导航： >> 安全论文>> 电力安全论文>>正文

无线局域网的安全策略研究

文档作者：郭琳文档来源：陕西省汉中供电局		点击数：	更新时间： 2021年07月30日
下载地址：点击这里	文件大小： 418.93 KB 共5页	文档格式： PDF	下载点数： 1 点（VIP免费）

全屏查看

内容预览 [文件共5页]

本文件共5页，如需编辑使用，请下载。

注：预览效果可能会出现部分文字乱码（如口口口）、内容显示不全等问题，下载是正常的。

	文件大小：418.93 KB 共5页文件格式：PDF 下载点数：1 点（VIP会员免费）

下一篇：无线局域网的安全防护

上一篇：无线局域网安全协议研究

文本预览

仅提取页面文字内容，供快速阅读使用。

第19卷
V01．19
第18期
No．18
电子设计工程
Electronic Design Engineering
2011年9月
Sep．2011
无线局域网的安全策略研究
郭琳
(陕西省汉中供电局陕西汉中723000)
摘要：针对无线局域网上资源面临的危险，标准的安全缺陷以及无线局域网欺诈、劫持等安全漏洞。提出了无线局域
网的安全策略方案。在信息传输安全隐患上，通过数据加密和数据完整性校验就可以为无线局域网提供一个类似有
线网的物理安全的保护。在网络标准上。一方面。可以采用新一代安全标准IEEE 802．11i，通过扩展认证协议EAP和
3种加密机制(临时密匙完整性协议TKIP．以及基于高级加密标准AES的CCMP和WRAP)保障无线局域网的安全
性；另一方面，采用中国无线局域网安全标准WAPI，通过公开密钥体制的椭圆曲线密码算法和秘密密钥体制的分组
密码算法。实现了WLAN在多种安全机制下的兼容性。结果表明，以上针对无线局域网的安全策略，为提高无线局域
网的相对安全性以及与其他网络实现互联互通提供了技术保障。
关键词：无线局域网；威胁；缺陷；欺诈；劫持；策略
中图分类号：TN918 文献标识码：A 文章编号：1674—6236(2011)18—0125—05
Security policy research Of W LAN
GUO Lin
(Hartzhong Power Supply Bureau，Hanzhong 723000，China)
Abstract：As to tIle danger of the WLAN resources，the security defects of standards and the security flaw like WLAN cheat，
WLAN h~ack and so on，this paper design a security policy study of WLAN is designed．For the safe leak of the information
transmission，it can provide the physics security protection by means of data encryption and data integrity checkou~Fo r the
Web standards，on the one hand，it may adopt new safety standard IEEE 802．1li to ensure the security of WLAN by means of
extensible authentication protocol and three key encryptions．On the other hand，Wireless LAN Authentication and Privacy
Infrastrueture(WAPI)can achieve the compatibility under the various security mechanisms through elliptic curve cryptosystem
of public key cryptosystem and the block cipher of private key cryptosystem．The results indicate that all above the security
