无线局域网的安全性

802.1x 仍 然 使 用 WEP 算 法， 但 在 一 个 移 动 装 置 每 次 接 通 AP 时 都 产 生 和 散 布 一 个 新 的 对 称 密 钥， 也 就 是 每 一 次 用 户 会 话 有 一 个 新 的 密 钥。

这 就 大 幅 减 少 了 与 同 样 的 密 钥 一 起 传 输 的 数 据 量， 因 而 基 本 上 可 挫 败 伯 克 利 大 学 所 使 用 的 攻 击 方 法。

802.1x 采 用 Radius/LDAP 服 务 器 来 验 证 用 户 和 管 理 密 钥。 验 证 数 据 (用 户 名 和 通 行 字) 采 用 LEAP (轻 量 级 可 扩 展 验 证 协 议) 传 送。 新 的 WEP 密 钥 用 上 次 会 话 所 用 的 WEP 密 钥 对 其 加 密， 再 传 输 到 移 动 装 置， 或 用 默 认 的 WEP 密 钥 传 输 到 移 动 装 置。

问 题 难 以 解 决 吗？

由 于 无 线 局 域 网 的 环 境 与 有 线 局 域 网 完 全 不 同， 需 要 一 种 不 同 的 解 决 方 案。 为 无 线 局 域 网 保 障 安 全 的 早 期 方 式， 是 创 建 等 同 于 有 线 系 统 的 保 密 性： 那 是 一 个 必 要 因 素， 而 不 是 一 个 充 分 的 解 决 方 案。

链 路 层 安 全 的 设 计 宗 旨， 是 提 供 从 一 点 到 另 一 点 的 保 护 机 制。 其 基 础 假 设 是， 在 此 链 路 上 通 行 的 任 何 数 据 都 被 认 为 是 “生 来 平 等” 的， 即 所 传 输 的 数 据 之 间 没 有 内 在 差 异。 运 用 于 无 线 局 域 网 时， 链 路 层 (层 2) 安 全 只 提 供 关 于 网 络 接 入 的 粗 糙 决 策 (接 受 或 是 拒 绝)。

与 其 说 是 有 线 局 域 网 的 链 路 延 伸， 不 如 说 无 线 局 域 网 更 象 传 统 的 客 户 端／服 务 器 环 境。 无 线 网 络 要 求 能 够 精 确 识 别 数 据 的 来 源， 并 判 定 该 业 务 流 是 否 属 于 该 链 路。 从 根 本 上 说， 就 是 没 有 什 么 数 据 能 获 得 成 批 处 理。

为 无 线 局 域 网 提 供 验 证、 授 权、 服 务 控 制 和 安 全 管 理 的 传 统 基 础 设 施 解 决 方 案， 要 求 对 数 个 网 络 构 件 进 行 配 置 和 集 成。 这 些 构 件 往 往 都 有 不 同 的 用 户 界 面， 在 部 署 无 线 解 决 方 案 时 可 能 带 来 高 度 的 复 杂 性 和 配 置 错 误 的 风 险。

类 似 地， 最 终 用 户 对 安 全 性 可 能 关 心， 也 可 能 不 关 心； 在 很 多 情 况 下， 雇 主 的 关 心 程 度 比 他 们 高 得 多。 假 如 安 全 系 统 使 用 起 来 太 难 或 太 繁 琐， 用 户 会 设 法 绕 过 它。 因 此， 使 安 全 性 尽 可 能 透 明 是 一 项 关 键 设 计 目 标。

面 向 无 线 局 域 网 的 完 善 安 全 体 系

为 保 障 安 全， 无 线 局 域 网 需 要 提 供 改 进 的 接 入 控 制， 并 确 保 链 路 保 密 性 和 完 好 性。

接 入 控 制

对 最 终 用 户 的 验 证 技 术， 已 随 着 远 程 接 入 系 统 的 发 展 而 成 熟。 验 证 是 关 于 识 别 请 求 服 务 之 用 户 的 能 力。 采 用 最 新 技 术， 同 一 系 统 中 可 部 署 数 种 机 制。 验 证 需 要 在 用 户 层 面 进 行， 而 不 是 在 机 器 层 面。 理 想 情 况 下， 安 全 结 构 可 支 持 与 所 需 保 护 的 信 息 价 值 相 称 的 多 因 素 验 证。

验 证 的 威 力 来 自 于 多 种 信 息 因 素 的 综 合 使 用， 即： 你 知 道 的 (通 行 字)， 你 拥 有 的 (硬 件 令 牌 卡、 数 字 证 书)， 你 的 特 征 (生 物 测 量 数 据)。

授 权 是 确 定 一 个 已 通 过 验 证 的 用 户 是 否 具 有 访 问 所 请 求 之 资 源 的 特 权 的 过 程。

验 证 与 授 权 的 结 合 通 常 被 称 为 接 入 控 制。

管 理 联 网 系 统 的 一 个 挑 战 性 问 题 是 安 全 管 理。 现 今， 安 全 管 理 复 杂、 成 本 高， 而 且 易 于 出 错， 因 为 管 理 员 通 常 为 系 统 上 的 每 一 个 用 户 分 别 制 订 接 入 控 制 清 单。

基 于 角 色 的 接 入 控 制 (RBAC) 是 一 种 已 获 得 强 烈 认 同 的 技 术， 因 为 它 在 大 型 联 网 系 统 中 减 小 了 安 全 管 理 的 复 杂 性 和 成 本。

RBAC 确 定 须 由 特 定 职 位 人 员 执 行 的 任 务， 并 为 雇 员 分 配 合 适 的 角 色， 从 而 简 化 了 安 全 管 理。 RBAC 安 全 管 理 与 组 织 结 构 紧 密 相 符。 每 一 个 用 户 被 分 配 到 一 个 或 多 个 角 色， 而 每 一 个 角 色 被 分 配 到 该 角 色 用 户 被 许 可 的 一 个 或 多 个 特 权。

链 路 保 密 性 与 完 好 性

有 下 列 类 别 的 要 求：

• 隧 道 建 立： 需 要 采 用 IPSec 和 PPTP 之 类 的 通 信 协 议， 以 提 供 各 种 密 钥 管 理 和 加 密 算 法 谈 判 操 作。 这 些 通 信 协 议 内 在 的 压 缩 能 力， 也 有 助 于 在 无 线 环 境 中 提 高 性 能
• 探 测 假 冒 接 入 点： 防 止 闯 入 者 将 他 们 自 己 的 接 入 点 连 接 到 网 络 上， 以 捕 捉 用 户 的 通 行 字， 发 起 ‘混 入 者 攻 击’
• 探 测 无 赖 接 入 点： 防 止 用 户 利 用 不 良 配 置 或 设 计， 安 装 未 经 授 权 的 接 入 点， 以 作 为 提 供 企 业 网 络 无 保 护 接 入 的 ‘后 门’
• 针 对 无 线 链 路 进 行 优 化： 可 移 动 性 是 有 线 网 和 无 线 网 之 间 的 另 一 项 根 本 差 异。 为 使 安 全 解 决 方 案 透 明， 达 到 用 户 的 期 望， 必 须 在 企 业 内 任 何 地 方 提 供 经 验 证 的 无 缝 移 动 切 换
• 防 止 阻 断 服 务： 由 于 无 线 网 结 构 带 来 的 潜 在 带 宽 瓶 颈， 有 必 要 确 保 一 个 用 户 或 一 小 批 用 户 无 法 占 用 一 个 接 入 点 上 的 所 有 可 用 带 宽， 阻 止 其 他 正 当 用 户 的 接 入 及 获 得 可 接 受 的 网 络 性 能 水 平。