汪惠霞,胡 敏,于京杰

0 引 言

一直以來,醫(yī)療行業(yè)對無線網(wǎng)絡(luò)的應(yīng)用都比較謹慎,首要的是安全問題,這種情況通常發(fā)生在無線空間沒有安全控制的情況下[1]。如果一個非法用戶與合法應(yīng)用程序建立連接,就意味著該網(wǎng)絡(luò)向外部開放了,這會導致重要數(shù)據(jù)和信息外泄。

1 無線網(wǎng)絡(luò)常見安全問題

相對于傳統(tǒng)的有線網(wǎng)絡(luò),有許多網(wǎng)絡(luò)威脅是無線網(wǎng)絡(luò)所獨有的,包括以下幾方面。

1.1 加密算法的缺陷 在無線局域網(wǎng)中最常用的加密算法就是有線等價保密(wired equivalent privacy,WEP)的算法。WEP中的初始化向量(Initialization Vector,IV)由于位數(shù)太短和初始化復位設(shè)計,容易出現(xiàn)重用現(xiàn)象,從而被人破解密鑰。而用于進行流加密的 RC4算法,在其前 256個字節(jié)數(shù)據(jù)中的密鑰存在弱點,目前還無任何一種實現(xiàn)方案修正這個缺陷[1]。此外,用于對明文進行完整性校驗的循環(huán)冗余校驗(Cyclic Redundancy Check,CRC),只能確保數(shù)據(jù)正確傳輸,并不能保證其不被修改,因而不是安全的校驗碼。802.11標準指出[2],WEP使用的密鑰需要接受外部密鑰管理系統(tǒng)的控制,通過外部控制可減少 IV的沖突數(shù)量,使無線網(wǎng)絡(luò)難以攻破。這個過程形式非常復雜,并且需要手工操作,因而很多網(wǎng)絡(luò)的部署者更傾向于使用缺省的 WEP密鑰,這使黑客大大減少了為破解密鑰的工作量。

1.2 無線報文的竊聽、截取和監(jiān)聽 竊聽是指偷聽流經(jīng)網(wǎng)絡(luò)的計算機通信的電子形式,它以被動和無法覺察的方式人侵檢測設(shè)備。在 WLAN中,由于傳送的數(shù)據(jù)是利用無線信號在空中傳播,802.11協(xié)議不能阻止攻擊者采用被動方式監(jiān)聽網(wǎng)絡(luò)流量,而任何無線網(wǎng)絡(luò)分析儀都可不受任何阻礙地截獲未進行加密的網(wǎng)絡(luò)流量[3]。即使網(wǎng)絡(luò)不對外廣播網(wǎng)絡(luò)信息,只要能夠發(fā)現(xiàn)任何明文信息,攻擊者仍然可使用一些網(wǎng)絡(luò)工具,如Eth real和 TCPDump來監(jiān)聽和分析通信量,從而識別出可利用的有效信息[2]。

1.3 拒絕服務(wù)攻擊 拒絕服務(wù)是指攻擊者惡意占用主機或網(wǎng)絡(luò)幾乎所有的資源,使合法用戶無法獲得[3]。無線信號傳輸?shù)奶匦院蛯ｉT使用擴頻技術(shù),使無線網(wǎng)絡(luò)特別容易受到 DOS攻擊的威脅。造成這類攻擊有:①最簡單的辦法是通過不同的設(shè)備使用相同的頻率,從而造成無線頻譜內(nèi)出現(xiàn)沖突。②可能的攻擊手段是發(fā)送大量非法(或合法)的身份驗證請求。③如果攻擊者接管訪問節(jié)點、會話點或存取橋接器(access point,AP),并且未把通信量傳遞到恰當?shù)哪康牡?那么所有的網(wǎng)絡(luò)用戶都將無法使用網(wǎng)絡(luò)。

2 信息安全保護措施

針對上述安全問題,我們采用合適的安全措施保護醫(yī)院信息系統(tǒng)的安全,有如下幾種保護方法。

2.1 安全標準 最早的安全標準 WEP已證明極不安全,并易于受到安全攻擊。而更新的規(guī)范,如WPA、WPA2及 IEEE802.11i是更加強健的安全工具,其支持內(nèi)置的高級加密和身份驗證技術(shù)。WPA2和 802.11i都提供了對高級加密標準的支持,這項規(guī)范已為許多政府機構(gòu)所采用。

2.2 加密技術(shù) 對于有線網(wǎng)絡(luò),因為網(wǎng)絡(luò)交換機只在發(fā)送方和接收方之間轉(zhuǎn)發(fā)單播流量,所以防竊聽不是很大的問題;而無線網(wǎng)絡(luò)中的數(shù)據(jù)包是在開放廣播頻率上傳輸,數(shù)據(jù)保密就成為一個重大的擔憂[5]。因此,用于保護無線數(shù)據(jù)包的加密方法必須足夠穩(wěn)定和可靠,而且在客戶端和接入點之間進行密鑰交換時,必須進行身份認證和加密處理[1]。采用 web+portal認證或者 802.1x認證,并結(jié)合 Radius服務(wù)器完成身份認證,身份認證基于用戶,每個訪問無線網(wǎng)絡(luò)的人都在 RADIUS身份認證服務(wù)器上擁有 1個獨立的用戶賬戶。當 1個設(shè)備試圖鏈接的時候,首先查看 Radius服務(wù)器上保存的 1個設(shè)備列表,如果發(fā)現(xiàn)該設(shè)備在這個清單中[通常是根據(jù)硬件地址,用來定義網(wǎng)格設(shè)備的位置(media access control,MAC)地址來判斷],這個設(shè)備就被允許訪問網(wǎng)絡(luò),開始對數(shù)據(jù)進行 WPA加密。這是迄今為止保護無線網(wǎng)絡(luò)數(shù)據(jù)傳輸最安全的方法。

