防范

陳 濤 陳綿獻 周 超 許江龍

摘要：無線局域網的安全性是人們關注的熱點也是一個亟待解決的問題。本文首先介紹了無線局域網安全性的基本安全機制；接著從相關威脅和安全協議入手，重點分析了無線局域網的安全缺陷，最后討論了改進的安全措施和方案。

關鍵詞：WLAN；攻擊：密鑰；WEP；VPN

1引言

無線局域網(WLAN)具有無需布線，安裝周期短，后期維護容易，用戶容易遷移和增加等特點。但由于WLAN使用無線電波和光波作為傳輸媒介，其安全性受到了嚴重的挑戰。最新(WECA)企業調查結果表明：50％已采用WLAN的企業和72％的潛在企業用戶對WLAN的安全性不滿意。因而WLAN必須致力解決安全性問題。

2WLAN的信息安全機制

在IEEE802 11的WLAN中通常使用以下幾種信息安全機制：

(1)服務區標識符(SSID)：可由SSID來識別連接在wLAN上的AP。試圖接入wLAN的客戶端必須配置與網絡中AP相同的SSID。

(2)MAC地址過濾：AP可以訪問一個被允許接入WLAN的客戶端的MAC地址列表，這提供了一個阻止客戶端訪問請求的方法，也提供了另一層訪問控制。

(3)WEP算法：WEP f有線等效保密算法)是一種可選的鏈路層安全機制，用來提供訪問控制、數據加密和安全性檢驗等。它需要管理員預先在客戶端和AP中配置共享的WEP密鑰(靜態WEP密鑰)。使用這個密鑰在一方對數據進行加密，另一方使用相同的共享密鑰對接收到的密文進行解密。

3WLAN面臨的安全威脅和安全協議存在的安金隱患

3.1安全威脅

WLAN面臨的所有安全威脅大致可分為主動攻擊和被動攻擊：

被動攻擊指未經授權的實體簡單地訪問網絡，但不修改其中內容。被動攻擊可能是竊聽或流量分析。

主動攻擊指未經授權的實體接入網絡，并修改消息、數據流或文件內容。主動攻擊包括偽裝攻擊、重放攻擊、篡改攻擊和拒絕服務攻擊等。

3.2安全隱患

(1)對身份認證的欺騙：在WEP協議中AP對申請接人的移動客戶端進行身份認證。而移動客戶端并不對AP的身份進行認證。這種單向的認證方式導致了假冒的AP的存在。

(2)MAC地址訪問控制的安全缺陷：MAC地址訪問控制機制從理論上講可以杜絕未經授權的非法訪問WLAN，但該機制也不能提供絕對的安全性：

①MAC地址在WLAN中是以明文傳送的，攻擊者可以在WLAN中嗅探到合法的MAC地址。

②無線設備允許通過軟件重新配置MAC地址。攻擊者完全可以通過修改MAC地址冒充合法的用戶訪問WLAN。

(3)WEP算法缺陷(RC4密鑰方案的缺陷)：WEP算法實際上是利用RC4流密碼算法作為偽隨機數產生器，將由初始矢量lV和WEP密鑰組合而成的種子生成WEP密鑰流，再由該密鑰流與WEP幀數據負載進行異或運算來完成加密運算。而RC4流密碼算法是將輸入種子密鑰進行某種置換和組合運算來生成WEP密鑰流的。由于WEP幀中數據負載的第一個字節是邏輯鏈路控制的802 2頭信息，這個頭信息對于每個WEP幀都是相同的，攻擊者很容易猜測，利用猜測的第一個明文字節和WEP幀數據負載密文就可以通過異或運算得到WEP PRNG生成的密鑰流中的第一個字節。另外，種子密鑰中的24比特初始矢量是以明文形式傳送的，攻擊者可以將其截獲。利用已知的初始矢量Iv和第一個字節密鑰流輸出，并結合RC4密鑰方案的特點，攻擊者通過計算就可以確定WEP密鑰。

4無線局域網安全改進措施

鑒于以上安全機制的缺陷，提出其他改進的一些措施：

(1)一次性密鑰：當驗證成功后，AP會向客戶端發送一個EAPOL--KEY幀，指示客戶端應該使用的會話密鑰。

(2)智能卡：可以為WLAN增加另外一層保護。可以使用和用戶名、密碼等相關的智能卡，也可以使用雙因素身份認證的智能卡。

(3)虛擬專用網(vPN)：VPN是指在一個公共IP網絡平臺上通過隧道加密技術保證專用數據的網絡安全性，用來在公共網絡基礎設施上建立一個虛擬專用通道。進行安全的數據傳輸。

(4)IEEE802 1×和可擴展認證協議(EAP)：IEEE802 1×是一種基于端口的網絡接入控制技術，在網絡設備的物理接入級對接入設備進行認證和控制，它規定了網絡訪問授權和安全密鑰的自動分發機制。[EEE802，1x可以提供一個可靠的用戶認證和密鑰分發的框架，可以控制用戶只有在認證通過以后才能連接網絡。

(5)基于生物特征識別：包括指紋，掌紋掃描器、視網膜和虹膜掃描器、面部掃描器和語音圖譜掃描器等。

5結論

隨著無線技術迅猛發展，WLAN將推出新的安全協議和技術，將智能卡、VPN、802 1×和EAP以及用戶的認證和傳輸數據的加密等多種措施結合起來，才能構筑安全的WLAN。