摘 要：雖然無線組網(wǎng)比較靈活，但其開放的傳輸信道會(huì)產(chǎn)生各種安全問題。為解決無線網(wǎng)絡(luò)中的安全問題，并將安全協(xié)議用于無線接入點(diǎn)，有必要深入研究安全機(jī)制在無線網(wǎng)絡(luò)中的應(yīng)用。

關(guān)鍵詞：無線網(wǎng)；接入點(diǎn)；安全機(jī)制

1 無線網(wǎng)絡(luò)及其安全需求

無線網(wǎng)絡(luò)結(jié)合了移動(dòng)通信技術(shù)和網(wǎng)絡(luò)技術(shù)，在其發(fā)展過程中，由于無線網(wǎng)絡(luò)的邏輯鏈路層以上的各層對(duì)不同物理層有不同的要求，所以有必要對(duì)無線網(wǎng)絡(luò)的底層進(jìn)行標(biāo)準(zhǔn)化。在常見的無線局域網(wǎng)標(biāo)準(zhǔn)中，常用的有美國的IEEE 802.11標(biāo)準(zhǔn)、歐洲的HiperLan標(biāo)準(zhǔn)以及中國的WAPI標(biāo)準(zhǔn)等。

WLAN面臨的安全威脅很多，按照攻擊者在安全威脅中的作用，安全威脅可以分為安全攻擊和被動(dòng)攻擊兩種；按照攻擊過程中是否需要密鑰，安全威脅又分為針對(duì)密鑰、無需密鑰兩類。被動(dòng)攻擊方法只是對(duì)網(wǎng)絡(luò)資源進(jìn)行非授權(quán)訪問，并不會(huì)進(jìn)行修改；主動(dòng)攻擊會(huì)修改網(wǎng)絡(luò)消息的內(nèi)容。被動(dòng)攻擊和主動(dòng)攻擊并不是完全孤立的，兩者往往會(huì)被深層次結(jié)合在一起，此時(shí)無線網(wǎng)絡(luò)安全面臨著更嚴(yán)重的挑戰(zhàn)。

整體上看，無線網(wǎng)絡(luò)面臨的安全問題主要表現(xiàn)在如下方面[1]：（1）移動(dòng)設(shè)備的組網(wǎng)方式使得對(duì)無線網(wǎng)絡(luò)的管理比較困難。（2）開放的無線通信信道會(huì)泄漏通信信號(hào)。針對(duì)上述問題，在解決無線網(wǎng)絡(luò)的安全性問題時(shí)，可以提出對(duì)應(yīng)的解決方案，在具備認(rèn)證、加密的基礎(chǔ)上，提供數(shù)據(jù)完整性和不可否認(rèn)的功能。

2 無線網(wǎng)絡(luò)中的安全機(jī)制

在傳統(tǒng)的無線網(wǎng)絡(luò)接入控制中，無線網(wǎng)絡(luò)被劃分為可信和不可信兩個(gè)部分，無線接入控制系統(tǒng)由申請(qǐng)方（客戶端）、認(rèn)證方（無線接入控制點(diǎn)）和授權(quán)方組成。在無線網(wǎng)絡(luò)發(fā)展過程中，認(rèn)證方和授權(quán)方是一個(gè)實(shí)體，后來隨著網(wǎng)絡(luò)的復(fù)雜才獨(dú)立出授權(quán)方。認(rèn)證方式包括開放系統(tǒng)認(rèn)證和共享密鑰認(rèn)證兩類，前者也叫空認(rèn)證，是默認(rèn)的認(rèn)證機(jī)制，采用這種認(rèn)證方式的客戶端都可以認(rèn)證成功；后者是可選認(rèn)證，需要WEP協(xié)議的支持?？蛻舳耸紫认蛘J(rèn)證方（AP）發(fā)送認(rèn)證請(qǐng)求，AP給客戶端返回一個(gè)質(zhì)詢文本，客戶端利用WEP協(xié)議中的加密算法加密此文本，并再次返回給AP；AP將被加密的質(zhì)詢文本解密后，和發(fā)送給客戶端的質(zhì)詢文本明文比對(duì)，如果兩者一致就認(rèn)為客戶端認(rèn)證成功。

WEP協(xié)議在完整性保護(hù)、無線接入控制等方面尚存在一定缺陷，802.11i標(biāo)準(zhǔn)中用AES算法代替了RC4算法，為在用戶接入網(wǎng)絡(luò)時(shí)在網(wǎng)絡(luò)入口處進(jìn)行接入控制，使用了802.1X標(biāo)準(zhǔn)。802.1X標(biāo)準(zhǔn)的正式名稱是“基于端口的網(wǎng)絡(luò)接入控制”，其中端口并不僅僅限于實(shí)際的物理端口，邏輯端口等都可以被看作是無線網(wǎng)絡(luò)中的通信信道。802.1X標(biāo)準(zhǔn)的實(shí)體和傳統(tǒng)的無線網(wǎng)絡(luò)類似，也包含申請(qǐng)者、認(rèn)證者以及認(rèn)證服務(wù)器三部分[2]。申請(qǐng)者一般是支持WLAN的客戶端，如手機(jī)以及PC等，客戶端上要安裝IEEE 802.1X軟件。認(rèn)證方的作用是控制接入，每個(gè)用戶的認(rèn)證方都有受控端和非受控端兩個(gè)邏輯端口，前者只有在認(rèn)證通過后才打開，后者一直打開，目的是傳輸認(rèn)證報(bào)文。認(rèn)證服務(wù)器保存了所有需要認(rèn)證用戶的相關(guān)信息，以決定用戶是否可以接入無線網(wǎng)絡(luò)。這三方都只是邏輯實(shí)體，實(shí)際應(yīng)用中可以對(duì)應(yīng)多個(gè)物理設(shè)備，也可以對(duì)應(yīng)一個(gè)物理設(shè)備。

