浅谈无线局域网的安全问题及建设WLAN时的安全事项.doc

浅谈无线局域网的安全问题及建设WLAN时的安全事项 无线局域网(WLAN)是利用无线通信技术在一定的局部范围内建立的网络，是计算机网络与无线通信技术相结合的产物，它以无线传输介质(无线多址信道、微波、卫星等)作为传输媒介，提供传统有线局域网LAN(Local Area Network)的功能，能够使用户真正实现随时、随地、随意的宽带网络接入，满足了人们实现移动办公的梦想，让人真正体会到了网络无处不在奇妙。 　 一、无线局域网存在的安全问题 　作为国际互联网宽带接入手段之一的无线局域网，在传递消息时不依赖于物理布线，这无疑给用户带来了极大的方便，但这同时也使得无线局域网比传统局域网面临了更多的安全威胁，其安全问题主要表现在以下几个方面： 　　1、WEP密钥的发布问题 　　802.11本身并未规定密钥如何分发。所有安全性考虑的前提是假定密钥已通过与802.11无关的安全渠道送到了工作站点上，而在实际应用中，一般都是手工设置，并长期固定使用4个可选密钥之一。因此，当工作站点增多时，手工方法的配置和管理将十分烦琐并效率低下，而且密钥一旦丢失，WLAN将无安全性可言。 　　2、WEP用户身份认证方法的缺陷 　　802.11标准规定了两种认证方式：开放系统认证和共享密钥认证。前者是默认的认证方法，任何移动站点都可加入BSS(Basic Service Set，基本服务集)，并可以跟AP(Access Point，接入点)通信，能“听到”所有未加密的数据，可见，这种方法根本没有提供认证，当然，也就不存在安全性。后者是一种请求响应认证机制：AP在收到工作站点STA的请求接入消息时发送询问消息，STA对询问消息使用共享密钥进行加密并送回AP，AP解密并校验消息的完整性，若成功，则允许STA接入WLAN。攻击者只需抓住加密前后的询问消息，加以简单的数学运算就可得到共享密钥生成的伪随机密码流，然后伪造合法的响应消息通过AP认证后接入WLAN。 　　3、WEP服务集标识SSID和MAC地址过滤 　　WEP服务集标识SSID由Lucent公司提出，用以对封闭网络进行访问控制。只有与AP有相同的SSID的客户站点才允许访问WLAN。MAC地址过滤的想法是AP中存有合法客户站点的MAC地址列表，拒绝MAC地址不在列表中的站点接入被保护的网络。但由于SSID和MAC地址很容易被窃取，因此安全性较低。 　　4、WEP加密机制的天生脆弱性 　　WEP加密机制的天生脆弱性是受网络攻击的最主要原因，目前，消除WEP算法安全性方面缺陷的工作正在加紧进行，其中IEEE Group i开发了WEP2算法作为802.11i的安全标准，它对现有系统改进相对较小并易于实现。 二、无线局域网的常见的安全威胁 　　除了有线网络常见的网络安全威胁以外，无线网络安全的威胁也越来越多，作为工作人员如何发现存在的威胁，并如何做处理时，主要有以下方面： 　　(1)私接AP 　　无线局域网接入点(WLAN AP)是便宜的，容易安装，小巧而容易携带。非法的WLAN AP可以无意地或者在IT管理人员无法察觉的情况下恶意地接入到企业网络。只需要把一个小巧的WLAN AP带到企业内部，然后连接到以太网接口上就行了。 (2)不当设置的AP 　　WLAN AP支持多种安全特性和设置。许多时候，IT管理人员都会让合法的AP仍旧保持出厂时的默认设置或者没有恰当地对它进行设置，这会使AP在没有加密或在弱加密(如WEP)的条件下工作。也有些时候，一个AP在没有设置任何口令的情况下与客户端连接，于是整个企业网络就都在没有任何口令情况下建立了无线连接。 　　(3)客户端不当连接 　　客户端不当连接就是企业内合法用户与外部AP建立连接，也存在不安全因素，这又怎样发生的呢?一些部署在工作区周围的AP可能没有做任何安全控制，企业内的合法用户的Wi-Fi卡就可能与这些外部AP建立连接。一旦这个客户端连接到外部AP，企业内可信赖的网络就置于风险之中，外部不安全的连接通过这个客户端就接入到了用户的网络。因此，要防止在不知情的状况下发生合法用户与外部AP建立连接或内部信息外露的情况。 　　(4)非法连接 　　非法连接是指企业外的人员与企业内合法的AP建立连接，这通常发生在无线空间没有安全控制的情况下。如果一个非法用户与合法AP建立连接，就意味着用户的网络向外部开放了，这会导致重要数据和信息外泄。 　　(5)直连网络 　　802.11 WLAN标准提供一种在无线客户端间建立点对点无线连接的方式。无线客户端之间可以借此建立一个直连网络(Ad Hoc)。但是，这种直连网络带来了安全漏洞，攻击者可以在网络周边隐藏区内与企业内一个合法的笔记本电脑建立无线连接。比如：如果这台笔记本电脑与其他合法用户共享了某些资源(文件或目录