（计算机系统结构专业论文）无线局域网安全与认证的研究和公用wlan的应用.pdf

重庆大学硕士学位论文 中文摘要 摘要 无线局域网( w i r e l e s sl o c a la r e an e t w o r k , w l a n ) 是迅猛发展的无线通信技 术在计算机网络中的应用，它通过无线信道传输数据，采用无线多址信道的方式 来支持计算机之间的通信，并为移动通信、个人通信、多媒体应用提供了实现方 法。 无线局域网作为有线局域网的补充和延伸的同时，又必须满足用户移动性所 带来的多方面的需求和限制。由予无线电波的开放性，无线局域网的安全问题成 为制约其发展的瓶颈问题，用户希望安全、可靠、可信地互通信息。 本文主要围绕无线局域网的安全问题，致力于实现无线局域网的安全和认证， 并针对在公用w l a n 的应用展开研究。 本文首先分析了无线局域网的应用状况和面临的安全威胁，然后以无线局域 网的安全技术发展历程为主线。对各种安全技术进行了详细的研究，指出了它们 的特点和存在的不足之处，并就目前的一些解决方案进行了分析比较，提出了根 据实际应用，建立多层安全保护措施，以最大限度地降低安全风险。 接着，论文着重对基于8 0 2 1 x 的无线局域网安全认证的实现进行了研究。 8 0 2 1 x 是基于端口的网络访问控制方案，它和扩展认证协议e a p ( e x t e n s i b l e a u t h e n t i c a t i o np r o t o c 0 1 ) 一起来共弼实现无线局域网的安全认证。论文主要通过搭 建认证环境，来实现e a p m d 5 ，e a p t l s 认证方法。从中，我们验证了e a p - m d 5 是一种单向认证机制，通过r a d i u s 服务器只能保证客户端到服务器的认证，并不 保证服务器到客户端的认证。而e a p t l s 既提供认证，又提供动态会话钥匙分发。 在无线客户端和服务器之间提供互相认证。 同时，针对w l a n 的公共应用，对鉴权、漫游、位置管理、负载均衡等关键 技术进行了研究，提出了两种鉴权& 计费框架：即s i m 卡实现鉴权& 计费葶采用用 户名密码实现鉴权& 计费；提出了基于接入控制器( a c ) 和接入点( a _ p ) 的两层 数据库位置管理策略；实现了负载均衡技术。 最后，论文给出了研究工作总结，并提出了以后的研究思路。 关键词：安全，认证，鉴权，位置管理，负载均衡 重庆大学硕士学位论文 英文摘要 a b s t r a c t w i r e l e s sl o c a la r e an e t w o r k ( w l a n ) i st h ea p p l i c a t i o no ft h ef a s tg r o w i n g w i r e l e s sc o m m u n i c a t i o nt e c h n o l o g i e si nt h ec o m p u t e rn e t w o r k s i nw l a n ，d a t aa e t r a n s m i t t e dt h r o u g hw i r e l e s sc h a n n e l s ，a n dc o m m u n i c a t i o n sb e t w e e nc o m p u t e r sa r e s u p p o r t e db yw i r e l e s sm u l t i p l e x i n ga c c e s s w l a np r o v i d e ss o l u t i o n sf o rm o b i l e c o m m u n i c a t i o n s ，i n d i v i d u a lc o m m u n i c a t i o n sa n dm u l t i m e d i aa p p l i c a t i o n s t h ed e v e l o p m e n to fw i r e l e s sl a nh a v ew i d ep r o s p e c t ，a si ta c t sf o rt h e c o m p l e m e n t a r i t ya n dp r o l o n g a t i o no ft h el o c a la r e an e t w o r k ，i tm u s ts a t i s f i e dt h e r e q u i r e m e n ta n dl i m i t a t i o ni ns e r e r a la s p e c t sf o ri t sm o b i l i t y b e c a u s eo ft h eo p e n i n go f w i r e l e s sw a v e ，t h eb o t t l e n e c kr e s t r a i n i n gi t sd e v e l o p m e n ti ss e c u r i t y u s e r sh o p et o c o m m u n