802.11系列和無線網(wǎng)絡(luò)無縫漫游
隨著商業(yè)的全速發(fā)展，與其相關(guān)的無線局域網(wǎng)(WLANs)也朝著更大，更快的方向發(fā)展，因此，需要考慮許多因素，包括安全性問題。802.11n能夠擴(kuò)大網(wǎng)絡(luò)覆蓋范圍和性能，但是同樣需要考慮與以往同等或更好的安全性。
以往無線IEEE802.11a/b/g標(biāo)準(zhǔn)的簡史
和原來的802.11a/b/g標(biāo)準(zhǔn)一樣，802.11n高吞吐量標(biāo)準(zhǔn)擁有802.11i標(biāo)準(zhǔn)的穩(wěn)固安全性(魯棒安全，RS)。事實(shí)上，所有的DraftN產(chǎn)品都要求支持Wi-Fi網(wǎng)絡(luò)保護(hù)連接版本2(WPA2)，它是Wi-Fi聯(lián)盟為802.11i推出的測試程序。
好消息是：所有從零開始的802.11n無線局域網(wǎng)都可以忽略WEP破解者和WPA(TKIPMIC)攻擊，因?yàn)槊恳粋€(gè)802.11n設(shè)備都能夠?qū)?shù)據(jù)進(jìn)行ASE加密。背景：無線局域網(wǎng)必須能夠同時(shí)支持以往的802.11a/b/g客戶端和全新的802.11n客戶端，它可能需要允許暫時(shí)密鑰集成協(xié)議(TKIP)。這樣做可以使先前的非高級加密標(biāo)準(zhǔn)(non-AES)用戶進(jìn)行安全連接。遺憾的是，當(dāng)使用TKIP時(shí)，802.11n禁止高吞吐量的數(shù)據(jù)流。
因此，最好是把原有的802.11a/b/g客戶端與新的802.11n客戶端劃分為獨(dú)立的服務(wù)設(shè)定識別器(SSID)：高吞吐量的WLAN需要使用AES(WPA2)而傳統(tǒng)的WLAN可以使用TKIP或者AES(WPA+WPA2)。這個(gè)可以通過在虛擬訪問接入點(diǎn)(AP)定義兩個(gè)SSIDs完成，或者在雙基站AP上開放不同的射頻同樣可以實(shí)現(xiàn)。但是，這只是一個(gè)臨時(shí)措施。只要你能夠停止使用、或者淘汰并替換這些傳統(tǒng)遺留設(shè)備，你便可以去掉TKIP來提高速度和安全性。
使用WPA2來改善802.11n安全性的優(yōu)勢
802.11n繼承了WPA2的優(yōu)點(diǎn)和缺點(diǎn)。802.11a/b/g和802.11n設(shè)備可以使用AES防止無線數(shù)據(jù)幀竊聽、偽造和重發(fā)送。802.11a/b/g和802.11n接入點(diǎn)(AP)能夠使用802.1X來連接經(jīng)過授權(quán)的用戶，相反，拒絕陌生人接入。但是，802.11n仍不能阻止入侵者發(fā)送偽造的管理幀數(shù)據(jù)——這是一種通過斷開合法用戶或偽裝成“惡魔雙子星(eviltwin)”接入點(diǎn)的攻擊方式。
因此，新的802.11n網(wǎng)絡(luò)必須對無線傳播的攻擊保持警惕。非常小的WLANs可以依舊使用周期性掃描來探測欺騙訪問接入點(diǎn)，而商業(yè)WLANs應(yīng)該可以使用完整的無線入侵預(yù)防系統(tǒng)(WIPs)以防止欺詐、意外聯(lián)合、未被授權(quán)的點(diǎn)對點(diǎn)模式，還有其它的Wi-Fi攻擊。
盡管如此，現(xiàn)在采用一種或者所有這些安全機(jī)制的WLANs不能只依賴于此。802.11n設(shè)備可以達(dá)到與他相對的802.11a/b/g設(shè)備的兩倍多。欺詐、鄰居，或者原來那些遠(yuǎn)距離的城域APs現(xiàn)在都有可能變成一種威脅。入侵者不僅能夠很輕松連接到你的無線局域網(wǎng)，而且合法用戶將更有可能意外連接到WLANs的局外。如果在你原先的11ag接入點(diǎn)和更快的802.11n欺騙訪問點(diǎn)之間做一個(gè)選擇，連接到任何可用網(wǎng)絡(luò)的混雜客戶會每次都去找欺騙訪問點(diǎn)。
簡而言之，802.11n標(biāo)準(zhǔn)范圍的擴(kuò)大增加了傳統(tǒng)無線網(wǎng)絡(luò)安全事件發(fā)生的頻率，并且暴露了依賴于不佳性能的薄弱配置。更糟糕的是，現(xiàn)有的基于WIPS傳感器的11a/b/g可能會完全錯(cuò)過許多的安全事件。每一次802.11n的出現(xiàn)都應(yīng)該包括WIPS升級以監(jiān)測新的無線局域網(wǎng)更大的腳本軌跡，分析在20MHz和40MHz兩個(gè)頻段中11a/b/g和n的流量。
【編輯推薦】
