扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
ＷＬＡＮ存在的安全隐患
国内外ＷＬＡＮ产业有一个统一的认识，那就是高速发展的无线局域网建设存在极大的安全隐患：
在日本，西屋百货公司基于ＷＬＡＮ的移动ＰＯＳ机因为泄漏消费者隐私而被曝光；
在韩国，许多准备部署ＷＬＡＮ的公司发现一些公司员工已经私自安装了ＷＬＡＮ接入点设备，使得公司针对有线互联网设计的安全方案形同虚设；
在美国，负责研究核武器以及其他国家防御技术的Ｌａｗｒｅｎｃｅ Ｌｉｖｅｒｍｏｒｅ国家实验室关闭了已有的两个无线计算机网络并宣布禁止使用无线局域网，原因在于这些设备的系统中存在的安全隐患容易遭受到黑客的攻击而丢失机密信息；
在雅典，国际奥委会已经正式宣布Ｗｉ－Ｆｉ网络因安全无法保证将无缘２００４年奥运会；
中国电信曾在机场对自己的ＷＬＡＮ“热点”进行安全测试，发现可以很容易地截取用户密码和传输信息。
Ｊｕｐｉｔｅｒ市场研究公司对传统企业的一次调查中显示，９０％的企业经理认为安全问题是影响他们作出ＷＬＡＮ部署决定的首要因素。
可见在无线局域网产业迅猛发展的同时，其所面临的安全瓶颈也日益突出，并已成为制约该产业进一步发展的主要障碍。
ＷＬＡＮ安全机制的演变和发展
ＷＬＡＮ的安全机制一直都是技术发展中最受争议和关注的， ＷＬＡＮ标准制定组织ＩＥＥＥ和Ｗｉ－Ｆｉ联盟等先后对ＷＬＡＮ标准中的安全机制进行数次改进，如图１所示。
图1 WLAN安全发展示意
从全球市场来看，２００３年初Ｗｉ－Ｆｉ保护接入（ＷＰＡ）安全产品还非常少，但现在ＷＰＡ已经逐渐取代有线等效保密（ＷＥＰ）方式成为ＷＬＡＮ安全技术的主流。根据Ｅｖａｎｓ Ｄａｔａ Ｃｏｒｐ咨询公司２００３年８月对全球４５０家ＷＬＡＮ产品的调查报告，２０％的ＷＬＡＮ用户采用ＷＰＡ，而使用ＷＥＰ安全技术的只有１４％。因此可以肯定２００４年全球采用ＷＰＡ机制的ＷＬＡＮ产品比例会更高。
２００４年６月２５日，ＩＥＥＥ标准委员会在新泽西州皮斯卡塔韦召开的会议上，一致通过了８０２．１１ｉ标准。目前专门致力于推广８０２．１１系列产品的Ｗｉ－Ｆｉ联盟已经将其商用名称命名为“ＷＰＡ２”。
现有安全机制特点及其缺陷
１．媒介接入控制（ＭＡＣ）地址过滤
每个无线客户端网卡都有唯一的物理地址标识，因此可以在ＡＰ中手工维护一组允许访问的ＭＡＣ地址列表，实现物理地址过滤。物理地址过滤属于硬件认证，而不是用户认证。这种方式要求ＡＰ中的ＭＡＣ地址列表必需随时更新，目前都是手工操作；但其扩展能力很差，因此只适合于小型网络。另外，非法用户利用网络侦听手段很容易窃取合法的ＭＡＣ地址，而且ＭＡＣ地址并不难修改，因此非法用户完全可以盗用合法的ＭＡＣ地址进行非法接入。
２．有线等效保密（ＷＥＰ）
有线等效保密（ＷＥＰ）是１９９７年ＩＥＥＥ推出的第一个基于ＷＬＡＮ的安全措施。ＷＥＰ认证采用共享密钥认证，通过客户和接入点之间命令和回应信息的交换，命令文本明码发送到客户，在客户端使用共享密钥加密，并发送回接入点。ＷＥＰ使用ＲＣ４流密码进行加密。ＲＣ４加密算法是一种对称的流密码，支持长度可变的密钥。
ＷＥＰ也存在严重安全缺陷：
?缺少密钥管理。用户的加密密钥必须与ＡＰ的密钥相同，并且一个服务区内的所有用户都共享同一把密钥。ＷＥＰ标准中并没有规定共享密钥的管理方案，通常是手工进行配置与维护。由于同时更换密钥的费时与困难，所以密钥通常长时间使用而很少更换，倘若一个用户丢失密钥，则将殃及到整个网络。
完整性校验值（ＩＣＶ）算法不合适。ＷＥＰ ＩＣＶ是一种基于ＣＲＣ－３２的用于检测传输噪音和普通错误的算法。ＣＲＣ－３２是信息的线性函数，这意味着攻击者可以篡改加密信息，并很容易地修改ＩＣＶ，使信息表面上看起来是可信的。能够篡改加密数据包使各种各样的非常简单的攻击成为可能。
ＲＣ４算法存在弱点。在ＲＣ４中，人们发现了弱密钥。所谓弱密钥，就是密钥与输出之间存在超出一个好密码所应具有的相关性。在２４位的ＩＶ值中，有９ ０００多个弱密钥。攻击者收集到足够的使用弱密钥的包后，就可以对它们进行分析，只须尝试很少的密钥就可以接入到网络中。
３．ＷＥＰ保护接入（ＷＰＡ）
ＷＰＡ是被Ｗｉ－Ｆｉ联盟（ＷＦＡ）为了弥补ＷＥＰ缺陷采用的最新安全标准，是８０２．１１ｉ解决方案的一个过渡措施。因为８０２．１１ｉ一直没有完成，ＷＦＡ推出了这个暂时的方案。ＷＰＡ是ＷＥＰ的升级版，它主要通过无线网络加密和身份识别，加强无线网络的安全保护和管理能力。
