WLAN無線局域網(wǎng)安全技術(shù)的選用
隨著WLAN(無線局域網(wǎng))技術(shù)的快速發(fā)展，WLAN市場、服務(wù)和應(yīng)用的增長速度非常驚人，各級組織在選用WLAN產(chǎn)品時如何使用安全技術(shù)手段來保護(hù)WLAN中傳輸?shù)臄?shù)據(jù)——特別是敏感的、重要的數(shù)據(jù)的安全，是值得考慮的非常重要的問題，必須確保數(shù)據(jù)不外泄和數(shù)據(jù)的完整性。
引:隨著WLAN(無線局域網(wǎng))技術(shù)的快速發(fā)展，WLAN市場、服務(wù)和應(yīng)用的增長速度非常驚人，各級組織在選用WLAN產(chǎn)品時如何使用安全技術(shù)手段來保護(hù)WLAN中傳輸?shù)臄?shù)據(jù)——特別是敏感的、重要的數(shù)據(jù)的安全，是值得考慮的非常重要的問題，必須確保數(shù)據(jù)不外泄和數(shù)據(jù)的完整性。
WLAN安全技術(shù)
有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)有著不同的傳輸方式。有線網(wǎng)絡(luò)的訪問控制往往以物理端口接入方式進(jìn)行監(jiān)控，數(shù)據(jù)通過雙絞線、光纖等介質(zhì)傳輸?shù)教囟ǖ哪康牡?，有線網(wǎng)絡(luò)輻射到空氣中的電磁信號強度很小，很難被竊聽，一般情況下，只有在物理鏈路遭到盜用后數(shù)據(jù)才有可能泄漏。而無線網(wǎng)絡(luò)的數(shù)據(jù)傳輸是利用電磁波在空氣中輻射傳播，只要在接入點(AP，Access Point)覆蓋的范圍內(nèi)，所有的無線終端都可以接收到無線信號。無線網(wǎng)絡(luò)的這種電磁輻射的傳輸方式是無線網(wǎng)絡(luò)安全保密問題尤為突出的主要原因。
無線局域網(wǎng)絡(luò)產(chǎn)品的IEEE 802.11系列標(biāo)準(zhǔn)主要有802.11a(5GHz-1999年獲得通過)、802.11b(11Mbps 2.4GHz-1999年獲得通過)、802.11d(額外的規(guī)章制度)、802.11e(服務(wù)質(zhì)量)、802.11f(接入點間協(xié)議IAPP)、802.11g(2.4GHz-更高的數(shù)據(jù)速率>20Mbps-2003年5月獲得通過)、802.11h(靈活的頻率選擇與傳輸電源控制機制)、802.11i(驗證與安全性-2004年6月獲得通過)、802.1x(基于端口的網(wǎng)絡(luò)接入控制EAP-2003年6月獲得通過)，下面將標(biāo)準(zhǔn)中涉及的安全技術(shù)加以闡述。
通常網(wǎng)絡(luò)的安全性主要體現(xiàn)在兩個方面：一是訪問控制，它用于保證敏感數(shù)據(jù)只能由授權(quán)用戶進(jìn)行訪問;另一個是數(shù)據(jù)加密，它用于保證傳送的數(shù)據(jù)只被所期望的用戶所接收和理解。無線局域網(wǎng)相對于有線局域網(wǎng)所增加的安全問題主要是由于其采用了電磁波作為載體來傳輸數(shù)據(jù)信號，其他方面的安全問題兩者是相同的。
* WLAN的訪問控制技術(shù)
* 服務(wù)集標(biāo)識SSID(Service Set Identifier)匹配
通過對多個無線AP設(shè)置不同的SSID標(biāo)識字符串(最多32個字符)，并要求無線工作站出示正確的SSID才能訪問AP，這樣就可以允許不同群組的用戶接入，并對資源訪問的權(quán)限進(jìn)行區(qū)別限制。但是SSID只是一個簡單的字符串，所有使用該無線網(wǎng)絡(luò)的人都知道該SSID，很容易泄漏;而且如果配置AP向外廣播其SSID，那么安全程度還將下降，因為任何人都可以通過工具或Windows XP自帶的無線網(wǎng)卡掃描功能就可以得到當(dāng)前區(qū)域內(nèi)廣播的SSID。所以，使用SSID只能提供較低級別的安全防護(hù)。
* 物理地址(MAC，Media Access Control)過濾
由于每個無線工作站的網(wǎng)卡都有唯一的類似于以太網(wǎng)的48位的物理地址，因此可以在AP中手工維護(hù)一組允許訪問的MAC地址列表，實現(xiàn)基于物理地址的過濾。如果各級組織中的AP數(shù)量很多，為了實現(xiàn)整個各級組織所有AP的無線網(wǎng)卡MAC地址統(tǒng)一認(rèn)證，現(xiàn)在有的AP產(chǎn)品支持無線網(wǎng)卡MAC地址的集中RADIUS認(rèn)證。物理地址過濾的方法要求AP中的MAC地址列表必須及時更新，因此此方法維護(hù)不便、可擴展性差;而且MAC地址還可以通過工具軟件或修改注冊表偽造，因此這也是較低級別的訪問控制方法。