policy in view of WLAN provide the technical suppo~for enhancing the relative security and actualizing Interconnection with
other networks．
Key words：WLAN；threat；defect；cheat；h~ack；strategy
无线局域网(简称WLAN)是指以无线信道为传输媒介
计算机局域网络，是无线通信技术在计算机网络中的应用。
它以无线多址信道作为传输媒介，提供传统有线局域网的功
能，能够使用户真正实现随时、随地、随意地接入网络。无线
局域网的本质特点是通过无线的方式取代电缆方式来连接
计算机与网络，增强了网络构建和终端移动的灵活性。与传
统网络比较而言。WLAN 的优越性显而易见：可移动性、安装
简单、高灵活性和扩展能力，而且不必受地理空间的约束。
目前。WLAN正以接入速率高、组网灵活以及在移动传
输数据方面的优势而处于蓬勃发展时期，随着无线局域网技
术的发展和无线接人设备的不断普及．无线局域网技术在网
络应用中成为热点，但无线局域网技术其传输介质的开放
性，使得数据在通过无线讯号向空中辐射传播的过程中．极
有可能被一些非法的接收设备所接收，这就给入侵者有了可
收稿日期：2011-07—12 稿件编号：201107047
作者简介：郭琳(1984一)，女，陕西汉中人，硕士，助理工程师。
乘之机。因此与有线网络相比．无线局域网则更易遭受黑客
攻击和泄密，另外，无线网络本身所具有的应用范围广、使用
群体复杂、管理难度大等众多特点．致使网络本身更具脆弱
性，因此无线局域网的安全问题显得尤为突出。
1 无线局域网的安全性分析
1．1 WLAN 资源面临的威胁
1．1．1 无线信道上传输数据面临的威胁
由于无线电波可以绕过障碍物向外传播，因此．无线局
域网中的信号是可以在一定覆盖范围内接听到而不被察觉
的。这如用收音机收听广播的情况一样，人们在电台发射塔
的覆盖范围内总可以用收音机收听广播．如果收音机的灵敏
度高一些，就可以收听到远一些的发射台发出的信号。当然，
无线局域网的无线信号的接收并不像收音机那么简单，只要
有相应的设备，总是可以接收到无线局域网的信号，并可以
研究方向：电力通信。
一】25-
万方数据
《电子设计工程)2Ol1年第18期
按照信号的封装格式打开数据包，读取数据的内容。
另外， 只要按照无线局域网规定的格式封装数据包。把
数据放到网络上发送时也可以被其他的设备读取。并且如果
使用一些信号截获技术，还可以把某个数据包拦截、修改，然
后重新发送，而数据包的接收者并不能察觉。
因此，无线信道上传输的数据可能会被侦听、修改、伪
造，对无线网络的正常通信产生了极大的干扰．并有可能造
成经济损失。
1．1．2 无线局域网中主机、设备面临的威胁
无线局域网是用无线技术把多台主机联系在一起构成
的网络。对于主机的攻击可能会以病毒的形式出现，除了目
前有线网络上流行的病毒之外，还可能会出现专门针对无线
局域网移动设备，比如手机或者PDA的无线病毒。当无线局
域网与无线广域网或者有线的国际互联网连接之后．无线病
毒的威胁可能会加剧。
对于无线局域网中的接入设备，可能会遭受来自外部网
或者内部网的拒绝服务攻击。当无线局域网和外部网接通
后，如果把IP地址直接暴露给外部网，那么针对该IP的Dos
或者DDoS会使得接人设备无法完成正常服务．造成网络瘫
痪。当某个恶意用户接入网络后，通过持续的发送垃圾数据
或者利用IP层协议的一些漏洞会造成接人设备工作缓慢或
者因资源耗尽而崩溃，造成系统混乱，使得基于硬件的身份
识别失效，同时硬件设备中的所有数据都可能会泄漏_lJ。
这样，无线局域网中主机的操作系统面临着病毒的挑
战，接人设备面临着拒绝服务攻击的威胁，用户设备则要考
虑丢失的后果。
1．2 WLAN标准的安全缺陷
IEEE 802．11标准最早在1997年发布．定义了MAC子
层、MAC管理协议和服务以及3种不同数据速率的物理层。
以下主要讨论IEEE 802．11b标准下的WLAN安全性。IEEE
802．1lb标准定义了两类认证客户端的机制：开放认证和共
享密匙认证，通常也采用SSID认证和MAC地址认证。
1．2．1 开放认证
