公共无线网络对信息安全保密的影响及对策探讨

2014-04-07辛良

河南科技 2014年9期

辛良

（郑州创元计算机网络工程有限公司，河南郑州 450008）

公共无线网络之所以受到广大用户的关注与使用主要是由于它具有安装快捷方便、扩容组网较为灵活等特点，尤其是它可以提供漫游服务，极大地满足了当今社会人们的需求。由于公共无线网络提供的自由使得信息安全受到威胁，如何解决这一问题已成为广大用户关注的焦点[1]。

1 公共无线网络应用概况

无线网络是指用无线媒介给用户提供公共无线数据接入服务的通信网络，3G、WiFi、WiMAX 以及WBMA 等都属于无线网络，它们均具有宽度较大、覆盖面较宽、业务较多以及扩容相对较灵活等特点[2]。现在，无线网络在一些公共场所如高校、咖啡馆、政府机构、机场等，已经基本达到了热点覆盖，每天利用各种设备接入公共无线网络的人不计其数。根据信息产业部门统计的数据显示，直到2009年7月，我国的移动电话数量已经达到了7 亿多部，在2010年则超过了8 亿部，其中智能手机在3 亿部左右，智能手机中使用3G 网络用户的人占有相当大的比例[3]。除了移动手机之外，笔记本、PDA 等移动设备的使用量如今也在不断地增加。为了使无线网络覆盖的面积更宽更广，目前很多城市已经提出并着手构建无线城市。在我国台北、香港等地率先着手建立无线城市，就全世界而言，提出构建“无线城市”这一目标的城市已经达到六百多个。近年来，无线城市的建立在我国内陆地区也逐渐得到普及，如北京、上海、广州等地也都在建设实施中。在建立了“无线城市”的地方都有很多的军事单位，如一些科研所、军工企业等，这些单位中的人员肯定会使用无线网络，而无线网络的自由性使得信息安全保密受到很大的威胁。

2 公共无线网络对信息安全保密产生的影响

原有的信息安全保密技术主要是针对有线网络进行设计的，对于公共无线网络并没有做太多的考虑，所以传统的方法并不能较好地解决当前的无线网络安全保密问题。如今公共无线网络给信息安全保密带来的影响主要表现在如下几个方面。

2.1 无线网络的使用弱化了传统网络的边界

有线网络具有固定的拓扑结构[3]，当有非法用户入侵时，网络边界处有一定的安全防线对网络实施保护，攻击者只有绕过此防线才能进行攻击。也就是说安全防线是有线网络的保护伞，大大减少了非法用户的入侵。而对于无线网络来说，由于其并没有明确的网络边界，目前市场上比较高级的笔记本电脑全部都有无线模块，档次一般的笔记本电脑也有90%以上拥有无线模块，并且台式电脑中的内置和外置所具有的无线模块在品种上并不相同。此外，现在的通信公司开展了很多有关移动设备进行无线上网的业务。以上种种都使得原有的网络边界不断被瓦解，以前所用的网络防火墙、内容过滤设备等形式也已经不复存在。当前来自外界的攻击行为能够直接进入到内部终端，使得以往的军用网路保密理念彻底颠覆。对于攻击无线网络的攻击者无法进行身份确认，而且网络中的各个节点也将在攻击者的攻击行为下暴露无遗。所以，当务之急是就无线网络的特征进行研究，以制定出更有针对性的无线网络安全防护体系。

2.2 无线网络提供的数据增值业务比较多

当前，应用无线网络的设备终端越来越趋向于智能化，在处理能力方面也逐渐变强。例如现在的3G 手机，几乎可以当做电脑进行使用了，与电脑所具有的功能相差不多。有些3G 手机所具有的功能甚至连计算机都不具有，像GPS 定位、导航等功能。与此同时，公共无线网络的传输带宽非常大，使得很多攻击操作系统的手段比较轻易加载，导致现在很多智能化的终端设备成为了主要的攻击目标[4]。如当前普遍使用的3G 网络，主要是想把手机所具有的网络平台变成一个速度极快的互联网。手机用户应用3G 进行上网，然后浏览到一些带有木马病毒的网页，所使用的手机就会被安装上窃听软件，造成此手机的所有通话信息都被他人监听、私人数据发生严重泄漏等事件。此外，能够接入无线网络的设备终端生产起来相对比较容易，很多中小规模的生产厂家也在进行生产，由于规模较小，在安全上投入的资金肯定不足，这样必然会导致很多的安全问题。事实上，即使是一些大规模的公司也会存在很多的安全问题，如对管理口令选择默认、非授权进行访问、认证绕过等诸多问题，这些曾经在有线网络设备中出现过，现如今又在无线设备中重演。除此之外，虽然在市场上智能手机一直使用的都是一些主流操作系统，但是由于商业化操作系统比较开放，使很多所谓的间谍软件也有了可钻的空子。

对于以上这些攻击手段还没有研制出较为有效的应对方法，因此使得终端本身应有的安全防护能力减弱。当前的安全防护面临的形势越来越严峻，新的安全防护技术以及方案亟待研究，并且需要将研究成果迅速投入生产，以降低潜在的安全危险对无线网络用户造成的危害。对无线设备进行设计时，除了要对传输速率有一定考虑，对于机制的安全完善以及安全配置等方面也应考虑周全[5]，这样才能使无线网络应用起来更加安全。

