無(wú)線網(wǎng)絡(luò)安全防范措施探討
無(wú)線網(wǎng)絡(luò)和無(wú)線局域網(wǎng)的出現(xiàn)大大提升了信息交換的速度和質(zhì)量,為很多的用戶(hù)提供了便捷和子偶的網(wǎng)絡(luò)服務(wù),但同時(shí)也由于無(wú)線網(wǎng)絡(luò)本身的特點(diǎn)造成了安全上的隱患。隨著信息化技術(shù)的飛速發(fā)展,很多網(wǎng)絡(luò)都開(kāi)始實(shí)現(xiàn)無(wú)線網(wǎng)絡(luò)的覆蓋以此來(lái)實(shí)現(xiàn)信息電子化交換和資源共享。具體的說(shuō)來(lái),就是無(wú)線介質(zhì)信號(hào)由于其傳播的開(kāi)放性設(shè)計(jì),使得其在傳輸?shù)倪^(guò)程中很難對(duì)傳輸介質(zhì)實(shí)施有效的保護(hù)從而造成傳輸信號(hào)有可能被他人截獲,被不法之徒利用其漏洞來(lái)攻擊網(wǎng)絡(luò)。因此,如何在組網(wǎng)和網(wǎng)絡(luò)設(shè)計(jì)的時(shí)候?yàn)闊o(wú)線網(wǎng)絡(luò)信號(hào)和無(wú)線局域網(wǎng)實(shí)施有效的安全保護(hù)機(jī)制就成為了當(dāng)前無(wú)線網(wǎng)絡(luò)面臨的重大課題。
一、無(wú)線網(wǎng)絡(luò)的安全隱患分析
無(wú)線局域網(wǎng)的基本原理就是在企業(yè)或者組織內(nèi)部通過(guò)無(wú)線通訊技術(shù)來(lái)連接單個(gè)的計(jì)算機(jī)終端,以此來(lái)組成可以相互連接和通訊的資源共享系統(tǒng)。無(wú)線局域網(wǎng)區(qū)別于有線局域網(wǎng)的特點(diǎn)就是通過(guò)空間電磁波來(lái)取代傳統(tǒng)的有限電纜來(lái)實(shí)施信息傳輸和聯(lián)系。對(duì)比傳統(tǒng)的有線局域網(wǎng),無(wú)線網(wǎng)絡(luò)的構(gòu)建增強(qiáng)了電腦終端的移動(dòng)能力,同時(shí)它安裝簡(jiǎn)單,不受地理位置和空間的限制大大提高了信息傳輸?shù)男?但同時(shí),也正是由于無(wú)線局域網(wǎng)的特性,使得其很難采取和有線局域網(wǎng)一樣的網(wǎng)絡(luò)安全機(jī)制來(lái)保護(hù)信息傳輸?shù)陌踩?換句話(huà)無(wú)線網(wǎng)絡(luò)的安全保護(hù)措施難度原因大于有線網(wǎng)絡(luò)。
IT技術(shù)人員在規(guī)劃和建設(shè)無(wú)線網(wǎng)絡(luò)中面臨兩大問(wèn)題:首先,市面上的標(biāo)準(zhǔn)與安全解決方案太多,到底選什么好,無(wú)所適從;第二,如何避免網(wǎng)絡(luò)遭到入侵或攻擊?在有線網(wǎng)絡(luò)階段,技術(shù)人員可以通過(guò)部署防火墻硬件安全設(shè)備來(lái)構(gòu)建一個(gè)防范外部攻擊的防線,但是,“兼顧的防線往往從內(nèi)部被攻破”。由于無(wú)線網(wǎng)絡(luò)具有接入方便的特點(diǎn),使得我們?cè)群馁Y部署的有線網(wǎng)絡(luò)防范設(shè)備輕易地就被繞過(guò),成為形同虛設(shè)的“馬奇諾防線”。
針對(duì)無(wú)線網(wǎng)絡(luò)的主要安全威脅有如下一些:
