无线局域网安全协议的分析

　　无线局域网安全协议的发展背景

　　目前，WLAN业务的需求日益增长，但是相应的安全措施却无法令人满意。最初人们在研究无线网络的安全问题时，理所当然地把原来应用于有线网络的安全协议植入到无线网络中去，但是这种移植的效果，从WLAN安全标准的发展情况看，还远远未达到要求。从计算机网络诞生的第一天起，无线网络的安全性问题就已成为网络发展的瓶颈。而无线应用的不断增长又使得该问题更彻底地暴露出来。大多数企业都愿意通过有线局域网来传送重要信息，而不用无线局域网，这使得企业虽然确保了信息的安全，却不能利用无线局域网的经济性和灵活性。

　　目前，IEEE正致力于消除WLAN的安全问题，并预期在2004年底提出一个新的无线安全标准来代替现有标准。然而许多企业并不想等那么久，它们愿意采用一些即时可用的安全技术来应对目前的需要。但是，当前可用的安全协议标准—WEP—并不能使那些重要信息免 
遭恶意攻击，另外还有一种过渡期的标准WPA，它弥补了WEP中的大多数缺陷，但也并非完美。IEEE 802.11i才是下一代无线安全标准，不过这还需要一段时间才能完成。那么，目前公司需要怎样保证WLAN的安全性呢，总不能在802.11i还未完成的这几个月内什么都不做吧？

　　 WLAN安全协议介绍

　　WEP算法主要是防止无线传输信息被窃听，同时也能防止非法用户入侵网络。在一个运行WEP协议的网络上，所有用户都要使用共享密钥，也就是说用户在终端设备上需设置密码并且要和其相连的接入点设置的密码相对应。所有数据包都由共享密钥加密，如果没有这个密钥，任何非法入侵者或企图入侵者都无法解密数据包。但是，WEP机制自身却存在安全隐患。也许最大的隐患是许多接入点的配置默认WEP项是关闭的。接入点通常采用了默认的出厂配置，这导致了一个巨大的安全漏洞。 　　　　

　　即使WEP处于开启状态并且设置了新的共享密钥，这一机制也存在极大的隐患。WEP采用RC4加密机制来对数据加密。但问题是WEP密钥太易受攻击了，像AirSnort和WEPCrack这样的应用软件仅需要抓取100MB这么小的流量，在几秒内就能解密受WEP保护的网络信息。在大业务量的无线网络中，攻击者可在几分钟内免费接入到WLAN中。另外，WEP使用CRC来做数据校验，CRC很容易被攻击者通过翻转数据包中的比特来破坏其可靠性。

　　WEP的另一个主要问题是其地址加密，WEP并不能提供一种方法以确保合法用户的身份不会被非法入侵者冒充。任何人只要知道WEP共享密钥和网络SSID(服务者身份)都能接入该网络。当用这些信息来连接网络时，管理者无法判断接纳还是拒绝这一连接。另外，一旦共享密钥被破译或丢失，就必须手动修改所有网络设备的共享密钥，这真是一个令人头疼的管理问题。如果密钥丢失而自己又毫不知情，这也将是一个安全隐患。

    虽然WEP有这么多缺点，但如果你的公司并未使用WPA或802.11i，WEP还是可以勉强接受的。如果你的公司还在权衡是否采用WPA，那么最好暂时先使用最优化的WEP协议。

　　最优化使用WEP协议

　　首先，确定WEP处于开启状态。Wi-Fi联盟确保符合802.11a、802.11b和802.11g标准的接入点和无线网卡都支持WEP协议(注意，默认状态不一定是开启状态)，这可以避免入侵者的偶然攻击，比如那些在公共场所通过笔记本电脑上网的过路者。仅此一点，就相当重要。因为许多业内企业都反映，过路者能通过笔记本电脑轻松地连接到企业内部的无线局域网中，如果WEP能解决这一难题，我们就能节省出更多的时间来关注更危险的袭击。

　　其次，各部门应该定期更改默认的SSID和共享密钥。因为攻击者很容易就能编程自动地搜索SSID和产品出厂时设置的默认密钥，定期改变SSID和密钥，将避免部门成为“盲测式攻击”的目标。值得注意的是，通过无线电波极易获取SSID，因此攻击者一般会锁定某一部门成为攻击目标，并且不达目的不会轻易罢手。再者，应该实现MAC地址过滤。这需要在接入点和路由器中配置合法设备的MAC地址列表，使那些列表中出现的MAC地址才能够接入到网络中。这样即使发现了正确的SSID和密钥，入侵者也不能接入到网络中。但这一反攻击措施仍不理想，因为入侵者可以采用欺骗手段，将其MAC地址设为合法用户的MAC地址从而接入无线网络中。
    最后，我们必须认识到，WEP并不能保证绝对的网络安全。但是，有WEP总比什么都没有好，因为像AirSnort和WEPCrack这样的软件很容易使企业成为攻击者的目标。想在无线网络上安全地发送密文，我们还需要做更多的工作。