2.3 无线网络扩展了网络的时空范围

公共无线网络对于蓝牙、WCDMA 等技术有较为广泛的应用，主要是将手机、个人的笔记本电脑以及无线传感器等设备进行互联，然后与办公用的局域网以及Internet 相联接，以此将网络的时空范围进行一定程度的扩大。这样无论什么人在什么地点都可以随时连入网络，进行查询或者获得信息，这在给人们带来巨大便利的同时也扩大了网络防护的范围，增大了防护操控的难度。网络可如此自由地进入使得涉密人员的工作与生活之间的界限不断模糊，个人隐私很容易被淹没在众多的网络信息当中，极大地增加了情报信息被人窃取的危险，也会导致涉密人员淡化安全防范意识。除此之外，无线网络用户的操作水平不一，很多用户没有对无线设备的安全进行设置，因此很多企业单位或者个人用户对无线网络的部署并不相同，使得非法人员有了可乘之机。可见，无线网络将网络的时空范围扩大给安全防范带来比较大的影响，且很多涉密人员以及用户的安全保密意识不高，应在无线安全方面对用户多加引导，使他们养成良好的安全意识。

3 公共无线网络信息安全保密对策分析

对于公共无线网络的发展应采取因势利导的正确态度，为解决给信息安全保密所带来的问题应从以下几个方面入手，研究制定较为有针对性的解决方案。

3.1 加强顶层设计，建立无线网络安全体系结构

为更好地处理无线网络带来的信息安全保密问题，应建立一个专门针对无线网络的安全体系结构[6]。构建安全体系结构主要从管理与技术方面入手，以确保安全策略可以顺利地实施。要想完全达到无线网络安全的要求，必须对安全服务予以明确，并确定安全机制，合理部署各因素在系统中的关系。为构建无线网络安全体系的结构，应根据无线网络所具有的特点，结合ISO/OSI 安全体系的思想，设计一个有针对性的无线网络安全服务，并不断研究探索，以期为建立的安全服务提供完善的安全机制以及实用的管理措施。

3.2 根据无线网络终端所面临的威胁，研制终端安全防护技术方案

无线网络的终端设备在处理性能上一向比较强大，但是在安全防护能力上就显得相对较弱。由于现在的安全防护措施对于当前的安全保密问题还不能有效的解决，因此可以参考原来的安全防护技术。例如病毒检测、访问控制等，如果刚好满足要求，则可以将原有的技术应用到无线网络的终端上。此外，还可以根据无线网络终端当前所面临的威胁，制定专门针对智能无线网络终端的安全防护方案，这样研制出的方案将更有针对性，实施起来效果会更加显著。

3.3 制定高效可行的无线网络安全保密管理制度

由于无线网络对于使用的人、时间以及地点都不加约束，因此大大增加了无线网络中信息泄露与丢失的风险，可从以下所列的几个方面进行解决。

3.3.1 加大信息安全保密教育工作的力度

在当前无线网络信息泄露形势严峻的情况下，为增强涉密人员的信息安全防范意识，应加强宣传，通过演讲、发放宣传手册以及介绍安全保密工具等方式，让涉密人员对无线网络中的安全保密方法与手段有所了解并掌握。因此，总部应加大对信息安全教育的整体规划，组织专门的教育人员开展研究工作，编写一些实用性比较强的读物，让涉密人员进行翻阅学习。同时发放一些与教材相配套的保密工具，让涉密人员学习使用。对基层单位中的人员进行一定的培训，培养出优秀的宣传骨干以加入到信息安全的宣传教育工作当中，落实好信息安全保密的宣传，让更多的人重视其信息安全保密。

3.3.2 制定合理可行的无线网络安全保密管理规定

无线网络中的安全保密不仅要有技术手段的支持，还应该要有一定的管理制度与其相配套。主要包括定制以及部署无线设备以及对无线设备的使用、销毁等，即对整个无线设备的工作过程进行管理。除此之外，还包括对使用无线网络的人员进行技术上的培训、信息安全方面的教育以及监督审计等。制定有效的无线网络安全保密管理规定，对于人们安全使用无线网络能够发挥很好的约束作用。

3.3.3 建立完整的无线安全审计与监控系统

在无线网络中，信息安全保密工作主要是以集中式的监控、分散进行保护为基本的原则，构建统一、完整的安全审计与监控系统，尽量保证系统的一体化。此外还应该能够联网，以达到实用的效果。审计系统应具有一定的审计标准，因此应制定与系统相适应的标准。应将各种涉密载体，无论是有线的还是无线的，与计算机、网络等在整个系统中进行统一的监管，构建全面、综合的，并且是面向网络的审计与监督系统，将涉密信息的全过程进行监控与安全审计。

3.3.4 研制有效合理的测评指南和风险评估方法

当前的公共无线网络所覆盖的地方大多都有军事场所，而无线网络所带来的潜在危险增加了军事信息被泄露的可能，容易造成较大的危害。因此，应根据对无线网络进行评估的需求，以国家和军队所具有的信息系统安全测评标准为基础，建立更加详细、完整的无线网络安全测评法则。建立了安全测评法则之后，就应该研究与其相对应的风险评估技术，开发精确的风险预测系统，以使得对潜在风险的评估更加准确，及时地发现问题，寻找有效的方法及时地解决。