無線網(wǎng)絡的安全及防護方法探討

吳 艷

（寧夏職業(yè)技術學院 寧夏 銀川 751600）

0 引言

無線局域網(wǎng)（wireless local area network， WLAN）作為無線高速數(shù)據(jù)通信的主流技術，突破了網(wǎng)線的速率限制，其布網(wǎng)成本低和部署靈活方便，被廣泛地用在生活、工作、娛樂多種室內場景中。2018 年802.11ax 協(xié)議推出，即WiFi 6，速率可以達到10 Gbps，此后基于用戶的應用開發(fā)層出不窮，多用戶場景性能有了進一步的提高。近年來4K 和8K 視頻對吞吐率和時延有了更高的要求（速率可能會達到20 Gbps），還有無線游戲、互動遠程醫(yī)療、沉浸式VR/AR 和云計算等應用環(huán)境的需求，為此新修訂了IEEE 802.11be EHT，即WiFi 7，在2023 年2 月底開通認證。WiFi 7 的目標是將WLAN 網(wǎng)絡吞吐率提升到30 Gbps。隨著WLAN 技術發(fā)展迅猛，在接入速率和環(huán)境適應上與4G、5G 可以互補，WiFi 新技術的應用也成為室內、園區(qū)、機場等熱點地區(qū)重要的高速無線數(shù)據(jù)接入技術之一。

1 無線網(wǎng)絡存在的安全問題

1.1 網(wǎng)絡開放性引起的安全問題

無線網(wǎng)絡開放的屬性，使得其更容易被不法分子入侵，被監(jiān)聽和受到主動攻擊，使用戶信息遭受很大的安全風險。一般在商業(yè)區(qū)、車站等公共區(qū)域，為了方便用戶接入網(wǎng)絡，網(wǎng)絡管理員一般會設置開放網(wǎng)絡，或者設置簡易密碼，攻擊者可通過破解密碼進入網(wǎng)絡內部，設置陷阱網(wǎng)絡或非法使用網(wǎng)絡資源等。由于公共網(wǎng)絡更容易被入侵，所以竊取用戶信息、泄露隱私等安全問題逐漸暴露出來［1］。

1.2 無線終端的移動性增加了安全隱患

無線網(wǎng)絡的移動性是指無線終端設備在無線網(wǎng)絡覆蓋范圍內支持無縫漫游，用戶在不同AP 節(jié)點之間切換保證通信不中斷的能力。如果AP 節(jié)點之間沒有相應的防護，很容易被入侵、被攻擊。由于無線網(wǎng)絡覆蓋范圍較廣，移動終端具有移動性，所以非法設備的竊聽不受地點和空間的限制，要定位一個移動終端是很難的。這同樣也給網(wǎng)絡管理增加了難度，增加了安全隱患。

1.3 無線網(wǎng)絡設計缺陷導致的安全問題

從網(wǎng)絡結構上來講，無線網(wǎng)絡與有線網(wǎng)絡相比，其結構較靈活，投入的成本費用較高，網(wǎng)絡的安全防護設計比較復雜。如果無線網(wǎng)絡安全防護設計或者使用的技術本身存在漏洞，入侵者就會對網(wǎng)絡進行破壞、非法獲取網(wǎng)絡資源或對合法用戶進行攻擊，制造安全風險。從技術層面講，無線網(wǎng)絡主要是通過無線電波進行傳輸?shù)模瑯O易受距離、功率、信道配置等因素的影響，容易造成無線網(wǎng)絡內部較強的干擾，由于網(wǎng)絡環(huán)境的不確定性，讓黑客入侵有了可乘之機。

2 無線網(wǎng)絡面臨的安全威脅手段

2.1 偽造AP

攻擊者用Kismet 被動探測服務集標識符（service set identifier， SSID）。無線網(wǎng)絡攻擊者多采用被動探測工具Kismet，其作為被動探測方式不僅隱蔽性好，而且更加可靠。如果選用主動探測，無線路由器可以配置為不回復，將SSID 設置為“任意”的探測請求幀。但是如果選用被動探測，只有在有合法客戶端與無線接入點進行連接時才能探測到SSID，因為只有連接認證時，SSID 才能以明文方式出現(xiàn)在信號之中。

