对无线网络数据安全的思考.docVIP

对无线网络数据安全的思考 摘要：伴随着各大企业、政府机构信息化建设的逐渐深入开展，无线网络的部署及使用作为重要的一环已经开始展现出庞大的潜力，为了更好地优化和保证企业信息化平台的安全，人们对增强无线网络安全的需要变得日益迫切。 关键词：无线网络；数据安全；思考 1 无线网络安全问题的表现 1.1 插入攻击 插入攻击以部署非授权的设备或创建新的无线网络为基础，这种部署或创建往往没有经过安全过程或安全检查。可对接入点进行配置，要求客户端接入时输入口令。如果没有口令，入侵者就可以通过启用一个无线客户端与接入点通信，从而连接到内部网络。但有些接入点要求的所有客户端的访问口令竟然完全相同。这是很危险的。 1.2 漫游攻击者 攻击者没有必要在物理上位于企业建筑物内部，他们可以使用网络扫描器，如Netstumbler等工具。可以在移动的交通工具上用笔记本电脑或其它移动设备嗅探出无线网络，这种活动称为“wardriving”；走在大街上或通过企业网站执行同样的任务，这称为“warwalking”。 1.3 欺诈性接入点 所谓欺诈性接入点是指在未获得无线网络所有者的许可或知晓的情况下，就设置或存在的接入点。一些雇员有时安装欺诈性接入点，其目的是为了避开已安装的安全手段，创建隐蔽的无线网络。这种秘密网络虽然基本上无害，但它却可以构造出一个无保护措施的网络，并进而充当了入侵者进入企业网络的开放门户。 1.4 双面恶魔攻击 这种攻击有时也被称为“无线钓鱼”，双面恶魔其实就是一个以邻近的网络名称隐藏起来的欺诈性接入点。双面恶魔等待着一些盲目信任的用户进入错误的接入点，然后窃取个别网络的数据或攻击计算机。 1.5 窃取网络资源 有些用户喜欢从邻近的无线网络访问互联网，即使他们没有什么恶意企图，但仍会占用大量的网络带宽，严重影响网络性能。而更多的不速之客会利用这种连接从公司范围内发送邮件，或下载盗版内容，这会产生一些法律问题。 1.6 对无线通信的劫持和监视 正如在有线网络中一样，劫持和监视通过无线网络的网络通信是完全可能的。它包括两种情况，一是无线数据包分析，即熟练的攻击者用类似于有线网络的技术捕获无线通信。其中有许多工具可以捕获连接会话的最初部分，而其数据一般会包含用户名和口令。攻击者然后就可以用所捕获的信息来冒称一个合法用户，并劫持用户会话和执行一些非授权的命令等。第二种情况是广播包监视，这种监视依赖于集线器，所以很少见。 2 保障无线网络安全的技术方法 2.1 隐藏SSID SSID，即Service Set Identifier的简称，让无线客户端对不同无线网络的识别，类似我们的手机识别不同的移动运营商的机制。参数在设备缺省设定中是被AP无线接入点广播出去的，客户端只有收到这个参数或者手动设定与AP相同的SSID才能连接到无线网络。而我们如果把这个广播禁止，一般的漫游用户在无法找到SSID的情况下是无法连接到网络的。需要注意的是，如果黑客利用其他手段获取相应参数，仍可接入目标网络，因此，隐藏SSID适用于一般SOHO环境当作简单口令安全方式。 2.2 MAC地址过滤 顾名思义，这种方式就是通过对AP的设定，将指定的无线网卡的物理地址（MAC地址）输入到AP中。而AP对收到的每个数据包都会做出判断，只有符合设定标准的才能被转发，否则将会被丢弃。这种方式比较麻烦，而且不能支持大量的移动客户端。另外，如果黑客盗取合法的MAC地址信息，仍可以通过各种方法适用假冒的MAC地址登陆网络，一般SOHO，小型企业工作室可以采用该安全手段。 2.3 WEP加密 WEP是Wired Equivalent Privacy的简称，所有经过WIFI认证的设备都支持该安全协定。采用64位或128位加密密钥的RC4加密算法，保证传输数据不会以明文方式被截获。该方法需要在每套移动设备和AP上配置密码，部署比较麻烦；使用静态非交换式密钥，安全性也受到了业界的质疑，但是它仍然可以阻挡一般的数据截获攻击，一般用于SOHO、中小型企业的安全加密。 2.4 AP隔离 类似于有线网络的VLAN，将所有的无线客户端设备完全隔离，使之只能访问AP连接的固定网络。该方法用于对酒店和机场等公共热点Hot Spot的架设，让接入的无线客户端保持隔离，提供安全的Internet接入。 2.5 802.1x协议 802.1x协议由IEEE定义，用于以太网和无线局域网中的端口访问与控制。802.1x引入了PPP协议定义的扩展认证协议