移動無線局域網的安全防護

2019-11-05 02:37:25

字體：大中小

來源：轉載

供稿：網友

　　近年來，無線局域網發展的勢頭越來越猛，它接入速率高，組網靈活，在傳輸移動數據方面尤其具有得天獨厚的優勢。但是，隨著無線局域網應用領域的不斷拓展，其安全問題也越來越受到重視。各廠家及國際Wi－Fi聯盟都紛紛提出新的方法來加固無線局域網，以使其廣泛應用?；赟IM卡認證和AES加密的方法為無線局域網提供了安全保障，使得無線局域網擁有了更為廣闊的應用空間。
　　
　　近些年來，隨著局域網應用領域的不斷拓寬和現代通信方式的不斷變化，尤其是移動和便攜式通信的發展，無線局域網（WLAN）便應運而生。其接入速率較高，小范圍組網靈活，成本也較低，正是基于此，移動運營商紛紛組建WLAN作為移動業務的補充。但其在安全性方面仍然存在很多問題。利用基于SIM卡的網絡接入認證和AES加密算法相結合的方法，能夠保證WLAN的通信安全。
　　
　　網絡接入認證
　　在WLAN的體系結構中，認證服務器（AS）的主要功能是對業務進行控制治理，它保存用戶的認證信息及相關屬性，并在接收到用戶申請時，在數據庫中對用戶信息進行查詢。接入控制器（AC）在WLAN與Internet之間起到網關功能，將來自不同接入點的數據進行匯聚、接入Internet。接入點（AP）的作用是完成無線接入，它可以通過網絡標志來控制用戶接入。
　　
　　網絡接入認證有RADIUS認證、基于SIM卡方式認證和虛擬SIM卡認證三種方式。RADIUS認證方式是通過在WLAN覆蓋熱點設置RADIUS服務器，對WLAN用戶實現立即計費，但此方式需要與提供WLAN業務的商家達成一致，共同建設RADIUS服務器，而且漫游計費實現較困難。
　　
　　虛擬SIM卡認證是以RADIUS認證方式為基礎發展起來的一種認證方式。它一般在城域網的治理中心，設置AAA服務器，并在路由器上設置重新定向，用戶上網時，被定向到登錄頁面，用戶在登錄頁面上輸入正確的手機號碼和相應的隨機密碼才能訪問。其認證過程要首先通過移動電話發送一條特定的短消息到AAA服務器；AAA服務器收到短信后，在用戶的數據庫中添加賬號；AAA服務器將用戶賬號信息發送給手機用戶，相關的賬號信息包括用戶的登錄用戶名、隨機登錄密碼、本次賬號最高費用限額、賬號有效時限等信息，用戶根據手機接收到的賬號信息通過計算機接入WLAN。這種方式存在的最大問題是短信業務的服務質量。短信息采用無確認方式，發出短信后有可能會丟失，也有可能會有很長時間的延遲，這會影響WLAN用戶的登錄。如要實施這種方式的認證，對現行的短信息業務必須重新設置或者把普通的短信與WLAN用戶的短信區分開，這要在軟件方面增加一定的難度。
　　
　　基于SIM卡認證可以將中國移動GSM/GPRS網絡與WLAN有機結合起來。該方式最大的優點是使用方便，用戶可以方便地根據網絡的實際情況選擇GPRS、WLAN等方式上網，同時由于WLAN收費最終是通過GSM/GPRS計費網關實現的，這樣電話和上網的費用就合成一張賬單，簡化了用戶的繳費手續。而且，WLAN用戶在漫游方面也可以借助于現有的移動運營上的數據庫方便地實現用戶漫游和計費，可以最大限度地發揮現有的資源，不需要做很大的改動。SIM卡也是獨一無二的，因此可以有效防止非法用戶接入WLAN。綜上所述，基于SIM卡的認證方式，即指AS接受來自AC的用戶認證服務請求，對WLAN用戶進行認證，并將認證結果通知AC。
　　
　　加密算法
