無線局域網安全協議的發展背景

　　目前，WLAN業務的需求日益增長，但是相應的安全措施卻無法令人滿意。最初人們在研究無線網絡的安全問題時，理所當然地把原來應用于有線網絡的安全協議植入到無線網絡中去，但是這種移植的效果，從WLAN安全標準的發展情況看，還遠遠未達到要求。從計算機網絡誕生的第一天起，無線網絡的安全性問題就已成為網絡發展的瓶頸。而無線應用的不斷增長又使得該問題更徹底地暴露出來。大多數企業都愿意通過有線局域網來傳送重要信息，而不用無線局域網，這使得企業雖然確保了信息的安全，卻不能利用無線局域網的經濟性和靈活性。

　　目前，IEEE正致力于消除WLAN的安全問題，并預期在2004年底提出一個新的無線安全標準來代替現有標準。然而許多企業并不想等那么久，它們愿意采用一些即時可用的安全技術來應對目前的需要。但是，當前可用的安全協議標準—WEP—并不能使那些重要信息免?
遭惡意攻擊，另外還有一種過渡期的標準WPA，它彌補了WEP中的大多數缺陷，但也并非完美。IEEE 802.11i才是下一代無線安全標準，不過這還需要一段時間才能完成。那么，目前公司需要怎樣保證WLAN的安全性呢，總不能在802.11i還未完成的這幾個月內什么都不做吧？

　　?WLAN安全協議介紹

　　WEP算法主要是防止無線傳輸信息被竊聽，同時也能防止非法用戶入侵網絡。在一個運行WEP協議的網絡上，所有用戶都要使用共享密鑰，也就是說用戶在終端設備上需設置密碼并且要和其相連的接入點設置的密碼相對應。所有數據包都由共享密鑰加密，如果沒有這個密鑰，任何非法入侵者或企圖入侵者都無法解密數據包。但是，WEP機制自身卻存在安全隱患。也許最大的隱患是許多接入點的配置默認WEP項是關閉的。接入點通常采用了默認的出廠配置，這導致了一個巨大的安全漏洞。 　　　　

　　即使WEP處于開啟狀態并且設置了新的共享密鑰，這一機制也存在極大的隱患。WEP采用RC4加密機制來對數據加密。但問題是WEP密鑰太易受攻擊了，像AirSnort和WEPCrack這樣的應用軟件僅需要抓取100MB這么小的流量，在幾秒內就能解密受WEP保護的網絡信息。在大業務量的無線網絡中，攻擊者可在幾分鐘內免費接入到WLAN中。另外，WEP使用CRC來做數據校驗，CRC很容易被攻擊者通過翻轉數據包中的比特來破壞其可靠性。

　　WEP的另一個主要問題是其地址加密，WEP并不能提供一種方法以確保合法用戶的身份不會被非法入侵者冒充。任何人只要知道WEP共享密鑰和網絡SSID(服務者身份)都能接入該網絡。當用這些信息來連接網絡時，管理者無法判斷接納還是拒絕這一連接。另外，一旦共享密鑰被破譯或丟失，就必須手動修改所有網絡設備的共享密鑰，這真是一個令人頭疼的管理問題。如果密鑰丟失而自己又毫不知情，這也將是一個安全隱患。

??? 雖然WEP有這么多缺點，但如果你的公司并未使用WPA或802.11i，WEP還是可以勉強接受的。如果你的公司還在權衡是否采用WPA，那么最好暫時先使用最優化的WEP協議。

　　最優化使用WEP協議

　　首先，確定WEP處于開啟狀態。Wi-Fi聯盟確保符合802.11a、802.11b和802.11g標準的接入點和無線網卡都支持WEP協議(注意，默認狀態不一定是開啟狀態)，這可以避免入侵者的偶然攻擊，比如那些在公共場所通過筆記本電腦上網的過路者。僅此一點，就相當重要。因為許多業內企業都反映，過路者能通過筆記本電腦輕松地連接到企業內部的無線局域網中，如果WEP能解決這一難題，我們就能節省出更多的時間來關注更危險的襲擊。

