计算机网络安全管理第9章.pptVIP

9.5.1 SSID的安全性分析 SSID是无线网络中提供的最基本的安全保护功能，它通过SSID和对应密码来对接入用户的身份进行验证，是日常应用中使用最广泛的一种安全管理方式，也是最不安全的一种管理方式。 1． SSID的配置和应用 在对无线AP的配置，需要为该AP配置一个标识其身份的名称，即SSID（如图9-10所示）。 之后，Windows XP Professional等无线客户端就可以检测到无线AP的SSID（如图9-11所示），并建立与该无线AP之间的连接。 从图9-11可以看出，一个无线客户端可能会同时检测到多个无线AP，并选择自己所需要接入的无线AP。 2． 隐藏SSID 为了不让无线客户端检测到无线AP，以提高AP的安全性，可以在配置无线AP的SSID时，使用隐藏SSID功能。 目前，大部分无线AP为提供了“允许SSID广播”（系统默认）功能和“禁止SSID广播”功能。如果不想让自己的无线AP被别人通过SSID名称搜索到，则可以选择使用“禁止SSID 广播”。如图9-12所示，可以取消对“广播SSID”选项的选择，只有知道SSID名称的用户才能够接入到相应的无线AP。 取消“广播SSID”功能后，使用Windows无线工具搜索临近的无线网络时，就无法找到该无线AP的SSID，如图9-13所示。 隐藏了SSID的AP，可以在一定程度上减少网络入侵。不过，这种管理方式的安全性较弱，通过一些辅助软件，仍然可以轻松地获取隐藏SSID的AP的相关信息。 如图9-14所示，可以使用Netstumbler软件来搜索周围的可用无线AP的信息，所搜索到的信息中包括了所有隐藏SSID和未隐藏SSID的无线AP。 通过该实验可以看出，在一些辅助软件的帮助下，可以非常容易地搜索到被隐藏的无线AP的信息。如果该无线AP没有设置密码，可以直接接入，用户对禁用SSID的设置形为虚设。 3． 对隐藏SSID的安全性分析 9.5.2 MAC地址过滤安全性分析 使用MAC地址过滤的AP，将其合法的客户端MAC地址填入了许可表，这样即使破解出无线AP的密码，仍然不能连上AP。这样就可以在一定程序上减少入侵。 1． 无线AP上MAC地址过滤功能的设置 （1）首先在无线用户端查看无线网卡的MAC地址。。 （2）在获得了无线网卡的MAC地址看，登录无线AP，进入无线AP的配置页面。选择设置中的“安全设置→防火墙设置”，同时选取“开启防火墙”功能项，选取“开启MAC地址过滤”，同时在“缺省过滤规则”下面选择一种过滤规则，如图9-15所示。 （3）选择“安全设置→MAC地址过滤”，在打开的如图9-16所示的页面中单击“添加新条目”。 （4）在打开的如图9-17所示页面的“MAC地址”后面的文本框中输入客户端无线网卡的MAC地址；在“状态”后面的下拉列表中选择“生效”，单击“保存”按钮，出现如图9-18所示的对话框，显示已添加的MAC地址等信息。 通过以上设置后，只有网卡MAC地址为“00-01-6C-98-6F-69”的用户端才能够接入该无线AP，其他没有添加MAC地址的用户将无法接入，加强了对指定无线用户的接入管理。 2． MAC地址过滤的安全性分析 在设置了MAC地址过滤后，用户接入的安全性则由无线AP的访问密码来确定。当授权用户（已设置了MAC地址过滤的用户）与无线AP之间通信时，黑客可以截获足够的数据包，对其内容进行分析，并获得有效的MAC地址。然后，黑客将自己计算机上无线网卡的MAC地址修改为截获的有效MAC地址，如果再能够获知无线AP的访问密码，就可以冒充成授权用户来接入网络。 下面，在已知无线AP的SSID及密码的情况下，通过辅助软件（如Airopeek）来获得无线AP上的授权MAC访问列表，即用户的MAC地址过滤表。 （2）打开“Capture Options”页面，在“General”标签项中对相关参数进行设置，单击“确定”按钮进行保存，如图9-20所示。 （3）在打开的如图9-21所示的对话框中输入无线AP的SSID、密码，按“确定”按钮，开始抓包分析。 （4）开始截获数据包，几分钟后，将会得到无线AP的MAC地址以及合法用户的MAC地址，如图9-22所示。