i c a t es a f e l ya n dr e l i a b l y i nt h i st h e s i s ，t h es e c u r i t yi s s u e si nw l a na r e i n v e s t i g a t e d ，a i m i n ga ti m p l e m e n t i n gt h es e c u r i t ya n da u t h e n t i c a t i o no fw l a n ，a n d p u b l i ca p p l i c a t i o n s f i r s t l y , t h et h e s i sa n a l y s e st h ea p p l i c a t i o ne n v i r o n m e n ta n ds e c u r i t yt h r e a t e n so f w l a n ，t h e na l o n gt h ed e v e l o p m e n to fw l a n ss e c r u i t yt e c h n o l o g y ，a n a l y s e st h e i r c h a r a c t e r i s t i c s ，p o i n t so u tt h e i rd e f i c i e n c i e sa n dc o m p a r e ss o m es o l u t i o n s ，l a t e r ，p u t f o r w a r ds e c u r i t ym e a s u r e so f m u l t i l a y e r s ，t ol e s s e nt h er i s k s s e c o n d l y 、析t he m p h a s i so nt h ei n p l e m e n t i n gs e c u r i t ya n da u t h e n t i c a t i o n o f w l a nb a s e do ni e e e8 0 2 1 xw h i c hi sad r a f ts t a n d a r df o rp o r t - b a s e d ，n e t w o r ka c c e s s c o n t r o la n de a p ( e x t e n s i b l ea u t h e n t i c a t i o np r o t o c 0 1 ) w es e tu pt h ea u t h e n t i c a t i o n e n v i r o n m e n tf o ri n p l e m e n t i n ge a p - m d 5a n de a p - t l s ，s ow ec o n c l u d ee a p - m d 5i sa s i g l ed i r e c t i o na u t h e n t i c a t i o nb yu s i n gar e m o t ea u t h e n t i c a t i o nd i a l i nu s e rs e r v i c e ( r a d i u s ) s e w e rf o ra u t h e n t i c a t i n gc l i e n tc r e d e n t i a l s ，w h i l ee a p - t l si s ad o u b l e d e r e c t i o na u t h e n t i c a t i o nb e t w e e nt h es e r v e ra n dc l i e n t m e a n t i m ea f t e raf u r t h e ri n v e s t i g a t i o nt op u b l i cw l a n ，ad e 印s t u d yo f r o a m i n g 、 p o s i t i o nm a n a g e m e n ta n dl o a db a l a n c ei sm a d e t w of r a m e so fa u t h e n t i c a t i o n a c c o u n t i n ga r ep u tf o r w a r d a l s ot h ef u n c t i o no f l o a db a l a n c ei si m p l e m e n t e d f i n a l l y ，t h et h e s i ss u m m a r i z e st h ew o r kd o n e ，a n dp u t sf o r w a r dt h ep o s s i b l e e x t e n s i o n sa n di m p r o v e m e n t st ot h ee x i s t i n gr e s e a r c h k e y w o r d ：s e c u r i t y , a u t h e n t i c a t i o n ，a u t h o d t 3 qp o s i t i o nm a n a g e m e n t , l o a db a l a n c e i i 重庆大学硕士学位论文1 绪论 l 绪论 1 1 课题研究的背景、目的和意义 近年来以局域网为代表的计算机通信网和以数字蜂窝电话网为代表的移动通 信大放异彩，在人们生活的各个领域发挥着越来越重要的作用，随着人们对通信 的需求不断提高，各种各样的通信产品不断涌现，而这些产品的整体性能，包括 可靠性、灵巧性、多功能、低价格等指标也不断提高。