学习啦>学习电脑>选购与维护>笔记本>

WLAN安全该如何保障

佳卓分享

  随着Internet的迅猛发展,以及便携电脑、智能手机等移动智能终端的使用日益频繁,以无线信道作为传输媒介的无线局域网(WLAN)技术给用户提供了有线网络无可比拟的可移动、漫游的便利。无线局域网最通用的标准是IEEE定义的 802.11系列标准,早期应用定位于家庭、企业内部以及运营商铺设的热点地区,比如机场、写字楼、咖啡厅等。随着技术的成熟以及移动互联网应用的发展,WLAN如今已成为主流互联网高速接入技术之一。但在WLAN业务系统日渐壮大的同时,也不断暴露出各种安全问题,

  下面是由学习啦小编整理的从设备、网络、业务等层次针对WLAN业务系统所面临的安全威胁进行分析,并对部分业务安全问题提出了目前的解决方案,希望大家喜欢!

  WLAN 安全接入标准

  无线网络WLAN安全接入标准,大致有三种,分别是WEP、WPA和WAPI。

  WEP(Wired Equivalent Privacy)

  WEP(Wired Equivalent Privacy)是802.11b采用的安全标准,用于提供一种加密机制,保护数据链路层的安全,使无线网络WLAN的数据传输安全达到与有线LAN相同的级别。

  WPA (Wi-Fi Protected Access)

  WPA(Wi-Fi Protected Access)是保护Wi-Fi登录安全的装置。它分为WPA和WPA2两个版本,是WEP的升级版本,针对WEP的几个缺点进行了弥补。是802.11i的组成部分,在802.11i没有完备之前,是802.11i的临时替代版本。

  WAPI (WLAN Authentication and PrivacyInfrastructure)

  WAPI(WLAN Authentication and Privacy Infrastructure)是我国自主研发并大力推行的无线WLAN安全规范,它通过了IEEE(注意,不是Wi-Fi)认证和授权,是一种认证和私密性保护协议,其作用类似于802.11b中的WEP,但是能提供更加完善的安全保护。

  WLAN 系统面临安全风险和问题

  进入阶段

  WPA/WPA2及WEP标准安全性:目前主流的WPA-PSK类型的无线网络可利用PSK+ssid先生成PMK,然后结合握手包中的客户端MAC、AP的BSSID、A-NONCE、S-NONCE计算PTK,再加上原始的报文数据算出MIC并与AP发送的MIC比较的方式进行暴力破解,这一方法被称为字典跑包。另外一种较为主流的破解方式为PIN码破解,也被称为WPS破解,主要原理为利用WPS存在的安全问题,通过PIN码可以直接提取密码。而PIN码是一个8位的整数,破解过程时间比较短。WPS PIN码的第8位数是一个校验和,因此黑客只需计算前7位数。另外前7位中的前四位和后三位分开认证。所以破解pin码最多只需要1.1万次尝试,顺利的情况下在3小时左右。而WEP由于自身设计缺陷,早已在2003年被Wi-Fi Protected Access (WPA) 淘汰,又在2004年由完整的 IEEE 802.11i 标准(又称为 WPA2)所取代,但现网中仍有部分老旧设备仍使用简单的WEP标准提供服务。

  配置缺陷:由于许多企业并没有启用认证系统,或者是在WLAN认证Portal页面的密码登录部分未设置验证码等机制,这些配置上的缺陷也会导致密码被暴力破解。

  密码共享:随着Wi-Fi万能钥匙等产品的流行泛滥,许多未启用认证系统的企业面临着WLAN密码分秒被破解的窘境,企业内网公然暴露在入侵者面前。

  攻击阶段

  设备漏洞:WLAN系统设备自身存在的安全漏洞、脆弱性,可被利用控制操纵WLAN设备,进而影响WLAN业务的正常使用。如果未采用详细的访问策略进行控制的话,用户在接入WLAN网络后,可访问这些设备。一般AP设备安全防护较差,若存在弱口令或缺省口令,被恶意攻击者控制后可修改配置或关闭设备,导致设备无法正常使用。AC等设备存在的一些漏洞(比如任意配置文件下载漏洞)也可导致账号密码、IP路由等信息泄露,进而影响系统的安全运行。

  跳板攻击:WLAN设备管理IP地址段与普通WLAN用户IP地址段未做有效隔离,导致WLAN设备易被攻击控制,AC可从任意地址登录,攻击者可利用扫描软件对设备进行暴力密码扫描。

  地址欺骗和会话拦截:由于802.11无线局域网对数据帧不进行认证操作,攻击者可以通过欺骗帧去重定向数据流和使ARP表变得混乱,通过非常简单的方法,攻击者可以轻易获得网络中站点的MAC地址,这些地址可以被用来恶意攻击时使用。除攻击者通过欺骗帧进行攻击外,攻击者还可以通过截获会话帧发现AP中存在的认证缺陷,通过监测AP发出的广播帧发现AP的存在。然而,由于802.11没有要求AP必须证明自己真是一个AP,攻击者很容易装扮成AP进入网络,通过这样的AP,攻击者可以进一步获取认证身份信息从而进入网络。在没有采用802.11i对每一个802.11 MAC帧进行认证的技术前,通过会话拦截实现的网络入侵是无法避免的。

