保護(hù)無線網(wǎng)絡(luò)避開遭受黑客攻擊

如果用戶接著訪問了鄰居的共享磁盤， 正好磁盤里有銀行卡密碼、投標(biāo)書、個人日記， 甚至是一些個人圖片， 結(jié)果會怎么樣?

　　無線安全迫在眉睫

　　為了讓更多的人可以訪問到， 無線網(wǎng)絡(luò)選擇了通過特定的無線電波來傳送， 在這個發(fā)射頻率的有效范圍內(nèi)， 任何具有合適接收設(shè)備的人都可以捕獲該頻率的信號， 進(jìn)而進(jìn)入目標(biāo)網(wǎng)絡(luò)。

　　相關(guān)機(jī)構(gòu)最近一次調(diào)查表明， 有85%的企業(yè)網(wǎng)絡(luò)經(jīng)理認(rèn)為無線網(wǎng)絡(luò)的安全防范意識和手段還需要進(jìn)一步加強(qiáng)。 由于Wi-Fi的802.11規(guī)范的安全協(xié)議考慮不周的原因， 無線網(wǎng)絡(luò)存在安全漏洞， 這就給了攻擊者進(jìn)行中間人攻擊(man in the middle、DoS、封包破解等攻擊的機(jī)會。 而鑒于無線網(wǎng)絡(luò)自身特性， 攻擊者不費吹灰之力就可以找到一個網(wǎng)絡(luò)接口， 在企業(yè)的建筑旁邊接入客戶網(wǎng)絡(luò)， 肆意盜取企業(yè)機(jī)密或進(jìn)行破壞。 另外， 企業(yè)員工對無線設(shè)備不負(fù)責(zé)任濫用也會造成安全隱患， 比如不負(fù)責(zé)任開放AP， 隨意打開無線網(wǎng)卡的Ad hoc模式， 或者誤上別人假冒的合法AP導(dǎo)致信息泄露等， 無線網(wǎng)絡(luò)行業(yè)下一個競爭點在安全， 要想開辟無線網(wǎng)絡(luò)應(yīng)用新紀(jì)元， 就必須編織更高安全的無線網(wǎng)絡(luò)。 無線網(wǎng)絡(luò)安全將引發(fā)下一輪無線網(wǎng)絡(luò)的技術(shù)革命。 誰率先突破技術(shù)瓶頸， 打造出最安全的無線網(wǎng)絡(luò)， 誰就將成為推動行業(yè)進(jìn)步的主導(dǎo)力量。

　　八大技術(shù)利弊剖析

　　要解決無線網(wǎng)絡(luò)的安全問題， 就必須從使用無線網(wǎng)絡(luò)的人著手， 強(qiáng)化他們的安全意識， 強(qiáng)化他們的安全技術(shù)手段。

　　下面將著重分析業(yè)界排除無線網(wǎng)絡(luò)安全隱患的八大主流技術(shù)各自的利弊和適用范圍， 希望能給處于困惑中的無線用戶和準(zhǔn)備架構(gòu)WLAN設(shè)備的用戶一些建議和指導(dǎo)， 在實際的執(zhí)行過程中做到心中有數(shù)、有備無患。

　　隱藏SSID

　　SSID參數(shù)在設(shè)備缺省設(shè)定中是被AP無線接入點廣播出去的， 客戶端只有收到這個參數(shù)或者手動設(shè)定與AP相同的SSID才能連接到無線網(wǎng)絡(luò)。 如果把這個廣播禁止， 一般的漫游用戶在無法找到SSID的情況下是無法連接到網(wǎng)絡(luò)的。

　　MAC地址過濾

　　這種方式就是通過對AP的設(shè)定， 將指定的無線網(wǎng)卡物理地址輸入到AP中。 而AP對收到的每個數(shù)據(jù)包都會做出判斷， 只有符合設(shè)定標(biāo)準(zhǔn)的才能被轉(zhuǎn)發(fā)， 否則將會被丟棄。

　　WEP加密

　　WEP是Wired Equivalent Privacy的簡稱， 所有經(jīng)過Wi-Fi認(rèn)證的設(shè)備都支持該安全協(xié)定。 采用64位或128位加密密鑰的RC4加密算法， 保證傳輸數(shù)據(jù)不會以明文方式被截獲。 該方法需要在每套移動設(shè)備和AP上配置密碼， 部署比較麻煩;使用靜態(tài)非交換式密鑰， 安全性也受到了業(yè)界的質(zhì)疑。

　　AP隔離

　　類似于有線網(wǎng)絡(luò)的VLAN， 將所有的無線客戶端設(shè)備完全隔離， 使之只能訪問AP連接的固定網(wǎng)絡(luò)。

　　802.1x協(xié)議

　　802.1x協(xié)議由IEEE定義， 用于以太網(wǎng)和無線局域網(wǎng)中的端口訪問與控制。 802.1x引入了PPP協(xié)議定義的擴(kuò)展認(rèn)證協(xié)議EAP.作為擴(kuò)展認(rèn)證協(xié)議， EAP可以采用MD5、一次性口令、智能卡、公共密鑰等更多的認(rèn)證機(jī)制， 從而提供更高級別的安全。 在用戶認(rèn)證方面， 802.1x的客戶端認(rèn)證請求也可以由外部的RADIUS服務(wù)器進(jìn)行認(rèn)證。 該認(rèn)證屬于過渡期方法且各廠商實現(xiàn)方法各有不同， 直接造成兼容問題。

　　WPA

　　WPA率先使用802.11i中的加密技術(shù)TKIP(Temporal Key Integrity Protocol)， 這項技術(shù)可大幅解決802.11原先使用WEP所隱藏的安全問題。

　　很多客戶端和AP并不支持WPA協(xié)議， 而且TKIP加密仍不能滿足高端企業(yè)和政府的加密需求， 該方法多用于企業(yè)無線網(wǎng)絡(luò)部署。

　　WPA2

　　WPA2與WPA后向兼容， 支持更高級的AES加密， 能夠更好地解決無線網(wǎng)絡(luò)的安全問題。

　　802.11i

　　IEEE開發(fā)的新一代無線規(guī)格， 致力于徹底解決無線網(wǎng)絡(luò)的安全問題， 草案中包含加密技術(shù) AES(Advanced Encryption Standard)與TKIP， 以及認(rèn)證協(xié)議IEEE802.1x.盡管理論上講此協(xié)議可以徹底解決無線網(wǎng)絡(luò)安全問題， 適用于所有企業(yè)網(wǎng)絡(luò)的無線部署， 但是目前為止尚未有支持此協(xié)議的產(chǎn)品問世。

　　不同用戶隨需選擇

　　綜上所述， 不同的無線網(wǎng)絡(luò)用戶遭受安全隱患威脅的程度不同， 他們需要的技術(shù)支持也就有所區(qū)別。 因此， 根據(jù)不同用戶的不同需求， 可以選擇不同的安全解決方案。 例如SOHO用戶可采用隱藏SSID， MAC地址過濾， WEP等方法進(jìn)行簡單防護(hù);另外， 如果設(shè)備支持， 可以采用WPA-PSK方式部署， 因為PSK方式相對比較簡單。 而SMB用戶， 適合以上各種安全措施， 包括WPA， WEP， 隱藏SSID， MAC地址過濾， 甚至VPN協(xié)議等。 公共熱點或Public WLAN可以采用Web認(rèn)證和AP無線客戶二層隔離的安全措施。 大型企業(yè)和政府建議采用WPA2安全加密方案， 保證目前最好的加密效果。