无线网络中数据信息的安全性研究

    徐紫东

    摘要：无线网络在社会各领域的普及应用，给人们的工作和生活带来极大的便利。然而，无线网络上流动着大量的数据，其中包含着个人的隐私和企业的商业机密，如何在无线网络上有效地保护企业和个人的数据信息，是_个值得研究的课题。文章对Wi-Fi的安全性进行了探讨。

    关键词：Wi-Fi；数据；安全

    1 Wi-Fi概述

    Wi-Fi全称是Wireless Fidelity，是一种无线网络技术。IEEE802是一个开发大量局域网标准的委员会，1990年成立了新的工作组IEEE802.11，负责开发无线局域网（WLAN）的协议和传输规范，1999年工业界成立了Wi-Fi联盟，致力于解决符合802.11标准产品的生产和设备兼容问题，Wi-Fi联盟创建了一套验证802.11b标准，即Wi-Fi。自2005年底开始，很多手机厂商开始将Wi-Fi引入自己的产品中，为了推广IEEE802.11应用，解决各家产品兼容性的问题，成立了无线以太网兼容性联盟WECA，即Wi-Fi认证标准，这个组织负责测试和颁发。

    无线网络提供了灵活、便利的上网方式，实现了任何人在任何时候、任何地点的上网需求，无线网络具有以下特点：（1）易于安装。无线网络的组建、配置不需要大量的工程布线及线路维护。（2）易于扩展。由于不需要布线，只要在Wi-Fi的范围内，可以随意增加上网设备。（3）易于移动。Wi-Fi的范围也不受地理环境的限制，无线网络路由器通过特定的无线电波传送信号，在这个发射频率的有效范围内，任何能够捕捉该频率的信号设备，都可以进入该网络。（4）安全防护能力较弱。无线网络不同于有线网络，有线网络入网设备需要用网线接入，安全防范易于控制，而无线网络信号通过无线电波辐射四周，面临着较大的安全风险，攻击者可以在网络内的任何位置实施攻击，无法及时发现攻击源，无线网络的移动性带来了新的安全问题。

    2 无线网络安全机制

    无线网络存在安全隐患和安全漏洞，为保证数据不被非法读取，需要采取一定的安全机制。一般采用加密认证机制，其中常见加密方式有WEP，WPA和WPA2等。

    2.1 WEP加密

    在早期IIEE 802.11标准中，主要使用的加密技术就是WEP（Wired Equivalent Privacy有线等效协议）。WEP属于IE EE 802.1标准的一部分，是一种对称加密加密钥，采用RC4加密算法，用户的加密密钥必须与无线接入点AP的密钥相同才能获取网络资源，防止非授权用户的监听。AP和它连接的所有移动终端都使用相同的加密密钥，一旦其中一个用户的密钥泄漏，其他用户的密钥也无法保密。WEP协议还存在完整性保护的安全问题，该协议使用循环冗余校验CRC完整性保护，密码学意义上的完整性校验用于检测对数据的恶意篡改，但是在修改数据内容的同时并修改CRC值，就能通过完整性检测，因而无法提供密码学意义上的数据完整性保护。为了改善WEP安全性缺陷，Wi-Fi联盟提出一种新的方法WPA，用以提高无线网络的安全性。

    2.2 WPA加密

    WPA全名为Wi-Fi Protected Access，有WPA和WPA2两个标准，WPA继承了WEP基本原理。加强了生成加密密钥的算法，所有客户端的所有分组信息所交换的数据，将由各不相同的密钥加密而成。无论收集到多少的数据包，想破解原始的通用密钥几乎是不可能的。WPA中的MIC则是为了防止黑客的篡改而定制的，具有较高的安全特性，当MIC发生错误时，数据很可能已经被篡改，系统很可能正在受到攻击。此时，WPA会采取一系列的对策，如及时更换一组密钥，来阻止黑客的攻击。

    IEEE完成并公布IEEE 802.11i无线局域网安全标准后，Wi-Fi联盟公布了WPA第2版（WPA2）。它支持更高级的使用计数器模式和密码块链消息身份验证代码协议的高级加密标准AES。为了更好地支持用户对WPA的实施，WPA系列针对中小办公室/家庭用户和企业推出了2种不同的形式：WPA/WPA2个人版和WPA或WPA2企业版。

    我国在无线局域网国家标准中提出了安全等级更高的WAPI，通过数字证书和传输数据的加密，实现设备的身份鉴别、访问控制和用户信息的加密保护。当无线客户端登录时，在访问网络之前必须进行身份验证，持有合法证书的移动终端才能接入无线接入点AP。

