| |
一、Wi-Fi網(wǎng)絡(luò)結(jié)構(gòu)的安全性
(一)攻擊方式
1.Wireless Dosattacks
Dosattacks主要是通過洪水算法來阻塞網(wǎng)絡(luò)，并導(dǎo)致網(wǎng)絡(luò)合法用戶無法使用該網(wǎng)絡(luò)的服務(wù)。與有線網(wǎng)絡(luò)相比，針對Wi-Fi網(wǎng)絡(luò)的Dosattacks在網(wǎng)絡(luò)的應(yīng)用層和運輸層的攻擊沒有什么特殊性，但由于無線通信介質(zhì)的特殊屬性使得Wi-Fi網(wǎng)絡(luò)在數(shù)據(jù)鏈接層和物理層遭受的Dosattacks危害更為嚴重。常見的Wireless Dos attacks有以下幾種方式。
(1)802.11b應(yīng)用層攻擊。攻擊者通過向應(yīng)用程序發(fā)送大量的合法請求來降低程序的服務(wù)效率，阻止其向其他合法用戶提供服務(wù)。
(2)802.11b運輸層攻擊。在這一層，攻擊者通過發(fā)送大量的鏈接請求來攻擊主機的操作系統(tǒng)，降低其服務(wù)效率，常見的有SYN洪水攻擊。
(3)802.11b網(wǎng)絡(luò)層攻擊。網(wǎng)絡(luò)層的Dos攻擊主要是針對效率較低的Wi-Fi網(wǎng)絡(luò)，攻擊者通過向網(wǎng)絡(luò)發(fā)送大量的數(shù)據(jù)來攻擊網(wǎng)絡(luò)的脆弱結(jié)構(gòu)，降低網(wǎng)絡(luò)serverCPU的服務(wù)效率，常見的網(wǎng)絡(luò)層Dos攻擊是Pingflood攻擊。但由于目前高速WLAN技術(shù)的成熟，這種攻擊已經(jīng)很少起作用了。
(4)802.11b數(shù)據(jù)鏈接層攻擊。盡管WEP工作在該層，但鑒于WEP的脆弱性，甚至有些Wi-Fi網(wǎng)絡(luò)不使用WEP，從而導(dǎo)致該層受到Dos攻擊。另外不正確的使用DiversityAntennas也會使該層易受到Dos攻擊。DiversityAntennas是一種用來避免多徑潮水效應(yīng)的設(shè)備，它可以為Stations選擇最強的信號來源以避免多徑潮水效應(yīng)，但同時這也將造成Wi-Fi網(wǎng)絡(luò)易受到Dos攻擊。只要攻擊者將攻擊設(shè)備的MAC地址改成Station的MAC地址，然后選擇的Antenna的信號足夠強，就會導(dǎo)致Station從其所在的Antenna上掉線。
(5)802.11b物理層攻擊。鑒于Wi-Fi網(wǎng)絡(luò)傳播介質(zhì)的特殊性，像有線網(wǎng)絡(luò)的介質(zhì)那樣予以人為的保護是不可能的。由于Wi-Fi標準采用的是ISM公開的2.4GHz的波段，一旦攻擊者利用工作在該波段的噪聲設(shè)備發(fā)動足夠強的噪音信號進行沖擊，Wi-Fi網(wǎng)絡(luò)的物理層將無法進行工作。
2.Illicituse
這種攻擊主要有以下兩種方式。
(1)盜用計費。非法使用AP的外部鏈接進入到Internet，盜用Wi-Fi網(wǎng)絡(luò)的外部計費。
(2)隱蔽犯罪。為了隱藏身份，攻擊者通過非法接入Wi-Fi網(wǎng)絡(luò)AP，轉(zhuǎn)而進入Internet采取攻擊行為，從而使直接的責(zé)任落到了被寄生的AP身上，造成了Wi-Fi網(wǎng)絡(luò)的麻煩。Illicituse風(fēng)險對于有線LAN來說幾乎不存在，但卻會極大地危害到WLAN網(wǎng)絡(luò)。這種攻擊行為雖然無法造成Wi-Fi網(wǎng)絡(luò)的系統(tǒng)問題，但攻擊者可以通過這種方式非法使用Wi-Fi網(wǎng)絡(luò)的外部鏈接，盜用Wi-Fi網(wǎng)絡(luò)的外部計費，甚至掩蓋其非法行為。
(二)網(wǎng)絡(luò)維護方法
Wi-Fi網(wǎng)絡(luò)的物理組網(wǎng)結(jié)構(gòu)可分為兩種：基礎(chǔ)服務(wù)組和擴展服務(wù)組。
(1)基礎(chǔ)服務(wù)組：網(wǎng)絡(luò)由客戶端(Stations)和接入點(APs)兩部分組成，適宜小數(shù)據(jù)量網(wǎng)絡(luò)的組建。如果僅僅是短期內(nèi)進行連接組網(wǎng)，只需要有安裝了Wi-FiCard的Stations即可實現(xiàn)端到端的Wi-Fi通信。
(2)擴展服務(wù)組：穩(wěn)定的、完整的Wi-Fi網(wǎng)絡(luò)由Stations、APs以及有線網(wǎng)絡(luò)三部分組成，這種結(jié)構(gòu)被稱之為擴展服務(wù)組,通常是由BSS擴展而成的。
根據(jù)Wi-Fi網(wǎng)絡(luò)的結(jié)構(gòu)特點，針對上述有關(guān)Wi-Fi網(wǎng)絡(luò)本身的攻擊方式，我們將從Stations安全、APs安全以及網(wǎng)絡(luò)主干網(wǎng)安全三個方面對Wi-Fi網(wǎng)絡(luò)可以采取的安全措施加以說明。
1.Stations安全
Stations安全涉及到整個Wi-Fi網(wǎng)絡(luò)安全的核心。Stations中包含著大量的機密信息，如果攻擊者攻破了Stations的安全措施，將給Wi-Fi網(wǎng)絡(luò)帶來巨大的損失。相關(guān)的安全措施主要有：(1)禁止Stations自己向外提供數(shù)據(jù)或者其他服務(wù);(2)安裝有效的殺毒軟件，防止木馬、蠕蟲等病毒的侵入;(3)數(shù)據(jù)資源加密，評估自己的數(shù)據(jù)資源的重要級別，然后針對不同的安全等級對他們采取不同的加密措施和訪問控制，這樣既保證數(shù)據(jù)被合法用戶采用，又可以保護數(shù)據(jù)不被惡意的攻擊者竊取;(4)安裝防火墻，防火墻可以是硬件也可以是軟件，安裝時應(yīng)將防火墻放在網(wǎng)絡(luò)入口處或需要保護的網(wǎng)段，保護網(wǎng)絡(luò)的方式有，①數(shù)據(jù)包篩選：摒棄與規(guī)定不符的數(shù)據(jù)包。②代理服務(wù)：允許防火墻偽裝成連接的終點，保護客戶的IP地址。③狀態(tài)檢查：對比數(shù)據(jù)包的部分內(nèi)容，對其進行篩選，比如IP地址、域名、協(xié)議、端口和內(nèi)容等;(5)杜絕采取定期自動更新軟件機制，這也是攻擊者經(jīng)常攻擊的對象。 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
