如何降低WLAN安全风险(1)

　　部署无线LAN无疑会增加网络的安全风险，但由于部署无线网络的成本低、容易部署，而且提高效率，因此，无线技术应用的发展十分迅速。思科在SAFE的基础上提供无线安全的策略和解决方案，以降低无线网络的应用所带来的风险。当然，要实现绝对的安全是不可能的，但通过部署恰当的技术可以降低安全风险。在各种设计方案中，需要利用SAFE中的多种模块。

　　 SAFE 无线技术是有线LAN的一种补充，因此它应该尽可能遵循总体安全政策。一方面它必须提高无线网络的安全性，另一方面尽可能保留传统有线LAN的特性。最后，它还必须与基于SAFE安全体系结构的现有网络设计集成。总之，SAFE无线技术应该尽可能地满足网络的功能要求。

　　 一、无线LAN的安全环节

　　 1.无线网络成为攻击目标

　　 无线网络已成为当今黑客最感兴趣的目标之一，单纯的WLAN设备本身并不提供任何安全保护，从而使得黑客有机可寻。无线网络是在空中传输数据的，通常传输范围大于机构的物理边界，这使得传统物理安全控制措施失去效力。

　　 干扰无线通信也很容易，简单的干扰发送器就能使通信陷于瘫痪。相同频率的其它无线服务可以降低WLAN的安全性和可用带宽。 例如，“蓝牙”技术使用的频率和WLAN相同，它的使用有可能严重干扰WLAN网络。

　　 2.普遍存在的问题

　　 多数WLAN设备都使用直接排序扩展频谱（DSSS）通信技术，但DSSS技术本身既不保密也没有认证功能。WLAN接入点可以按MAC地址识别每块无线网卡，但它仍然存在一些问题。例如，在接受无线服务之前，某些WLAN要求对网卡进行登记，但这操作起来比较复杂。某些WLAN卡并不使用内部MAC地址，而使用随机选择或特意假冒的地址，这也为黑客提供了便利。

　　 3.特殊模式与基础设施模式下的安全问题

　　 多数WLAN都在“基础设施”模式下操作，在这种模式下，所有无线客户都通过AP相连。在部署WLAN技术时，用户也可以形成独立的对等网称为特殊WLAN。在特殊WLAN模式下，掌上电脑或台式计算机都配有WLAN适配器，而且不需要使用AP就可以共享文件。

　　 特殊WLAN的安全问题比较大。许多无线网卡，包括PC制造商提供的无线网卡，一般都采用特殊模式。借助这些网卡，黑客可以立即与PC连接，并实现非法接入。

　　 为了保证安全，WLAN设备至少要遵守以下规定：

　　 · 接入点安全建议

　　 ﹣ 为管理接口提供用户认证。

　　 ﹣ 为简单网络管理协议（SNMP）选择特殊的公共字串，并经常修改。

　　 ﹣ 如果管理基础设施允许，应配置为SNMP Read Only。

　　 ﹣ 关闭制造商提供的所有不安全、不必要的管理协议。

　　 ﹣ 只对专用有线子网提供流量管理。

　　 ﹣ 如果可能，对所有流量进行加密。

　　 ﹣ 如果可能，实施无线帧加密。

　　 · 客户机安全建议

　　 ﹣ 关闭特殊模式。

　　 ﹣ 如果可能，实施无线帧加密。

　　 4.谨防欺诈AP

　　 欺诈AP成为黑客盗窃网络资源的重要手段，危险最大的是黑客在非法进入大厦之后将AP安装到网络中。由于AP体积较小，而且容易购买，便于黑客作案。要消除这种危险，可以从政策和防范这两方面来考虑。从政策角度来看，思科建议在整体安全政策的基础上制定完整的无线网络政策，禁止非法AP连接到网络中。例如IT部门应该定期检查办公区，看有没有欺诈性AP，这种检查包括物理搜索和无线扫描。

　　 从实施角度看，许多以太网交换机都能根据MAC地址限制对某些端口的访问。这些控制可以识别与端口相连的第一个MAC地址，然后防止后续MAC地址连接。通过控制，还可以防止规定数量以上的MAC地址连接。这些特性都可以解决欺诈AP问题，但也会增加管理负担。