無線網(wǎng)絡(luò)中安全機(jī)制的安全性能主要取決于三點(diǎn)：加解密算法的長度、密鑰長度以及密鑰的分配管理策略。密鑰管理的目的是安全的維護(hù)密鑰的生成、銷毀等過程。密鑰的分配過程如下[3]：認(rèn)證方與認(rèn)證服務(wù)器建立一個(gè)安全通道，然后借助認(rèn)證及密鑰交換的方式產(chǎn)生會(huì)話主密鑰（MSK）；接下來申請(qǐng)方及認(rèn)證方會(huì)用MSK計(jì)算得到成對(duì)的主密鑰（PMK），PMK被通過安全通道傳送給認(rèn)證方；然后申請(qǐng)方和認(rèn)證方借助EAPoL-Key的四步握手機(jī)制確定密鑰的有效性，并得到用于完整性校驗(yàn)的臨時(shí)密鑰PTK；最后，申請(qǐng)方和認(rèn)證方協(xié)商得到組密鑰，用于保護(hù)廣播數(shù)據(jù)。

3 無線接入點(diǎn)安全協(xié)議分析

我國的無線安全標(biāo)準(zhǔn)是基于WAPI協(xié)議的，WAPI協(xié)議和認(rèn)證服務(wù)器共同完成用戶認(rèn)證過程。在鑒別及密鑰協(xié)商方面，WAPI協(xié)議的過程主要是[4]：用戶的無線設(shè)備和接入控制設(shè)備建立無線鏈路，此過程完成后會(huì)觸發(fā)對(duì)無線設(shè)備的認(rèn)證過程；認(rèn)證服務(wù)器認(rèn)證接入點(diǎn)的身份，并將認(rèn)證結(jié)果發(fā)送給客戶端，認(rèn)證成功的話就直接進(jìn)入到密鑰協(xié)商的過程，并允許用戶接入無線網(wǎng)絡(luò)，否則不允許用戶接入。

WAPI協(xié)議借助數(shù)字證書驗(yàn)證雙方身份，每次客戶端首次或重新連接到無線網(wǎng)絡(luò)時(shí)、或者密鑰更新時(shí)，都會(huì)激活證書的鑒別過程。如果客戶端和無線接入點(diǎn)的證書鑒別成功，就會(huì)進(jìn)入單播密鑰協(xié)商階段，此時(shí)接入點(diǎn)向無線終端發(fā)送密鑰協(xié)商請(qǐng)求報(bào)文，對(duì)方生成對(duì)應(yīng)的響應(yīng)報(bào)文并發(fā)回接入點(diǎn)，無線終端收到接入點(diǎn)的確認(rèn)報(bào)文后，開始進(jìn)行數(shù)據(jù)傳輸。

單播密鑰協(xié)商階段完成后，會(huì)進(jìn)入組播密鑰協(xié)商過程。單播密鑰協(xié)商過程中生成的通告密鑰（NMK）被用于對(duì)報(bào)文加密，組播密鑰的信息是利用交互組播密鑰協(xié)商報(bào)文得到的?？蛻舳撕徒尤朦c(diǎn)都得到NMK后，就能夠用SHA算法計(jì)算得到長度為256位的組播密鑰。

在經(jīng)過身份認(rèn)證、單播密鑰協(xié)商以及組播密鑰更新三階段后，就可以實(shí)現(xiàn)無線接入點(diǎn)的安全控制。正是因?yàn)槠湓跓o線接入點(diǎn)上的安全控制方案，WAPI才成為中國的自主無線安全標(biāo)準(zhǔn)。

參考文獻(xiàn)

[1]白文遠(yuǎn)，保承家.無線局域網(wǎng)絡(luò)通信安全問題分析[J].電子技術(shù)與軟件工程，2014.

[2]陳玉霞.物聯(lián)網(wǎng)安全問題之無線傳感器網(wǎng)絡(luò)安全研究[J].信息通信，2014.

[3]徐勇.無線局域網(wǎng)安全保密管控技術(shù)研究[J].信息安全與技術(shù)，2014.

[4]原錦明.無線局域網(wǎng)常見漏洞及安全策略[J].電腦編程技巧與維護(hù)，2014.

作者簡(jiǎn)介：王陳喜（1986，8-），男，云南省怒江州，現(xiàn)職稱：助理工程師，學(xué)歷：本科，研究方向：網(wǎng)絡(luò)信息技術(shù)及運(yùn)維。