校园无线网络安全综合防御.pdf

务l 匐 化 校园无线网络安全综合防御 Com pr ehens i ve pr ogr am o f cam pu s w i r el es s net w or k s ecur i t y 赵建超 。 ，尹新富 ZHAO Ji an ch ao。 YI N Xi n f u ( 1 河南工业职业技术学院 计算机工程系，南阳4 7 3 0 0 9 ：2 郑州经贸职业学院，郑州 4 5 0 0 0 6 ) 摘要：由于无线网络的开放性，使得校园无线网络频繁受到攻击。文章针对无线网络的特点，在传统 进行软件安全设置、加密的基础上，提出了综合的无线安全防护对策。包括软件安全设置、 无线加密、控制无线信号覆盖、接人认证、诉诸法律等综合方法。 关键词：校园；无线网络 ；安全 ；综合 ；防御 中图分类号 ：T P3 9 3 文献标识码 ：A 文章编号 ：1 0 0 9 -0 1 3 4 ( 2 0 1 1 ) 2 ( 上 ) 一 0 0 3 5 - 0 3 D o i ： 1 0 3 9 6 9 J i s s n 1 0 0 9 - 0 1 3 4 。 2 0 1 1 2 ( 上) 1 3 0 引言 随着带有无线功能笔记本的普及 ，校园内无 线需求激增 。无论是教师或者是学生都希望在校 园 内随 时 随 地 接 入 网络 ， 因此 无 线 校 园 网迅 速 得 到 了普及 。但是由于无线 网络采用的是公共 电磁 波，类似 早期 的HUB，任何 人都 有条件 窃听或 干 扰 信 息 。使 用 Omn i P e e k 等 抓 包 工 具 分 析 后 ， 能 够 比较 容 易的 免费上 网 甚至 入侵 学校 的服务 器 。2 0 0 8 wP A加密首先已经被国外人 员率先破 解 。最近 ，E l c o ms o f t 推出E l c o mS o f t D i s t r i b u t e d P a s s wo r d R e c o v e r y 分布式密码暴力破解工具，能 够利用Nv i d i a 显卡使WP A和WP A 2 无线密钥破解速 度提高1 0 0 倍 。由于软件还允许数千台计算机联 网 进行分布式并行计算” ，无线网络受到的极大的威 胁 。 1 传统的无线安全措施及其缺点 1 1软件安全设置及其优缺点 传统 的软 件 安全 设置 主 要包 括修 改 默认 的 S S I D并禁止广播和设置黑 白MA C地址名单并绑定 相应 的V L AN 。 每 个 无 线 网 络 都 有 一 个 服 务 区 标 识 符 ( S S I D) ，类 似wi n d o ws 中的域 ， 只有 S S I DS N 同 的无线客 户端( S T A)才能通 过AP ( 无线接 入 点)接入 网络 。为适应商业网络S T A经常流 动的 需要 ，无线交换机通 常默认启用S S I D的广播 。因 为校 园网的上网成员相对 固定 ，因此 ，有必要禁 用S S I D广播来提高网络 的安全性。通常设备制造 商 都 在 他 们 的产 品 中设 了一 个 默认 的 S S I D。例如 思科 l i n k s y s 设 备 的S S I D通 常 是 “ l i n k s y s ”，T P L I NK的为 “ T P L I NK”。修 改 以阻 止 非授 权的 无 线 客 户端 通 过 猜 测 来进 入该 网络 是 最基 础 的防 护 手段 。 理论上说 ，任何一个网络设备都一个独一无 二 的物理 地 址 ，称 之 为MAC 地 址 。因此 ，在 无 线 交换机上可 以设置黑白名单 ：在黑名单上可以禁 止一些MAC 用户接入 ，白名单为合法用户，允许 接 入 。 不过 ，上面的两条安全措施仅仅 只能在一定 程度上防止 网络入侵 。例如在XP 系统下，用户很 容易修改自己网卡的MAC 地址 。另外 ，通过对无 线抓包软件的仔细分析后 ，也可以得到 白名单 的 MAC 地址 。即使接入点禁止广播 S S I D，在客户 端和接入点之间来 回传送的流量最终也会暴露出 S S I D。即使攻击者并非刻意监控 R F频段，也可在 上述传输过程中通过无线抓包软件嗅探到 S S I D， 因为它是 以纯文本格式发送的。 1 2 无线加密传输及其优缺点 由于 W E P 天 然 的 缺 陷 ， 所 以 很 快 推 出 了 WP A。