本文要害字:英特爾思科網絡安全　天線　局域網　　

    近來，無線局域網發展的勢頭越來越猛，它接入速率高，組網靈活，在傳輸移動數據方面尤其具有得天獨厚的優勢。

    但是，隨著無線局域網應用領域的不斷拓展，其安全問題也越來越受到重視。在有線網絡中，您可以清楚辨別哪臺電腦連接在網線上。無線網絡與此不同，理論上無線電波范圍內的任何一臺電腦都可以監聽并登錄無線網絡。假如企業內部網絡的安全措施不夠嚴密，則完全有可能被竊聽、瀏覽甚至操作電子郵件。為了使授權電腦可以訪問網絡而非法用戶無法截取網絡通信，無線網絡安全就顯得至關重要。

    ★兩大基本安全防護手段

    在這個道高一尺，魔高一丈的環境里，怎樣保衛這些數據的安全？致力于無線局域網ＷＬＡＮ發展的各廠家及國際Ｗｉ－Ｆｉ 聯盟都紛紛提出新的方法來加固無線局域網，以使其廣泛應用。２００４年 ６ 月２４日， ＩＥＥＥ 通過了 ８０２．１１ｉ 基于 ＳＩＭ 卡認證和 ＡＥＳ 加密的方法為無線局域網提供了安全保障，使得無線局域網擁有了更為廣闊的應用空間。

    安全性主要包括訪問控制和加密兩大部分。訪問控制保證只有授權用戶能訪問敏感數據，加密保證只有正確的接收者才能理解數據。目前使用最廣泛的ＩＥＥＥ８０２．１１ｂ標準提供了兩種手段來保證 ＷＬＡＮ 的安全—— ＳＳＩＤ服務配置標示符和 ＷＥＰ 無線加密協議。ＳＳＩＤ提供低級別的訪問控制，ＷＥＰ是可選的加密方案，它使用ＲＣ４加密算法，一方面用于防止沒有正確的ＷＥＰ密鑰的非法用戶接入網絡，另一方面只答應具有正確的ＷＥＰ 密鑰的用戶對數據進行加密和解密包括軟件手段和硬件手段。

    另外，８０２．１１ｂ標準定義了兩種身份驗證的方法：開放和共享密鑰。在缺省的開放式方法中，用戶即使沒有提供正確的ＷＥＰ密鑰也能接入訪問點，共享式方法則需要用戶提供正確的ＷＥＰ密鑰才能通過身份驗證。

    ★針對不同用戶的三種安全措施

    很顯然，基本的安全手段只能提供基本的安全性。對于不同的用戶，有必要為他們提供不同級別的安全手段。Ａｖａｙａ公司的技術顧問劉海艦指出，Ａｖａｙａ公司為其ＷＬＡＮ設備提供了３種級別的安全措施。第一種是鏈路層的安全，也就是標準的ＷＥＰ加密。第二種則是用戶身份驗證層次的安全，代表性做法是利用８０２．１ｘ 。第三種是利用ＶＰＮ手段。劉海艦認為，這三種級別的安全手段，適用于不同要求的用戶，ＶＰＮ 方法是最安全的。不過，在實際應用中，目前用得最多的還是ＷＥＰ方式。

    ★WEP的缺陷和解決之道

    ＷＥＰ加密是存在固有的缺陷的。由于它的密鑰固定，初始向量僅為２４位，算法強度并不算高，于是有了安全漏洞。ＡＴ＆Ｔ 的研究員最先發布了ＷＥＰ的解密程序，此后人們開始對ＷＥＰ質疑，并進一步地研究其漏洞?，F在，市面上已經出現了專門的破解ＷＥＰ加密的程序，其代表是ＷＥＰＣｒａｃｋ和ＡｉｒＳｎｏｒｔ 。

