摘要：随着无线网络技术的不断发展及广泛应用，无线局域网安全问题越来越突出。通过对比分析不同发展阶段的无线网络安全认证方式、无线局域网数据加密机制，针对无线局域网存在的安全问题，提出了相应的无线安全解决措施，能够为无线局域网安全防范提供借鉴。
关键词：无线网络；网络安全；无线协议；防范措施
1安全概述
狭义的“无线网络”，即基于802.11/b/g/n标准的无线网络，由于其具有可移动性、安装简单、高灵活性和高扩展性，作为传统有限网络的延伸，在许多领域得到了广泛应用。由于无线局域网以电磁波作为主要传输介质，设备之间可以相互接收数据，如果无线局域网不采用适当的链接认证、数据加密机制，数据传输的风险就会加大。当然，无线网络发展起初，安全便是无线局域网系统的重要组成部分，客户端接入无线网络的过程为扫描、认证、关联、连接成功。无线网络安全性保证，需要从认证和加密2个安全机制来分析。认证机制用来对客户端无线接入身份进行验证，授权以后才可以使用网络资源；加密机制用来对无线局域网的数据传输进行加密，以保证无线网络数据的通信安全。
2链路认证机制分析
客户端（STA）获得足够的权限并拥有正确的密钥以后才能进行安全的、完整的、受保护的通信。链路认证即身份验证机制，认证通过即授权以后才能访问网络资源。无线局域网中，客户端同无线接入端进行802.11关联，首先必须进行接入认证。身份验证是客户端连接到无线网络的起点，任何一个STA试图连接网络之前，都必须进行802.11的身份验证进行身份确认。802.11标准定义了2种链路层的认证，即开放系统身份认证和共享密钥身份认证。开放系统身份认证不需要确认客户端任何信息，和AP没有交互身份信息，可以认为是空加密，目的是使双方都认为应该在后面使用更安全的加密方式。也可以认为，先关联后核对身份信息。如果认证类型设置为开放系统认证，则STA发送的第一个Authentication报文只要是开放系统就通过认证，接着就顺利完成关联。共享密钥身份认证是一种增强无线网络安全性的认证机制，其在WEP机制中得到应用。这种认证的前提是STA和AP都有配置静态的WEP密钥，认证的目的就是确认两者使用的密钥是否一致。共享密钥认证是通过4个认证帧的交互来完成的，STA首先发送一个认证报文（Authentication报文）给AP，然后AP会给STA回复一个挑战明文（Challenge包），接着STA使用密钥对这个明文进行加密并发送给AP，最后AP对其解密。如果解密成功且明文与最初给STA的字符串一致，则表示认证成功并回复，接着为STA打开逻辑端口，便可以使用无线接入点服务，否则不允许用户连接网络。目前常用的链路认证有PSK接入认证、EAP拓展认证。预共享密钥PSK是802.11i中定义的一种身份验证方式，以预共享密钥的方式对无线用户接入进行控制，并能动态产生密钥，以保证无线局域网用户的数据安全。该认证方式要求无线客户端和接入端配置相同的预共享密钥。如果密钥相同，则PSK接入认证成功，否则认证失败，一般应用于家庭或小型网络公司。EAP拓展认证协议主要运行于数据链路层，比如PPP、有线局域网，同样支持无线局域网，在IEEE802.11i进行了描述。该架构支持多路认证方法，具有灵活性，EAP允许使用后台认证服务器（BAS，BackendAuthenticationServer）。某些情况认证实体并不是真正处理身份认证，它仅仅将验证请求转发给后台认证服务器来处理。这种架构拓展了EAP的适用范围。AAA（认证、授权、计费）认证是基于EAP协议，属于BAS的一种具体形式，包括常用的RADIUS服务器等。如果没有后台验证服务器，EAP服务器功能就在验证请求实体中，无线网络一般是AP。
3无线加密方式对比
无线网络加密主要是对数据链路层（包含媒介访问控制、逻辑链路控制部分）进行加密，目前无线局域网涉及到的加密算法有有线等效加密（WEP）、暂时密钥集成协议（TKIP）和高级加密标准AES-CCMP。
3.1有线等效加密
有线等效加密是目前802.11无线加密的基础，是无线网络基础安全加密机制。其通过共享密钥来实现认证，认证机制简单，并且是单向认证，没有密钥管理、更新及分发机制。完全手工配置并不方便，所以用户往往不更改。802.11定义了2个WEP版本，WEP-40和WEP-104，分别支持64，128位加密，含24位初始化向量IV，因此无线设备上配置的共享密钥为40或104位，其还包括一个数据校验机制ICV，用来保护信息传输不被篡改。随着技术的不断发展，发现WEP存在许多密码学缺陷，基础缺陷是RC4加密算法以及短IV向量。另外，还发现其容易受到重传攻击。ICV也有弱点。虽然WEP协议通过高位WEP和动态WEP方式改进，但是有实验证明高位WEP虽然密码复杂程度高，但核心算法RC4已经公开，破解花费时间不是很长，根本无法保证数据的机密性、完整性和用户身份认证。动态WEP，指定期动态更新密钥，但由于是私有方案而非标准，无法从根本上解决WEP存在的问题。
3.2暂时密钥集成协议
