无线网络安全隐患的八大主流技术解析

freedom1

一、隐藏SSID
  O5 h  O0 G# j6 m8 J　　SSID，即ServiceSetidentifier的简称，让无线客户端对不同无线网络的识别，类似我们的手机识别不同的移动运营商的机制。参数在设备缺省设定中是被AP无线接入点广播出去的，客户端只有收到这个参数或者手动设定与AP相同的SSID才能连接到无线网络。而我们如果把这个广播禁止，一般的漫游用户在无法找到SSID的情况下是无法连接到网络的。
　　需要注意的是，如果黑客利用其他手段获取相应参数，仍可接入目标网络，因此，隐藏SSID适用于一般SOHO环境当作简单口令安全方式。
8 o1 _. Q, M, i6 J9 p　　二、MAC地址过滤
# F% F- k4 ?# c　　顾名思义，这种方式就是通过对AP的设定，将指定的无线网卡的物理地址（MAC地址）输入到AP中。而AP对收到的每个数据包都会做出判断，只有符合设定标准的才能被转发，否则将会被丢弃。
　　这种方式比较麻烦，而且不能支持大量的移动客户端。另外，如果黑客盗取合法的MAC地址信息，仍可以通过各种方法适用假冒的MAC地址登陆网络，一般SOHO，小型企业工作室可以采用该安全手段。
/ y  {. X& o9 }# m- D) k8 r+ t　　三、WEP加密：
( L" V6 v* S6 e+ F% X8 h( r　　WEP是WiredEquivalentPrivacy的简称，所有经过WIFI认证的设备都支持该安全协定。采用64位或128位加密密钥的RC4加密算法，保证传输数据不会以明文方式被截获。
" O5 |: L# V0 Q8 V* t5 V　　该方法需要在每套移动设备和AP上配置密码，部署比较麻烦;使用静态非交换式密钥，安全性也受到了业界的质疑，但是它仍然可以阻挡一般的数据截获攻击，一般用于SOHO、中小型企业的安全加密。
　　四、AP隔离
+ Z$ B8 C0 v0 ]7 S　　类似于有线网络的VLAN，将所有的无线客户端设备完全隔离，使之只能访问AP连接的固定网络。
　　该方法用于对酒店和机场等公共热点HotSpot的架设，让接入的无线客户端保持隔离，提供安全的Internet接入。
　　五、802.1x协议
) ~( A6 [" |/ a5 B　　802.1x协议由IEEE定义，用于以太网和无线局域网中的端口访问与控制。802.1x引入了PPP协议定义的扩展认证协议EAP。作为扩展认证协议，EAP可以采用MD5，一次性口令，智能卡，公共密钥等等更多的认证机制，从而提供更高级别的安全。在用户认证方面，802.1x的客户端认证请求也可以由外部的Radius服务器进行认证。该认证属于过渡期方法且各厂商实现方法各有不同，直接造成兼容问题。
' g  C) ?( P" l+ q8 X# B　　该方法需要专业知识部署和Radius服务器支持，费用偏高，一般用于企业无线网络布局。
　　六、WPA
1 Z, E' x% ]& o9 \0 F  d& G　　WPA即Wi-Fiprotectedaccess的简称，下一代无线规格802.11i之前的过渡方案，也是该标准内的一小部分。WPA率先使用802.11i中的加密技术-TKIP（TemporalKeyIntegrityProtocol），这项技术可大幅解决802.11原先使用WEP所隐藏的安全问题。
" B; j3 X/ e8 n$ q- ?. ^　　很多客户端和AP并不支持WPA协议，而且TKIP加密仍不能满足高端企业和政府的加密需求，该方法多用于企业无线网络部署。
　　七、WPA2
　　WPA2与WPA后向兼容，支持更高级的AES加密，能够更好地解决无线网络的安全问题。
% i' u; }& A+ M7 l7 X4 H% y　　由于部分AP和大多数移动客户端不支持此协议，尽管微软已经提供最新的WPA2补丁，但是仍需要对客户端逐一部署。该方法适用于企业、政府及SOHO用户。
: W' I5 v+ p6 r; |; c+ o　　八、802.11i
　　IEEE正在开发的新一代的无线规格，致力于彻底解决无线网络的安全问题，草案中包含加密技术AES（AdvancedEncryptionStandard）与TKIP，以及认证协议IEEE802.1x。
" N$ H9 V8 c  R' V　　尽管理论上讲此协议可以彻底解决无线网络安全问题，适用于所有企业网络的无线部署，但是目前为止尚未有支持此协议的产品问世。
9 g  y/ B; w' ?2 _5 v; e5 j6 q　　综上所述，不同的无线网络用户遭受安全隐患威胁的程度不同，他们需要的技术支持也就有所区别。因此，根据不同用户的不同需求，应该不同的安全解决方案。
# [4 L9 {# d' H

rural

SSID，即ServiceSetidentifier的简称，让无线客户端对不同无线网络的识别，类似我们的手机识别不同的移动运营商的机制。参数在设备缺省设定中是被AP无线接入点广播出去的，客户端只有收到这个参数或者手动设定与AP相同的SSID才能连接到无线网络。而我们如果把这个广播禁止，一般的漫游用户在无法找到SSID的情况下是无法连接到网络的。