8 0 2 1 1 i 规 定 了两种企 业 级加 密机 制 ，分 别 是：T KI P( 临时密钥完整性协议)和 A E S( 高级 加密标准 )，这两种加密机制已分别被 Wi F i 联 盟纳入 wP A和 WP A 2认证 中。 由于WP A T K I P 协议的缺陷，破解者可以得到 通信的密钥 ，从而看到通信的数据 。但是，由于 WP A协议采用的是每一节点均使用一个不同的密 钥对其数据进行加密，因此不存在全部破解的 问 题 ，看 到 的仅 仅 某 个 用 户 的数 据 。因 此 ，校 园 网 收稿日期：2 0 1 0 - 0 8 - 2 4 作者简介：赵建超 ( 1 9 7 5一 )，男，河南南阳人，讲师，硕士，研究方向为信息安全。 第3 3 卷第2 期2 0 1 1 2 ( 上 ) 3 5 1 学兔兔 w w w .x u e t u t u .c o m 参I 违 勺 似 用户不必草木皆兵 。在关键区域 ，用户可以采用 其它的通信加密措施，让整个通信过程更安全。 比如 可 以使用VP N系统 配 合WP A进 行工作 ，这样 即使数 据被截获 ，也无 法看到真 正的信 息 。 由于加密会耗费无线交换机的C P U资源，尤 其在低档的校 园无线交换机上，无线 网络的安全 特性极大影响传输性能 。多次测试表明，当采用 WE P 1 2 8 位加密传输模式时，网络传输性能会损失 2 8 一 7 5 ，传输 性 能 的损 失 与交 换机 C P U处理 速 度直接相关 。 2 综合无线安全防护措施 软件和加密协议简单易行，但是仅仅靠上述 方法无法实现校园网络的安全 。而应该和其他手 段共同配合来提高安全性。 2 1天线的合理选用和布局 WL AN是工作在2 4 G或者5 8 G频段 。由于频 点很高，因此穿墙的能力非常弱 ，只能穿过一般 的门窗。由于考虑的成本和覆盖范围考虑，不少 学校A P 配置的天线为杆状全向天线。这种天线向 周围均匀发射 ，造成覆盖范 围过大 ，使得入侵者 很容易收到信号，从而入侵 网络。在校园的不同 区域 ，应该选用不 同的天线类型和安装方式。比 如在普通教学区域 ，可 以把AP 布放在走廊边 ， 采用吸顶式定向天线伸出天花板进行安装 。如下 图所示。吸顶天线与平常使用的全向天线不同， 它在内部设计上增加 了一个反射板，把辐射更多 地向下反射，能够提高辐射范围的信号强度 。使 得覆盖范围内信号很强，也覆盖范 围之外信号变 得非常弱 ( 因为天线方向向下 )。一方面可以实 现 有 效 覆盖 。另外 ，其 他 楼 层来 说 由于是 定 向天 线，加上穿过楼板后信号衰减，网络不能覆盖 。 因此入侵网络基本变得极其困难 。吸顶式天线价 格很便 宜 ，仅仅 几十元 ，很容 易推 广 。 在操场开阔地区 ，应该采用全向天线以加 强 覆盖。但是在天线选址 的时候一定要注意尽可能 的 在 操 场 中 间 ，避 免 无 线 信 号 覆 盖 校 园其 他 部 位 。为 了防止非法用户入侵 ，还应该加上其他身 【 3 6 】 第3 3 卷第2 期2 0 1 1 - 2 ( 上) 份认证措 施 。 2 2 合理配置A P 发射功率 如果能够满足覆盖要求的话，一定要设法降 低A P 的发射功 率 。功率 降低 会减 少对其 他A P 的干 扰 ，因 为覆 盖 范 围有 限 ，又降 低 了 网络 入侵 的可 能性。对于H3 C无线AP 来说 ，多数默认最大发射 功率为 1 0 0 mW ( 2 0 d B m)，可以通过ma x p o we r 1 5 命令，将最大功率降低为1 5 d B m。在降低发射 功率的时候，千万不要采用摘掉天线的做法，否 则可能对AP 的发射管造成损坏。 2 3接入进行身份认证 在有线 网络中，通常接入局域网中不进行身 份认证。也有的学校在无线 网络建设 中，采用了 类似的模式 ，特别是部分高校和运营商合作 ，即 校园网内部不进行认证和收费，如果要上互联 网 必须通过运营商的认证收费系统 。这种认证模式 客观上会造成非法终端不经过任何认证人侵校 园 网内部，必须加以避免。 认 m - 一 - - 一 - - - - - “ AP 1 嵌入设备1 - - mm m岫 m 洲 nt n一 无线A P 2 嵌入设备2 图l无线网络认证结构图 在图1 中，任何接入到A P 的无线网络设备，必 须通过认证服务器的认证才能够接入网络 。