“软”“硬”兼施确保无线安全_通讯与电讯_科技时代

“软”“硬”兼施确保无线安全

http://www.sina.com.cn 2004年06月16日 10:16 通信信息报

　　在无线网络用户中普及一些基本的安全防范措施，提高用户的安全意识，应成为Wi-Fi产品走向普及的重要工作。

　　本报实习记者邱英元

　　无线网络的出现对那些繁忙的商务人士来说无疑是个福音。借助无线网络，你可以

美女啦啦队招募中 NEC百万象素手机1元拍

新浪招商引资征代理商 2004车展大饱眼福

一边品着卡普契诺咖啡一边查看电子邮件或最新的新闻；你可以在机场上、公园里，或者任何可以收到“热点”信号的地方办公，满足你随时随地工作的需要；你可以直接将两台手提电脑靠在一起传输数据，而不必随身带着一大堆的存储盘……

　　可惜，总有美中不足的地方：安全专家总是一再地警告我们，使用无线局域网是不安全的。如果我们对其安全性掉以轻心时，会发生什么事情呢？如果你在家里无线上网，未对你的账号、密码进行保护，或者你根本没有做好安全设置，而不幸的是你的隔壁住了一个网络高手，你电脑里面的资料在他面前将一览无遗。

　　保护用户的数据安全应该是每一种新兴网络技术走向市场的首要问题，这点也成了Wi-Fi联盟的共识。Wi-Fi联盟曾感叹“当人们谈到无线网络的时候，他们想到的第一件事就是安全，我们也体会到这是我们产品走向大众化的一个障碍。”当然，在现实生活中，碰到真正有恶意的网络黑客是比较少的，因此，在无线网络用户中普及一些基本安全防范措施，提高用户的安全意识，应该成为Wi-Fi产品进入市场的重要工作。

　　来自硬件厂商的操作建议

　　面对公众对无线网络安全性的担忧，友讯(D-LINK)一位技术工程师告诉记者：“其实在每一个无线网卡、无线路由器都是具备安全功能选项，用户只要认真设置好这些功能，就可以抵抗一般性的非法连接。”无线产品都具备安全防范功能，这些防范功能虽然脆弱，但作为一般的防御措施，是能胜任日常的安全要求的。这些安全设置包括：

　　更改缺省的SSID，并且禁止它的广播模式。每一个无线网络用户都有一个SSID (Service Set IDentifier)名称，类似于无线网络中的身份证。SSID默认的模式是“广播模式”，也就是说，任何人只要激活无线网卡，都可以自动搜寻到你的无线网络的IP地址。一旦入侵者侦测到你的网络信号，他便会尝试连接，当然，他有时候并不知道你的无线网络的“用户名”跟“密码”——SSID出厂时有一个固定的默认名称，如果你在安装网卡AP时，贪图方便没有更改，那么入侵者有可能猜出你的SSID名称，从而进行连接。关闭其“广播模式”，可以更好地保护自己——如果别人不知道你的存在，你遭受攻击的几率自然也大大降低了。

　　激活AP的存取控制表(Access Control)功能，授权可以使用的MAC Address。现在无线网络的主流通信标准为802.11b，大多数的无线网卡都支持该标准。802.11b把无线网卡的MAC Address(MAC媒体存取控制地址)作为存取的过滤机制，也就是说，每一张无线网卡都有惟一的识别地址MAC Address。如果你激活了AC功能，你可以设定那些被认可的MAC Address，以此来作为判断允许或拒绝哪些无线网卡连接至你AP的依据。设定你可信赖的MAC Address，拒绝来自陌生的MAC Address的联机请求，可以抵御来自攻击者的非法连接。

　　开启无线网络传输的WEP加密协议。无线网络使用WEP(有线对等保密技术)加密，WEP的运作原理在于利用AP与终端产品设定相同的固定数值(40位，也有64位、128位)，利用公共金钥对传输的数据进行加密，只有合法的拥有密钥的客户端才能还原出数据，其他的非法拦截只能得到一个个加密完的数据封包，客观上保证了数据安全，确定了联机双方的保密性。WEP加密设定相当简单，只要五分钟即可激活，而且大部分的AP都支持。