    3 无线网络攻击方式

    无处不在的无线网络的渗透和攻击，危及到企业和个人的敏感数据信息。无线网络安全加密认证机制，对无线网络提供较好的安全通道，合法用户是可以通过网络的。然而，攻击者入侵无线网络，只要使攻击者破解无线网络的安全漏洞，就能绕过无线网络原有的防御，进入无线网络。下面是几种常用攻击方式。

    3.1 口令攻击

    无线网络系统都是通过口令来验证用户身份。入侵网络，口令可以说是无线网络安全屏障的第一层防护。用户在设置中，若使用了弱口令，由于其安全性能较差，攻击者可以通过暴力破解，入侵无线网络。2015年6月，360天巡实验室对北京市区8个人口和办公密集区域的Wi-Fi网络进行了实地检测，90.2%的企业无线网络密码为不安全的纯数字密码，只有9.8%的企业Wi-Fi使用了“数字+字母”或“数字+字母+特殊符号”的组合，密码强度过低，会使企业网络处于非常不安全的状态。

    3.2 伪造基站

    GSM（全球移动通信系统）网络，即2G第二代移动通信技术。GSM存在着2个安全缺陷：其一，身份认证不是双向认证。移动终端用户发出信号，被基站认证其身份，但基站无须向终端用户证明其身份；其二，不能够提供重放防护。被截获的三元组（RAND，XRES，Kc）可以不断重放，为攻击者提供无限期的有效密钥Kc。攻击者可以在用户A与运营商的基站之间装一个伪造基站，伪造基站向覆盖无线区域中的终端发送数据，覆盖区域内的终端向伪造基站回应一个信息，验证自己的身份，从而连接到伪造基站。当手机用户A向手机用户B发出短信（电话）时，由伪基站将用户A的短信（电话）的数据转发给用户B，用户A，B对此运行过程毫无察觉。因此，伪基站监听了用户A发送的短信及电话内容。

    3.3 网络钓鱼

    钓鱼网站是一种通过发送声称知名机构的网站，用欺骗性邮件、短信，引诱收信人给出敏感信息如：银行账号、口令等信息的攻击方式。如：10086伪基站钓鱼网站，攻击者利用伪基站向用户群发短信，短信内容如：10086积分兑换，进入移动网站，下载积分APP。若点击，即下载木马病毒，木马病毒是一个短信拦截器，当攻击者取得用户的银行存款时，银行通过短信向用户手机发送动态验证码，会转发给攻击者，攻击者取走用户银行账户的资金，用户毫不知情。

    3.4 渗透内网

    内网是一个有线网络，每个电脑有其固定的IP地址，易于管理。但是，无线网络特别是私自乱建的Wi-Fi网络，给内网安全造成了极大的隐患。这种搭建的无线网络，实际上是在授权的设备上重新打开一个窗口，使得那些未经授权的攻击者可以不受限制通过这个窗口，入侵内网系统。如：在《2015企业无线网络安全报告》报告中，2015年3月由于某公司内部存在开放的Wi-Fi网络，导致超级计算机天河一号被入侵，大量敏感信息遭泄漏。

    4 无线网络安全策略

    无线网络入侵，会泄露企业机密文件和个人用户的隐私信息。在移动互联时代，制定无线网络安全防范策略，应有效地保护好国家、企业和个人的数据安全，无线安全策略有以下几个方面：（1）企业要不断提升网络产品安全性能，尽可能地为用户提供安全的上网环境。（2）制定和完善法律、法规。无线网络发展迅速，国家应及时更新、完善相应的法律、法规，对于从事无线网络上违法犯罪活动，予以打击。（3）制定网络安全管理制度。防止员工无意操作，打开内部网络一个端口，造成入侵内网的安全威胁。（4）提高个人用户防护能力。使用无线网络要加强安全防护。不要使用WEP加密认证方式，采用WPA2加密认证方式；设置密码，用“数字+字母+特殊符号”的组合方式；不要在公共场所不要轻易共享密码；不使用时可以关闭无线网络；降低无线路由器的传输功率；关闭网络SSID广播；手机不要使用公共无线网络网银转账；不要轻信积分兑换信息，学会识别无线钓鱼网站。

    5 结语

    在移动互联时代，Wi-Fi网络成了黑客入侵的突破口，给用户带来新的安全威胁，国家、企业和个人应不断适应社会的发展需求，全方位地提升无线网络安全防护体系。