1)开放认证概述
这是系统缺省的认证服务。不需要对发送工作站进行身
份认证时，一般采用开放系统认证。如果接收工作站通过
MIB中的AuthentieationType参数指明其采用开放系统认证
模式。那么采用开放系统认证模式的发送工作站可认证任何
其他工作站和AP
2)开放认证缺陷
使用开放认证的无线网络存在很大的缺陷。AP无法确
定一个用户是否为合法用户。对于公共的WLAN部署．不需
要执行很强的访问认证，但需要采用高层的认证。
1．2．2 共享密匙认证
与开放系统认证相比，共享密匙认证方式提供更高的安
全检查级别。采用共享密匙认证的工作站必须执行有线等效
加密(WEP)。
一126-
1)WEP概述
WEP协议主要有保密性、控制访问和数据完整性3个目
标。这3个目标的完成，可以协助管理员防止非授权用户使
用无线网络或者分析无线数据流。共享密匙认证过程需要客
户端配置静态的WEP密匙。图1就是使用WEP的共享密匙
认证过程。
工作站
WEP密匙l 2 3456
②认证响应(质询)
⑦认证请求(力f嘧质询)
④连接响应(成功)
-
无线访问接入点
(AP)
WEP密匙1 2 3456
图l 使用WEP的共享密匙认证过程
Fig．1 Shared key authentication process of using WEP
①客户端向AP发送共享密匙认证请求；
②AP使用WEP算法产生一个随机数。包含在认证响应
的质询文本中：
③ 客户端使用本地配置的WEP密匙加密质询文本．返
回一个加密认证请求；
④如果可以解密认证请求并获得最初的质询文本．说明
客户端通过认证，AP返回一个认证响应并授权用户访问。
2)WEP缺陷
WEP对明文和密匙序列使用异或(XOR)功能产生加密
质询。如果对明文和加密质询进行异或操作，得到的结果就
是密匙序列。因此，攻击者可以方便地通过协议分析器嗅探
共享密匙认证过程计算出的密匙序列。这就是所谓的“中间
人攻击”。很多其他攻击，如消息更改、消息插人和重定向，都
是基于这样的人侵技术。
1．2．3 SS卫D认证
1)SSID认证概述
SSID技术可以将一个无线局域网分为几个需要不同身
份验证的子网络，每一个子网络都需要独立的身份验证，只
有通过身份验证的用户才可以进入相应的子网络。防止未被
授权的用户进入本网络。简单说，SSID就是一个局域网的名
称．只有设置为名称相同SSID的值的电脑才能互相通信。
2)SSID认证缺陷
在AP的信号帧中，SSID是以明文方式进行广播的。虽
然信号帧对用户是透明的，但窃听者可以非常方便地使用
802．11 WLAN嗅探分析器(比如说Sniffer Pro、Netstumblerhe
和Kismet)来确定SSID。一些AP生产厂家，包括Cisco公司，
都提供在信号帧中禁止SSID广播的选项。但对窃听者来说，
仍可通过嗅探到的响应帧来获取SSID值。因此，不建议采用
SSID作为安全手段。
1．2．4 M AC认证
1)MAC认证概述
MAC地址认证是一种基于端口和MAC地址对用户的网
络访问权限进行控制的认证方法，它不需要用户安装任何客
户端软件。设备在首次检测到用户的MAC地址以后，即启动
万方数据
郭琳无线局域网的安全策略研究
对该用户的认证操作。
用户名或者密码。
认证过程中．也不需要用户手动输入 1．4 无线AP欺诈
L⋯一 ⋯一-证3响-应7⋯1J
- [： 至 ：-1
1．3．2 伪造合法的MAC地址
通过MAC地址认证中的缺陷可以得到一个合法的MAC
地址。此外由于MAC地址是通过标准化生成的，如果能知道
无线客户端使用的无线网络适配器生产厂商，就可以破译
MAC地址，通过伪造，就能实现无线局域网的欺诈。另外操作
系统和无线适配器支持MAC地址重新配置功能．也为MAC
地址欺诈提供了方便。MAC地址欺诈过程如图3所示。
无线客户端 无线AP
l一 亚 一一
． 一J I伪
造MAC地址连接请求l
⋯ ⋯ ⋯ ⋯ ⋯ 叫
l 授权连接请求 I
⋯ ⋯ ⋯ ⋯ ⋯
图3 MAC地址欺诈过程
Fig．3 MAC address fraudulent p~ ess
无线AP欺诈是指在WLAN覆盖范围内秘密安装无线
AP，窃取通信、WEP共享密匙、SSID、MAC地址、认证请求和
随机认证响应等保密信息的恶意行为。
