無線安全技術大揭秘

一名銀行職員通過非法接入無線網絡盜竊在線銀行賬目內的資金；一名咨詢員非法進入了某公司的無線網絡，盜取該公司與市政當局口水戰有關的敏感文件；每天都在發生無線網絡泄密事件。更有統計，早在2003年，針對無線局域網的攻擊已經占全球互聯網攻擊事件總數的23%，而04年6月就達到了03年綜合。近年來，針對無線網絡的攻擊更為嚴重。發生這些事件的原因是由于無線安全技術還不周全，之前僅限于MAC地址過濾、AP隔離等技術，防范能力較弱。

現在，不僅對個人用戶來說，無線上網成了流行趨勢，對企業用戶來說，無線局域網也大有取代有線網絡的趨勢，因為無線網絡相比于有線網絡來說有無可替代的優勢。一是無線網絡所提供的帶寬越來越高，一個AP足以供應60位以上員工的辦公需求，在帶寬方面，無線網絡有優勢；二是無線接入方面，成本更為低廉；三是無線網絡在部署方面更為簡潔，有線網絡需要考慮布線等問題，而無線網絡不受辦公條件的限制，更加適合在企業中應用。另外，隨著統一通信的流行，無線局域網可以把員工的無線終端納入統一通信的管理之中，方便企業之間的通信，為企業帶來極大方便。

但是，無線網絡的安全問題不得不引起我們的重視。對無線網絡來說，部署網絡安全最大的困難不是在網絡規劃部署方面，而是如何去說服用戶去進行客戶端的配置。傳統的認證加密方式是在網頁上輸入用戶名和密碼，對用戶來說，操作簡單易行。而對于801.11i來說，認證方式在配置方面較為復雜。如果說一個企業里有100個接入設備，那么用戶想要使用這種認證方式，就必須在這100個設備上分別進行配置。另外，安全認證的級別越高，意味著用戶所需要配置的信息就越多，這對用戶來說極為不便，這也是是導致用戶還傾向于用傳統認證方式的原因。如今，無線網絡發展越來越快，但是黑客的技術也在不斷發展。下面將分別介紹針對每種安全漏洞的技術解決辦法。

消除無線通信中的干擾

由于無線網絡利用的是空中的無線資源，不可避免會產生干擾。干擾包括影響正常的無線通訊工作的不需要的干擾信號。在企業用戶的無線網絡中，同一個AP的用戶之間可能會產生干擾，同一個信道中的用戶也可能產生干擾。通常，解決無線射頻干擾的方法有降低物理數據率、降低受影響AP的發射功率以及改變AP信道分配三種方式。

目前市場上充斥著大量采用全向雙極天線的AP，這些天線從各個方向發送和接收信號。由于這些天線總是不分環境，不分場合地發送和接收信號，一旦出現干擾，這些系統除了與干擾做斗爭以外沒有其它辦法。它們不得不降低物理數據傳輸速率，直至達到可接受的丟包水平為止。而且隨之而來的是，共享該AP的所有用戶將會感受到無法忍受的性能下降。

另一種是降低AP的發射功率，從而更好地利用有限的信道數量。這樣做可以減少共享一臺AP的設備數量，以提高AP的性能。但是降低發射功率的同時也會降低客戶端接收信號的強度，這就轉變成了更低的數據率和更小范圍的Wi-Fi覆蓋，進而導致覆蓋空洞的形成。而這些空洞必須通過增加更多的AP來填補。而增加更多AP，可以想象，它會制造更多的干擾。

大多數WLAN廠商希望用戶相信，解決Wi-Fi干擾的最佳方案是“改變信道”。就是當射頻干擾增加時，AP會自動選擇另一個“干凈”的信道來使用。雖然改變信道是一種在特定頻率上解決持續干擾的有效方法，但干擾更傾向于不斷變化且時有時無。通過在有限的信道中跳轉，引發的問題甚至比它解決的問題還要多。

這三種抗干擾方式都無法從根本上解決無線網絡中的干擾問題。針對這些情況，新型Wi-Fi技術結合了動態波束形成技術和小型智能天線陣列(即所謂的“智能Wi-Fi”)，成為一種理想的解決方案。動態波束形成技術專注于Wi-Fi信號，只有在他們需要時，即干擾出現時才自動“引導”他們繞過周圍的干擾。比如在出現干擾時，智能天線可以選擇一種在干擾方向衰減的信號模式，從而提升SINR并避免采用降低物理數據率的方法。

Ruckus公司中國區技術總監宣文威認為，智能天線陣列會主動拒絕干擾。由于Wi-Fi只允許同一時刻服務一個用戶，因此，這些天線并非用于給某一個指定的客戶端傳輸數據之用，而是用于所有客戶端，這樣才能忽略或拒絕那些通常會抑制Wi-Fi傳輸的干擾信號。去年，伯明翰的兩所學校就使用了Ruckus的智能無線局域網產品和技術，新的智能無線網絡系統將為學校的所有工作人員和學校提供可靠的Wi-Fi信號覆蓋，并支持各種移動應用。尤其重要的一點是，Ruckus ZoneFlex系列產品易于配置和管理，在安全方面，為技術人員和用戶都減輕了很多負擔。經過這兩所學校的使用證明，這種新的動態波束形成技術可以很有效地防止干擾問題。

Aruba公司亞太地區技術顧問Eric Wu在談及干擾問題時介紹了一種將AP轉換為AM（Air Monitor）的方式。比如說一個網絡能夠容納80個AP，但是實際規劃時，卻有100個AP。由于AP太密集，AP之間或者同信道之間都會產生干擾。這時，一部分AP將轉換為AM，AM會檢測該信道的資源使用情況。在AM模式下，AP作為網絡監測器工作，AM負責檢測無線環境和有線環境。而AP和AM之間的轉換，也不需要額外的其他設備參加，只需在無線控制器中進行。

身份認證和授權

無線網絡黑客一個經典的攻擊方式就是欺騙和非授權訪問。黑客試圖連接到網絡上時，簡單的通過讓另外一個節點重新向AP提交身份驗證請求就可以很容易的欺騙無線身份驗證。還有一種威脅就是當訪客身份的用戶接入到網絡中時，理應被授予訪客的權限。但是由于傳統的身份認證和授權功能是分別在兩個設備上進行，兩個設備缺乏有效地一次性的溝通，訪客就有可能獲得更高的權限而侵犯到該公司的機密信息。這是由于用戶和用戶權限不統一帶來的安全威脅。

傳統上，針對用戶非法接入的無線局域網安全技術有：無線網卡MAC地址過濾技術，服務區標識符(SSID)匹配，有線等效保密（WEP）等。但是這些技術都證明在無線網絡中不能有效解決問題。

通過Ruckus開發的一種叫做動態預共享密鑰（PSK）的新技術，可以消除安全訪問無線網絡時所需的加密密鑰、口令或用戶證書的繁瑣、耗時的手動安裝程序。動態PSK只需很少或者無需人工操作，就可以通過為每個認證用戶動態生成強有力且唯一的安全密鑰，并將這些加密密鑰自動安裝到終端客戶端設備上。

再以TRAPEZE公司為東莞假日酒店設計的無線解決方案為例，酒店中心存在兩種類型的用戶，一種是網絡移動設備，二是酒店中的接入客戶。TRAPEZE無線網絡解決方案支持內置和外置的MAC地址數據庫用于網路的設備認證，同時內置的靜態WEP算法采用了防止“弱”初始化向量措施，使得對于此類網絡的破解大為困難。