暂时密钥集成协议是针对WEP加密算法漏洞而制定的一种临时解决方案，其核心是对WEP加密算法的改进。与WEP不同的是，TKIP针对不同客户端周期性动态产生新的密钥，避免密钥被盗用。并且TKIP密钥长度为128位，初始化向量IV增加为48位，降低了密钥冲突，提高了加密安全性。同时数据包增加信息完整码MIC（MessageIntegrityCode）校验，可防止伪装、分片、重放攻击功能等黑客攻击行为，为无线安全提供了强有力的保证。另外，如果使用TKIP加密，只要支持WEP加密就不需要进行硬件升级。
3.3高级加密标准AES-CCMP
基于计数器模式CBC-MAC协议的AES安全加密技术（AES-CCMP），是目前为止最高级的无线安全协议，加密使用128位AES算法（一种对称迭代数据加密技术）实现数据保密，使用CBC-MAC来保证数据的完整性和安全性。另外，通过数据包增加PN（PacketNumber）字段，使其具有防止回放、注入攻击的功能。这样就可提供全部4种安全服务，即认证、数据保密性、完整性和重发保护。AES加密算法是密码学中的高级加密标准，采用对称的区块加密技术，比WEP与TKIP加密核心算法RC4具有更高的加密性能，不仅安全性能更高，而且其采用最新技术，在无线网络传输速率上也要比TKIP快，快于TKIP及WEP的54Mbps的最大网络传输速度。
4WPA/WPA2安全分析
Wi-Fi网络安全存取技术（WPA）是在802.11i草案基础上制定的无线局域网安全技术系统，因WEP有严重的缺陷，WPA的目的就是替代传统的WEP加密认证。WPA主要使用TKIP加密算法，其核心加密算法还是RC4，不过其密钥与网络上设备MAC地址、初始化向量合并。这样每个节点都使用不同的密钥加密。WPA使用Michael算法取代WEP加密的CRC均支持。这样，WPA既可以通过外部Radius服务进行认证，也可以在网络中使用Radius协议自动更改分配密钥。WPA的核心内容是IEEE802.1x认证和TKIP加密。WPA含2个版本，即针对家庭及个人的WPA-PSK和针对企业的WPA-Enterprise。WPA2（无线保护接入V2）是经由Wi-Fi联盟验证过的IEEE802.11i标准的认证形式，即强健安全网络，它的出现并不是为了解决WPA的局限性。它支持AES高级加密算法，使用CCM（Counter-Mode/CBC-MAC）认证方式。这比TKIP更加强大和健壮，更进一步加强了无线局域网的安全和对用户信息的保护。最初，其与WPA的核心区别是定义了具有更高安全性的加密标准，不过现在两者都已经支持AES加密。同样，WPA2允许使用基于具有IEEE802.X功能的RADIUS服务器和预共享密钥（PSK）的验证模式。一般RADIUS服务器验证模式适用于企业，预共享密钥适用于个人验证。不过专业技术人员WPA/WPA2的4次握手过程仍然存在字典攻击的可能。近来，随着对无线安全的深入了解，黑客通过字典及PIN码破解就能攻破WPA2加密。
5无线网络安全防范措施
目前，大多数企事业单位及个人家庭Wi-Fi产品都支持WPA2，WPA2已经成为一种无线设备强制性标准。WPA2基本上可以满足部分企业和政府机构等需要导入AES的用户需求。具体来说，用户可以采取以下一些措施来降低无线网络的安全风险：①定期维护加密密码，不要使用默认用户名，组合使用字母、数字、特殊字符来设置密码，并要定期变更密码。②定期修改SSID或隐蔽SSID。选取AP的SSID时，不要使用公司或部门名称、接入点默认名称及测试用SSID，并定期更改无线路由器的SSID号。另建议用户关闭无线路由器的SSID广播功能。③必要时，关闭无线路由器的DHCP服务。DHCP服务会暴露用户网络的一些信息，无线客户端可以获得IP地址、子网掩码、网关等信息。这样，入侵者很轻易就可以使用无线路由器的资源，成为一个有隐患的漏洞。④充分利用路由器的安全功能，通过路由器提供安全设置功能对IP地址进行过滤、MAC地址绑定等，限制非法用户接入。⑤选择最新加密设置。目前大多数无线客户端、路由器及AP都已经全面支持WPA协议，WEP在当今基本失去安全意义，可以选择WPA/WPA2和WPA-PSK/WPA2-PSK这几种模式，同时建议采用AES加密算法。⑥采用802.1x身份验证。该认证用于以太网和无线局域网中的端口访问与控制。基于PPP协议定义的EAP扩展认证协议，可以采用MD5、公共密钥等更多认证机制，从而提供更高级别的安全。802.1x的客户端认证请求可以独立搭建Radius服务器进行认证，目前已经成为大中型企业、高校等无线网络强化的首选。
6结束语
无线局域网使用简单、操作安装方便，移动灵活性强，但同时面临着复杂的无线安全问题。网络技术管理人员应关注网络安全技术，提高安全防范意识，切不可对无线网络安全掉以轻心，同时采取合理的网络安全措施规避无线网络安全风险。
参考文献
［1］JoshuaWright.黑客大曝光：无线网络安全［M］.李瑞民，冯全红，沈鑫，译.北京：机械工业出版社，2011.
［2］杨哲，ZerOne无线安全团队.无线网络黑客攻防［M］.北京：中国铁道出版社，2011.
［3］安淑林，白凤娥.降低无线网络风险的策略探析［J］.山西科技，2010，25（2）.
［4］周庆忠，赵海霞.无线局域网的安全性与改进方法研究［J］.微计算机信息，2010（02）.
作者：李建强 白新泉 单位：山西省气象信息中心
