无线局域网安全分析

摘要:无线局域网出现以后迅速的发展,然而它的安全问题限制了发展。本文列举了常见的针对无线局域网的攻击,提出了安全解决办法以及未来的研发方向。

关键词:无线局域网;攻击;安全措施

中图分类号:TP393.1 文献标识码:A文章编号:1007-9599 (2010) 06-0000-01

Analysis of the Wireless Local Area Network Security

Huang Zhicheng

(Jilin Branch of China Unicom,Changchun130022,China)

Abstract:The wireless local area network has been experiencing a booming development.However,the wireless local area network existences security flaws.This paper listed attacks on the wireless local area networkproposed the safe solution as well as future research and development direction.

Keywords:WLAN;Attack;Security measure

当今的无线移动通信网络,是以移动通信网和无线接入网两个方向并行发展的。随着无线通信和Internet技术的迅速发展,越来越多的用户希望获得高速的移动接入服务。无线局域网(WLAN)技术作为一种网络接入手段,以其频带免费、组网灵活、易于迁移等优点,成为无线通信与Internet技术相结合的新兴发展方向之一。无线通信技术的发展为企业和个人带来很多便利,它具有轻便灵活、工作效率高、安装成本低廉等优点。无线局域网允许用户在不断开网络连接的同时,可以使用便携式笔记本计算机方便在办公环境中进行移动。然而,使用无线技术存在着一定的风险,有些风险在有线网络中就存在,还有些风险是无线网络所特有的,产生原因是无线网络传输介质的开放性。目前,安全问题已经成为阻碍无线局域网技术普及的原因,在无线局域网的IEEE802.11系列标准中,规定了数据加密和用户认证的有关措施,但是随后研究者揭示了这些安全措施中的种种设计缺陷,这使得用户对于无线局域网的安全性缺乏信心。本文针对IEEE802.ll的安全性缺陷问题进行研究,并在此基础上对无线局域网的安全措施做出分析。

一、无线局域网的安全现状

无线局域网的安全问题与其传输介质的特息相关,采用电磁波进行传输,信道是开放的、信道上传输的数据资源在一定范围内也是开放的,而且网络边界具有不确定性。除此之外,由于无线移动设备在存储能力、计算能力和带电时间等方面的局限以及终端的移动性,使得某些有线网络的安全方案和安全技术不能应用于无线局域网,如计算量较大的加密解密算法等等。因此,无线局域网必然面临更多的安全威胁,这些安全威胁可分为主动型攻击和被动型攻击两大类,主动攻击通常包括信息篡改、身份伪装、拒绝服务攻击和重放攻击,被动攻击包括网络窃听。

(一)主动型攻击

主动型攻击通常指入侵者利用某种技术手段干扰或阻止正常的网络活动,主要包括:信息篡改、身份伪装、拒绝服务攻击、重放攻击。

1.信息篡改:数据在传输的过程中被暴露在开放的无线信道上,攻击者很容易截获到某些消息帧,从而对其内容恶意更改,也可能通过改变消息路由等方式进行攻击,使接收方到错误的消息内容或阻止消息到达接收方。

2.身份伪装:即通过伪装成合法的网络设备的方式对网络进行攻击,通常攻击者会伪装合法接入设备或合法终端用户。

3.拒绝服务攻击:所谓拒绝服务攻击是指攻击者采用各种方法来阻止合法用户对网络服务的接受,使合法用户无法和网络进行正常的交互。

4.重放攻击:是指攻击者通过获取授权客户端与AP之间的通信信息,然后在其他时刻将这些信息不经修改重新发送给相应的接收方,以此获取某种服务或者导致拒绝服务攻击,干扰正常的网络通信。

(二)被动型攻击

被动型攻击通常指入侵者只窃取网络信息资源,而并不影响网络活动的正常进行,采取的主要方式是:网络窃听。

网络窃听:处于无线局域网信号覆盖范围之内的攻击者可以对网络中传输的数据信息进行监听或进一步破解。网络窃听分为两种情况下的窃听:一种是针对没有加密措施的数据,另一种是针对加密数据。

