綠色資源網(wǎng):您身邊最放心的安全下載站! 最新軟件|熱門排行|軟件分類|軟件專題|論壇轉(zhuǎn)帖|廠商大全

綠色資源網(wǎng)

技術(shù)教程
您的位置:首頁(yè)系統(tǒng)集成網(wǎng)絡(luò)安全 → 常見無(wú)線局域網(wǎng)設(shè)置安全的幾種隱患

常見無(wú)線局域網(wǎng)設(shè)置安全的幾種隱患

我要評(píng)論 2010/06/28 11:45:53 來(lái)源:綠色資源網(wǎng) 編輯:綠色軟件站 [ ] 評(píng)論:0 點(diǎn)擊:359次

  常見無(wú)線局域網(wǎng)設(shè)置安全的幾種隱患,關(guān)注無(wú)線局域網(wǎng)設(shè)置安全嗎?容易侵入嗎?你的無(wú)線局域網(wǎng)設(shè)置安全是不是經(jīng)常讓你上網(wǎng)時(shí)掉線,看看下面的文章,一切問題都能解決。

  有線網(wǎng)絡(luò)一直以來(lái)都是家庭、企業(yè)用戶經(jīng)常使用的網(wǎng)絡(luò)方式,但是隨著無(wú)線網(wǎng)絡(luò)的普及,有線網(wǎng)絡(luò)也漸漸的暴露出其不可避免的弊端:布線、改線工程量大;線路容易損壞;網(wǎng)中的各節(jié)點(diǎn)不可移動(dòng)。特別是當(dāng)要把相離較遠(yuǎn)的節(jié)點(diǎn)聯(lián)接起來(lái)時(shí),架設(shè)專用通信線路的布線施工難度大、費(fèi)用高、耗時(shí)長(zhǎng),對(duì)正在迅速擴(kuò)大的連網(wǎng)需求形成了嚴(yán)重的瓶頸阻塞。這時(shí)無(wú)線網(wǎng)絡(luò)就顯示其優(yōu)越性:可移動(dòng)性、安裝簡(jiǎn)單、高靈活性和擴(kuò)展能力,作為對(duì)傳統(tǒng)有線網(wǎng)絡(luò)的延伸,在許多特殊環(huán)境中得到了廣泛的應(yīng)用。以前電影中經(jīng)常出現(xiàn)的在智能大廈里任意地方移動(dòng)辦公,隨時(shí)隨地下載資料、打印文件的片斷,都出現(xiàn)在我們的現(xiàn)實(shí)生活當(dāng)中。

  但是在無(wú)線局域網(wǎng)的安全性更值得我們?nèi)プ⒁?。由于傳送的?shù)據(jù)是利用無(wú)線電波在空中輻射傳播,無(wú)線電波可以穿透天花板、地板和墻壁,發(fā)射的數(shù)據(jù)可能到達(dá)預(yù)期之外的、安裝在不同樓層、甚至是發(fā)射機(jī)所在的大樓之外的接收設(shè)備,任何人都有條件竊聽或干擾信息,數(shù)據(jù)安全也就成為最重要的問題。

  因此,我們?cè)谝婚_始應(yīng)用無(wú)線網(wǎng)絡(luò)時(shí),就應(yīng)該充分考慮其安全性,了解足夠多的防范措施,保護(hù)好我們自己的網(wǎng)絡(luò)。下面,我們就向大家介紹一些無(wú)線局域網(wǎng)所面臨的危險(xiǎn),知道了解危險(xiǎn)如何存在,那么我們?cè)偃ソ鉀Q也就相對(duì)容易一些:

  無(wú)線局域網(wǎng)設(shè)置安全:容易侵入

  無(wú)線局域網(wǎng)非常容易被發(fā)現(xiàn),為了能夠使用戶發(fā)現(xiàn)無(wú)線網(wǎng)絡(luò)的存在,網(wǎng)絡(luò)必須發(fā)送有特定參數(shù)的信標(biāo)幀,這樣就給攻擊者提供了必要的網(wǎng)絡(luò)信息。入侵者可以通過高靈敏度天線從公路邊、樓宇中以及其他任何地方對(duì)網(wǎng)絡(luò)發(fā)起攻擊而不需要任何物理方式的侵入。

  無(wú)線局域網(wǎng)設(shè)置安全:非法的AP

  無(wú)線局域網(wǎng)易于訪問和配置簡(jiǎn)單的特性,使網(wǎng)絡(luò)管理員和安全官員非常頭痛。因?yàn)槿魏稳说挠?jì)算機(jī)都可以通過自己購(gòu)買的AP,不經(jīng)過授權(quán)而連入網(wǎng)絡(luò)。很多部門未通過公司IT中心授權(quán)就自建無(wú)線局域網(wǎng),用戶通過非法AP接入給網(wǎng)絡(luò)帶來(lái)很大安全隱患。

