近年来，基于IEEE 802.11无线局域网技术(WLAN)的宽带无线网络在全球范围内得到了广泛的应用，在企业、校园、医院、矿井乃至个人住宅、广场之内的公共场所随处可见WiFi的身影。本文将讨论802.11无线局域网的安全问题，以及802.1X(端口访问控制技术)在无线局域网安全的应用技术等。

　　无线局域网安全分析
　　无线局域网发展到现在，在规模上已经从最早架设一个AP，为移动终端提供宽带接入的小型网络，发展到包含几十、几百乃至几千个AP的大型网络。同时，技术上也推陈出新产生了无线交换、无线网状网等新型的组网架构。这些发展都赋予了无线局域网安全新的内涵和考虑因素，下面我们从无线局域网的安全要素、典型无线局域网安全问题和无线局域网安全解决方案三个方面来分析无线局域网的安全。

　　安全要素分析
　　在传统有线网络中，安全性主要考虑两个方面：访问控制和数据的保密性。访问控制是为了确保敏感的数据仅由获得授权的用户访问，包括认证(合法用户才能访问网络)和鉴权(区分不同的权限)两个方面；而保密性则是为了确保特定的数据仅由目标接收人接收和理解。无线作为有线的延伸，同样需要考虑这些安全性目标，而且由于无线网络自身的一些特性，原有的一些安全问题在无线网络中会被放大，一些新的安全挑战会被引入。
　　总结来说，无线局域网安全需要综合考虑三大安全要素：访问控制、数据保密性、移动性支持；确保数据仅由授权的用户访问，保障数据的私密性，在设计安全方案时不能以牺牲移动性为代价。

　　典型安全问题
　　正所谓“知己知彼，百战不殆”，下面简单介绍无线局域网典型的安全问题，主要有以下五类。

　　信息暴露
　　信息暴露源于无线局域网的开放介质传输，攻击者在无线传输范围内很容易就能监听到网络中传输的数据，获知网络中工作的AP的信息：包括工作信道、SSID、MAC地址、功率、WEP状况等；同时也能监听到所有传播的数据信息。这使得网络中的传输信息对于攻击者是“透明”的，从来带来巨大的安全隐患。在实际操作中，攻击者可以用sniffer工具如Ethereal、OmniPeek等抓取并解析空中传输的报文。

　　拒绝服务攻击(Denial of Service)
　　攻击者通过在物理上或协议上干扰用户数据、信令数据和控制数据在无线链路上的正确传输，来实现无线链路上的拒绝服务攻击。主要分为两种情况：一是在物理上制造噪声源，通过干扰信道传输达到拒绝服务；二是利用IEEE 802.11协议的漏洞，伪造AP的MAC地址，连续向广播地址发送解关联帧使得合法用户无法关联到AP上。

　　会话劫持(Session Hijacking)
　　会话劫持本质上是一种ARP欺骗，它在有线网络中同样存在。主要原理如下：一方面，对于网关，攻击者通过ARP欺骗将自己伪装成受害主机；另一方面，对于受害者，攻击者又将自己伪装成网关。这样，受害主机与网络间所有通信都需经由攻击者，攻击者就可以为所欲为，修改、删除或者插入数据。

　　中间人攻击(Man-in-the-middle Attack)
　　在这种攻击中，攻击者先让合法客户机与攻击者的AP连接(可以通过相同ESSID、更高功率的方法)，然后攻击者再接入有效的无线局域网AP。这样一来，合法客户机与网络之间的所有通信就必须经由攻击者，攻击者同样可以修改、删除或者插入数据。

　　流氓AP
　　流氓AP是无线环境中特有的攻击行为，攻击者在无线局域网中安装未经授权的AP以提供对网络的无限制访问。

　　解决方案演进
　　正所谓“道高一尺，魔高一丈”，业内从未停止过对无线局域网安全解决方案的研发，大致上可以分为三个阶段：
　　第一阶段：IEEE 802.11标准定义的安全性。802.11-1999提供了三项安全技术来保障无线局域网的安全。第一项为SSID(Service Set Identifier)，该技术将一个无线局域网分为几个需要不同身份验证的子网络，每一个子网络都需要独立的身份验证，只有通过身份验证的用户才可以进入相应的子网络，防止未被授权的用户进入本网络；第二项为MAC地址过滤技术，应用这项技术，可在无线局域网的每一个接入点下设置一个允许接入的用户的MAC地址清单，接入点将据此允许或拒绝用户的接入请求；第三项为有线叠加保密协议WEP(Wired Equivalent Privacy)技术，采用静态40/128位RC4加密算法，来保障数据的保密性。
　　上述三项安全技术均已被广泛证明具有安全缺陷，如SSID明文传输易被监听、MAC地址易被伪造、静态WEP易被破解等。
　　第二阶段:鉴于上述安全缺陷，业界也在考虑新的安全机制，包括利用VLAN安全技术来隔离无线局域网流量、使用802.1X端口访问控制技术(Port Based Network Access Control)和动态128位WEP等。
　　第三阶段：这一阶段业内一方面进行无线局域网安全方案的标准化工作，包括WiFi保护接入WPA(WiFi Protected Access)标准、IEEE 802.11i安全标准(工业界称WPA2)和我国的WPAI标准，如表1所示。同时也将VPN技术、IDS(Intrusion Detection System，入侵检测系统)应用于无线局域网安全。

　　(作者单位为清华大学信息网络工程究中心无线实验室)