尽管网络窃听属于被动型攻击,但它往往是主动攻击的基础,常常为主动型攻击的实施提供条件。各种类型的攻击之间往往互相支撑,相互依赖。

二、无线局域网的安全措施

(一)基本安全措施

1.合理安装配置无线网络设备

WLAN的电磁波覆盖范围及AP的安放位置要适当,以免超出物理管辖范围,给窃听者提供更广阔的自由窃听空间;更改缺省的SSID使之不易被猜测到,关闭定期广播功能,这样虽然客户机必须发送探测帧询问SSID但窃听者要获得它就必须借助一些无线数据包捕获及分析工具;利用MAC地址通过访问控制列表可以限制非授权人员对WLAN的访问,经常查看AP日志,及时发现攻击者;激活WEP、改变缺省WEP密钥,经常改变WEP密钥或使用动态密钥来避免密钥重用。尽管WEP和WEP2均不能确保敏感数据的安全,对蓄意攻击者来说充其量只能算一道小小的障碍,但对于大多数的偶尔闯入者来说则是一道关卡;安装企业级防火墙,可以拦截许多非法用户的可疑数据包,隔离通过工Internet的攻击:如果知道所有的非法用户的MAC地址和IP地址,使用入侵检测工具定期扫描搜索便可发现非法用户;此外使用静态IP地址而不是由DHCP服务器配置的动态IP地址,可以阻止通过IP地址欺骗和克隆对无线网的非法访问。

2.客户端采取的安全措施

对使用者来说,要充分意识到无线网的安全性缺陷,除了使用口令和个人防火墙保护个人系统之外,对于无线通信要经常性地更换WEP密钥,使用变化的初始化向量,增加统计攻击的难度。最有效的是,选择具有良好加密机制和加密算法的、基于应用层的第三方加密软件,实现端到端的数据加密,这样可以绕过对WLAN的各种有效攻击,保证数据不被解密。

3.定期检测AP

2002年底WLAN的提供商已开发出新的能够检测远程访问节点的网络管理工具,可实现对内部网络的所有访问节点做审计,确定欺骗访问节点,建立规章制度来约束它们或者完全从网络上剥离掉它们。

4.有效隔离

由于无线网络的安全性较低,所以无线网络和核心网络要隔离,无线网络要接在安全设备如防火墙的外面。同时如果将AP安置在像防火墙这样的网络安全设备的外面,可以阻止针对流量侦听和流量分析等攻击手段,还可以采用其他技术手段如SSH、SSL、IPSec等加密技术来加强数据的安全性。

(二)部署VPN

部署虚拟专用网VPN结合远程鉴定拨入用户服务RADIUS也是一个良好的解决方案。RADIUS服务器使用的是基于端口的鉴定标准802.lx,通过访问中心数据库对多种服务客户进行鉴定,可实现客户与AP间的相互鉴定,检测和隔离欺诈性AP。同时RADIUS服务器具有中心管理功能,可同时提供VPN服务,缺点是VPN降低了传输效率而且不支持多播和广播。对于安全要求比较高的大型无线网络VPN是一个更好的选择。VPN是指在一个公共IP网络平台上通过隧道以及加密技术保证专用数据的网络安全性。它不属于802.11标准定义;但是用户可以借助VPN来抵抗无线网络的不安全因素。VPN采用DES、3DES等技术来保障数据传输的安全。IPSec VPN和 SSL VPN目前是两种具有代表意义的VPN技术。IPSec VPN运行在网络层,保护在站点之间的数据传输安全,要求远程接入者必须正确地安装和配置客户端软件或接入设备,将访问限制在特定的接入设备、客户端程序、用户认证机制和预定义的安全关系上,提供了较高水平的安全性。SSL被预先安装在主机的浏览器中,是一种无客户机的解决方案,可以节省安装和维护成本。将VPN安全技术与其他无线安全技术结合起来,是目前较为理想的无线局域网安全解决方案。

(三)无线入侵检测系统

由于目前无线局域网中固有的弱点,使得公司网络和个人通信容易遭受到恶意用户有目的性或无目的性的攻击。要保证数据的安全,仅仅进行攻击防护是不够的,攻击检测技术可以作为另一道墙来保护网络系统网。传统的入侵检测系统己经不能用于WLAN,而WLAN入侵检测系统的研究和实现才刚刚起步,我们提出的两种入侵检测系统架构,可以分别用于基础结构模式和移动自组网模式。WLAN基础结构模式采用分布式网络入侵检测,可用于大型网络;移动自组网中采用基于主机的入侵检测系统,用于检测异常的节点活动和发现恶意节点。

三、结语

无线网络应用越来越广泛,随之而来的网络安全问题也越来越严重,本文分析了WLAN的不安全因素,针对不安全因素给出了解决的安全措施,有效的防范窃听、截取或者修改传输数据、置信攻击、拒绝服务等攻击手段,但是由于现在各个无线网络设备生产厂商生产的设备功能不一样,所以在本文中介绍的一些安全措施也许在不同的设备上会有些不一样,但是安全措施的思路是正确的,能够保证无线网络内的用户信息和传输消息的安全性和保密性,有效地维护无线局域网的安全。

参考文献:

[1]曹秀英,耿嘉,沈平等.无线局域网安全系统[M].电子工业出版社,2004

[2]郭峰等著.无线局域网[M].电子工业出版社,2001

[3]赵琴.浅谈无线网络的安全性研究[J].机械管理开发,2008