无线局域网的安全性

2001 年 2 月， 无 线 以 太 网 兼 容 性 联 盟 (WECA) 发 布 了 一 份 关 于 无 线 局 域 网 安 全 性 的 声 明。 这 份 声 明 是 对 第 一 次 针 对 有 线 等 同 保 密 (WEP) － 用 于 Wi-Fi (IEEE 802.11b 标 准) 无 线 局 域 网 的 保 密 与 验 证 机 制 － 发 起 的 第 一 次 成 功 侵 入 所 作 出 的 反 应。

自 那 时 起， 又 进 行 了 数 次 攻 击 和 分 析， 严 重 阻 碍 了 面 向 无 线 局 域 网 的 可 互 操 作 的 安 全 解 决 方 案 的 进 展。 美 国 英 特 尔 公 司、 思 科 公 司、 加 州 大 学 伯 克 利 分 校 以 及 马 里 兰 大 学 的 论 文 都 指 出 了 WEP 标 准 中 的 无 数 缺 陷。

影 响 无 线 局 域 网 的 安 全 问 题

在 任 何 通 过 无 线 媒 介 传 输 数 据 的 环 境 中， 都 必 须 具 备 安 全 保 护 措 施， 并 对 其 实 施 有 效 管 理。 就 无 线 局 域 网 而 言， 由 于 不 能 信 赖 媒 介 的 基 本 物 理 特 性 来 提 供 最 低 层 次 的 保 护， 其 信 任 模 式 就 与 有 线 局 域 网 不 同。 换 句 话 说， 单 是 因 为 无 线 的 关 系， 无 线 局 域 网 就 容 易 召 来 窃 听！

无 线 局 域 网 的 安 全 系 统 要 做 到 有 效， 就 必 须 解 决 下 面 三 个 安 全 问 题：

• 提 供 接 入 控 制： 验 证 用 户， 授 权 他 们 接 入 特 定 的 资 源， 同 时 拒 绝 为 未 经 授 权 的 用 户 提 供 接 入
• 确 保 链 路 的 保 密 与 完 好： 防 止 未 经 授 权 的 用 户 读 取、 引 入 或 更 动 在 网 络 上 传 输 的 数 据
• 防 止 阻 断 服 务 攻 击： 确 保 没 有 一 个 用 户 或 一 小 批 用 户 可 占 用 某 个 接 入 点 的 所 有 可 用 带 宽， 阻 断 其 他 用 户 的 正 当 接 入。

初 期 802.11 安 全 实 现 方 式

验 证

802.11网 络 中 的 每 一 个 节 点 都 使 用 一 个 网 络 名 称 (被 称 为 SSID， 即 服 务 集 标 识)。 在 接 通 一 个 特 定 的 接 入 点 (AP) 之 前， 用 户 可 能 被 要 求 输 入 此 AP 的 SSID 和 密 码 通 行 字。 不 幸 的 是， SSID 定 期 被 AP 播 放， 可 轻 易 探 测 到； 通 行 字 未 经 加 密 即 发 送， 而 且 允 许 无 限 多 次 的 尝 试。 这 些 都 削 弱 了 SSID 作 为 验 证 令 牌 的 作 用。 Wi-Fi 卡 的 媒 体 接 入 控 制 (MAC) 地 址 亦 可 用 于 验 证 和 授 权。 MAC 是 一 个 48 位 的 独 特 序 列 号 码， 每 一 个 以 太 网
类 型 的 装 置 都 分 配 到 一 个。 尽 管 接 入 控 制 清 单 不 是 802.11 标 准 的 一 部 分， 很 多 卖 主 还 是 允 许 使 用 接 入 控 制。 经 过 授 权 的 MAC 地 址 清 单 可 储 存 在 每 一 个 AP 内， 只 允 许 AP 的 接 入 控 制 清 单 上 有 其 MAC 地 址 的 客 户 端 装 置 接 通 此 AP 。 但 此 种 方 式 的 问 题 是， 攻 击 者 可 轻 易 探 查 到 与 AP 连 接 的 客 户 端 装 置 的 MAC 地 址， 因 为 它 们 从 来 都 是 不 经 加 密 的。 多 数 Wi-Fi 客 户 端 装 置 允 许 经 由 软 件 更 动 MAC 地 址， 因 此， 一 旦 获 得 了 一 个 有 效