　　其次，各部門應該定期更改默認的SSID和共享密鑰。因為攻擊者很容易就能編程自動地搜索SSID和產品出廠時設置的默認密鑰，定期改變SSID和密鑰，將避免部門成為“盲測式攻擊”的目標。值得注意的是，通過無線電波極易獲取SSID，因此攻擊者一般會鎖定某一部門成為攻擊目標，并且不達目的不會輕易罷手。再者，應該實現MAC地址過濾。這需要在接入點和路由器中配置合法設備的MAC地址列表，使那些列表中出現的MAC地址才能夠接入到網絡中。這樣即使發現了正確的SSID和密鑰，入侵者也不能接入到網絡中。但這一反攻擊措施仍不理想，因為入侵者可以采用欺騙手段，將其MAC地址設為合法用戶的MAC地址從而接入無線網絡中。
??? 最后，我們必須認識到，WEP并不能保證絕對的網絡安全。但是，有WEP總比什么都沒有好，因為像AirSnort和WEPCrack這樣的軟件很容易使企業成為攻擊者的目標。想在無線網絡上安全地發送密文，我們還需要做更多的工作。

　　WPA的基本算法

　　802.11i協議已于今年6月被IEEE批準為正式的WLAN安全標準，但由于Wi-Fi聯盟要對符合該標準的各種設備進行通用性測試等一系列認證，故有望在年底推廣應用，這一舉措將徹底彌補WEP的安全漏洞。然而，很多企業迫不及待的需要一個安全協議。正是由于這種迫切需要，在推出802.11i之前，Wi-Fi聯盟發布了一個過渡協議WPA，它可以看作是802.11i的一個簡本。WPA主要完成了以下工作：解決了WEP的主要安全問題，尤其是它在共享密鑰上的漏洞；添加了用戶級的認證措施；解決了系統的升級問題，傳統的802.11b的接入點和無線網卡只需要簡單的軟、硬件升級，就可以應用WPA協議了。

　　WPA用新算法解決了WEP在加密和數據校驗上的缺陷。這些算法就是TKIP和Michael。TKIP的設計一方面利用了傳統接入點中RC4算法的硬件加速性能，一方面又避免了WEP的缺陷。TKIP的主要優點就在于它采用了密鑰輪轉，針對每一個包它都改變密鑰，同時把初始矢量的大小加倍，這樣使得網絡更安全。因為如果初始矢量很短，并且可被預測，再加上使用靜態密鑰，無疑給攻擊者打開方便之門。 Michael則是完成數據校驗的MIC算法。一個MIC就是一段密文摘要。Michael算法允許WPA系統檢查攻擊者是否修改了數據包企圖欺騙系統。因為現有的很多802.11b的網絡接口卡和接入點的處理能力都比較低，因此Michael算法專門針對低運算能力進行了設計。也正因為如此，Michael所能提供的安全保證比同類校驗算法要低一些。不過，即使這樣，也遠遠好于WEP協議使用的CRC算法。接入點在收到包時，會采用Michael策略來進行處理。一旦它發現有兩個包都沒有通過某個共享密鑰的Michael算法校驗，那么它就會斷開這一連接，同時等候一分鐘，再創建一個新的連接。然而這一策略又會讓入侵者發起另一種惡意攻擊，那就是“拒絕服務”類型的攻擊。攻擊者會故意發送一些包讓他們無法通過Michael算法校驗，這樣會引起接入點斷掉某一用戶的連接。如果不斷發起這種攻擊，攻擊者就能使接入點長期處于下線狀態。即使這樣，Michael算法也比沒有安全保證要好，雖然攻擊者可以切斷某個接入點，但Michael防止了攻擊者進入網絡內部從而造成更大的傷害。

　　WPA還使用802.1x標準彌補了WEP的另一個缺陷，那就是它缺乏一種用戶和網絡間的認證。

　　802.1x標準在兩個終端間定義了一個擴展的認證協議和一個加密協議EAPOL(Extensible Authentication Protocolover LAN)，這個協議可以實現用戶到網絡的認證。然而EAP最初是為有線網絡設計的，它首先假定網絡和終端設備間的物理連接是安全可靠的，因此它對防止竊聽幾乎無能為力。所以在WLAN中，終端和網絡間的鏈路需要加密保護，EAP-TLS(EAP over Transport Level Security)和PEAP(Protected EAP)等隧道協議提供了這種必需的加密保護。?? TLS是安全套接字協議的繼承者，后者被廣泛應用于Web服務中，來保護信息安全。EAP-TLS是對TLS的一個補充，它在用戶和服務站點間使用數字證書來實現認證。雖然在大多數情況下，WEP將會升級為WPA，但這兩種協議并不能共存。WPA的硬件如果安裝在非WPA接入點或者網絡接口卡中，它將退化為一個WEP硬件。WPA有一個操作模式允許WPA系統和WEP系統使用同樣的廣播密鑰，在這種模式下，工作人員應該對WPA進行配置，防止同時使用WPA和WEP進行操作。802.11i協議構成