这些实用系统的成功以及 相关技术的进步使得从事通信系统研究的科研人员们提出了“个人通信服务”与“个 人通信网”的梦想。所谓个人通讯，指不论是谁、不论在何处和不论什么时候，都 能和希望联系的人进行包括通信、传真、数据乃至视频图像在内的多业务通信。 可是，如何实现个人通信的梦想? 9 0 年代初，无线局域网( w i r e l e s sl o c a la r e an e t w o r k ，w l a n ) 技术的不断成熟 导致了“移动计算网络”或“游牧计算网络”概念的出现。移动计算网络是指主机可在 网中漫游的计算机网络，它把局域网的高数据速率与移动通信系统的漫游功能有 机地揉为一体。移动计算机网络中的漫游不仅指单个主机的漫游，也包括整个子 网的漫游。例如，在汽车、飞机等运载工具中的计算机网络随运载工具在网中移 动的同时可保持与外部网络的通信连接。局域网的高传输速率可使移动计算网络 容易地支持包括通话、传真、寻呼信息、高速数据、视频图像在内的多媒体业务， 而移动通信的灵活性又可使移动计算网络能够满足个人通讯的其他要求。 进入2 1 世纪，无线局域网技术更趋向成熟，应用也越来越广泛，但国内外无线 局域网产业有一个统一的认识，那就是高速发展的无线局域网建设存在极大的安 全隐患。特别是2 0 0 1 年7 胃三位知名的密码专家成功她破解了w e p ( w i r e d e q u i v a l e n tp r i v a c y ，有线等效保密) 中的r c 4 加密技术，这使碍不管是采用4 0 位 密钥还是1 2 0 位密钥的w e p 都可以在短短两三个小时内被破解，原本就不太安全 的w l a n 变得更有些脆弱不堪，无线局域网的安全问题成为越来越多人关注的焦 点，同时： 在日本，西屋百货公司基于w l a n 的移动p o s 机因为泄漏消费者隐私而 被曝光： 在韩国，许多准备部署w l a n 的公司发现一些公司员工己经私自安装了 w l a n 接八点设备，使得公司针对有线互联网设计的安全方案形同虚设； 在美国，负责研究核武器以及其他国家防御技术的l a w r e n c el i v e r m o r e 国家 实验室关闭了已有的两个无线计算机网络并宣布禁止使用无线局域网，原因在于 这些设备的系统中存在的安全隐患容易遭受到黑客的w i f i 网络因安全无法保证 重庆大学硕士学位论文 i 绪论 将无缘2 0 0 4 年奥运会： 中国电信曾在机场对自己的w l a n “热点( h o ts p o t ) 进行安全测试，发现可 以很容易地截取用户密码和传输信息。 j u p i t e r 市场研究公司对传统企业的一次调查中显示，9 0 的企业经理认为安 全问题是影响他们作出w l a n 部署决定的首要因素。 可见在无线局域网产业迅猛发展的同时，其所面临的安全瓶颈也日益突出，并 已成为制约该产业迸一步发展的主要障碍。由于无线局域网采用公共的电磁波作 为载体，与有线线缆不同，它的安全问题具有以下特点： 信道开放，无法阻止攻击者窃听，恶意修改并转发； 传输介质无线电波在空气中的传播会因为多种原因( 例如障碍物) 发生 信号衰减，导致信息丢失； 用户不必与网络进行实际连接，使得攻击者伪装合法用户更为容易。 由于上述特点，利用无线局域网进行通信必须具有较高的通信保密能力。因此， 建立一个完善的无线局域网系统，强化其安全体制，为用户提供一个安全、可靠、 可信的通信环境，打消其顾虑，从而才会进一步促进无线届域网的应用和发展。 1 2 国内外进展情况 1 2 1 无线局域网概述： 无线局域网技术和产业可以追溯到8 0 年代中期，美国联邦通讯委员会( f c c ) 使用了扩频技术，在随后的几年中发展的很慢，但是由于8 0 2 1 1 b 标准的制定， w l a n 技术发展的很快。无线技术的流行主要由两个因素的驱动：便利性和成本。 无线局域网( w l a n ) 不需要把使用者束缚在他们的桌子却可以得到他们需要的 数字资源，然而w l a n 的便利性也导致了在有线网络中不存在的安全问题。 基于i e e e 8 0 2 1 l 系列无线局域网的一些标准： 1 9 9 7 年i e e e8 0 2 1 1 无线局域网标准正式颁布，1 9 9 9 年8 月，8 0 2 1 1 标准得 到了进一步的完善和相关修订。 e e e 8 0 2 i l 标准在1 9 9 7 年的版本中主要对网络的 物理层和介质访问层进行了定义。其重点对m a c 层进行定义。各产品供应商的产 品在同一物理层上可以互操作，而逻辑链路控制层l l c 是一致的。 