攻擊者搭建偽造的AP 標志，將其SSID 和媒體存取控制位址（media access control address， MAC）地址設置為與環(huán)境內其他AP 一致，將偽AP 信號強度設置得盡可能地高，客戶端就會自動連到此設備上，即可實現(xiàn)偽AP 攻擊。對一些沒有主動接入偽AP 的移動終端，黑客會采取手段對附近合法的網(wǎng)絡發(fā)起無線拒絕服務（denial of service， DoS）攻擊，使無線網(wǎng)絡處于癱瘓狀態(tài)。當移動終端發(fā)現(xiàn)原有的無線網(wǎng)絡不可用，但黑客偽造的釣魚AP 信號質量又比較好時，移動終端便主動與偽造的AP 建立連接。工作原理如圖1 所示。

圖1 偽AP 工作原理

2.2 DHCP 冒充攻擊

攻擊者利用大功率無線發(fā)射設備自建無線網(wǎng)絡，用一臺電腦冒充路由器，在電腦上設置動態(tài)主機配置協(xié)議（dynamic host configuration protocol， DHCP）服務器功能，還可將給定的域名映射到特定的IP 地址上，當客戶訪問某網(wǎng)站時就可將鏈接重定向到偽造的網(wǎng)站，當用戶登錄網(wǎng)站時就可獲取相關用戶信息，攻擊者也可以利用其他嗅探工具獲取有用信息。

2.3 非法用戶接入

一些企業(yè)無線網(wǎng)絡設備在安全性能方面未進行周密的設置，導致非授權的用戶通過便攜式終端隨意接入核心業(yè)務網(wǎng)內，在無線網(wǎng)絡訪問區(qū)域內會出現(xiàn)網(wǎng)絡帶寬被搶占、網(wǎng)速降低、網(wǎng)絡服務質量降低。如果對方是惡意攻擊者，還會使內部網(wǎng)絡遭遇病毒、木馬和蠕蟲等風險，并擴展到其他的終端，影響用戶正常的訪問權益，使用戶在用無線網(wǎng)絡時傳輸速度、訪問頻率、頁面質感等方面感覺不佳。非法用戶甚至可能入侵企業(yè)內網(wǎng)終端，竊取敏感信息和機密數(shù)據(jù)，或入侵內部核心服務器［2］。

2.4 無線DoS 攻擊

DoS 攻擊指攻擊者以服務器為標靶，通過發(fā)送請求，阻塞網(wǎng)絡帶寬、消耗服務器，使得合法用戶得不到請求響應。而無線DoS 攻擊會對無線AP（接入點）造成嚴重的影響，通過消耗AP 的帶寬，使AP 過載、丟包、服務中斷，以至于AP 不能為合法用戶提供無線網(wǎng)絡接入的能力。無線DoS 攻擊的方法就是在網(wǎng)絡中尋找沒有加密的無線數(shù)據(jù)幀，或者是攻擊者破解系統(tǒng)的密鑰，再偽造取消進行身份驗證的幀，這樣終端客戶認為該驗證幀是AP 發(fā)的，才造成客戶端的連接中斷，如若攻擊者在網(wǎng)絡內大量地廣播欺騙幀，會使客戶端一直無法連接到AP。

2.5 認證漏洞攻擊

一般無線網(wǎng)都會設置密碼，用戶通過密碼認證登錄。但是，當前“萬能鑰匙”等一些弱口令密碼破解軟件頻出，這為非授權用戶順利接入無線網(wǎng)絡提供了可乘之機，還有一些存在安全隱患的認證加密方式也是對認證漏洞的攻擊方法之一。攻擊者一旦發(fā)現(xiàn)了無線網(wǎng)絡的認證漏洞，他們就會很容易地入侵到無線網(wǎng)，并對其進行破壞性的攻擊活動。常見的操作有：入侵服務器、布置陷阱、植入木馬和竊取系統(tǒng)內的關鍵信息等［3］。

2.6 黑客病毒攻擊

黑客利用病毒程序入侵網(wǎng)絡，造成網(wǎng)絡安全的巨大隱患。由于無線網(wǎng)絡安全是與計算機系統(tǒng)安全彼此關聯(lián)，因此，當無線網(wǎng)絡遭到入侵時，計算機系統(tǒng)及其一些軟件的功能也會受到影響。當今社會中，企業(yè)的信息化管理技術已是常態(tài)，個人信息也已經(jīng)電子化，當無線網(wǎng)絡或計算機系統(tǒng)受到破壞時，信息的安全受到威脅，財產(chǎn)風險也將面臨巨大的挑戰(zhàn)。

