无线网络技术及管理new.ppt

无线网络技术及管理 主讲人 蒋融融 讲师 浙江广播电视大学 信息与工程学院 第九讲 无线局域网安全 内容概要 无线局域网安全的严峻挑战 无线局域网基本的安全措施 无线局域网的安全技术 一 无线局域网安全的严峻挑战 1.无线局域网安全的现状 2.无线局域网的常见攻击方式 1.无线局域网安全的现状 无线局域网安全问题的独特之处在于信道开放，用户不必与网络进行“可视”的连接。这使攻击者伪装合法用户更加容易，同时微波信号在空气中传播也会因多种原因导致信号损失。 目前，无线局域网络产品主要采用的是IEEE 802.11b国际标准，大多应用DSSS直接序列扩频通信技术进行数据传输，该技术能有效防止数据在无线传输过程中丢失、干扰、信息阻塞及破坏等问题。 2.无线局域网的常见攻击方式 1）窃听 2）非法登录 3）干扰攻击 1）窃听 窃听是无线局域网被动攻击的有效类型。在网络上窃取数据又称为嗅探。 无线网络中无线信道的开放性给网络嗅探带来极大方便。在无线局域网中网络嗅探对信息安全的威胁来自被动性和非干扰性，执行监听程序的窃听过程中只是被动的接收网络中传输的信息，不会跟其他的主机交换信息，也不修改在网络中传输的信息包。使网络嗅探具有很强的隐蔽性，让网络信息失密变得不容易发现。 2）非法登录 无线局域网的非法登录过程是通过一个无线接入点AP连接到一个无线局域网上。 主动攻击：一个用户为了更深入地穿透或进入一个网络，或为了获取对于服务器的访问，以得到有价值的数据，或为了恶意的目的使用公司的Internet访问，甚至改变网络的界面配置，改变无线局域网自身。例如，一个黑客可以通过设定的MAC地址过滤实施恶意攻击。 3）干扰攻击 干扰攻击会让无线局域网瘫痪。 黑客使用高功率的微波信号发送器或扫描发送器实施有目的的干扰攻击； 一个不可移除和没有恶意的源头对无线局域网的干扰； 黑客使用另外一个无线接入点AP构建新的无线局域网，通过发送比合法无线接入点更高的信号，有效抢夺移动工作站。 二 无线局域网基本的安全措施 1.信息过滤措施 2.访问认证机制 3.数据加密 1.信息过滤措施 信息过滤是能够使用的基本的安全机制。常用的信息过滤机制有： 物理地址MAC过滤 服务集标识符SSID过滤 协议端口过滤 前两种用于简单的无线接入点AP，是早期无线局域网最主要的安全措施，第三种是建立在路由的基础上。 1）物理地址MAC过滤 每个无线工作站网卡都由惟一的物理地址(MAC)地址标示。网络管理员可在无线接入点AP中手工维护一组允许访问或不允许访问的MAC地址列表，以实现物理地址的访问过滤。 若企业中的AP数量太多，为实现整个企业中所有AP统一的无线网卡MAC地址认证，现在的AP也支持无线网卡MAC地址的集中远程接入拨号用户Radius认证。 MAC过滤的缺陷 物理地址过滤属于硬件认证，而非用户认证，要求AP中的MAC地址控制表需随时更新，并是手工操作，若用户增加，可扩展性差，只适用于小型网络。 MAC地址可被盗用或非法伪造，获取对无线局域网的非法访问，是较低级别的授权认证。 2）服务集标识符SSID过滤 无线工作站必须出示正确的SSID，与无线接入点AP的SSID相同，才能访问AP；如果出示的SSID与AP的SSID不同，则AP将拒绝他通过本服务区上网。因此SSID是一个简单的口令，从而提供口令认证机制，实现一定的安全保障。 无线局域网接入点AP对此项技术的支持就是可不让AP广播其SSID号，这样无线工作站端必须主动提供正确SSID号才能与AP进行关联。 3）协议端口过滤 协议端口过滤是无线局域设备中比较高级的一种安全机制。无线局域网能够过滤通过网络传输基于2～7层协议的数据包。过滤出每一个协议和任何直接的信息协议，可限制用户使用某些功能。 设置协议过滤，控制共享介质的使用方面非常有效。 2.IEEE 802.11安全机制 IEEE 802.11标准规定的无线局域网连接过程有4个步骤：扫描、连接、链路验证和关联。通常，无线客户端会扫描整个周围环境寻找适合接入的无线接入点。实现数据传输时，无线局域网要求一定的安全机制作为保障。 IEEE 802.11标准规定的安全机制 访问认证机制 数据加密机制－－有线等效加密WEP 访问认证机制 访问认证是无线局域网中一个工作站向另一个工作站或无线接入点AP证明其身份的机制。 IEEE 802.11标准中定义了两种类型的用户访问认证机制： （1）开放式验证 （2）共享密钥验证 （1）开放式验证 开放式验证是无线局域网设备的默认状态，使用该验证方法，一个无线客户端仅有一个正确的SSID就可以关联任何使用开放式系统验证的无线接入点AP，验证过程如下： 无线局域网的无线客户端请求到要关联的无线接入点； 无线接入点对于无线客户端