  高级入侵阶段

  高级入侵:一旦攻击者进入无线网络,它将成为进一步入侵其他系统的起点。很多网络都有一套经过精心设置的安全设备作为网络的外壳,以防止非法攻击,但是在外壳保护的网络内部确是非常的脆弱容易受到攻击的。无线网络可以通过简单配置就可快速地接入网络主干,但这样会使网络暴露在攻击者面前。即使有一定边界安全设备的网络,同样也会使网络暴露出来从而遭到进一步入侵。

  WLAN系统安全防护

  针对上述安全风险,为确保WLAN系统正常运行,应全面梳理WLAN业务的数据流与控制流,在各个环节、各个层面做好基本安全防护。

  接入防护

  接入防护是确保WLAN系统的所有设备安全运行最基本的保障。AP被控制可能会导致用户根本无法接入;AC被控制将影响AC所管理的所有AP设备,导致大量用户无法正常接入,并有可能将用户引入攻击者设计的Portal页面;RADIUS被控制影响用户的管理;网络设备被控制将影响网络访问;RADIUS、Portal出现问题影响用户的认证与计费;网管设备出现问题导致被管对象运行异常,甚至会导致攻击者从外网进入内网,进而发起更深层次的攻击。所以列出如下几点建议对WLAN接入防护进行加固:

  WLAN系统相关设备设置复杂的口令;

  对于开启SNMP协议的设备应设置复杂的通信字,除非必要不开启具有写权限的通信字,并对可访问地址进行严格限制;

  采用端口访问技术(802.1x)进行控制,防止非授权的非法接入和访问;

  对AP和网卡设置复杂的SSID,并根据需求确定是否需要漫游来确定是否需要MAC绑定;

  禁止AP向外广播其SSID;

  布置AP的时候要在公司办公区域以外进行检查,防止AP的覆盖范围超出办公区域(难度较大),同时要让保安人员在公司附近进行巡查,防止外部人员在公司附近接入网络;

  开启日志,并定期查看系统日志。在攻击者扫描时一般会在系统中留下较明显的日志,如图1所示即为一 AC设备上的登录日志,从日志即可看出来该IP地址对AC设备账号密码进行了扫描破解;

  RADIUS系统存储的WLAN用户账号密码,应采用加密方式保存,同时增强WLAN用户密码生成机制的安全性,避免WLAN系统重置密码是默认弱口令。

  攻击防护

  做好用户隔离,开启AC用户隔离功能和交换机端口隔离功能。正常情况下,未认证用户不能访问网络内其他用户,认证后用户在同一AP、同一热点不同AP 下不能互通。

  根据需要为AC划分管理VLAN和用户VLAN, VLAN间不互通。在WLAN系统内外部网络之间,以及内部不同安全域之间通过防火墙实现隔离及访问控制,细化访问控制策略严格限制可登录维护地址范围与端口。

  高级入侵防护

  区域部署专业安全设备。在核心网元部署入侵检测系统、防火墙,在Portal服务器所在网络部署防拒绝和网页防篡改软件。

  加强审计,对WLAN网络内的所有节点都做好统计

  绿盟安全无线防御系统

  产品综述

  安全无线防御系统主要由以下几部分组成:

  安全无线防御系统:部署需要安全防护的无线网络中,融合多种安全能力,针对无线扫描、无线欺骗、无线DoS、无线破解等无线网络威胁,实现精确防控的高可靠、高性能、易管理的安全无线防御设备。

  无线安全集中数据分析中心:无线安全数据分析是无线安全产品海量信息的后台处理中心。主要完成安全无线防御系统的日志和安全事件的存储、分析、审计和处理功能。

  产品特性

  绿盟安全无线防御系统的主要特性包括:

  无线防火墙,结合射频信号及802.11特点,提供创新的无线防火墙安全策略,可根据AP或Station的安全属性定制无线网络准入规则,通过射频信号阻止非法用户接入,建立射频安全区,提供具有物理安全、可信的无线网络。

  安全无线防御,提供包括无线扫描、欺骗、DoS、破解等多个大类数十种无线攻击的检测、告警、阻断功能,同时提供多种类型流氓AP的检测与阻断,彻底杜绝内网机密通过无线网络向外泄露。

  丰富的报表统计,提供无线网络实时拓扑、雷达图、柱状图、饼状图、攻击排名等多种丰富统计,无线安全状态一目了然。

  绿盟科技可提供专业化的无线安全防护方案。各企业用户可根据企业规模、人才储备、业务特点等情况,在不同攻击层面对自身WLAN业务进行防护加固,降低安全风险,避免安全损失,保障企业效益。

    3627844