  無(wú)線局域網(wǎng)設(shè)置安全:經(jīng)授權(quán)使用服務(wù)

  一半以上的用戶在使用AP時(shí)只是在其默認(rèn)的配置基礎(chǔ)上進(jìn)行很少的修改。幾乎所有的AP都按照默認(rèn)配置來(lái)開啟WEP進(jìn)行加密或者使用原廠提供的默認(rèn)密鑰。由于無(wú)線局域網(wǎng)的開放式訪問方式,未經(jīng)授權(quán)擅自使用網(wǎng)絡(luò)資源不僅會(huì)增加帶寬費(fèi)用,更可能會(huì)導(dǎo)致法律糾紛。而且未經(jīng)授權(quán)的用戶沒有遵守服務(wù)提供商提出的服務(wù)條款,可能會(huì)導(dǎo)致ISP中斷服務(wù)。

  無(wú)線局域網(wǎng)設(shè)置安全:服務(wù)和性能的限制

  無(wú)線局域網(wǎng)的傳輸帶寬是有限的,由于物理層的開銷,使無(wú)線局域網(wǎng)的實(shí)際最高有效吞吐量?jī)H為標(biāo)準(zhǔn)的一半,并且該帶寬是被AP所有用戶共享的。無(wú)線帶寬可以被幾種方式吞噬:來(lái)自有線網(wǎng)絡(luò)遠(yuǎn)遠(yuǎn)超過無(wú)線網(wǎng)絡(luò)帶寬的網(wǎng)絡(luò)流量,如果攻擊者從快速以太網(wǎng)發(fā)送大量的Ping流量,就會(huì)輕易地吞噬AP有限的帶寬;

  如果發(fā)送廣播流量,就會(huì)同時(shí)阻塞多個(gè)AP;攻擊者可以在同無(wú)線網(wǎng)絡(luò)相同的無(wú)線信道內(nèi)發(fā)送信號(hào),這樣被攻擊的網(wǎng)絡(luò)就會(huì)通過CSMA/CA機(jī)制進(jìn)行自動(dòng)適應(yīng),同樣影響無(wú)線網(wǎng)絡(luò)的傳輸;另外,傳輸較大的數(shù)據(jù)文件或者復(fù)雜的client/server系統(tǒng)都會(huì)產(chǎn)生很大的網(wǎng)絡(luò)流量。

  無(wú)線局域網(wǎng)設(shè)置安全:地址欺騙和會(huì)話攔截

  由于802.11無(wú)線局域網(wǎng)對(duì)數(shù)據(jù)幀不進(jìn)行認(rèn)證操作,攻擊者可以通過欺騙幀去重定向數(shù)據(jù)流和使ARP表變得混亂,通過非常簡(jiǎn)單的方法,攻擊者可以輕易獲得網(wǎng)絡(luò)中站點(diǎn)的MAC地址,這些地址可以被用來(lái)惡意攻擊時(shí)使用。

  除攻擊者通過欺騙幀進(jìn)行攻擊外,攻擊者還可以通過截獲會(huì)話幀發(fā)現(xiàn)AP中存在的認(rèn)證缺陷,通過監(jiān)測(cè)AP發(fā)出的廣播幀發(fā)現(xiàn)AP的存在。然而,由于802.11沒有要求AP必須證明自己真是一個(gè)AP,攻擊者很容易裝扮成AP進(jìn)入網(wǎng)絡(luò),通過這樣的AP,攻擊者可以進(jìn)一步獲取認(rèn)證身份信息從而進(jìn)入網(wǎng)絡(luò)。在沒有采用802.11i對(duì)每一個(gè)802.11 MAC幀進(jìn)行認(rèn)證的技術(shù)前,通過會(huì)話攔截實(shí)現(xiàn)的網(wǎng)絡(luò)入侵是無(wú)法避免的。

  無(wú)線局域網(wǎng)設(shè)置安全:流量分析與流量偵聽

  802.11無(wú)法防止攻擊者采用被動(dòng)方式監(jiān)聽網(wǎng)絡(luò)流量,而任何無(wú)線網(wǎng)絡(luò)分析儀都可以不受任何阻礙地截獲未進(jìn)行加密的網(wǎng)絡(luò)流量。目前,WEP有漏洞可以被攻擊者利用,它僅能保護(hù)用戶和網(wǎng)絡(luò)通信的初始數(shù)據(jù),并且管理和控制幀是不能被WEP加密和認(rèn)證的,這樣就給攻擊者以欺騙幀中止網(wǎng)絡(luò)通信提供了機(jī)會(huì)。