1 9 9 8 年8 月对8 0 2 1 l 标准的修订内容包括用一个基于s n m p 的m i b 来取代 o s i 的m i b ，另外，还增加了两项新内容：i e e e 8 0 2 1 1 a 和i e e e 8 0 2 1 1 b 。 ( 1 ) i e e e 8 0 2 1 l a ：扩充了已有的物理层标准，规定了5 0 h z 频段的物理层 标准。该标准采用正交频分复用技术调制数据，其传输速率的范围为 6 m h i t s 5 4 m b i t s 。这样的速率既能满足室内的应用，也自l 满足室强的应用。 ( 2 ) i e e e 8 0 2 i l b ：是8 0 2 1 1 标准的另一个扩充，规定了2 4 g h z 频段的物理 2 重庆大学硕士学位论文 层标准。该标准采用补码键控技术调制数据，数据传输速率为5 5 m b i t s 和11 m b i t s ， 并兼容原来的8 0 2 1 1 标准。其多速率机制的m a c 技术确保当用户终端之间距离 过长或干扰太大、信噪比低时，传输速率能够从11 m b i t s 自动的下降到5 5 m b i t s 、 2 m b i t s 直至1 m b i t s 。 ( 3 ) i e e e 8 0 2 1 l g ：它在i e e e 8 0 2 1 l a 的基础上，使最高数据传输速率从目前 的1 1 m b i t s 提高到2 0 m b i t s 以上，但使用的频段还是为2 4 g h z 。 ( 4 ) 改善安全机制的8 0 2 1 l i ，于2 0 0 4 年6 月正式批准。2 0 0 4 年9 月实施全面的 认证。 下表1 1 说明了8 0 2 1 1 的特性。 表1 18 0 2 1 1 的特性 1 h b l e1 1c h a r a c t e r i s t i c so f 8 0 2 1 1 特性说明 物理层 直序扩频( d s s s ) 、调频扩频( f h s s ) 、红外( m ) 频段 2 4 g h z ( i s m 频段、9 0 2 1 1 b 和9 0 2 1 l 曲，5 g h z ( 9 0 2 1 l a ) 速率 1 1 m b p s 2 m b p s ，5 5 m b p s ( 8 0 2 1 l b ) ，5 5 m b p s ( 8 0 2 ，l l a 和8 0 2 1 l g ) 安全 基于r c 4 的流加密算法，有限的密钥管理 吞吐量 1 1 m ( 8 0 2 1 l b ) ，5 4 m ( 8 0 2 1 l a ，8 0 2 1 l g ) 范围室内1 0 0 米，室外3 0 0 米左右 优点无需布线。使用灵活方便，产品已经很多且成熟，价格已经下降 缺点安全方面比较差，吞吐量会随着用户的增多和距离的加大而下降 同时，i e e e 还在不断地完善这些协议，推出或即将推出的新协议有：不使用 2 4 g h z 频段的8 0 2 1 1 d ，改善8 0 2 1 1 协议q o s ( j 匣务质量) 的8 0 2 1 1 e ，改善切换机 制的8 0 2 1 l f ，以及高速w l a n 标准8 0 2 1 1 n 等。由于8 0 2 1 l 系列标准的开放性， 除了提升无线局域网的各种不同性能外，还使得不同厂商的无线产品得以互联， 因此，它是应用最为广泛的无线局域网标准，也是我们关注和讨论的重点。 1 2 2 无线局域网的安全发展状况 无线局域网的安全性包括两个方面，一是接入控制，另一个就是保密性。接 入控制是确保敏感的数据仅由获得授权的用户访问：而保密性则确保传送的数据 只被目标接收人接收和理解。由于无线局域网通过无线电波在空气中播放数据， 所以在数据发射机覆盖区域内的几乎任何一个无线局域网用户都能接触到这些数 据。无论接触数据者是在另外一个房间、另一层楼或是在本建筑之外，无线就意 重庆大学硕士学位论文1 绪论 味着会让人接触到数据。与此同时，要将无线局域网发射的数据仅仅传送给一名 目标接收者是不可能的。因此接入控制、数据保密性就成了无线局域网安全的关 键问题。 在目前世界上主流的无线局域网i e e e8 0 2 1 1 协议中，规定了两种认证机制： 开放系统认证和共享密钥认证。开放系统认证，允许任何用户接入到无线网络中 来。从这个意义上来说，实际上并没有提供对数据的保护。这样对于用户而言， 显然是难以让人接受的。而共享密钥认证需要用户在终端设备设置与场地中的具 体a p 设置相对应的密码，对于用户流动性很大的公共场合来说，共享密钥认证在 操作上也具有相当大的难度。加上w e p 密钥设计的种种缺陷，这使得8 0 2 1 1 标准 只能提供非常有限的保密性支持：而且，8 0 2 1 1 标准委员会在标准的制定过程中 也留下许多疑难的安全问题，例如，不能实现更为完善的密钥管理和强健的认证 机制。因此，无线局域网标准制定组织i e e e 和w i f i 联盟等先后对无线局域网标 准中的安全机制进行数次改进，从早期的以有线等效保密w e p 算法为基础的身份 验证服务和加密技术，到w p a ( w i f ip r o t e c t e da c c e s s ，w i - f i 保护接入) 技术， 以及2 0 0 6 年6 月才正式批准新一代安全标准8 0 2 1 l i ，目的就是为了提供更有效、 更安全的解决方案。