基于Wi-Fi的WLAN应用与安全探讨

2012-08-22王春娟华东管道设计研究院江苏徐州008中石化管道徐州管道技术作业分公司江苏徐州008

科技视界 2012年26期

黄全王春娟（.华东管道设计研究院江苏徐州 008；.中石化管道徐州管道技术作业分公司江苏徐州 008）

WLAN（Wireless Local Area Networks）以红外线、微波与激光等无线电波作为传输介质通过无线通信的方式组建局域网为接入终端提供物理接口。WLAN具有安装便捷、使用灵活、接入方便、经济节约、易于扩展等特点。随着WLAN的技术不断更新，应用范围不断扩大，已经逐渐在餐饮、宾馆、休闲娱乐场所、机场、家庭等场所普及，并且在医疗、办公场所、工业等领域发展。WLAN的安全已经是在部署应用中必须重视也是必须合理解决的问题。

1 基于Wi-Fi的WLAN技术标准

WLAN在其发展过程中，主要有IEEE802.11和HIPERLAN-2两大标准体系。HIPERLAN-2标准基于连接的面向语音的蜂窝电话，IEEE802.11标准基于无连接的面向数据的计算机局域网，Wi-Fi技术就是解决基于IEEE802.11标准的无线网络产品之间的互连互通。目前的WLAN基本上都采用IEEE802.11标准开发。

自1997年颁布IEEE802.11标准至今，先后推出了IEEE802.11b、IEEE802.11a、IEEE802.11g、IEEE802.11n 等标准，表1列举了相应的工作频段、通信技术、数据最高速率、特点等。

表1 IEEE802.11系列标准对照表

2 WLAN的应用

2.1 WLAN的连接类型

WLAN主要有Ad Hoc网络和Infrastructure网络两种连接类型。Ad Hoc网络是由点对点连接的一组无线终端组成的网络，不需要无线AP和有线网络支持，直接通过无线网卡之间通信。Infrastructure网络的无线终端通过无线AP或者无线路由器与有线网络连接，通过AP实现无线终端的互访和有线网络资源的共享。

2.2 WLAN的设备

为了实现无线终端与有线网络或者无线终端与无线终端的连接，需要无线网卡、无线AP、无线网桥、无线路由器、无线天线、WLC（无线局域网控制器）等无线设备。其中无线网卡有PCMCIA、PCI、USB和MINI-PCI等接口类型，负责将发送的数据按照IEEE802.11帧结构封装或者将接收到的数据进行解帧，能够与无线AP和无线路由器连接；无线AP就是无线终端的接入点，实现无线终端与有线网络的连接；无线网桥就是无线交换机，通过无线连接两个或多个无线AP，中继无线信号扩展无线范围；无线路由器是具有无线功能的路由器，具有无线AP和宽带路由器的功能；WLC负责控制、配置、检测接入点，具有认证无线终端并、将无线终端与无线AP的关联、在两个无线终端间转发数据帧等功能。

2.3 WLAN的应用与拓扑

2.3.1 WLAN在SOHO办公或者家庭中应用

在SOHO办公和家庭环境中，连网的终端数量不多，并且大多是宽带接入，WLAN的部署能够使得联网更便捷、具有移动性。一般网络拓扑如下图1，Modem与进户的宽带连接提供拨号接入互联网，无线路由器通过Modem获取联网权限同时为台式计算机、笔记本、PDA/智能手机等Wi-Fi终端提供有线的或者无线的网络连接。

图1 SOHO/家庭WLAN拓扑图

2.3.2 WLAN作为中小型局域网的扩展

对于中小型局域网来说，网络拓扑结构逻辑关系明了，实施WLAN对现有布局能够起到一定的扩展，并且不会影响现有网络的结构。一般拓扑图如下图2。

图2 中小型局域网中实施WLAN拓扑结构图

在现有网络的基础上，在交换机端口上直接与无线路由器或者无线AP连接提供无线功能实施WLAN。一个无线AP或者无线路由器所覆盖的WLAN范围被称之为BSS（基本服务集），多个BSS通过现有的局域网组成了ESS（扩展服务集），无线终端可以在ESS中的多个BSS间漫游。通常情况下，部署的每一个无线AP是独立自治的。

2.3.3 WLAN在大型网络中的应用

在大型网络中，网络结构复杂，数据流量大，安全性要求高，实施WLAN时一般需要综合考虑各方面因素，设计合理的WLAN布局。通常情况下在大型网络中部署WLAN采用轻量级模型，网络拓扑图如下图3。

图3 大型网络中部署WLAN网络拓扑图

轻量级WLAN模型是基于无线控制器的体系架构，主要由AP和WLC组成。一般情况下WLC部署在汇聚层，通过CAPWAP或者LWAPP隧道实现AP与WLC间通信，所有无线终端间的通信都经过WLC。