ＷＰＡ使用认证－端口访问控制技术ＩＥＥＥ ８０２．１ｘ 和扩展认证协议（ＥＡＰ）。ＩＥＥＥ８０２．１１ｘ提供无线客户端与ＲＡＤＩＵＳ服务器之间的认证。ＥＡＰ是ＰＰＰ认证的一种普遍协议，支持多重认证机制。ＷＰＡ的加密采用一套被称作暂时性密钥集成协议（ＴＫＩＰ）的更复杂的加密技术，它采用的是在每个信息包内添加密钥的方法。
不过Ｗｉ－Ｆｉ联盟发言人Ｂｒｉａｎ Ｇｒｉｍｍ指出，ＷＰＡ在三个方面存在缺憾：
?不能为独立基础服务集（ＩＢＳＳ）网络，也称作对等无线网络，提供安全支持。ＩＢＳＳ可以让两台客户端计算机在无线局域网上不通过中间媒介进行对话。
ＷＰＡ不能在网络上对多个接入点进行预检，而预检对于从一地到另一地的漫游非常重要。
ＷＰＡ不能支持高级加密标准（ＡＥＳ）。如果使用ＡＥＳ的话就需要为客户机增加额外的计算能力，也就意味着增加了成本。
４． ８０２．１１ｉ安全标准
８０２．１１系列标准专为解决安全问题而制定，但标准的制定一直推迟，最快要２００４年第三季度才能正式通过，全面强制认证的开展要等到２００６年。预计将会采用ＥＡＰ与８０２．１ｘ结合提供集中认证和动态密钥分发。ＴＫＩＰ和高级加密标准（ＡＥＳ）结合提供有效的加密。
５．虚拟专用网（ＶＰＮ）
ＶＰＮ广泛用于企业的有线网。一个ＶＰＮ能产生从客户设备到无线因特网服务提供商（ＷＩＳＰ）的ＶＰＮ服务器的安全虚拟隧道。ＶＰＮ通过远程拨号进入公共因特网，从而提供了一个比较安全的途径。ＶＰＮ具有强大的加密功能，可通过远程认证拨号连入用户服务器和其他索引系统，从而对无线终端进行认证。似乎ＶＰＮ应该是最有保障的安全机制，但ＶＰＮ不是专门为无线网络设计的，因此在实际应用当中存在很多问题：
无线环境运行脆弱：容易因突发干扰或ＡＰ间越区切换等因素导致的无线链路质量波动或短时通信链路中断，而一旦发生中断，用户将不得不通过手动设置以恢复ＶＰＮ连接。
吞吐量能力存在瓶颈： ＶＰＮ服务器数据吞吐量能够达到３０～５０ Ｍｂｉｔ／ｓ，但按照这个速度，只要有八个ＩＥＥＥ ８０２．１１ｂ无线接入点对于５４ Ｍｂｉｔ／ｓ的ＩＥＥＥ ８０２．１１ａ／ｇ无线接入点甚至一两台 就可以使一台ＶＰＮ服务器过载。
网络扩展受局限： ＶＰＮ网络架设复杂，如果要改变一个ＶＰＮ网络的拓扑结构或内容，用户往往将不得不重新规划并进行网络配置。
成本高：上述的３个问题实际在不同程度上导致了用户网络成本攀升。另外ＶＰＮ产品本身的价格就很高，对于中小型网络用户，甚至超过ＷＬＡＮ设备的采购费用。
中国ＷＬＡＮ业务市场现状
中国ＷＬＡＮ业务市场起步较晚，从２００１年５月到２００４年５月只有三年的时间，但发展迅速，目前已经有三家运营商正式运营ＷＬＡＮ业务，全国各类机场、酒店、展览馆等重要商务场所建设的“热点”数量已经超过 １ ７００个。
截至２００４年５月，全国三家运营商已经对外公布、投入运营的热点数量总计１ ６８２个，如果加上北京、青岛等地的免费公共热点以及各个运营商正在建设和试用的热点，截至２００４年５月，全国ＷＬＡＮ热点数量接近 １ ７００个。全国ＷＬＡＮ用户超过８万。２００２年～２００３年１０月是中国ＷＬＡＮ运营市场的快速发展时期：中国移动的加入加剧了市场的竞争；中国网通、中国移动在国际漫游方面与国外运营商展开合作；中国电信“天翼通”业务在上海、广州等地区复苏，家庭用户增长迅速。三家运营商在热点“圈地战”中不遗余力。
不过，随着２００３年６月中国ＷＬＡＮ标准ＷＡＰＩ推出，ＷＬＡＮ的安全问题引起轩然大波。２００３年１１月，中华人民共和国国家质量监督检验检疫总局和国家标准化管理委员会联合发布《无线局域网产品强制性认证实施规则》公告，宣布自２００４年６月１日起，未获得强制性产品认证证书和未施加中国强制性认证标志的无线局域网产品不得出厂、进口、销售或者在其他经营活动中使用。而中国ＷＬＡＮ设备市场以及运营市场采用的安全机制，大多是基于ＷＥＰ或ＶＰＮ的，因此一旦该标准强制实施，势必造成所有ＷＬＡＮ业务无法运营，然而事隔不到半年，ＷＡＰＩ标准又被宣布“暂时推迟执行”。
而在此期间，中国的ＷＬＡＮ运营市场几乎停滞，各个运营商都终止了自己的网络建设计划，只是在不加宣传的情况下发展用户。
未来发展
如果您非常迫切的想了解IT领域最新产品与技术信息，那么订阅至顶网技术邮件将是您的最佳途径之一。
京公网安备 11010802021500号