无线局域网安全发展进程如图1 1 所示。 图1 1 无线局域网安全发展进程 f i g u r e l 1 p r o c e s so f t h ed e v e l o p m e n to f w l a ns e c u r i t y 早期靴p u w p a 8 0 2 1 l i 标准 2 0 0 4 年6 月批准 从图1 1 中，我们可以看出，物理地址( m a c ) 过滤和服务区标识符( s s i d ) 匹配是两项最基本的接入控制技术。数据加密技术从最初的采用w e p 加密，经过 4 重庆大学硕士学位论文1 绪论 t k i p ( t e m p o r a lk e yi n t e g r i t yp r o t o c 0 1 ) 暂时密钥完整协议加密，朝a e s 高级加密 标准加密发展；而接入认证则从基于w e p 的共享密钥认证期基于t k i p 和a e s 加密的8 0 2 1 x 端口接入控制技术( p o r tb a s e d n e t w o r k a c c e s sc o n t r o l ，i e e e8 0 2 i x ) 和e a p 可扩展认证协议( e x t e n s i b l ea u t h e n t i c a t i o np r o t o c o l ，e a p ) 认证方向发展。 8 0 2 1 x 认证协议是基于端口的网络接入控制技术，该技术在网络设备的物理 接入级对接入设备进行认证和控制，可以提供一个可靠的用户认证和密钥分发的 框架，可以控制用户只有在认证通过以后才能连接网络。i e e e 8 0 2 1 x 本身并不提 供实际的认证机制，需要和上层认证协议( e a p ) 配合来实现用户认证和密钥分发。 e a p 允许无线终端可以支持不同的认证类型，能与后台不同的认证服务器进行通 讯，如远程接入拨入用户服务( r a d i u s ) 等。 由于最新无线局域网安全标准8 0 2 1 1 i 也同样全面支持8 0 2 1 x 和e a p 可扩展 的认证协议，因此，学习和总结它们也是很有意义，在本文第三章还将对它们进行 详细一点的介绍。 1 3 论文研究的内容 本文主要分析了无线局域网的应用状况和面临的安全威胁，然后以无线局域 网的安全技术发展历程为主线，对各种安全技术进行了详细的研究，指出了它们 的特点和存在的不足之处，并就目前的一些解决方案进行了分析比较，提出了根 据实际应用，建立多层安全保护的措施，以最大限度地降低安全风险。 在基于比较分析这些方法的基础上，着重对基于8 0 2 1 x 的无线局域网安全认 证的实现进行了研究。8 0 2 i x 是基于端口的网络访问控制方案，它和e a p ( e x t e n s i b l ea u t h e n t i c a t i o np r o t o c 0 1 ) 扩展认证协议一起来共同实现无线局域网的 安全认证。论文主要通过搭建认证环境，来实现e a p m d 5 ，e a p - t l s 认证方法。 从中，我们得出了结论，e a p m d 5 是一种单向认证机制，通过r a d i u s 服务器只能 保证客户端到服务器的认证，并不保证服务器到客户端的认证。而e a p t l s 既提 供认证，又提供动态会话钥匙分发，在无线客户端和服务器之间提供互相认证a 同时，针对w l a n 的公共应用，对鉴权、漫游、位置管理、负载均衡等关键 技术进行了研究，提出了两种鉴权& 计费框架：即s i m 卡实现鉴权& 计费和采用用 户名密码实现鉴权& 计费；并实现了负载均衡技术。 重庆大学硕十学位论文 2 无线局域网的安全性研究 2 无线局域网的安全性研究 2 1 无线局域网的网络结构 无线网络的网络结构可以分为具有基础设施的网络( 叫鼢眦t u r c b a s e d n e t w o r k ) 和没有基础设施的网络( i n f ：r a s t r u e t u r e l e s sn e r o ) 两大类。前者具有固 定和有线的基站，网络中节点( 或称为主机) 从基站接收和向基站发送所有的业 务，这种网络的典型例子为无线局域网，后者就是无线a d h o e 网络。 无线a d h o c 网络是由一组自主的无线节点或终端相互合作而形成的，这些无 线终端以相同的工作组名、扩展服务集标识号( e s s i d ) 和密码等对等的方式相互直 连，在w l a n 的覆盖范围之内，进行点对点，或点对多点之间的通信，独立于固 定的基础设施的分布式管理网络，是种自创造、自组织和自管理的网络，它的 建立是为了满足暂时需求的服务。与传统的蜂窝网络相比，无线a d h o e 网络没有 基站，所有节点分布式运行，具有路由器功能，负责发现和维护到其他节点的路 由，向邻近节点发射或转发分组。这种网络既可以单独运行，又可以通过网关接 入到有线骨干网络( 如因特网) 。