有 线 等 同 保 密

除 了 上 述 措 施 外， 802.11标 准 还 定 义 了 一 套 结 合 接 入 控 制、 数 据 保 密 和 数 据 完 好 性 的 体 系， 称 为 有 线 等 同 保 密 (WEP)。 它 针 对 下 列 问 题：

• 接 入 控 制： Wi-Fi网 络 上 可 配 置 WEP ， 使 没 有 正 确 密 钥 的 用 户 不 能 得 到 接 入。 这 种 对 称 的 密 钥 从 40 位 到 128 位， 而 且 通 常 是 物 理 键 入 每 一 个 装 置， 保 存 起 来 以 备 后 用。 由 于 每 一 种 移 动 装 置 使 用 同 样 的 密 钥， 假 如 一 个 密 钥 暴 露 了 (如 笔 记 本 计 算 机 失 窃 了)， 那 其 它 所 有 装 置 都 需 要 改 动 密 钥。 WEP 目 前 还 不 提 供 这 种 密 钥 管 理 功 能
• 链 路 保 密 性： 802.11 标 准 采 用 WEP 作 为 加 密 算 法， 用 于 确 保 无 线 局 域 网 保 密 性。 具 体 算 法 是 基 于 一 种 称 为 RC4 的 标 准， 由 RSA 数 据 安 全 公 司 开 发。 IEEE 802.11 小 组 选 择 RC4 用 于 WEP 的 原 因 是 其 产 权 使 用 费 低 廉， 而 且 易 于 实 施， 使 作 为 小 组 成 员 的 各 家 卖 主 能 以 适 中 的 价 格 快 速 向 市 场 推 出 产 品。 不 过， RC4 只 是 一 种 低 层 次 的 流 密 码， 已 经 不 算 先 进 了， 而 且 必 须 以 合 适 的 方 式 实 施
• 链 路 与 数 据 完 好 性： 确 保 完 好 性 的 标 准 方 式， 是 在 传 输 前 在 每 一 个 数 据 块 上 附 加 某 种 形 式 的 讯 息 验 证 码。 在 WEP 中， 传 输 装 置 产 生 一 个 32 位 的 循 环 冗 余 码 (CRC-32) 校 验 码， 附 加 在 数 据 帧 上。 接 收 装 置 对 数 据 进 行 一 次 运 算， 假 如 答 案 与 校 验 码 相 符， 就 假 定 数 据 未 受 损。 这 是 一 种 相 当 基 本 的 做 法， 但 优 点 是 实 施 简 便。

WEP 的 致 命 缺 陷

WEP 未 能 构 成 一 个 优 良 安 全 体 系 的 原 因， 在 于 试 图 将 RC4 用 于 验 证 和 保 密 两 项 功 能。 RC4 固 然 是 一 种 没 什 么 不 好 的 加 密 算 法， 但 它 未 得 到 正 确 运 用。 RC4 明 确 警 告 永 远 不 要 两 次 使 用 同 样 的 密 钥 资 料 － 无 论 负 载 是 什 么 － 因 为 它 只 是 一 种 简 单 的 XOR 流 密 码。 在 实 地 演 示 中， 计 算 机 黑 客 可 在 数 小 时 内 破 解 WEP 加 密。

802.1x

IEEE 始 终 明 白 WEP 对 称 密 钥 方 式 的 安 全 影 响 以 及 实 施 问 题， 而 思 科 与 微 软 提 议 了 一 种 称 为 802.1x 的 解 决 方 案， 为 任 何 以 太 网 端 口 － 有 线 或 无 线 － 提 供 接 入 控 制。 目 前 正 等 候IEEE标 准 组 织 的 批 准。转贴于 酷文网-论文下载中心 http://www.coolwen.net