浅谈基于WIFI的无线网络安全

赵九思 刘 剑

（天津市公安局，中国 天津 300020）

随着无线技术的迅速发展，无线保真技术WIFI应势而生。WIFI以其突出的优势：覆盖范围广；传输速度快；信号密集，定位精确；组建简单；免布线等，迅速风靡于全世界。让世界城市的每个角落都能上宽带的“无线城市”梦想已经变成了现实，基本实现了从“无线城市”到“无线国家”甚至“无线地球”之间的跨越。在无线网络日趋普及的同时，人们必须首先考虑加强无线网络的安全措施，以便更有效、更放心地使用。

1 WIFI技术简介

WIFI（Wireless Fidelity）俗称无线宽带，又叫802.11b标准，是IEEE定义的一个无线网络通信的工业标准。IEEE802.11b标准是在IEE E802.11的基础上发展起来的，工作在2.4Hz频段，最高传输率能够达到11Mbps。该技术是一种可以将个人电脑，手持设备等终端以无线方式互相连接的一种技术。

2 WIFI安全隐患分析

随着无线网络的逐渐普及，网络安全问题也正变得日益严峻。无线通讯的本性使然，由于传送的数据是利用无线电波在空中辐射传播，无线电波可以穿透天花板、地板和墙壁，发射的数据可能到达预期之外的、安装在不同楼层、甚至是发射机所在的大楼之外的接收设备，因此，数据安全也就成为最重要的问题。没有良好保护的无线网络可造成客户的无线通讯被黑客拦截，从而造成重大损失。黑客能够利用窃取的信用卡号码、银行账户口令、机密的商务信息以及其它敏感的数据为自己及其同伙牟利。

《孙子兵法》有云：知己知彼，百战不殆。为了使无线网络安全、有效地运行，为了抵御黑客的入侵和破坏，对无线网络的安全隐患进行分析研究、找出无线网络的隐患所在是至关重要的。通过对目前无线网络的犯罪事例分析研究，对无线网络安全的威胁主要表现在以下几个方面：

2.1 容易侵入

WIFI无线网络非常容易被找到，信号提供者为了使用户能够发现WIFI的存在，在发送信号时，会发送有特定参数的信标帧，这就给入侵者提供了一定的入侵条件；还有一些个别用户在组建网络时没有改变WIFI路由器的默认设置，这种默认设置对于外界的连接要求以及对数据的加密都是疏于防范的，因此这样处于信号覆盖范围内的WIFI设备都可以很容易的连接到网络，从而造成入侵。

2.2 恶意访问点

恶意访问点指的是那些没有经过网络规划或者许可接入网络的访问点，恶意访问点逐渐成为安全行业令人头痛的一个问题。入侵者会扫瞄所有开放的无线访问点AP(Access Point)，其中，部分网络的确是为大众提供的，但多数则是因为用户没有做好安全设置造成的。无线网络访问便捷和容易配置的特点，使得任何使用者的无线设备都可以通过购买的无线访问点AP，而轻松的接入网络。当今无线局域网的构建已经相当的方便，在一些单位内部，很多部门在没有经过网络部门授权的情况下就自行组建无线局域网，这种非专业人员安装的无线路由器和访问点设备，在安装时很少考虑网络的安全策略。这样就给网络留下了安全隐患。

2.3 破解 WEP

当今，WEP有漏洞可以被入侵者利用，入侵者通过扫描WEP安全协议的漏洞，破解无线通信设备与用户之间的联系。如果入侵者只是采用简单的监视方式的攻击，则需要花费很长的时间才能破解，而利用一些软件工具进行解密，所需的时间就很短了。尽管后来许多厂商针对WEP研发了安全策略，但也不能将安全保障都寄希望于加密WEP协议。因为它多层网络安全措施有很多层，虽然加密WEP协议具有很重要的作用，但整个的网络安全不能只依赖其中一层的安全性能。

2.4 欺骗

欺骗（Spoofing）是指黑客将伪造的信息发送给计算机的行为。由于802.11无线局域网对数据帧不进行认证操作，入侵者可以使用欺骗帧的方式，重新定向数据流、使ARP表变得混乱，经过简单的操作，入侵者就可以轻易获得网络中站点的MAC地址，这些MAC地址可以用于恶意入侵时使用。

3 排除WIFI安全隐患的措施

“工欲善其事，必先利其器”，在我国全面建成“无线城市”之前，必须先加强WIFI安全保护措施，使无线网络在安全、健康的情况下，在为我国的城市建设和发展中发挥出最大的优势。

3.1 设置新的SSID

无线局域网都有一个缺省的SSID，在组建网络时应更改这个设置，需要取消SSID的自动播放功能，同时通过对多个访问点AP设置不同的SSID，要求相关的无线接入设备必须验证SSID后才能访问AP，这样在一定程度上可以提高网络的安全性，但这种SSID是用字母和数字符号来表示的，只是一种简单的口令，使用该网络的用户都知道，因此容易泄露，所以只用于对安全等级要求不高的网络。

3.2 启用加密措施WPA

WEP提供了40位和128位长度的密钥机制，但是它仍然存在许多缺陷，例如一个应用范围内的所有用户共同使用一个密钥，只要一个用户丢失或者泄漏密钥将使整个网络不安全。改善静态WEP安全的一种方法是设置接入点使用MAC过滤，仅允许事先确定的用户群访问这个网络，但MAC地址在理论上可以伪造。尽量使用WPA或者WPA2形式的加密措施。拥有用户和计算机认证的EAP-TLS（扩展认证协议-传输层安全）的WPA或者WPA2是最强大的身份识别方式。EAP-TLS使用数字证书提供互相身份识别。

3.3 虚拟专用网络VPN

VPN是一种虚拟的、加密的网络，它是在现有网络上组建的。VPN主要使用“隧道传输”（tunneling）技术，因为加密数据流是通过一个普通的、未加密的连接来设置和维护的。VPN将安全的内部网延展到远程用户。因此，远程无线用户能同时出现在两个网络中。在使用无线网络的同时，还创建了一个VPN隧道，从而将远程客户端连接到公司的内部网络。这样一来，用户在远程位置也能使用内部网的资源。在WEP加密基础上再使用VPN加密，攻击者就难以同时对数据进行两道解密。尤其是，攻击者无法轻松获得VPN口令、证书或者智能卡密钥，破解VPN数据的几率是非常低的。

3.4 无线网络由专业人员构建

近年来无线网络飞速发展，相应组建无线网络的设备也相当普及，这就给构建无线网络提供了非常便利的条件，但非专业人士在安装无线路由器等相关设备时，很少考虑网络的安全性，入侵者通过网络探测工具就可以对找到无线网络的“后门”。因此，在构建无线网络时需要由专业人员设计、制作，这样才能最大限度的提高无线网络的安全性。

4 结束语

在我国“无线城市”的建设和完善过程中，我们必须深入考虑网络的信息安全问题，在认真借鉴和分析其他国家经验和教训的同时，结合我国的网络现状，以科学发展观为指导，建设适应我国经济社会需求的无线网络，为中国特色社会主义经济建设提供有力的网络支持。