    英特爾公司通訊事業部趙偉明指出，ＷＥＰ加密方式本身無問題，問題出在密鑰的傳遞過程中——密鑰本身輕易被截獲。為了解決這個問題，ＷＰＡ（Ｗｉ－Ｆｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ）作為目前事實上的行業標準，改變了密鑰的傳遞方式。ＩＥＥＥ ８０２．１１ＴＧｉ  任務組 ｉ已經制訂了臨時密鑰完整性協議ＴＫＩＰ，ＴＫＩＰ像ＷＥＰ 一樣基于ＲＣ４加密，但它提供了快速更新密鑰的功能。ＷＰＡ利用ＴＫＩＰ協議傳遞密鑰，它在密鑰治理上采用了類似于 ＲＳＡ 的公鑰、私鑰方式。利用ＴＫＩＰ，以及各個廠商計劃推出ＴＫＩＰ固件補丁，用戶在 ＷＬＡＮ硬件上的投資將得到保護。例如， Ｅｎｔｅｒａｓｙｓ公司最近便公布了對ＷＰＡ的支持。Ｅｎｔｅｒａｓｙｓ將在其ＲｏａｍＡｂｏｕｔ系列的各種室內室外ＷＬＡＮ產品中支持ＷＰＡ ，對現有的產品進行固件和硬件更新。

    思科公司的具體做法是：ＲＡＤＩＵＳ服務器與客戶機進行雙向的身份驗證，驗證完成后，ＲＡＤＩＵＳ服務器與客戶機確定一個ＷＥＰ 密鑰（這意味著，這個密鑰不是與客戶機本身物理相關的靜態密鑰，而是由身份驗證動態產生的密鑰）。此后， ＲＡＤＩＵＳ 服務器通過有線網發送會話密鑰到ＡＰ，ＡＰ利用會話密鑰對廣播密鑰加密，把加密后的密鑰送到客戶機，客戶機利用會話密鑰解密。然后，客戶機與ＡＰ激活ＷＥＰ，利用密鑰進行通信。Ａｖａｙａ的做法稱作ＷＥＰ Ｐｌｕｓ，它的機理是針對初始向量的缺點，以隨機方式生成初始向量，使得上述的ＷＥＰＣｒａｃｋ和ＡｉｒＳｎｏｒｔ程序無法破解ＷＥＰ密鑰。

    ★綜合預防五大建議

    一、許多安全問題都是由于無線訪問點沒有處在一個封閉的環境中造成的。所以，首先就應注重合理放置訪問點的天線。以便能夠限制信號在覆蓋區以外的傳輸距離。別將天線放在窗戶四周，因為玻璃無法阻擋信號。你最好將天線放在需要覆蓋的區域的中心，盡量減少信號泄露到墻外。

    二、將信號天線問題處理好之后，再將其加一層“保護膜”，即一定要采用無線加密協議（ＷＥＰ）。

    三、建議禁用ＤＨＣＰ和ＳＮＭＰ設置。從禁用ＤＨＣＰ對無線網絡而言，這很有意義。

    假如采取這項措施，黑客不得不破譯你的ＩＰ地址、子網掩碼及其它所需的ＴＣＰ／ＩＰ參數（無疑也就增加了難度）。無論黑客怎樣利用你的訪問點，他仍需要弄清楚ＩＰ地址。而關于ＳＮＭＰ設置，要么禁用，要么改變公開及專用的共用字符串。假如不采取這項措施，黑客就能利用ＳＮＭＰ獲得有關你方網絡的重要信息。

    四、使用訪問列表（也稱之為訪問控制列表）。為了進一步保護你的無線網絡，建議選用此項特性，但請注重，并不是所有的無線訪問點都支持。

    因為此項特性可以具體地指定答應哪些機器連接到訪問點。支持這項特性的訪問點有時會使用普通文件傳輸協議ＴＦＴＰ，定期下載更新的列表，非常有用。

    五、綜合使用無線和有線策略。無線網絡安全不是單獨的網絡架構，它需要各種不同的程序和協議配合。制定結合有線和無線網絡安全的策略能夠最大限度提高安全水平。

    作者：peater