首先利用Netstumblor等WLAN探测和定位软件。获得
合法无线AP的SSID、信号强度、是否加密等信息。根据信号
强度将欺诈无线AP秘密安装到合适位置。其次通过将欺诈
AP的SSID设置成合法无线AP的SSID．确保无线客户端可
以在合法AP和欺诈AP之间切换。最后通过获取WEP共享
密匙，AP欺诈就在共享密匙认证下成功。如果是开放系统认
证，不需要获取WEP共享密匙，AP欺诈已经成功。
1．5 无线局域网劫持
无线局域网劫持是指通过伪造ARP缓存表使会话流向
指定恶意无线客户端的攻击行为。这主要是利用了ARP协
议中存在请求与应答报文漏洞。最初在设计ARP协议时没
有考虑ARP发送请求进程与侦听应答进程之间的关联．也
即是，发送主机接收到ARP应答报文时，并不清楚是否曾经
发送过ARP请求报文。主机只要接收到ARP应答报文，就将
MAC地址保存到ARP缓存表中。正式ARP发送请求进程与
侦听应答进程之间无关联， 为通过伪造MAC地址实现会话
劫待提供了机会。
同一网段与不同网段内无线局域网劫持过程如图4所
示。假设恶意无线客户端的IP地址和MAC地址分别为
192．168．0．1和O0一O0—86—01一O2—0B。如果恶意无线用户端
希望劫持同一网段内IP为192．168．0．0的无线客户端会话，
只要它知道对方的IP地址．并向其发送一个包含自己MAC
地址的ARP应答报文。无线客户端将错误地认为00—00—
86—01—02—0B就是目标主机的MAC地址，此时无线客户端
的所有报文将被劫持到恶意无线客户端。同理。如果恶意无
线客户端要劫持位于另一网段内IP地址为192．168．0．2的
无线客户端会话，则就向路由器发送伪造的MAC地址00—
00—86—01—02—0B使路由器ARP缓存表错误地将无线客户
端的IP地址192．168．0．2映射成00—0O一86—01—02一OB．路由
器就会将无线客户端发送的所有报文错误地转发到恶意无
线客户端
IP：1 92．1 68．0．0
MAC：0O一00—86—01-02-0A
IP：
MAC
IP：1 92．168．0．2
MAC：00-00-86-01—02-OC
MAC：00-00-86-01—02-OD
图4 同一网段与不同网段内无线局域网劫持过程
Fig．4 WLAN hijacking in sanle network and diferent network
- 127-
万方数据
《电子设计工程}2011年第18期
2 无线局域网安全解决方案
2．1 解决资源的安全隐患
无线局域网中的设备在实际通信时是逐跳的方式。要么
是用户设备发数据给接入设备，再由接人设备转发，要么是
两台用户设备直接通信，每一种通信方式都可以用链路层加
密的方法来实现至少与有线连接同等的安全性。无线信号可
能被侦听，但是，如果把无线信号承载的数据变成密文，并且
如果加密强度够高的话。侦听者获得有用数据的可能性很
小。另外，无线信号可能被修改或者伪造，但是，如果对无线
信号承载的数据增加一部分由该数据和用户掌握的某种秘
密生成的冗余数据，以使得接收方可以检测到数据是否被更
改．那么．对于无线信号的更改将会徒劳无功。而秘密的独有
性也将使得伪造数据被误认为是合法数据的可能性极小。这
样．通过数据加密和数据完整性校验就可以为无线局域网提
供一个类似有线网的物理安全的保护[41。
对于无线局域网中的主机，面临病毒威胁时，可以用最
先进的防毒措施和最新的杀毒工具来给系统增加安全外壳，
比如安装硬件形式的病毒卡预防病毒．或者安装软件用来实
时检测系统异常。对于DOS攻击或者DDOS攻击，可以增加
一个网关，使用数据包过滤或其他路由设置，将恶意数据拦
截在网络外部；通过对外部网络隐藏接入设备的IP地址，可
以减小风险。对于内部的恶意用户，则要通过审计分析，网络
安全检测等手段找出恶意用户．并辅以其他管理手段来杜绝
来自内部的攻击。硬件丢失的威胁要求必须能通过某种秘密
或者生物特征等方式来绑定硬件设备和用户，并且对于用户
的认证也必须基于用户的身份而不是硬件来完成[51。
2．2 解决标准的安全隐患
2．2．1 m EE 802．11i标准
针对WEP协议的主要缺陷．IEEE 802．1li工作组制订了
新一代安全标准IEEE 802．11i．它只要包括以下两个方面：