  早期,WEP非常容易被Airsnort、WEPcrack一類的工具解密,但后來(lái)很多廠商發(fā)布的固件可以避免這些已知的攻擊。作為防護(hù)功能的擴(kuò)展,最新的無(wú)線局域網(wǎng)產(chǎn)品的防護(hù)功能更進(jìn)了一步,利用密鑰管理協(xié)議實(shí)現(xiàn)每15分鐘更換一次WEP密鑰。即使最繁忙的網(wǎng)絡(luò)也不會(huì)在這么短的時(shí)間內(nèi)產(chǎn)生足夠的數(shù)據(jù)證實(shí)攻擊者破獲密鑰。

  無(wú)線局域網(wǎng)設(shè)置安全:高級(jí)入侵

  一旦攻擊者進(jìn)入無(wú)線網(wǎng)絡(luò),它將成為進(jìn)一步入侵其他系統(tǒng)的起點(diǎn)。很多網(wǎng)絡(luò)都有一套經(jīng)過精心設(shè)置的安全設(shè)備作為網(wǎng)絡(luò)的外殼,以防止非法攻擊,但是在外殼保護(hù)的網(wǎng)絡(luò)內(nèi)部確是非常的脆弱容易受到攻擊的。無(wú)線網(wǎng)絡(luò)可以通過簡(jiǎn)單配置就可快速地接入網(wǎng)絡(luò)主干,但這樣會(huì)使網(wǎng)絡(luò)暴露在攻擊者面前。即使有一定邊界安全設(shè)備的網(wǎng)絡(luò),同樣也會(huì)使網(wǎng)絡(luò)暴露出來(lái)從而遭到攻擊。

  看到這些危險(xiǎn)的信號(hào),你是不是在擔(dān)心無(wú)線局域網(wǎng)還能否使用呢?其實(shí),你不用太擔(dān)心,一切問題皆有解決的辦法。只要我們按照正確的方法,進(jìn)行正確的配置,我們的網(wǎng)絡(luò)還是很安全的。

  無(wú)線局域網(wǎng)設(shè)置安全:服務(wù)集標(biāo)識(shí)符

  (SSID)通過對(duì)多個(gè)無(wú)線接入點(diǎn)AP(AccessPoint)設(shè)置不同的SSID,并要求無(wú)線工作站出示正確的SSID才能訪問AP,這樣就可以允許不同群組的用戶接入,并對(duì)資源訪問的權(quán)限進(jìn)行區(qū)別限制。因此可以認(rèn)為SSID是一個(gè)簡(jiǎn)單的口令,從而提供一定的安全,但如果配置AP向外廣播其SSID,那么安全程度還將下降。

  由于一般情況下,用戶自己配置客戶端系統(tǒng),所以很多人都知道該SSID,很容易共享給非法用戶。目前有的廠家支持"任何(ANY)"SSID方式,只要無(wú)線工作站在任何AP范圍內(nèi),客戶端都會(huì)自動(dòng)連接到AP,這將跳過SSID安全功能。

  無(wú)線局域網(wǎng)設(shè)置安全:物理地址過濾(MAC)

  由于每個(gè)無(wú)線工作站的網(wǎng)卡都有唯一的物理地址,因此可以在AP中手工維護(hù)一組允許訪問的MAC地址列表,實(shí)現(xiàn)物理地址過濾。這個(gè)方案要求AP中的MAC地址列表必需隨時(shí)更新,可擴(kuò)展性差;而且MAC地址在理論上可以偽造,因此這也是較低級(jí)別的授權(quán)認(rèn)證。

  物理地址過濾屬于硬件認(rèn)證,而不是用戶認(rèn)證。這種方式要求AP中的MAC地址列表必需隨時(shí)更新,目前都是手工操作;如果用戶增加,則擴(kuò)展能力很差,因此只適合于小型網(wǎng)絡(luò)規(guī)模。

  無(wú)線局域網(wǎng)設(shè)置安全:連線對(duì)等保密(WEP)

  在鏈路層采用RC4對(duì)稱加密技術(shù),用戶的加密密鑰必須與AP的密鑰相同時(shí)才能獲準(zhǔn)存取網(wǎng)絡(luò)的資源,從而防止非授權(quán)用戶的監(jiān)聽以及非法用戶的訪問。WEP提供了40位(有時(shí)也稱為64位)和128位長(zhǎng)度的密鑰機(jī)制,但是它仍然存在許多缺陷。

  例如一個(gè)服務(wù)區(qū)內(nèi)的所有用戶都共享同一個(gè)密鑰,一個(gè)用戶丟失鑰匙將使整個(gè)網(wǎng)絡(luò)不安全。而且40位的鑰匙在今天很容易被破解;鑰匙是靜態(tài)的,要手工維護(hù),擴(kuò)展能力差。目前為了提高安全性,建議采用128位加密鑰匙。

