淺談WLAN運營中Portal認證安全性

W LAN 運營有多種認證方式，但最常用的方式為彈出Portal 登錄頁面。即：用戶搜索到運營商的AP 后，連接進去獲得IP 地址，打開瀏覽器，輸入賬號和密碼便可登錄。

這種方式雖然簡單方便，但由于AP 的接入沒有采用WEP 和W PA2等加密方式，空中信道很容易被偵查破解，黑客能夠截獲空中傳輸的賬號和密碼。因此該方式安全性較低。

如何提高登錄頁面的安全性呢?據城市熱點總結， 目前大部分W LAN 運營商采用以下幾種方案：

1. Portal 服務器與BRAS 和Radius 服務器采用CHAP 的認證方式

2. HTTPS 的登錄頁面方式

3. 手機短信獲得動態密碼方式

下面城市熱點將對這3 種方式進行論述與比較。

1. 方案1 的認證方式最為簡單實用，也非常安全。其中Radius 標準提供了2 種可選的身份認證方法：口令驗證協議PAP(Password Authentication Protocol，PAP) 和質詢握手協議(Challenge Handshake Authentication Protocol，CHAP)。如果雙方協商達成一致，也可以不使用任何身份認證方法。質詢握手協議認證(CHAP)相比口令驗證協議認證(PAP)安全性更高，因為CHAP 不在線路上發送明文密碼，而是發送經過摘要算法加工過的隨機序列，也被稱為“挑戰字符串”。

與此同時，身份認證可以隨時進行，包括在雙方正常通信過程中。因此，這種方式下傳輸的密碼具有時效性。

采用PAP 的認證方式，密碼是明碼或者采用可逆算法傳輸，而且可以通過查看登錄頁面的源代碼查到加密的算法，因此可以很容易地找到破解的算法。而CHAP 采用MD 5的加密方式是不可逆的，算法是公開的，也就是說偵聽者無法從加密后的結果去反算出密碼，在整個認證過程中的只有Radius server 和用戶知道密碼，包括BRAS 等接入設備也只是傳輸MD 5 加密后的結果，加密采用一個挑戰值的方式，每次認證都不一樣，加密的結果也是每次不同，即使被黑客獲得，也會在下一次認證時失效。

2. H ttps 的登錄頁面方式，安全性是最高的，因為動態SSL 的證書加密方式，目前無法破解，但是需要portal 服務器購買正式的網站證書，成本也比較高。

3. 目前移動運營商多數采用手機短信獲得動態密碼的方式，密碼僅在10- 20 分鐘有效，這種方式與CHAP 的安全機制有異曲同工之處，均采用限制密碼的有效周期這一手段。該方法雖安全性高，但每次至少使用一條短信，成本也就隨之升高，并且操作手段相對繁瑣。

通過上述論證，城市熱點認為這3 種方式彼此獨立，互不矛盾，都是提高運營商認證安全的很好方法，也可混合使用。