　　現在大部分的無線局域網采用有限等價保密的方法對信息進行加密，這也是802.11工作小組提出的加密方法。WEP算法是明文與其等長的偽隨機密鑰序列按位模二相加的一種算法，WEP使用的是40位的RC4算法，它屬于流密碼，這是一種一次性將1byte明文變換為1byte密文的對稱密碼，密文通過把明文與密鑰流（偽隨機序列）進行異或運算產生，解密時把相同的密鑰流與密文異或即可。由于流密碼具有這樣的特點，它對消息的完整性要求很高。此外，在流密碼實現時一定要防止出現密鑰重用。因為攻擊者攔截了兩段用同一密鑰流加密的密文，就可以對這兩段密文進行異或，從而得到兩段明文的異或值，再輔以統計學手段，攻擊者就有可能得到明文。而假如存在大量的重復密鑰流的話，攻擊成功的可能性就大大增加了。WEP中采用完整性校驗和初始化向量的防護措施。但是，完整性校驗域采用的是CRC－32校驗和，作為通信報文的一部分，CRC－32校驗和也要經過加密。然而，CRC算法是線性的，這意味著CRC校驗和將體現出強烈的數據關聯性，這與密碼學強調的隨機性原則大為相悖，使敵手的攻擊變得相當輕易；而且WEP對初始化向量的操作也存在不足。正是由于WEP存在很多弱點，使WLAN的安全性大大下降，因此本文提出了采用高級編碼標準（AES）的加密方法，此算法會使WLAN的安全性大為提高。
　　
　　AES是1997年1月由NIST提出的，其目的是開發一種新的能保證政府信息安全的編碼算法。最后經過多方評估從15種算法中選出Rijndael算法作為AES編碼標準。Rijndael算法是對稱加密的迭代分組密碼。它把數據塊分成比特陣列，每一項密碼操作都是面向比特的。Rijndael算法分為四層，第一層是8×8比特置換（即輸入8比特，輸出8比特）；第二、三層是線性混合層（陣列的行移位、列混合）；第四層是子密鑰與陣列的每比特異或。
　　
　　AES的分組長度為128比特，密鑰長度為128/192/256比特，相對應的輪數r為10/12/14，相應的密鑰方案為：在加密的過程中，需要r＋1個子密鑰，需要構造4（r＋1）個32比特字。當種子密鑰為128和192比特時，構造4（r＋1）個32比特字的過程是一樣的。但當種子密鑰為256比特時，構造4（r＋1）個32比特字的過程是不同的。
　　
　　它的輸出更具有隨機性，對128比特、輪數為7的密文進行攻擊時需要幾乎整個的密碼本，對192、256比特加密的密文進行攻擊不僅需要密碼本，還需要知道相關的但并不知道密鑰的密文，這比WEP具有更高的安全性，攻擊者要獲取大量的密文，耗用很大的資源，花費更長的時間破譯。它解密的密碼表和加密的密碼表是分開的，支持子密鑰加密，這種做法優于最初的用一個非凡的密鑰解密；很輕易防護冪攻擊和同步攻擊；加密和解密的速度快，在安全性上優于WEP。
　　
　　AES算法支持任意分組的大小，密鑰的大小為128、192、256的可以任意組合。它初始時間快，其固有的并行性可以有效地利用處理器資源，有很好的軟件性能。在加密和解密分別進行的時候，很適合有限距離的環境，并且對ROM和RAM要求很低；當加密和解密同時進行的時候，對ROM要求有所上升，但仍適合距離有限的環境。AES還適用于交叉存取和非交叉存取兩種情況。在這兩種情況下，它的性能幾乎沒有變化，這使得DSP設備可以有效地優化其密碼。此外，AES還具有應用范圍廣、等待時間短、相對輕易隱藏、吞吐量高的優點。經過比較分析，可知此算法在性能等各方面都優于WEP，利用此算法加密，無線局域網的安全性會獲得大幅度提高，從而能夠有效地防御外界攻擊。

上一篇：構建列車無線局域網可行性分析

下一篇：無線局域網-經典問答