2.3 防范措施 無線磁盤操作系統(tǒng)(DOS)攻擊在開放的無線局域網(wǎng)中難于防范,但在醫(yī)院這個特定的使用環(huán)境中,可以采用以下幾種方法來有效降低DOS攻擊造成的危害:①將無線網(wǎng)絡(luò)同易受攻擊的核心網(wǎng)絡(luò)之間做有效隔離。②加強網(wǎng)絡(luò)檢測,通過無線網(wǎng)絡(luò)測試儀可有效識別無線網(wǎng)絡(luò)的信號質(zhì)量和網(wǎng)絡(luò)速率,以及無線報文的類型,給無線網(wǎng)絡(luò)故障的定位和分析提供有效的幫助。③通過合理部署無線AP,并調(diào)整其發(fā)射功率,從而將無線 AP所覆蓋的有效區(qū)域限定在醫(yī)院的有效工作區(qū)內(nèi),可控制非法侵入的實際發(fā)生概率。④采用 MAC地址和 IP地址結(jié)合交換機端口三者綁定的驗證。

3 無線信息安全解決方案

我院現(xiàn)有的網(wǎng)絡(luò)拓撲結(jié)構(gòu)見圖1。

圖1 醫(yī)院網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖Figure 1 Structure chart of hospital netw ork topology

整個網(wǎng)絡(luò)平臺采用 3層網(wǎng)絡(luò)拓撲架構(gòu),用 2臺H3C S9508 3層交換機作為核心交換機,在 2臺核心交換機S9508之間運行冗余路由熱備份協(xié)議,形成高帶寬協(xié)同工作通道,保證核心層的無阻塞高速交換。在接入層交換機經(jīng)由匯聚層到達核心交換機的鏈路上采用雙鏈路上行,任一鏈路的設(shè)備故障均不會引起業(yè)務(wù)中斷。根據(jù)無線網(wǎng)絡(luò)信息安全保護措施,我們設(shè)計無線網(wǎng)絡(luò)的拓撲結(jié)構(gòu):根據(jù)各部門的需求,在接入層增加相應(yīng)數(shù)量的無線 AP,接入至匯聚層交換機;在核心交換機 H3C S9508上插入無線控制器板卡,不需要另外增加單獨無線控制器,該板卡支持 EAD無線接入。具體方案見圖2。

圖2 醫(yī)院無線網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖Figure 2 Structure chart of hospital W ireless network topology

在本方案中,客戶端支持統(tǒng)一認證,可以進行無線認證和安全認證的一次完成,從而方便部署和使用擁有合法身份的用戶,除了被驗證用戶名、密碼等信息外,還被檢查是否滿足安全策略的要求,包括是否安裝殺病毒軟件、病毒庫升級、安裝必要的系統(tǒng)補丁等。對于同時滿足了身份檢查和安全檢查的用戶,EAD會根據(jù)預(yù)定義的策略為其分配對應(yīng)的網(wǎng)絡(luò)訪問權(quán)限,避免了非授權(quán)的網(wǎng)絡(luò)訪問現(xiàn)象,達到硬隔離的效果[3]。該方案特點:①有線無線一體化,讓部署更簡單,管理更容易。②一次認證,多次接入,不同科室、樓層之間實現(xiàn)無線終端快速漫游切換。③具有高安全性,結(jié)合無線 EAD實現(xiàn)用戶身份安全認證、動態(tài)加密。

4 結(jié) 語

無線網(wǎng)絡(luò)是對我院有線網(wǎng)絡(luò)的有效補充,在增加較少投資的前提下,可明顯提高工作效率和工作便利性[4]。無線網(wǎng)絡(luò)所具有的可擴容性為今后的網(wǎng)絡(luò)擴容留出足夠空間。雖然無線網(wǎng)絡(luò)較有線網(wǎng)絡(luò)更容易受到攻擊,但只要我們合理運用安全工具和技術(shù),就可有效地保護醫(yī)院網(wǎng)絡(luò)和用戶電腦的安全。

[1]張震江.我院網(wǎng)絡(luò)管理平臺架構(gòu)淺析[J].中華醫(yī)院管理雜志,2006,22(8):563-565.

[2]施高瞻.醫(yī)院信息網(wǎng)絡(luò)安全與防范[J].中國現(xiàn)代醫(yī)學雜志,2004,14(8):149-154.

[3]王與榮,孫海晨,申 萍,南京軍區(qū)南京總醫(yī)院急診運行模式與安全管理的做法[J].醫(yī)學研究生學報,2009,22(5):522-524.

[4]安 偉,張鷺鷺,張 義.衛(wèi)勤優(yōu)化決策模擬訓練平臺應(yīng)用[J].醫(yī)學研究生報,2009,22(2):191-194.

[5]蘇 義,易學明,楊國斌,以人為本的門診建筑服務(wù)流程設(shè)計[J].醫(yī)學研究生學報,2009,22(4):412-414.