【浅谈无线局域网安全技术及应用】无线局域网覆盖

【浅谈无线局域网安全技术及应用】无线局域网覆盖 摘 要本文论述了近年来发展迅速的无线局域网技术,介绍了它的发展历程、结构、技术特点和实际应用。为确保用户秘密不外泄和数据的完整性,必须加强网络安全。对无线局域网而言,主要体现在两个方面,一是访问控制,二是数据加密。 关键词无线局域网 AP VPN IEEE802.11 WEP TNA1007-9416(xx)02-0071-02 1 无线局域网的结构 根据不同局域网的应用环境与需求的不同,无线局域网可采取不同的网络结构来实现互联。常用的具体有如下几种: (1)网桥连接型:不同的局域网之间互联时,由于物理上的原因,若采取有线方式不方便,则可利用无线网桥的方式实现二者的点对点连接,无线网桥不仅提供二者之间的物理与数据链路层的连接,还为两个网的用户提供较高层的路由与协议转换。 (2)基站接入型:当采用移动蜂窝通信网接入方式组建无线局域网时,各站点之间的通信是通过基站接入、数据交换方式来实现互联的。各移动站不仅可以通过交换中心自行组网,还可以通过广域网与远地站点组建自己的工作网络。 (3)HUB接入型:利用无线Hub可以组建星型结构的无线局域网,具有与有线Hub组网方式相类似的优点。在该结构基础上的WLAN,可采用类似于交换型以太网的工作方式,要求Hub具有简单的网内交换功能。 (4)无中心结构:要求网中任意两个站点均可直接通信。此结构的无线局域网一般使用公用广播信道,MAC层采用CSMA类型的多址接入协议。 无线局域网可以在普通局域网基础上通过无线Hub、无线接入站(AP)、无线网桥、无线Modem及无线网卡等来实现,其中以无线网卡最为普遍,使用最多。 2 无线局域网的安全威胁分析 2.1 常规安全威胁 由于无线网络只是在传输方式上和传统的有些网络有区别,所以常规的安全风险如病毒,恶意攻击,非授权访问等都是存在的,这就要求继续加强常规方式上的安全措施。 2.2 非常规安全威胁 无线网络中每个AP覆盖的范围都形成了通向网络的一个新的入口。由于无线传输的特点,对这个入口的管理不像传统网络那么容易。正因为如此,未授权实体可以在公司外部或者内部进入网络:首先,未授权实体进入网络浏览存放在网络上的信息,或者是让网络感染上病毒。其次,未授权实体进入网络,利用该网络作为攻击第三方网络的跳板。第三,入侵者对移动终端发动攻击,或为了浏览移动终端上的信息,或为了通过受危害的移动设备访问网络。第四,入侵者和公司员工勾结,通过无线交换数据。 2.3 敏感信息易泄露威胁 由于电磁波是共享的,所以要窃取信号,并通过窃取信号进行解码特别容易。特别是WLAN默认都是不设置加密措施的,也就是任何能接受到信号的人,无论是公司内部还是公司外部都可以进行窃听。根据802.11b协议一般AP的传输范围都在100米到300米左右,而且能穿透墙壁,所以传输的信息很容易被泄漏。虽然802.11规定了WEP加密,但是WEP加密也是不安全的,WEP是IEEE 802.11 WLAN标准的一部分,它的主要作用是为无线网络上的信息提供和有线网络同一等级的机密性。有线网络典型地是使用物理控制来阻止非授权用户连接到网络查看数据。在WLAN中,无需物理连接就可以连接到网络,因此IEEE选择在数据链路层使用加密来防止在网络上进行未授权偷听。 3 无线局域网的安全防范与对策 无线局域网中主要的安全性考虑包括访问控制和加密。访问控制保证敏感数据只能由通过认证授权的用户访问,加密则保证发送的数据只能被所期望的用户接收和理解。通常可采用的防范对策有六种。 3.1 建立MAC地址表,减少非法用户的接入 如果所在接入小区接入用户不多,可通过其提供地唯一合法MAC地址在其接入的核心交换机上建立MAC地址表,对接入的用户进行验证,以减少非法用户的接入。同时,可以在AP中手工维护一组允许访问的MAC地址列表,实现物理地址过滤。这个方案要求AP中的MAC地址列表必需随时更新,可扩展性差,无法实现机器在不同AP之间的漫游,而且MAC地址在理论上可以伪造,因此这也是较低级别的授权认证。 3.2 采用有线等效保密改进方案(WEP2) IEEE802.11标准规定了一种被称为有线等效保密(WEP)的可选加密方案5,其目标是为WLAN提供与有线网络相同级别的安全保护。WEP在链路层采用RC4对称加密算法,从而防止非授权用户的监听以及非法用户的访问。有线等效保密(WEP)方案主要用于实现三个安全目标:接入控制、数据保密性和数据完整性。然而WEP存在极差的安全性,所以 ?IEEE802.11b提出有线等效保密改进方案(WEP2),它与传统的WEP算法相比较,将WEP加密密钥的长度加长到104位,初始化向量的长度右24位加长到128位,所以建议使用的WLAN设备具有WEP2功能。 3.3 采用802.1x 基于端口的认证协议 802.1x为接入控制搭建了一个新的框架,使得系统可以根据用户的认证结果决定是否开放服务端口。基于802.1x认证体系结构4,其认证机制是由用户端设备、接入设备、后台RADIUS认证服务器三方完成。接入设备用来传送用户与后台RADIUS服务器之间的会话数据包。这种认证机制的好处是方便了管理,可以更容易地与现有的资源融合,802.1x除提供端口访问控制能力之外,还提供基于用户的认证系统及计费,更适合公共无线接入解决方案。在采用802.1x的WLAN中,无线用户端安装802.1x客户端软件,无线AP内嵌802.1x认证代理,同时它还作为RADIUS服务器的客户端,负责用户与RADIUS服务器之间认证信息的转发。当无线客户端登录到无线访问AP点后,是否可使用AP的服务取决于802.1x的认证结果。如果认证通过,则AP为客户端打开这个逻辑端口,否则不允许用户上网。 4 结语 无线网络的出现就是为了解决有线网络无法克服的困难。虽然无线网络有诸多优势,但与有线网络相比,无线局域网也有很多不足。无线网络速率较慢、价格较高,因而它主要面向有特定需求的用户。目前无线局域网还不能完全脱离有线网络,无线网络与有线网络是互补的关系,而不是竞争,目前还只是有线网络的补充,而不是替换。但也应该看到,近年来,无线局域网产品的价格正逐渐下降,相应软件也逐渐成熟。此外,无线局域网已能够通过与广域网相结合的形式提供移动互联网的多媒体业务。相信在未来,无线局域网将以它的高速传输能力和灵活性发挥更