1)认证方面
IEEE 802．11i采用IEEE 802．1x作为认证框架和接入控
制。它为链路层提供了扩展的认证能力。通过扩展认证协议
EAP进行调用。
EAP主要用于在网络和用户之间进行双向认证和集中
式WEP密匙管理，更重要的是，EAP与目前广泛采用的网络
机制(如RADIUS)兼容。图5说明使用EAP协议和RADIUS
进行双向认证的过程。
a．无线工作站确定从AP发出的信号中支持802．1li；
b．工作站使用EAP帧开始会话；
c．AP向工作站发送EAP身份请求消息；
d．工作站发送EAP响应；
e．AP向RADIUS服务器转发数据分组；
f．RADIUS向AP发送响应，其中包含质询；
g．AP向工作站转发质询；
h．工作站发送质询响应；
一】28-
确曼 一 ⋯⋯⋯雹
工作站 AP RADIUS~ 器
e RED1US请求(用户名)
f REDIUS响应 一
i REDIUS响应
j REDIUS接受
图5 使用EAP协议和RADIUS进行双向认证的过程
Fig．5 Two-way authentication process using EAP and RADIUS
i．AP向RADIUS如无其转发响应：
i．RADIUS服务器向AP发送接收消息；
k．AP向工作站转发EAP成功消息：
1．工作站准备数据传输。
客户端和RADIUS服务器之间的双向认证机制，可有效
阻止由伪装的访问点发动的“中间人攻击”，这也有助于确保
只有合法的用户端才能连接合法的、经过授权的无线访问点。
EAP还辅以WEP密钥分配这一集中管理模式，解决了无
线数据的隐密性问题。RADIUS服务器动态地为每个无线客户
端生成不同的WEP密钥．这在客户端每次认证时都向其提供
了新的加密密钥．从而无需手工配置静态的WEP密钥。
2)数据加密方面
IEEE 802．1li定义了临时密匙完整性协议(TKIP)、CCMP
和WRAP 3种加密机制。
一方面，TKIP采用了扩展的48位IV和IV顺序规则、密
钥混合函数．重放保护机制和Michael消息完整性代码(安全
的MIC码)这4种有力的安全措施，解决了WEP中存在的安
全漏洞．提高了安全性。就目前已知的攻击方法而言，TKIP是
安全的。另一方面，TKIP不用修改WEP硬件模块，只需修改
驱动程序．升级起来也具有很大的便利性。因此，采用TKIP
代替WEP是合理的。但是TKIP是基于RC4的，RC4已被
发现存在问题。可能今后还会被发现其他的问题。另外，RC4
一类的序列算法，其加解密操作只是简单的异或运算，在无
线环境下具有一定的局限性， 因此TKIP只能作为一种短期
的解决方案。
此外．802．11中配合高级加密标准AES使用加密模式
CCM(分组密码)和OCB，并在这两种模式的基础上构造了
CCMP和WRAP密码协议。CCMP机制基于AES和CCM认
证方式。WRAP机制基于AES和OCB认证方式。
2．2．2 中国无线局域网安全标准(WAPI)
WAPI即无线局域网鉴别和保密基础结构，是中国境内
唯一合法的无线网络技术标准。
WAPI认证与加密由无线局域网鉴别基础结构(WAI)和
无线局域网保密基础结构(WPI)两部分组成，WAI和WP1分
别实现对用户身份的鉴别和对传输数据的加密。其中，WAI采
差一
万方数据
郭琳无线局域网的安全策略研究
用公开密钥密码体制，利用公钥证书来对WLAN系统中的
STA和AP进行认证。WPI采用对称密码算法实现对MAC层
MSDU的加、解密操作。WAPI这种公开密钥体制的椭圆曲线
密码算法和秘密密钥体制的分组密码算法，实现了设备的身
份鉴别、链路验证、访问控制和用户信息在无线传输状态下的
加密保护。旨在彻底扭转目前WLAN采用多种安全机制并存
且互不兼容的现状。从根本上解决安全问题和兼容性问题。
WAPI系统由移动终端MT (Mobile Termina1)、AP和认证
服务单元ASU组成。其中，ASU完成认证机构CA的功能，用
于管理参与信息交换各方所需要的证书(包括证书的产生、颁
发、吊销和更新)。证书里面包含有证书颁发者(ASU)的公钥和
签名以及证书持有者的公钥和签名(这里的签名采用的是
WAPI特有的椭圆曲线数字签名算法)，是网络设备的数字身