　　来自软件厂商的支持

　　针对日益火爆的Wi-Fi市场，传统的安全软件厂商也纷纷推出新品，以加强防火墙、杀毒软件在无线时代的作用。

　　赛门铁克曾明确表示，“随着无线接入越来越普遍，无线安全产品将成为赛门铁克公司下一个业务重点。”以整合式网络安全技术自许的赛门铁克，针对无线网络环境推出的产品，整合了防毒、防火墙、入侵侦测、隐私权控管、内容过滤多种功能。一旦攻击者非法连接到本机上，防火墙会将陌生的联机信息反馈给用户，阻止不将用户授权便写入本机的危险信息，杜绝病毒、木马程序在机器上的运行，从而保证用户信息的安全。

　　趋势科技针推出的杀毒软件PC-cillin for Wireless 特地增加了Wi-Fi 无线安全防护机制。据介绍，这款针对无线网络环境的软件，其内建有主控式个人防火墙功能，除具备入侵侦测功能外，在无线上网时，还能实时监控、过滤与追踪任何形式的网络数据传输或交换，防止非法用户信息的写入。

　　而Fortinet针对无线网络所推出的Forti WiFi可以自动下载安全更新服务，包括病毒及攻击程序数据库，其宣称可侦测及防御超过30种不同的入侵行为，如拒绝服务攻击DoS　。

　　当然，如果你买的个人防火墙、杀毒软件如果没有专门针对无线网络的功能也没关系。

　　来自赛门铁克的工程师表示，传统的个人防火墙、杀毒软件，也可以在无线网络时代大展身手。无线网络与有线网络的区别只在于传播的介质不一样，有线网络借助铜线传输数据，而WLAN借助电磁波，至于入侵的方法、途径跟传统网络没什么两样，普通的防火墙可以监视异常的程序运行、非法的数据写入。在无线网络时代，防火墙同样可以起到良好的安全防范作用。

　　关于安全协议标准的制定

　　不管是硬件厂商的诸多建议，还是软件厂商大力宣扬其产品的强大功能，毫无疑问，无线局域网被证明是不安全的。现有的很多安全方案都只是采取其他技术手段对 Wi-Fi网络进行缝缝补补，无法从根本上解决无线网络的安全问题。对于个人用户来说，由于产品成本的限制，不可能使用如VPN、RADIUS服务器认证等高等级的安全防范措施，因此，安全标准的制定才是解决无线安全的最根本途径。

　　现有的WEP协议利用静态、非交换式的金钥进行加密，已经被证明是非常脆弱的。以前的基于40位WEP协议的产品也已经通过技术手段升级为64位，128位。加强后的WEP可以满足个人用户的一般安全需要，但在企业级的WLAN中，其提供的安全防护力度显然是不够的。

　　其后Wi-Fi联盟争取到IEEE支持，制定了作为过渡时期的安全标准WAP，暂时补强WEP加密及认证功能的不足。WPA规格在WLAN的访问控制、密钥管理与数据加密上多了两个安全关卡：利用TKIP协议强化资料加密安全性，其动态密码在传输过程中会不断改变，就算封包遭到拦截也不易遭受暴力破解；利用802.1x提供使用者登入的认证功能。WAP采用户必须通过了认证并获得授权之后，才能通过端口使用网络资源。

　　近日，IEEE宣称，采取了先进的128位高级加密标准AES　的802.11i安全标准，将在6月份最终批准。作为802.11系列中专门负责处理无线网络安全与认证的协议，相信802.11i标准的颁发，有助于结束目前无线局域网安全协议的混乱局面。

　　此外，对于个人用户来讲，养成良好的安全防范意识也是至关重要的。在“热点”上网时，尽量不要传输重要的文件；如果要传输，先在硬盘上借助第三方软件加一次密，这样可以让你的文件多一重保护。