2.7 密碼安全攻擊

密碼安全問題主要集中在黑客通過各種手段對無線加密系統(tǒng)進行破解，主要有以下幾種方法：

（1）字典攻擊。字典攻擊是常見的一種暴力攻擊，一般是用猜密碼的方式進行攻擊的。一般路由器的設置中能看到以下幾種加密方式：none（不加密）；WPA2-PSK［AES］；WPA2-PSK［TKIP］＋WPA2-PSK［AES］；WPA/WPA2。第二種也是目前使用最廣泛的加密方式，WPA2-PSK 為用戶與路由器共享同一個密鑰，即用戶接入無線網(wǎng)時輸入的密碼。通常路由器為了考慮到向后兼容，也會提供一個不是那么安全的對第一代WPA 的支持，就是所謂的WPA2-PSK［TKIP］加密方式。WPA/WPA2 是安全度更高的加密方式，一般被用在企業(yè)組網(wǎng)中，采用802.1X 的接入認證方式，避免了共享密鑰，還提供了更多額外的安全保護。

（2）高級加密標準AES。由于無線網(wǎng)絡開放性的特點，若無線網(wǎng)絡不采取適當?shù)陌踩呗?，業(yè)務數(shù)據(jù)就存在安全風險?？紤]到用戶的WLAN 終端設備都為較新的款型，能夠支持WPA/WPA2 及使用時限密鑰完整性協(xié)議（temporal key integrity protocol， TKIP）和高級加密標準（advanced encryption standard， AES），所以不使用易被破解的有線等效保密（wired equivalent privacy，WEP）協(xié)議安全策略，采用WPA2 的預共享密鑰和AES 加密，保證業(yè)務數(shù)據(jù)的安全。一般AES 算法被廣泛地用在硬盤數(shù)據(jù)加密上。AES 加密算法在數(shù)學上已經(jīng)被證明是非常安全的，但是如果使用弱密碼進行驗證，那被破解的可能性會很大。

（3）密碼嗅探。在無線網(wǎng)中采用嗅探可以接收到任何人的信息，黑客可以用字典攻擊破解用戶密碼。常用的加密方式有WPA 和WPA2－PSK-AES 的算法，當采用弱密碼加密一般很快就會被暴力破解，所以在無線網(wǎng)絡密碼安全上采用復雜密碼：長度大于12 個字符，內容上采用大小寫字母混合編寫，并加入數(shù)字和特殊符號的組合，可以有效保護用戶信息。

（4）密鑰重裝攻擊。密鑰重裝攻擊者采用制造偽造AP 的方式，將目標用戶鏈接到陷阱網(wǎng)絡內。然后利用加密協(xié)議的漏洞，誘使用戶終端設備多次安裝相同的密鑰，攻擊者可以獲取與用戶設備相同的密鑰，從而有效截獲用戶上傳或下載的所有信息。對于低版本的加密方式，攻擊者不僅能截獲數(shù)據(jù)流，還能偽造數(shù)據(jù)信息轉發(fā)給目標用戶，并發(fā)動深層次的攻擊［4］。

3 WLAN 安全防護手段

3.1 SSID 防護

無線網(wǎng)絡中不設置SSID 隱藏功能的前提下，無線AP 設備開啟后會向客戶端廣播SSID。如果設置了禁止SSID 廣播，那只有內部人員可以通過手工設置接入被隱藏的SSID 網(wǎng)絡，其他人通過終端設備是不會搜索到此網(wǎng)絡的。一般被隱藏的SSID 只有通過去身份驗證洪水攻擊（Deauth）攻擊才能獲取SSID。

3.2 DHCP 冒充攻擊防護

針對DHCP 攻擊可以采用點對點的數(shù)據(jù)加密，如采用虛擬專用網(wǎng)絡（virtual private network， VPN）技術。也可以采用簡易的防御方式，一般用戶訪問網(wǎng)站時，網(wǎng)址前端都帶有鎖圖標，是因為網(wǎng)站都是采用HTTPS 協(xié)議與服務器鏈接，如果沒有HTTPS 加密，則要防范個人密碼泄露。