1.數(shù)據(jù)竊聽(tīng)。竊聽(tīng)網(wǎng)絡(luò)傳輸可導(dǎo)致機(jī)密敏感數(shù)據(jù)泄漏、未加保護(hù)的用戶(hù)憑據(jù)曝光,引發(fā)身份盜用。它還允許有經(jīng)驗(yàn)的入侵者手機(jī)有關(guān)用戶(hù)的IT環(huán)境信息,然后利用這些信息攻擊其他情況下不易遭到攻擊的系統(tǒng)或數(shù)據(jù)。甚至為攻擊者提供進(jìn)行社會(huì)工程學(xué)攻擊的一系列商信息。
2.截取和篡改傳輸數(shù)據(jù)。如果攻擊者能夠連接到內(nèi)部網(wǎng)絡(luò),則他可以使用惡意計(jì)算機(jī)通過(guò)偽造網(wǎng)關(guān)等途徑來(lái)截獲甚至修改兩個(gè)合法方之劍正常傳輸?shù)木W(wǎng)絡(luò)數(shù)據(jù)。
二、常見(jiàn)的無(wú)線網(wǎng)絡(luò)安全措施
綜合上述針對(duì)無(wú)線網(wǎng)絡(luò)的各種安全威脅,我們不難發(fā)現(xiàn),把好“接入關(guān)”是我們保障企業(yè)無(wú)線網(wǎng)絡(luò)安全性的最直接的舉措。目前的無(wú)線網(wǎng)絡(luò)安全措施基本都是在接入關(guān)對(duì)入侵者設(shè)防,常見(jiàn)的安全措施有以下各種。
1.MAC地址過(guò)濾
MAC地址過(guò)濾在有線網(wǎng)絡(luò)安全措施中是一種常見(jiàn)的安全防范手段,因此其操作方法也和在有線網(wǎng)絡(luò)中操作交換機(jī)的方式一致。通過(guò)無(wú)線控制器將指定的無(wú)線網(wǎng)卡的物理地址(MAC地址)下發(fā)到各個(gè)AP中,或者直接存儲(chǔ)在無(wú)線控制器中,或者在AP交換機(jī)端進(jìn)行設(shè)置。
2.隱藏SSID
SSID(Service Set Identifier,服務(wù)標(biāo)識(shí)符)是用來(lái)區(qū)分不同的網(wǎng)絡(luò),其作用類(lèi)似于有線網(wǎng)絡(luò)中的VLAN,計(jì)算機(jī)接入某一個(gè)SSID的網(wǎng)絡(luò)后就不能直接與另一個(gè)SSID的網(wǎng)絡(luò)進(jìn)行通信了,SSID經(jīng)常被用來(lái)作為不同網(wǎng)絡(luò)服務(wù)的標(biāo)識(shí)。一個(gè)SSID最多有32個(gè)字符構(gòu)成,無(wú)線終端接入無(wú)線網(wǎng)路時(shí)必須提供有效的SIID,只有匹配的SSID才可接入。一般來(lái)說(shuō),無(wú)線AP會(huì)廣播SSID,這樣,接入終端可以通過(guò)掃描獲知附近存在哪些可用的無(wú)線網(wǎng)絡(luò),例如WINDOWSXP自帶掃描功能,可以將能聯(lián)系到的所有無(wú)線網(wǎng)絡(luò)的SSID羅列出來(lái)。因此,出于安全考慮,可以設(shè)置AP不廣播SSID,并將SSID的名字構(gòu)造成一個(gè)不容易猜解的長(zhǎng)字符串。這樣,由于SSID被隱藏起來(lái)了,接入端就不能通過(guò)系統(tǒng)自帶的功能掃描到這個(gè)實(shí)際存在的無(wú)線網(wǎng)絡(luò),即便他知道有一個(gè)無(wú)線網(wǎng)絡(luò)存在,但猜不出SSID全名也是無(wú)法接入到這個(gè)網(wǎng)絡(luò)中去的。