　　802.11i協議包括WPA和RSN兩部分。WPA我們在前面已經作了詳述。RSN是接入點與移動設備之間的動態協商認證和加密算法。802.11i的認證方案是基于802.1x和EAP，加密算法是AES。動態協商認證和加密算法使RSN可以與最新的安全水平保持同步，不斷提供保護無線局域網傳輸信息所需要的安全性?！　?/p>

　　協議間的過渡問題

　　企業在眾多安全協議中做出選擇后，接下來就面臨著從WEP到WPA，再到802.11i的軟、硬件問題了。在2003年秋，Wi-Fi規定新的802.11b硬件必須支持WPA才能獲得聯盟的認證。WPA在設計之初就考慮了系統升級問題，因?
此傳統的接入點和無線網卡只需進行簡單的升級，理論上就能升級為WPA系統。但在實際應用中，可能不盡如人意。且不說一個企業的接入點是否能進行軟件升級，單單從WPA的算法的復雜性來說，就遠遠高于WEP，這就需要設備有更強的處理能力，如果不引入更多的終端設備來分擔處理任務的話，將會導致系統性能下降。這對使用WLAN的企業來說是不能接受的，因此，若想使用WPA，不僅要升級軟件，還需要更新硬件設備。

　　在軟件方面，企業需要操作系統支持WPA，這主要是要求操作系統能夠對WPA設備正確設置數據包的格式，同時還能在用戶和網絡接口卡間傳遞802.1x的認證信息。在使用WPA協議的網絡上，用戶還需要安裝802.1x認證的客戶端軟件，這個軟件給用戶提供了一個接口來配置和管理802.1x的認證信息，例如數字證書和口令等。僅僅用戶配置了信息還不夠，在網絡上還需要一個RADIUS服務器來完成認證，該服務器要支持EAP和EAPOL標準。

　　從某種程度上說，針對WLAN的設計、維護網絡安全遠比在有線網絡上復雜得多，也就是說需要更多的經濟投入。但是如果企業很重視安全問題，又需要WLAN這種環境的靈活性，那么它必須在安全性和經濟性之間找到平衡點?？偟膩碚f，從WEP過渡到WPA，可以使WLAN暫時處于更安全的保護下，同時，這也為將來采用802.11i做好了準備。 ?

　　目前企業該如何選擇安全協議

??? 盡管WEP,WPA和802.11i看似界限清晰，但卻有繼承關系，企業可以通過逐步升級來使自己的無線局域網更加健壯安全。當然，對有些使用WLAN的企業來說，它們更喜歡一種跳躍式發展。這樣，網絡管理者面臨的最基本的問題，就是選擇等待802.11i的出臺或是現在就應用WPA?？紤]到WPA之后緊接著就是802.11i標準，那么現在采用WPA是否值得呢？答案是肯定的，因為對WLAN的安全襲擊所造成的潛在損失實在太大了，我們無法知道等待802.11i出臺期間會發生什么樣的安全問題；而且，從WPA到802.11i具有很好的可移植性，802.11i對WPA向后兼容，即WPA的硬件和軟件將繼續與802.11i的硬件一起工作。802.11i在2004年年底將成為WLAN的最終安全標準，其相應的產品也會隨后出現。但對大多數企業來說，現在使用WPA就已經足夠了。WPA致力于解決WEP面臨的所有問題，包括對AirSnort和WEPCrack這樣的免費軟件的攻擊。如果一個企業想在WLAN上保證安全，WPA是一個明智的選擇，即使在802.11i發布后它仍值得繼續使用。

??? 對于WEP來說，它作為目前應用最廣泛的WLAN安全協議，還遠遠不能保證WLAN的安全，那么它是否就一無是處呢？還有，如果你的無線設備并不支持WPA，能先用WEP嗎？答案是，如果恰當使用WEP，它也可以在一定程度上降低網絡被入侵的可能性。

　　雖然WLAN技術在不斷發展，但大多數安全專家還是主張將WLAN建立在企業核心系統網絡之外，WLAN用戶必須通過VPN才能訪問網絡內部。目前，Ipsec VPN仍是部署最為廣泛的平臺，為有線與無線客戶設備和遠程主機進行驗證并提供安全訪問，有效地保護著企業的內部資源。

　　即使最近的802.11i協議，也存在著缺陷，并不能完全消除安全隱患，而且不管是WPA還是802.11i，其設備的向后兼容性都不是很好，所以對很多仍然用早期操作系統的公司來說，采用它們也并不是一個明智的選擇。可以說，沒有一種方案是能完全解決所有安全問題的，對企業來說，與其依賴一種安全技術，不如選擇適合自身情況的無線安全方案，建立多層次的安全保護，這樣才能在自己力所能及的范圍內有效地避免無線技術帶來的安全風險。?