2.3.4 WLAN作为建筑物间的连接

一般情况下在不同建筑物间的通信采用光纤、专线等方式连接，但是考虑到专线高昂成本以及无线的便易可操作性等因素，通常采用点对点的无线传输方式。一般情况下，根据两建筑物间的位置、距离、中间障碍物等情况，选择合理的天线和无线网桥，在11Mbp/s的速率下能传输至1.3km。

3 WLAN的安全技术

在Wi-Fi使用早期，WLAN是开放访问的，只需要SSID认证即可。随着Wi-Fi技术的不断发展，IEEE802.11体系中除了 SSID（服务集标识符）、WEP（Wired Equivalent Privacy,有线等效保密）和MAC地址认证基本安全外，增加诸如WPA（Wi-Fi Protected Access，Wi-Fi 受保护接入）、WPA2、TKIP（临时密钥完整性协议）、AES（高级加密标准）等安全技术，确保链路安全和数据安全。

3.1 SSID认证

SSID是部署WLAN的无线设备的通用网络名，能够防止任何没有SSID无线终端的非法访问。在无线终端与AP间接入的扫描阶段，通过SSID匹配来寻找AP，如果SSID不符，将无法实现接入。

3.2 MAC地址认证

MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法。MAC地址认证只允许指定的MAC地址通过，过滤并拦截其余的MAC地址；或者只过滤拦截指定的MAC地址，允许其余的MAC地址通过。

3.3 WEP

WEP用来保护无线局域网中的授权用户所交换的数据的机密性，防止这些数据被随机窃听，为用户提供在有线网络所使用的相同保密机制。WEP使用共享密钥（静态Key）来实现认证，使用RC4对称加密标准加密数据。WEP加密过程如下图4，WEP解密刚好与其相反。

图4 WEP加密过程图解

由于RC4加密算法、过短的初始向量和静态共享密钥等限制，WEP还是存在比较大的安全隐患，并且不存在身份验证机制。

3.4 WPA与WPA2

WPA是一种比WEP安全性更高方法，采用了48位的初始向量（IV）、128位的Key、基于RC4加密算法的TKIP、基于哈希算法的消息完整性校验（MIC）和动态Key管理等机制，支持PSK（预共享密匙）和802.1X两种认证方式。WPA2是WPA的第二个版本，采用基于AES加密算法的CCMP机制。WPA和WPA2不仅实现了链路的认证安全还保证了数据的机密性和完整性。

3.5 WAPI

WAPI(WLAN Authentication and Privacy Infrastructure，无线网络认证保密基础设施)采用国家密码管理委员会办公室批准的公开密钥体制的椭圆曲线密码算法和对成密钥体制的分组密码算法，实现了设备的身份鉴别、链路验证、访问控制和用户信息在无线传输状态下的加密保护。

4 WLAN的安全风险分析

无线终端与AP的接入需要经历无线站点扫描、接入认证和关联三个阶段，之后才是传输数据帧。在扫描、认证、关联和传输等各个环节都存在着安全风险，主要有无线搜索、窃听、未授权访问端和拒绝服务等几种。

4.1 无线搜索

黑客利用便利的交通和无线搜索工具并借助GPS能够快速的标记所经过区域的无线AP的地理位置，甚至在关闭SSID广播的情况下获取到该AP的SSID、速率、默认配置等信息。

4.2 窃听

窃听是任何一个局域网的安全威胁。当窃听者搜索到AP并破解了WEP密码进入WLAN，那么就能随意抓取该WLAN中的数据包，并对其分析出敏感信息。

4.3 未授权访问端

一个未授权访问端是一个到公司网络的未授权连接。一个未授权的AP可能会被攻击者安装，当攻击者所攻击的目标尝试连接该AP时，就会发生访问端欺骗，攻击者就可以试图获取用户名和密码或者轻松地监视流量以及网络中的其他主机。

4.4 拒绝服务

尽管DoS攻击并不能让攻击者达到访问目的，但它却能造成WLAN的服务中止，破坏合法用户的服务使用或者瘫痪网络。WLAN常见的DoS攻击有验证泛滥攻击、解除认证泛滥攻击、网络干扰攻击、设备毁坏攻击等形式，破坏服务器、无线终端、AP甚至整个WLAN。

5 WLAN安全部署

随着WLAN的安全越来越被关注，技术手段也越来越多。一般无线设备都支持链路认证、接入认证和数据加密等。当前802.11的链路认证支持不安全的OSA（开放系统认证）和Shared-Key（共享密钥）两种认证方式，用户接入认证有MAC地址认证、PSK认证、802.1X认证等三种方式，数据安全有WEP、TKIP、CCMP三种加密机制。当时不同的场合不同的需求采用不同的安全策略。