| |
安全問題始終是無線局域網(wǎng)的軟肋，一直制約著無線局域網(wǎng)技術(shù)的進(jìn)一步推廣。從無線局域網(wǎng)技術(shù)的發(fā)展來看，人們一直都致力于解決無線局域網(wǎng)的安全問題。了解無線網(wǎng)絡(luò)的安全進(jìn)程，有助于用戶采取有效的安全措施。
無線網(wǎng)絡(luò)的安全進(jìn)程
在無線局域網(wǎng)的早期發(fā)展階段，物理地址(MAC)過濾和服務(wù)區(qū)標(biāo)識(shí)符(SSID)匹配是兩項(xiàng)主要的安全技術(shù)。物理地址過濾技術(shù)可以在無線訪問點(diǎn)AP中維護(hù)一組允許訪問的MAC地址列表，實(shí)現(xiàn)物理地址過濾。服務(wù)區(qū)標(biāo)識(shí)符匹配則要求無線工作站出示正確的SSID，才能訪問AP，通過提供口令認(rèn)證機(jī)制，實(shí)現(xiàn)一定的無線安全。
物理地址過濾和服務(wù)區(qū)標(biāo)識(shí)符匹配只能解決有限的安全問題。為了進(jìn)一步解決安全問題，有線等效保密(Wired Equivalent Privacy，WEP)協(xié)議被推到臺(tái)前。WEP用于在無線局域網(wǎng)中保護(hù)鏈路層數(shù)據(jù)。WEP使用40位、64位和128位鑰匙，采用RC4對(duì)稱加密算法，在鏈路層加密數(shù)據(jù)和訪問控制。WEP具有很好的互操作性，所有通過Wi-Fi組織認(rèn)證的產(chǎn)品都可以實(shí)現(xiàn)WEP互操作。
不過，WEP的密鑰機(jī)制存在被破譯的安全隱患，勢(shì)必要被趨于完善的其他安全技術(shù)所取代。端口訪問控制技術(shù)(Port Based Network Access Control，IEEE 802.1x)和可擴(kuò)展認(rèn)證協(xié)議(Extensible Authentication Protocol，EAP)可以看成是完善的安全技術(shù)出現(xiàn)之前的過渡方案。IEEE 802.1x標(biāo)準(zhǔn)定義了基于端口的網(wǎng)絡(luò)訪問控制，可以提供經(jīng)過身份驗(yàn)證的網(wǎng)絡(luò)訪問�；诙丝诘木W(wǎng)絡(luò)訪問控制使用交換局域網(wǎng)基礎(chǔ)結(jié)構(gòu)的物理特征來對(duì)連接到交換機(jī)端口的設(shè)備進(jìn)行身份驗(yàn)證。如果身份驗(yàn)證失敗，使用以太網(wǎng)交換機(jī)端口來發(fā)送和接收幀的行為就會(huì)被拒絕。雖然這個(gè)標(biāo)準(zhǔn)是為有線以太網(wǎng)絡(luò)設(shè)計(jì)的，但是經(jīng)過改編后可以在IEEE 802.11無線局域網(wǎng)上應(yīng)用。EAP不專屬于某一廠商，它能夠彌補(bǔ)WEP的弱點(diǎn)，并且同時(shí)能夠解決在接入點(diǎn)之間的移動(dòng)性問題。EAP還解決了VPN瓶頸問題，使用戶能夠以有線
網(wǎng)絡(luò)的速度進(jìn)行工作。不過，配置EAP不是一件容易的事情，這也就是為什么PEAP受到歡迎的原因。PEAP是由微軟，思科和RSA Security共同開發(fā)，致力于簡(jiǎn)化客戶端、服務(wù)器端以及目錄的端到端整合。
Wi-Fi保護(hù)接入(Wi-Fi Protected Access，WPA)是作為通向802.11i道路的不可缺失的一環(huán)而出現(xiàn)，并成為在IEEE 802.11i 標(biāo)準(zhǔn)確定之前代替WEP的無線安全標(biāo)準(zhǔn)協(xié)議。WPA是IEEE 802.11i的一個(gè)子集，其核心就是IEEE 802.1x和暫時(shí)密鑰完整協(xié)議(Temporal Key Integrity Protocol，TKIP)。 WPA使包括802.11b、802.11a和802.11g在內(nèi)的無線裝置的安全性得到保證。這是因?yàn)閃PA采用新的加密算法以及用戶認(rèn)證機(jī)制，滿足WLAN的安全需求。WPA沿用了WEP的基本原理同時(shí)又克服了WEP缺點(diǎn)。由于加強(qiáng)了生成加密密鑰的算法，即使黑客收集到分組信息并對(duì)其進(jìn)行解析，也幾乎無法計(jì)算出通用密鑰，解決了WEP倍受指責(zé)的缺點(diǎn)。不過，WPA不能向后兼容某些遺留設(shè)備和操作系統(tǒng)。此外，除非無線局域網(wǎng)具有運(yùn)行WPA和加快該協(xié)議處理速度的硬件，否則WPA將降低網(wǎng)絡(luò)性能。
WPA2是Wi-Fi聯(lián)盟發(fā)布的第二代WPA標(biāo)準(zhǔn)。WPA2與后來發(fā)布的802.11i具有類似的特性，它們最重要的共性是預(yù)驗(yàn)證，即在用戶對(duì)延遲毫無察覺的情況下實(shí)現(xiàn)安全快速漫游，同時(shí)采用CCMP加密包來替代TKIP。
2004年6月，802.11工作組正式發(fā)布了IEEE 802.11i，以加強(qiáng)無線網(wǎng)絡(luò)的安全性和保證不同無線安全技術(shù)之間的兼容性，802.11i標(biāo)準(zhǔn)包括WPA和RSN兩部分。WPA在文章前面已經(jīng)提過。RSN是接入點(diǎn)與移動(dòng)設(shè)備之間的動(dòng)態(tài)協(xié)商認(rèn)證和加密算法。802.11i的認(rèn)證方案是基于802.1x 和EAP，加密算法是AES。動(dòng)態(tài)協(xié)商認(rèn)證和加密算法使RSN可以與最新的安全水平保持同步，不斷提供保護(hù)無線局域網(wǎng)傳輸信息所需要的安全性。與WEP和WPA相比，RSN更可靠，但是RSN不能很好地在遺留設(shè)備上運(yùn)行。
在Wi-Fi推出的初期，專家也建議用戶通過VPN進(jìn)行無線連接。VPN采用DES、3DES等技術(shù)來保障數(shù)據(jù)傳輸?shù)陌踩�。IPSec VPN和SSL VPN是目前兩種具有代表意義的VPN技術(shù)。IPSec VPN運(yùn)行在網(wǎng)絡(luò)層，保護(hù)在站點(diǎn)之間的數(shù)據(jù)傳輸安全，要求遠(yuǎn)程接入者必須正確地安裝和配置客戶端軟件或接入設(shè)備，將訪問限制在特定的接入設(shè)備、客戶端程序、用戶認(rèn)證機(jī)制和預(yù)定義的安全關(guān)系上，提供了較高水平的安全性。SSL被預(yù)先安裝在主機(jī)的瀏覽器中，是一種無客戶機(jī)的解決方案，可以節(jié)省安裝和維護(hù)成本。 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