设置 身份认证身份验证拨号用户服务后 ，没有合法授 权的用户将不能通过身份验证，因此无线校园网 解决 了接入 的安全问题 。在实践 中可以通过应用 WP A、8 0 2 1 x E AP 等无线安全技术， 与校园内部的 统一账号管理平台或者一卡通数据库进行联动联 动 认 证， 无 线接 入认 证 系统 对 接入 校 园的无 线办 公 网络的终端 进行身 份认证 。 2 4 对入侵者诉诸法律 无线定位可以分为软件和硬件 。硬件的有专 门 的无 线 电 测 向仪 ，可 以对 无 线用 户 进行 定位 。 软件 H E k a h a u 公司的E k a h a u Vi s i o n 软件，无需增加 额外的硬件设施 ( 如读卡器 、e x c i t e r 、激励器、天 【 下转第6 2 页 】 学兔兔 w w w .x u e t u t u .c o m 表1基于GA 方法检测7 个电阻的运行结果 个体数 奴概 率 变异 概率 检测成功率 平 测 1 6 0 0 7 5 0 O 5 2 7 6 l 8 2 8 3 8 2 2 8 3 7 7 4 7 7 4 l 6 0 0 7 5 0 3 5 6 5 3 5 3 5 1 2 2 8 5 1 8 3 2 4 6 6 3 8 0 3 2 0 0 0 7 5 0 0 5 2 9 3 2 1 2 7 6 3 4 2 8 1 3 6 7 3 2 0 2 0 0 0 7 5 0 3 5 6 6 3 5 3 6 6 2 2 6 9 1 8 7 8 0 8 6 0 0 9 0 表2 基于S p e c ia t i o n - G A 方法检测7 个 电阻的运行结果 个 体 数 交 叉 概 率 变 异 概 率 检 测 成 功 率 平 墓 问 检 钡 势 1 6 0 o 7 5 0 0 5 1 0 0 1 0 9 82 0 2 2 9 8 2 3 1 2 0 0 7 l 6 O 0 7 5 O 3 5 1 0 0 1 8 3 02 1 3 2 9 2 2 51 1 1 7 5 2 0 0 0 7 5 0 0 5 1 0 0 1 9 4 9 1 5 8 2 5 7 7l 91 6 0 2 0 0 0 7 5 0 3 5 1 0 0 21 9 02 8 2 3 4 6 0 01 4 0 6 5 4 结论 由于机 电产品加工过程的质量检测在整个生 产过程中起到关键作用，因而对质量检测过程 的 优化控制就显得尤为重要 。本文提出了一个基于 S p e c i a t i o n 方法的遗传算法 ( S p e c i a t i o n G A)来接 解决机 电生产过程中质量检测问题 的优化控制 。 通过P C B仿真实验 ( 如表 1 和表2 所示 )能够看 出 基于S p e c i a t i o n G A算法的有效性 。我们所提 出的 算 法还可 以应用于 实时物体追 踪 以及机 器人视 觉 。今后还将对S p e i c a t i o n - GA方法在其他各种机 电生产工业，图像处理 以及机器视觉方面的应用 进行深 入的研 究 。 参考文献： 1 】We s t G A S y s t e m f o r t h e Au t o ma t i c Vi s u a l I n s p e c t i o n o f Ba r e Pr i n t e d Ci r c u i t Bo a r d s J I EEE Tr a n s a c t i o n o n S y s t e m， Ma n a n d Cy b e r n e t i c s ， 1 9 8 4 ， 1 4 ( 5 ) ： 7 6 7 - 7 7 3 【 2 W a n g D Z， Wu C H， I p A e t a 1 F a s t mu l t i - t e mp l a t e ma t c h i n g us i ng a pa r t i c l e s wa r m o pt i mi z a t i on a l g or i t hm fo r PCB i n s p e c t i o n C I n t h e P r o c e e d i n g o f Ap p l i c a t i o n s o f Ev o l u t i o n a r y Co mp u t i n g -Ev o W o r k s h o p s 