扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
5.802.11b是不安全的
802.11b是部署得最广泛的WLAN技术。802.11b的安全基础是有线等价专用性(WEP)的帧加密协议,它具有许多安全隐患。
802.11标准将WEP定义为保护WLAN接入点与网络接口卡(NIC)间空中传输的简单机制。WEP在数据链路层操作,要求所有通信方都共享相同的密钥。按规定,IEEE 802.11b需要40位加密密钥,但目前许多厂商的产品都支持可选的128位标准。借助互联网上提供的工具,WEP可以方便地创建40位和128位变形密钥。
WEP使用RC4流密码进行加密。RC4加密算法是一种对称的流密码,支持长度可变的密钥。IEEE 802.11标准中并没有规定密钥分发的方法。如果没有自动密钥分发方法,任何加密协议都会因人工密钥输入、转让和管理错误而遇到问题。802.1x已经得到了IEEE的批准,并得到了WLAN厂商的广泛拥护,可望成为这种密钥分发问题的解决方案。
初始化向量是WEP的中心问题。由于初始化向量(IV)只能作为纯文本传输,放置在802.11报头中,因此,窃听WLAN的人都可以看到它。IV的长度为24位,能够提供16,777,216个值。如果在加密包上使用了相同的IV和相同的密钥(称为IV冲突),黑客就可以捕获数据帧,并获取数据和网络信息。WEP加密方案具有很多弱点,应利用先进的密钥管理解决方案弥补这些弱点。
RC4 密钥安排算法也存在内在缺陷。由于WEP中的RC4选择了24位IV,而且不能使用动态专用加密密钥,因此,这些缺陷在WEP的802.11加密帧中有所暴露。
二、需要利用安全扩展技术
鉴于WEP存在这些安全漏洞,思科建议利用三种技术取代IEE 802.11规定的WEP,包括基于IP Securtiy(IPSec)的网络层加密方法,使用802.1X、基于人工认证的密钥分发方法,以及思科最近对WEP所做的某些改进。另外,IEEE 802.11任务组“i”也正在改进WLAN加密标准。
1.IPSec
IPSec是一种开放标准框架,以保证安全通信, IPSec VPN使用IPSec内定义的服务,以保证在公共网上数据通信的保密性、完整性和认证。目前,IPSec已有实际应用。
在WLAN环境中部署IPSec时,IPSec放置在用于无线接入的PC上,为用户建立IPSec通道,以便将流量传送到有线网。过滤器用于防止无线流量到达VPN网关和DHCP/DNS服务器以外的目的地。IPSec提供IP流量的保密、认证和防重播功能。保密功能通过加密实现,加密利用3DES技术,即用三个密钥对数据进行三次加密。虽然IPSec主要用于实现数据保密性,但扩展以后也可以用于用户认证和授权,并作为IPSec过程的一部分。
2.EAP/802.1X
EAP/802.X则注重提供集中认证和动态密钥分发。在思科、微软及其它机构向IEEE共同提交的建议中,提出了使用802.1X和可扩展认证协议(EAP)的端到端框架。这个建议的两个主要组件是:
· EAP,允许使用无线客户机适配器,可以支持不同的认证类型,因而能与不同的后端服务器通信,如远程接入拨入用户服务(RADIUS)。
· IEEE 802.1X,基于端口的网络访问控制的标准。
如果实施了这些措施,当用户执行网络登录以后,与AP相关的无线终端才能接入网络。当用户在网络登录对话框中输入用户名和密码或者等价信息时,客户机和RADIUS服务器将执行相互认证。然后,RADIUS服务器和客户机将获得一个专用WEP密钥,而且用户密码和操作密钥不会以原始形式在无线网络上传输。
与WEP相比,LEAP具有两个优点,第一是相互认证特性,这种方案能有效地消除假冒接入点和对RADIUS服务器发起的“中间人攻击”。第二是集中管理和分发WEP使用的密钥。
3.WEP改进
WEP密钥散列
在对WEP发起攻击时,必须使用相同密钥的多个薄弱IV,因此,为每个包配备不同的密钥可消除这种威胁。对IV和WEP密钥进行散列,以便产生唯一的包密钥(称为临时密钥),然后与IV组合在一起,这种方法能防止黑客利用薄弱IV获取基础WEP密钥。
消息完整性检查
WEP的另一个问题是容易遭受重播攻击,消息完整性检查(MIC)能防止WEP帧被损害。MIC基于种子值、源MAC和负载,包含在WEP加密的负载中,使用散列算法获取最终值。
如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击|2021世界人工智能大会
直击5G创新地带,就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020(Cloud)- 科技行者