三、無(wú)線網(wǎng)絡(luò)安全措施的選擇
應(yīng)用的方便性與安全性之間永遠(yuǎn)是一對(duì)矛盾。安全性越高,則一定是以喪失方便性為代價(jià)的。但是在實(shí)際的無(wú)線網(wǎng)絡(luò)的應(yīng)用中,我們不能不考慮應(yīng)用的方便性。因此,我們?cè)趯?duì)無(wú)線網(wǎng)路安全措施的選擇中應(yīng)該均衡考慮方便性和安全性。
在接入無(wú)線AP時(shí)采用WAP加密模式,又因?yàn)椴徽揝SID是否隱藏攻擊者都能通過(guò)專(zhuān)用軟件探測(cè)到SSID,因此不隱藏SSID,以提高接入的方便性。這樣在接入時(shí)只要第一次需要輸入接入密碼,以后就可以不用輸入接入密碼了。
使用強(qiáng)制Portal+802.1x這兩種認(rèn)證方式相結(jié)合的方法能有效地解決無(wú)線網(wǎng)絡(luò)的安全,具有一定的現(xiàn)實(shí)意義。來(lái)訪用戶(hù)所關(guān)心的是方便和快捷,對(duì)安全性的要求不高。強(qiáng)制Portal認(rèn)證方式在用戶(hù)端不需要安裝額外的客戶(hù)端軟件,用戶(hù)直接使用Web瀏覽器認(rèn)證后即可上網(wǎng)。采用此種方式,對(duì)來(lái)訪用戶(hù)來(lái)說(shuō)簡(jiǎn)單、方便、快速,但安全性比較差。
此外,如果在資金可以保證的前提下,在無(wú)線網(wǎng)絡(luò)中使用無(wú)線網(wǎng)絡(luò)入侵檢測(cè)設(shè)備進(jìn)行主動(dòng)防御,也是進(jìn)一步加強(qiáng)無(wú)線網(wǎng)絡(luò)安全性的有效手段。
最后,任何的網(wǎng)絡(luò)安全技術(shù)都是在人的使用下發(fā)揮作用的,因此,最后一道防線就是使用者,只有每一個(gè)使用者加強(qiáng)無(wú)線網(wǎng)絡(luò)安全意識(shí),才能真正實(shí)現(xiàn)無(wú)線網(wǎng)絡(luò)的安全。否則,黑客或攻擊者的一次簡(jiǎn)單的社會(huì)工程學(xué)攻擊就可以在2分鐘內(nèi)使網(wǎng)絡(luò)管理人員配置的各種安全措施變得形同虛設(shè)。
現(xiàn)在,不少企業(yè)和組織都已經(jīng)實(shí)現(xiàn)了整個(gè)的無(wú)線覆蓋。但在建設(shè)無(wú)線網(wǎng)絡(luò)的同時(shí),因?yàn)閷?duì)無(wú)線網(wǎng)絡(luò)的安全不夠重視,對(duì)局域網(wǎng)無(wú)線網(wǎng)絡(luò)的安全考慮不及時(shí),也造成了一定的影響和破壞。做好無(wú)線網(wǎng)絡(luò)的安全管理工作,并完成全校無(wú)線網(wǎng)絡(luò)的統(tǒng)一身份驗(yàn)證,是當(dāng)前組建無(wú)線網(wǎng)必須要考慮的事情。只有這樣才能做到無(wú)線網(wǎng)絡(luò)與現(xiàn)有有線網(wǎng)絡(luò)的無(wú)縫對(duì)接,確保無(wú)線網(wǎng)絡(luò)的高安全性,提高企業(yè)的信息化的水平。
無(wú)線網(wǎng)絡(luò)的安全問(wèn)題就為大家介紹完了，希望大家已經(jīng)掌握
【編輯推薦】