a d h o e 网络的起源可以追溯到1 9 6 8 年的a l o h a 网络和1 9 7 3 年d a r p a 开始研究的分组无线电网络。i e e e 在开发i e e e8 1 ) 21 1 标 准时，将分组无线电网络改称为a dh o e 网络。a dh o c 来源于拉丁语，字面上的 意思是“为特定目的或场合的”或“仅为这种情况的”。当时分组无线电网络已经用于 大规模的军事和救援行动中，采用新的名字，i e e e 希望a d h o c 网络成为为特定目 的而临时组建并短期存在的网络。需要指出的是，i e e e 8 0 21 1 标准定义的a d h o e 网络为仅由那些通过无线媒质能够互相直接通信的站点组成的网络，即独立的基 本服务集( i b s s ) 。i b s s 没有接入点。为单跳a d h e c 网络( 见图2 1 ) ，但是目前研 究的a dh o e 网络通常是多跳的。1 9 9 7 年i e t f 成立了移动a dh o e 网络 m a n e t ( m o b i l e a dh o e n e t w o 工作组，专门负责具有数百个节点的移动a d h o e 网络的路由算法的研究和开发，并制定相应的标准。 本文研究是有基础设施的网络，也可以叫做扩展服务集( e s s ) 网络。此种嗍 络可以跨越i b s s 范围的限制，因此可以满足大小任意、复杂度高的太范围覆盖网 络的需要。它的拓扑结构如图2 1 ，一个e s s8 0 2 1 】无线l a n 包括多重小区( c e l l ) ， 它们由a p 和d s 相互连接( 其中a p 就是a c c e s s p o i n t ) 。利用了高速的有线或无 线骨千传输网络。 线骨干传输网络。 6 重庆大学硕士学位论文 2 无线局域网的安全性研究 ) 图2 1 无线局域网的网络结构 f i g u r e2 1 t h ea r c h i t e c t u r eo f w l a n 2 28 0 2 1 l 安全方面的问题 2 2 1 应用现状 在任何系统中实现加密和认证都必须考虑以下三个方面： 1 用户对保密的需求程度：用户对保密需求的不断膨胀以及对保密要求的不断 提高是促进加密和认证技术发展的源动力。在很大程度上，加密和认证技术的设 计思路是综合分析用户对保密的需求程度的结果。 2 实现过程的易操作性：如果安全机制实现过于复杂，那么就很难被普通用户 群接受，因而难以得到广泛的应用。 3 政府的有关规定：许多政府( 比如美国政府) 都认为加密技术是涉及国家安 全的核心技术之一。许多专门的加密技术仅限应用于国家军事领域中，因此几乎 所有的加密技术都是禁止或者限制出口的。 在8 0 2 1 1 标准中采用的w e p 协议综合考虑了上述的所有因素。但是，w e p 协议的设计并不是无懈可击的。自2 0 0 0 年1 0 月以来，不断有黑客及安全研究人 员披露w e p 密钥设计的种种缺陷，这使得8 0 2 1 1 标准只能提供非常有限的保密性 支持。而且，8 0 2 1 1 标准委员会在标准的制定过程中也留下许多疑难的安全问题。 例如，不能实现更为完善的密钥管理和强健的认证机制。 更为严重的是，许多公司在配置无线网络时，要么只是简单的使用一个永久 的固定加密变量，要么甚至于根本就不启动8 0 2 1 1 内建的基本安全措施。这也就 是说，这些无线网络等同于为入侵者提供了一个自由的网络接入点，从而使入侵 者很容易实拖网络入侵和破坏。这样一来，也就使得8 0 2 1 l 原有的安全屏障形同 虚设，无线网络的安全也将因为用户的安全意识成为一个重要的长期的问题。 重庆大学硕士学位论文 2 无线局域网的安全性研究 2 2 2 无线局域网面临的安全威胁 无线局域网必须考虑的安全威胁有以下几种： 所有常规有线网络存在的安全威胁和隐患都存在。 外部人员可以通过无线网络绕过防火墙，对公司网络进行非授权存取。 无线网络传输的信息没有加密或者加密很弱，易被窃取、窜改和插入。 无线网络易被拒绝服务攻击( d o s ) 和干扰。 内部员工可以设置无线网卡为a d h o c 模式与外部员工连接。 ( 1 ) 常规安全威胁分析： 由于无线网络只是在传输方式上和传统的有些网络有区别，所以常规的安全 风险如病毒，恶意攻击，非授权访问等都是存在的，这就要求继续加强常规方式 上的安全措施。 ( 2 ) 非常规安全威胁分析： 无线网络中每个a p 覆盖的范围都形成了通向网络的一个新的入口。由于无线 传输的特点，对这个入口的管理不像传统网络那么容易。正因为如此，未授权实 体可以在公司外部或者内部进入网络：首先，未授权实体进入网络浏览存放在网 络上的信息，或者是让网络感染上病毒。其次，未授权实体进入网络，利用该网 络作为攻击第三方网络的跳板。第三，入侵者对移动终端发动攻击，或为了浏览 移动终端上的信息，或为了通过受危害的移动设备访问网络，第四，入侵者和公 司员工勾结，通过无线交换数据。 ( 3 ) 敏感信息易泄露威胁 由于电磁波是共享的，所以要窃取信号，并通过窃取信号进行解码特别容易。 特别是w l a n 默认都是不设置加密措施的，也就是任何能接受到信号的人，无论 是公司内部还是公司外部都可以进行窃听。根据8 0 2 。