  無(wú)線局域網(wǎng)設(shè)置安全:Wi-Fi保護(hù)接入(WPA)

  WPA(Wi-FiProtectedAccess)是繼承了WEP基本原理而又解決了WEP缺點(diǎn)的一種新技術(shù)。由于加強(qiáng)了生成加密密鑰的算法,因此即便收集到分組信息并對(duì)其進(jìn)行解析,也幾乎無(wú)法計(jì)算出通用密鑰。其原理為根據(jù)通用密鑰,配合表示電腦MAC地址和分組信息順序號(hào)的編號(hào),分別為每個(gè)分組信息生成不同的密鑰。

  然后與WEP一樣將此密鑰用于RC4加密處理。通過這種處理,所有客戶端的所有分組信息所交換的數(shù)據(jù)將由各不相同的密鑰加密而成。無(wú)論收集到多少這樣的數(shù)據(jù),要想破解出原始的通用密鑰幾乎是不可能的。WPA還追加了防止數(shù)據(jù)中途被篡改的功能和認(rèn)證功能。

  由于具備這些功能,WEP中此前倍受指責(zé)的缺點(diǎn)得以全部解決。WPA不僅是一種比WEP更為強(qiáng)大的加密方法,而且有更為豐富的內(nèi)涵。作為802.11i標(biāo)準(zhǔn)的子集,WPA包含了認(rèn)證、加密和數(shù)據(jù)完整性校驗(yàn)三個(gè)組成部分,是一個(gè)完整的安全性方案。

  無(wú)線局域網(wǎng)設(shè)置安全:國(guó)家標(biāo)準(zhǔn)(WAPI)

  WAPI(WLANAuthenticationandPrivacyInfrastructure),即無(wú)線局域網(wǎng)鑒別與保密基礎(chǔ)結(jié)構(gòu),它是針對(duì)IEEE802.11中WEP協(xié)議安全問題,在中國(guó)無(wú)線局域網(wǎng)國(guó)家標(biāo)準(zhǔn)GB15629.11中提出的WLAN安全解決方案。同時(shí)本方案已由ISO/IEC授權(quán)的機(jī)構(gòu)IEEE Registration Authority審查并獲得認(rèn)可。

  它的主要特點(diǎn)是采用基于公鑰密碼體系的證書機(jī)制,真正實(shí)現(xiàn)了移動(dòng)終端(MT)與無(wú)線接入點(diǎn)(AP)間雙向鑒別。用戶只要安裝一張證書就可在覆蓋WLAN的不同地區(qū)漫游,方便用戶使用。

  與現(xiàn)有計(jì)費(fèi)技術(shù)兼容的服務(wù),可實(shí)現(xiàn)按時(shí)計(jì)費(fèi)、按流量計(jì)費(fèi)、包月等多種計(jì)費(fèi)方式。AP設(shè)置好證書后,無(wú)須再對(duì)后臺(tái)的AAA服務(wù)器進(jìn)行設(shè)置,安裝、組網(wǎng)便捷,易于擴(kuò)展,可滿足家庭、企業(yè)、運(yùn)營(yíng)商等多種應(yīng)用模式。

  無(wú)線局域網(wǎng)設(shè)置安全:端口訪問控制技術(shù)(802.1x)

  無(wú)線局域網(wǎng)設(shè)置安全:該技術(shù)也是用于無(wú)線局域網(wǎng)的一種增強(qiáng)性網(wǎng)絡(luò)安全解決方案。當(dāng)無(wú)線工作站STA與無(wú)線訪問點(diǎn)AP關(guān)聯(lián)后,是否可以使用AP的服務(wù)要取決于802.1x的認(rèn)證結(jié)果。如果認(rèn)證通過,則AP為STA打開這個(gè)邏輯端口,否則不允許用戶上網(wǎng)。

  802.1x要求無(wú)線工作站安裝802.1x客戶端軟件,無(wú)線訪問點(diǎn)要內(nèi)嵌802.1x認(rèn)證代理,同時(shí)它還作為Radius客戶端,將用戶的認(rèn)證信息轉(zhuǎn)發(fā)給Radius服務(wù)器。802.1x除提供端口訪問控制能力之外,還提供基于用戶的認(rèn)證系統(tǒng)及計(jì)費(fèi),特別適

關(guān)鍵詞:無(wú)線局域網(wǎng)

閱讀本文后您有什么感想? 已有 人給出評(píng)價(jià)!

  • 0 歡迎喜歡
  • 0 白癡
  • 0 拜托
  • 0 哇
  • 0 加油
  • 0 鄙視