無線局域網(wǎng)中的安全措施
1、 引言
WLAN是Wireless LAN的簡稱,即無線局域網(wǎng)。所謂無線網(wǎng)絡,顧名思義就是利用無線電波作為傳輸媒介而構(gòu)成的信息網(wǎng)絡,由于WLAN產(chǎn)品不需要鋪設通信電纜,可以靈活機動地應付各種網(wǎng)絡環(huán)境的設置變化。
WIAN技術(shù)為用戶提供更好的移動性、靈活性和擴展性,在難以重新布線的區(qū)域提供快速而經(jīng)濟有效的局域網(wǎng)接入,無線網(wǎng)橋可用于為遠程站點和用戶提供局域網(wǎng)接入。但是,當用戶對WLAN的期望日益升高時,其安全問題隨著應用的深入表露無遺,并成為制約WLAN發(fā)展的主要瓶頸。
2、 威脅無線局域網(wǎng)的因素
首先應該被考慮的問題是,由于WLAN是以無線電波作為上網(wǎng)的傳輸媒介,因此無線網(wǎng)絡存在著難以限制網(wǎng)絡資源的物理訪問,無線網(wǎng)絡信號可以傳播到預期的方位以外的地域,具體情況要根據(jù)建筑材料和環(huán)境而定,這樣就使得在網(wǎng)絡覆蓋范圍內(nèi)都成為了WLAN的接入點,給入侵者有機可乘,可以在預期范圍以外的地方訪問WLAN,竊聽網(wǎng)絡中的數(shù)據(jù),有機會入侵WLAN應用各種攻擊手段對無線網(wǎng)絡進行攻擊,當然是在入侵者擁有了網(wǎng)絡訪問權(quán)以后。
其次,由于WLAN還是符合所有網(wǎng)絡協(xié)議的計算機網(wǎng)絡,所以計算機病毒一類的網(wǎng)絡威脅因素同樣也威脅著所有WLAN內(nèi)的計算機,甚至會產(chǎn)生比普通網(wǎng)絡更加嚴重的后果。
因此,WLAN中存在的安全威脅因素主要是:竊聽、截取或者修改傳輸數(shù)據(jù)、置信攻擊、拒絕服務等等。
IEEE 802.1x認證協(xié)議發(fā)明者VipinJain接受媒體采訪時表示:“談到無線網(wǎng)絡,企業(yè)的IT經(jīng)理人最擔心兩件事:首先,市面上的標準與安全解決方案太多,使得用戶無所適從;第二,如何避免網(wǎng)絡遭到入侵或攻擊?無線媒體是一個共享的媒介,不會受限于建筑物實體界線,因此有人要入侵網(wǎng)絡可以說十分容易。”因此WLAN的安全措施還是任重而道遠。
3、無線局域網(wǎng)的安全措施
3.1采用無線加密協(xié)議防止未授權(quán)用戶
保護無線網(wǎng)絡安全的最基本手段是加密,通過簡單的設置AP和無線網(wǎng)卡等設備,就可以啟用WEP加密。無線加密協(xié)議(WEP)是對無線網(wǎng)絡上的流量進行加密的一種標準方法。許多無線設備商為了方便安裝產(chǎn)品,交付設備時關(guān)閉了WEP功能。但一旦采用這種做法,黑客就能利用無線嗅探器直接讀取數(shù)據(jù)。建議經(jīng)常對WEP密鑰進行更換,有條件的情況下啟用獨立的認證服務為WEP自動分配密鑰。另外一個必須注意問題就是用于標識每個無線網(wǎng)絡的服務者身份(SSID),在部署無線網(wǎng)絡的時候一定要將出廠時的缺省SSID更換為自定義的SSID。現(xiàn)在的AP大部分都支持屏蔽SSID廣播,除非有特殊理由,否則應該禁用SSID廣播,這樣可以減少無線網(wǎng)絡被發(fā)現(xiàn)的可能。
但是目前IEEE 802.11標準中的WEP安全解決方案,在15分鐘內(nèi)就可被攻破,已被廣泛證實不安全。所以如果采用支持128位的WEP,破解128位的WEP的是相當困難的,同時也要定期的更改WEP,保證無線局域網(wǎng)的安全。如果設備提供了動態(tài)WEP功能,最好應用動態(tài)WEP,值得我們慶幸的,Windows XP本身就提供了這種支持,您可以選中WEP選項“自動為我提供這個密鑰”。同時,應該使用IPSec,VPN,SSH或其他WEP的替代方法。不要僅使用WEP來保護數(shù)據(jù)。
3.2 改變服務集標識符并且禁止SSID廣播
SSID是無線接人的身份標識符,用戶用它來建立與接入點之間的連接。這個身份標識符是由通信設備制造商設置的,并且每個廠商都用自己的缺省值。例如,3COM 的設備都用“101”。因此,知道這些標識符的黑客可以很容易不經(jīng)過授權(quán)就享受你的無線服務。你需要給你的每個無線接入點設置一個唯一并且難以推測的SSID。如果可能的話。還應該禁止你的SSID向外廣播。這樣,你的無線網(wǎng)絡就不能夠通過廣播的方式來吸納更多用戶.當然這并不是說你的網(wǎng)絡不可用.只是它不會出現(xiàn)在可使用網(wǎng)絡的名單中。
3.3 靜態(tài)IP與MAC地址綁定
無線路由器或AP在分配IP地址時,通常是默認使用DHCP即動態(tài)IP地址分配,這對無線網(wǎng)絡來說是有安全隱患的,“不法”分子只要找到了無線網(wǎng)絡,很容易就可以通過DHCP而得到一個合法的IP地址,由此就進入了局域網(wǎng)絡中。因此,建議關(guān)閉DHCP服務,為家里的每臺電腦分配固定的靜態(tài)IP地址,然后再把這個IP地址與該電腦網(wǎng)卡的MAC地址進行綁定,這樣就能大大提升網(wǎng)絡的安全性。“不法”分子不易得到合法的IP地址,即使得到了,因為還要驗證綁定的MAC地址,相當于兩重關(guān)卡。設置方法如下:
首先,在無線路由器或AP的設置中關(guān)閉“DHCP服務器”。然后激活“固定DHCP”功能,把各電腦的“名稱”(即Windows系統(tǒng)屬陸里的“計算機描述”),以后要固定使用的IP地址,其網(wǎng)卡的MAC地址都如實填寫好,最后點“執(zhí)行”就可以了。
評論