3.3 科學的認證機制

使用科學的認證機制，在無線網(wǎng)絡保障安全的前提下提供優(yōu)質便捷的網(wǎng)絡服務?？梢愿鶕?jù)用戶狀態(tài)選擇Portal認證或802.1x 認證，或將兩種技術相結合。一般校園網(wǎng)為方便管理多數(shù)采用Portal 認證方式，此認證方式用戶端不需要再另外安裝客戶端軟件，用戶上網(wǎng)直接用Web 瀏覽器登錄認證。Portal 認證方便、快速、簡單，只是安全性比較差。采用802.1x 認證方式，當用戶端提出網(wǎng)絡連接的請求，遠程用戶撥號認證系統(tǒng)（remote authentication dialin user service， RADIUS）服務器會對請求做出響應。若用戶設備能通過認證，RADIUS 服務器生成唯一的密鑰（分發(fā)給用戶的密鑰為動態(tài)密鑰），會根據(jù)身份驗證方法的不同而發(fā)生變化。用戶在正確填寫密鑰后，正常的數(shù)據(jù)才能順利地通過交換機或AP 設備，實現(xiàn)網(wǎng)絡通信。也可將這兩種認證技術相結合，雙重保障能有效地解決無線網(wǎng)絡的安全問題，具有一定的現(xiàn)實意義。

3.4 安裝防火墻

一些網(wǎng)絡管理員為了使用方便，將無線網(wǎng)絡設置在內部網(wǎng)絡中，這給網(wǎng)絡安全留下隱患。所以，應該用防火墻將無線網(wǎng)絡進行隔離，并對不同的無線網(wǎng)絡用戶群體制定相應的安全訪問策略和阻斷策略，加強對所有接入無線網(wǎng)絡的單位內部用戶的監(jiān)控，還可以限制內部用戶的查看權限，防止攻擊者通過無線網(wǎng)絡竊取本單位的資源，保護無線終端的安全及無線網(wǎng)絡中業(yè)務系統(tǒng)的安全。

3.5 高級別的網(wǎng)絡加密模式

常用的無線網(wǎng)絡的加密算法有WEP、WPA、WPA2 和WPA3 等。AT＆T（美國電話電報公司）相關人員已經(jīng)發(fā)布了WEP 解密程序，在無線網(wǎng)絡加密中應杜絕使用WEP 加密方式。WPA 是替代WEP 加密應運而生的，目前已經(jīng)發(fā)展出了WPA2、WPA3 版本，屬于高安全性的加密模式，以提高無線網(wǎng)絡的安全性［5］。

對于企業(yè)中管理人員數(shù)目較少的情況，可以考慮使用STA（無線客戶端）白名單的功能。將管理人員使用的無線終端設備的MAC 地址加入STA 白名單，以避免其他員工使用無線終端接入WLAN 網(wǎng)絡，占用無線網(wǎng)絡資源。同時，網(wǎng)絡管理人員監(jiān)測到少數(shù)的非法接入STA，可以將其MAC 地址加入STA 黑名單中，禁止其接入WLAN網(wǎng)絡。

3.6 完善管理機制

正所謂“技防不如人防”，網(wǎng)絡安全行業(yè)調查顯示，80%的安全威脅來自于網(wǎng)絡內部。確保無線網(wǎng)絡的安全、構建一個可靠的安全防護體系，無論對于個人、家庭還是單位、社會甚至國家政府而言，都具有極大的現(xiàn)實意義。各級無線網(wǎng)絡的管理維護者要比黑客具有更高的技術手段，緊跟時代和科技發(fā)展步伐，緊跟網(wǎng)絡發(fā)展前沿，為無線網(wǎng)絡構建安全屏障，確保無線網(wǎng)絡安全穩(wěn)定［6］。

4 結語

綜上所述，隨著城市無線局域網(wǎng)熱點在公共場所大規(guī)模地部署，越來越多的人接入無線網(wǎng)絡進行信息傳輸，然而受到各種客觀因素的限制，無線局域網(wǎng)安全問題變得尤為突出和重要。本文以無線網(wǎng)絡中的安全隱患為研究對象，介紹無線網(wǎng)絡面臨的安全威脅，并針對這些安全威脅給出了應對的策略，即安全防范手段。為了保護無線網(wǎng)絡內用戶信息安全，相關部門應該加以重視，加強網(wǎng)絡安全管理與創(chuàng)新，要有針對性地解決網(wǎng)絡安全問題，給用戶營造一個良好的無線網(wǎng)絡使用環(huán)境。