2 0 0 8 LNCS 4 97 4： 3 65 37 0 3 】王彩萍 电路组装 的检 测技术【 J 】 电子工艺技术， 2 0 0 0 ， 2 1 ( 4 ) ： 21 - 2 3 【 4 徐胜海 印刷 电路板在线 自动视觉检测 系统的分析研究 D】 合肥工业大 学， 2 0 0 1 5 张文景， 张文渊， 苏键， 等 计算机视 觉检测技术及其在机 械零件检测 中的应用【 J 】 _上海交通大学学报， 1 9 9 9 ， 3 3 ( 5 ) ： 1 2 9 1 3 2 【 6 】张亚鹏， 何涛， 文 昌俊， 等 机器视觉在工业测量 中的应用 与研究【 J J 光学精密工程， 2 0 0 1 ， 9 ( 4 ) ： 3 2 4 3 3 2 【 7 】Cr i s p i n A J ， Ra n k o v VAu t o ma t e d i n s p e c t i o n o f P C B c o m p one nt s us i ng a ge ne t i c a l go r i t hm t empl a t e m a t chi ng a p p r o a c h I J 】 I n t e rna ti o n a l J o u r n a l Ad v a n c e d Man u f a c t u rin g Te c h n o l o g y ， 2 0 0 7 ， 3 5 ( 4 ) ： 2 9 3 3 0 0 蠡 矗 矗 矗 矗I 南I 击 击 蠢 曲毒 盘 是 是 毒 蠢 出 盎 盎 重 【 上接第3 6 页】 线等)，利用现有无线 网络Wi F i 的网络设备即可 进行 定位 。其基 于 专 利技 术 高精 度 算 法 的软 件 ， 通过定位引擎计算定位，定位精度在3 米左右 ，最 高能至1 米。如果发现有入侵的无线客户端，可以 使 用 定位 系 统或 者无 线 电测 向仪 等共 同配 合进 行 查找 ，将入侵者诉诸法律 。 3 结论 由 于 无 线 网 络 的 开 发 性 ，在 无 线 校 园 网 时 代 ，必 须采 用 综合 的 安全 措 施 才能 最 大程 度 的 保 证网络安全 。这些措施不仅包括技术上 的问题， 必 要 的时 候 ，对 入 侵 者诉 诸 法律 ，将 大大 威 慑 网 络入侵 行为 。 参考文献： 【 1 】罗燕羽 WP A被破解后的对 策 J 】 _ 网络 安全技 术与应用， 【 6 2 】 第3 3 卷第2 期2 0 1 1 - 2 ( 上) 2 0 0 9 ， 4 2 W I L DP ACK ETS ， I NCOmn i P e e k Ne t wo r k An a l y z e r DB OL】 h t t p ： www wi l d p a c k e t s c o m p r o d u c t s n e t wo r k a na l ys i s a ndmon i t or i n g o m n i pe e kn e t wo r k a na l y ze r 2 0 0 9 9 1 【 3 El c o ms o f t P a s s wo r d r e c o v e r y s o f t wa r e DB OL】 h t t p： www e l c o ms o f t c o m e d p r h t ml # f o r ma t s 2 0 1 0 9 1 】 【 4 吕海燕， 吕红， 任颖， 赵媛， 周立军 无线网络的安全机制及 其实施 【 J 】 中国现代教育装备， 2 0 1 0 ， ( 0 3 ) 【 5 】杨天化 浅谈无线网络安全及防范策略 J 浙江工贸职业 技术学院学报， 2 0 1 0 ， ( 0 2 ) 【 6 】袁爱杰， 胡 中栋， 万梅芬 基于无线 网络安全WE P 协议的 探 究【 J j 计算机时代2 0 0 9 ， ( o 4 ) 【 7 】陈亮， 张鹏， 陈旭翔， 蔡世贵， 毛仕文 基于统一账号认证的无 线 接入综合管理平 台 J 电信工程技术与标 准化， 2 0 1 0 ， ( 0 6 ) ： 4 8 5 1 8 R A 马拉尼 无 线网络中的定位 安全服 务【 P 】 中国专利： CN 1 01 0 44 71 1 2 00 7 09 26 学兔兔 w w w .x u e t u t u .c o m