1 l b 协议一般a p 的传输范围 都在1 0 0 米到3 0 0 米左右，而且能穿透墙壁，所以传输的信息很容易被泄漏。 虽然8 0 2 。1 1 规定了w e p 加密，但是w e p 加密也是不安全的，w e p 是i e e e 8 0 2 1 lw l a n 标准的一部分，它的主要作用是为无线网络上的信息提供和有线网 络同一等级的机密性。有线网络典型地是使用物理控制来阻止非授权用户连接到 网络查看数据。在w l a n 中，无需物理连接就可以连接到网络，因此i e e e 选择 在数据链路层使用加密来防止在网络上进行未授权偷听。 ( 4 ) 拒绝服务攻击( d o s ) 和干扰的威胁 目前8 0 2 1 l b 协议规定w l a n 工作在2 4 g 的i s m 频段，没有使用授权的限 制，因此广泛用于很多产品，比如蓝牙产品，微波炉等。虽然w l a n 使用了扩频 技术，但还是会受到一定的干扰。同时，如果恶意用户有可能通过携带干扰器进 入公司或者在公司外部进行拒绝服务攻击或者干扰，而且这个干扰源不是很容易 重庆大学硕士学位论文 2 无线局域网的安全性研究 就能查出来的。 ( 5 ) 容易入侵威胁 无线局域网非常容易被发现，为了能够使用户发现无线网络的存在，网络必 须发送有特定参数的信标帧，这样就给攻击者提供了必要的网络信息。入侵者可 以通过高灵敏度天线从公路边、楼宇中以及其他任何地方利用移动公司两个a p 点 对网络发起攻击而不需要任何物理方式的侵入。 ( 6 ) 未经授权之使用威胁 一半以上的用户在使用a p 时只是在其默认的配置基础上进行很少的修改。几 乎所有的a p 都按照默认配置来开启w e p 进行加密或者使用原厂提供的默认密钥。 由于无线局域网的开放式访问方式，未经授权擅自使用网络资源会增加带宽费用。 ( 7 ) 地址欺骗与会话拦截 由于8 0 2 1 1 无线局域网对数据帧不进行认证操作，攻击者可以通过欺骗帧去 重定向数据流和使a r p 表变得混乱，通过非常简单的方法，攻击者可以轻易获得 网络中站点的m a c 地址，这些地址可以被用来恶意攻击时使用。 除攻击者通过欺骗帧进行攻击外，攻击者还可以通过截获会话帧发现a p 中存 在的认证缺陷，通过监测a p 发出的广播帧发现a p 的存在。然而，由于8 0 2 1 1 没 有要求a p 必须证明自己真是一个a p ，攻击者很容易装扮成a p 进入网络，通过 这样的a p ，攻击者可以进一步获取认证身份信息从而进入网络。在没有采用 8 0 2 1 l i ，对每一个8 0 2 1 1m a c 帧进行认证的技术前，通过会话拦截实现的网络入 侵是无法避免的。 2 3 无线局域网的安全技术分析 2 3 ，1 早期的基本安全技术 ( 1 ) 服务区标识符( s s i d ) 匹配：m a c 帧中有一个字段是基本服务组标识 ( b s s i d ) 也称为网络i d ，它是一个6 字节地址码，用于在众多a p 中标识一个特 定的a p 。大多数a p 有自己缺省的b s s i d 。无线客户端必须出示正确的s s i d ，与 无线访问点a p 的s s i d 相同，才能访问a p ；如果出示的s s i d 与a p 的s s i d 不 同，那么a p 将拒绝它通过本服务区上网。因此可以认为s s i d 是一个简单的口令， 从而提供口令认证机制，实现一定的安全。 如果配置a p 向外广播其s s i d ，那末安全程度将下降；由于一般情况下，用 户自己配置客户端系统，所以很多人都知道该s s i d ，很容易共享给非法用户。目 前有的厂家支持”任何”s s i d 方式，只要无线工作站在任何a p 范围内，客户端都 会自动连接到a p ，这将跳过s s i d 安全功能。 f 2 1 物理地址过滤：每个无线工作站网卡都由唯一的物理地址标识，该物理地 9 重庆大学硕士学位论文 2 无线局域网的安全性研究 址编码方式类似于以太网物理地址，是4 8 位。网络管理员可在无线局域网访问点 a p 中手工维护一组允许访问或不允许访问的m a c 地址列表，以实现物理地址的 访问过滤。 物理地址过滤属于硬件认证，而不是用户认证。这种方式要求a p 中的m a c 地址列表必需随时更新，目前都是手工操作；但其扩展能力很差，因此只适合于 小型网络。另外，非法用户利用网络侦听手段很容易窃取合法的m a c 地址，而且 m a c 地址并不难修改，因此非法用户完全可以盗用合法的m a c 地址进行非法接 入。因此这也是较低级别的授权认证，只能解决有限的安全问题。 ( 3 ) 有线等效保密( w e p ) ：w e p 是1 9 9 7 年i e e e 推出的第一个基于w l a n 的 安全措施。w e p 使用r c 4 流密码进行加密。r c 4 加密算法是一种对称的流密码， 支持长度可变的密钥。加密和解密的密钥及算法相同。 w e p 的目标是：接入控制：防止未授权用户接入网络，他们没有正确的w e p 密钥。加密：通过加密和只允许有正确w e p 密钥的用户解密来保护数据流。 