份凭证。移动终端MT与AP上都安装有ASU发放的公钥证
书，作为自己的数字身份凭证。当MT登录至无线接人点AP
时．在使用或访问网络之前必须通过ASU进行双向身份验证。
根据验证的结果，只有持有合法证书的移动终端MT才能接入
持有合法证书的无线接入点AP。这样不仅可以防止非法移动
终端MT接人AP而访问网络并占用网络资源，而且还可以防
止移动终端MT登录至非法AP而造成信息泄漏。
3 结 论
由于无线局域网本身存在安全方面的弱点和应用环境
的多样性，致使处理和解决它的安全问题非常困难，因此，要
保证无线局域网的相对安全性，就必须从多层次、多方位综
合考虑，在保证兼容性的前提下，灵活实施多种安全措施．建
立多元化的整合联动的防护机制。也只有这样。无线局域网
才能安全顺利地与其他有线网络、无线网络乃至3G网络实
现互联互通。并发挥其巨大的潜力。
参考文献：
【l】张勇．无线局域网安全技术[J】．中国金融电脑，2007(3)：
223-226．
ZHANG Y0n昏WLAN security technical Financial Computer
of China，2007(3)：223—226．
[2]钟义信．信息科学原理【M】．北京：北京邮电大学出版社，
2005．
[3]刘沛．无线局域网安全综述[J]．软件导-1：q，2008(7)：136—139．
LIU Pei．Overview on WLAN security[J]．Software Guide，
2008(7)：136—139．
[4】符彦惟．计算机网络安全实用[M]．北京：清华大学出版社，
2008．
【5】赵小林．网络安全技术教程[M】．北京：国防工业出版社，
2006．
[6]杨义先．信息安全综述【J]．电信科学，2007(12)：330—335．
YANG Yi-xian．Overview on inform ation security [J】．
Telecommunications Science，2007(12)：330—335．
(上接第124页)
采集信号进行频域分析，可得其信噪比为54．7 dB，有效位数
8．8 bit，测试结果与AD芯片性能基本一致。该采集卡已应用
于某宽带雷达接收系统．取得良好的效果，具有重要的工程
实用价值。
参考文献：
【l】王伟，傅其祥．基if"PCIe总线的超高速信号采集卡的设计
[J]．电子设计工程，2010，18(5)：43—45．
WANG Wei．FU Qi-xiang．Design of ultra-high speed data
acquisition card based on PCIe bus[J]．Electronic Design
Engineering，2010，18(5)：43—45．
【2]杨强浩．基于EDK的FPGA嵌入式系统开发【M】．北京：机械工
业出版社．2008．
【3】杨威，黄建国，王志刚．DDR SDRAM在高速数据采集系统
中的应用与设计[J]．自动化信息，2006(8)：43-45．
YANG Wei，HUANG Jian—guo，WANG Zhi-gang．Application
of DDR SDRAM in high speed data acquisition system【J]．
Automation Information，2006(8)：43—45．
[4】赵峰，马迪铭，孙炜，等．FPGA2-的嵌入式系统设计实例
【M】．西安：西安电子科技大学出版社，2008．
【5】叶肇晋，张稀楠，马磊．基f XILINX FPGA片上嵌入式系统
的用户IP开发[M】．西安：西安电子科技大学出版社，2008．
[6】邢爽，王和明，张伟．基于嵌入式雷达回波采集电路设计与
实现[J]．微计算机信息，2009(6)：238—239．
XING Shuang，WANG He·ming，ZHANG Wei．Design and
implementation of pulse--echo acquisition circuit for through--
wall radar based on FPGA [J]．Control＆ Automation，2009
(6)：238—239．
- 129-

网友评论 more

电力安全论文最新内容

03-05