無線WLAN安全解決方案(2)
一半以上的用戶在使用AP時只是在其默認的配置基礎上進行很少的修改。幾乎所有的AP都按照默認配置來開啟WEP進行加密或者使用原廠提供的默認密鑰。由于無線局域網的開放式訪問方式,未經授權擅自使用網絡資源不僅會增加帶寬費用,更可能會導致法律糾紛。而且未經授權的用戶沒有遵守服務提供商提出的服務條款,可能會導致ISP中斷服務。
無線WLAN安全解決方案:加強安全認證
加強安全認證最好的防御方法就是阻止未被認證的用戶進入網絡,由于訪問特權是基于用戶身份的,所以通過加密辦法對認證過程進行加密是進行認證的前提,通過VPN技術能夠有效地保護通過電波傳輸的網絡流量。一旦網絡成功配置,嚴格的認證方式和認證策略將是至關重要的。另外還需要定期對無線網絡進行測試,以確保網絡設備使用了安全認證機制,并確保網絡設備的配置正常。
問題四:服務和性能的限制
無線局域網的傳輸帶寬是有限的,由于物理層的開銷,使無線局域網的實際最高有效吞吐量僅為標準的一半,并且該帶寬是被AP所有用戶共享的。無線帶寬可以被幾種方式吞噬:來自有線網絡遠遠超過無線網絡帶寬的網絡流量,如果攻擊者從快速以太網發送大量的Ping流量,就會輕易地吞噬AP有限的帶寬;如果發送廣播流量,就會同時阻塞多個AP;攻擊者可以在同無線網絡相同的無線信道內發送信號,這樣被攻擊的網絡就會通過CSMA/CA機制進行自動適應,同樣影響無線網絡的傳輸;另外,傳輸較大的數據文件或者復雜的client/server系統都會產生很大的網絡流量。
無線WLAN安全解決方案:網絡檢測
定位性能故障應當從監測和發現問題入手,很多AP可以通過SNMP報告統計信息,但是信息十分有限,不能反映用戶的實際問題。而無線網絡測試儀則能夠如實反映當前位置信號的質量和網絡健康情況。測試儀可以有效識別網絡速率、幀的類型,幫助進行故障定位。
問題五:地址欺騙和會話攔截
由于802.11無線局域網對數據幀不進行認證操作,攻擊者可以通過欺騙幀去重定向數據流和使ARP表變得混亂,通過非常簡單的方法,攻擊者可以輕易獲得網絡中站點的MAC地址,這些地址可以被用來惡意攻擊時使用。除攻擊者通過欺騙幀進行攻擊外,攻擊者還可以通過截獲會話幀發現AP中存在的認證缺陷,通過監測AP發出的廣播幀發現AP的存在。然而,由于802.11沒有要求AP必須證明自己真是一個AP,攻擊者很容易裝扮成AP進入網絡,通過這樣的AP,攻擊者可以進一步獲取認證身份信息從而進入網絡。在沒有采用802.11i對每一個802.11 MAC幀進行認證的技術前,通過會話攔截實現的網絡入侵是無法避免的。
------分隔線----------------------------