图2 2w e p 加密过程 f i g u r e2 2 t h ep r o c e s so f w e pe n c r y p t i o n w e p 加密的算法如图2 2 所示，过程如下： ( 1 ) 在发送端，w e p 首先利用一种综合算法对m a c 帧中的帧体字段进行加 密，生成四字节的综合检测值。检测值和数据一起被发送，在接收端对检测值进 行检查，以监视非法的数据改动。 ( 2 ) w e p 程序将共用密钥输入伪随机数生成器生成一个键序，键序的长度等 于明文和综合检测值的长度。 ( 3 ) w e p 对明文和综合检测值进行模二加运算，生成密文，完成对数据的加 密。伪随机数生成器可以完成密钥的分配，因为每台终端只用到共用密钥，而不 是长度可变的键序。 重庆大学硕士学位论文2 无线局域网的安全性研究 ( 4 ) 在接收端，w e p 利用共用密钥进行解密，复原成原先用来对帧进行加密 的键序。 ( 5 ) 工作站计算综合检测值，随后确认计算结果与随帧一起发送来的值是否 匹配。如果综合检测失败，工作站不会把m s d u ( 介质服务单元) 送到l l c ( 逻 辑链路控制) 层，并向m a c 管理程序发回失败声明。 但w e p 存在严重安全缺陷： 缺少密钥管理。用户的加密密钥必须与a p 的密钥相同，并且一个服务区内 的所有用户都共享同一把密钥。w e p 标准中并没有规定共享密钥的管理方案，通 常是手工进行配置与维护。由于同时更换密钥的费时与困难，所以密钥通常长时 间使用而很少更换，倘若一个用户丢失密钥，则将殃及到整个网络。 完整性校验值( i c v ) 算法不合适。w e pi c v 是一种基于c r c 一3 2 的用于检 测传输噪音和普通错误的算法。c r c 3 2 是信息的线性函数，这意味着攻击者可以 篡改加密信息，并很容易地修改i c v ，使信息表面上看起来是可信的。能够篡改 加密数据包使各种各样的非常简单的攻击成为可能。 r c 4 算法存在弱点。在r c 4 中，人们发现了弱密钥。所谓弱密钥，就是密钥 与输出之间存在超出一个好密码所应具有的相关性。在2 4 位的值中，有9 0 0 0 多个弱密钥。攻击者收集到足够的使用弱密钥的包后，就可以对它们进行分析， 只须尝试很少的密钥就可以接入到网络中。 下面对w e p 的缺陷作简单分析： w e p 算法根据密钥和初始化向量( i n i t i a l i z a t i o nv e c t o r 简称i v ) 产生钥匙流。 i v 用来确保后续的数据包用不同的钥匙流来加密，即使使用同一个密钥。是一 个在数据包的头上2 4 位的字段，它是没有加密的，如果i v 被重用，攻击者就有 了2 个不同明文用相同钥匙加密的内容，通过异或2 个密文有可能可以得到这2 个明文的x o r 的值，这个x o r 结果可以用来解密数据包了。如下所示： c 1 = 密文1 c 2 = 密文2 p 1 = 明文1 p 2 = 明文2 v = 初始化向量 k = 密钥 o = x o r 如果 c 1 = p lor c 4 ( 、，k ) c 2 = p 2or c 4 ( v ，k ) 重庆大学硕士学位论文 2 无线局域网的安全性研究 那么 c l 母c 2 = ( p l 毋r c 4 ( v ，k ) ) o ( p 2 毋r c 4 ( v ，k ”= p lop 2 因此如果攻击者知道i v 重用发生时的一个明文内容时，即使不知道任何加密 使用的钥匙流也可以鳃密除另外一个明文的内容。 w e p 的密钥机制存在安全隐患，势必要被趋于完善的其他安全技术所取代。 2 3 ，2 在w p a ( w 卜f ip r o t e c t e da c c e s s ，w 卜f i 保护访问) 之前的安全 解决方案： 端口访问控制技术( p o r t b a s e d n e t w o r k a c c e s s c o n t r o l ，1 e e e8 0 2 。i x ) 和可扩 展认证协议( e x t e n s i b l e a u t h e n t i c a t i o np r o t o c o l ，e a p ) 可以看成是完善的安全技术 出现之前的过渡方案。i e e e8 0 2 1 x 标准定义了基于端口的网络访问控制，可以提 供经过身份验证的网络访问。基于端口的网络访问控制使用交换局域网基础结构 的物理特征来对连接到交换机端口的设备进行身份验证。如果身份验证失败使 用以太网交换机端口来发送和接收帧的行为就会被拒绝。虽然这个标准是为有线 以太网络设计的，但是经过改编后可以在i e e e8 0 2 1 1 无线局域网上应用。e a p 不 专属于某一厂商，它能够弥补w e p 的弱点，并且同时能够解决在接入点之间的移 动性问题。e a p 还解决了v p n 瓶颈问题，使用户能够以有线网络的速度进行工作。 不过，配置e a p 不是一件容易的事。 一虚拟专用网( v p n ，v i r t u a lp r i v a t en e t w o r k i n g ) 目前已广泛应用于广域网络及远程接入等领域的v p n 安全技术也可用于无线 局域网。v p n 是利用公共网络架构企业网络，通过信息加密与认证机制的建立， 保障外人无法进入该网络。在无线局域网络中，正可以剽用v p n