1.引言
随着802.11无线局域网的不断普及，人们可以随时随地的访问无处不在的网络资源，它为用户带来极大的便利，但是客观上由于它借助于无线电磁波传输信息，所以也同时面临着较以往网络环境更大的安全威胁。为了提高无线局域网的安全性，ieee 802.11小组先后制定了多个标准，同时企业与相关网络安全组织也提出并开发了许多安全协议。然而由于新的漏洞出现，这些协议或算法都或多或少的存在这样和那样的问题，导致事实上并没有哪一种具体的协议或标准解决802.11无线局域网的安全问题，这同时也使无线局域网在企业级的应用中面临更大的挑战。
2 .WEP算法工作原理与安全漏洞
2.1 WEP加密/解密方法
WEP采用对称性加密算法RC4，该算法支持可变长度密钥，为了避免使用重复的密钥流,WEP使用初始化向量IV(INItialization Vector )，该初始化向量IV长度为24位，它与40位或104位的基本密钥(Base Key)共同构成64位或128位的WEP密钥。其加密过程是：首先对消息M计算其CRC32校验和c(M),将它和消息M一同构成明文P,即P=(M，c(M));然后使用RC4算法将初始向量IV和共享密钥K结合生成伪随机长度密钥流RC4(v，k);最后将密钥流和明文进行异或XOR操作产生密文C,即C=P⊕RC4(v，k)，发送方得到密文后将它和IV一起发送出去，具体如图1所示：
WEP的解密过程是加密的逆过程：接受方重新产生密钥流RC4(v,k),将其与接收到的密文信息进行异或运算,以恢复最初的明文信息P′=P，然后接收方将恢复的明文信息P′分离成M′和c′(M)的形式,重新计算校验和c(M′),并检查它是否与接收到的检验和c′(M)比较，如果匹配则接受此WEP包，否则说明消息M在传输中被动过手脚，因此丢弃该包。
2.2 WEP加密安全漏洞
WEP算法在现实的应用中被发现不少的安全漏洞，主要体现在四个方面：①RC4算法本身的问题。根据Fluhrer,Mantin，Shamir的研究结果表明RC4算法中的KSA(Key Scheduling Algorithm)本身存在缺陷，攻击者通过对收集的大量弱IV值进行统计分析来破解密钥，继而访问网络，非法获取数据。②数据完整性问题。为了保证通信信息的完整性,WEP使用32位的CRC(循环检验码)来提供数据完整性的检查，并将其与数据一起发送，CRC校验和并不能保证攻击方不对信息数据进行修改。这是因为CRC算法是线性的,不具有防止攻击的随机性,并且CRC算法本身就十分简单,所以，攻击者很容易在信息数据流中插入或修改比特位后调整CRC校验和与新数据相符，将篡改的消息变为合法的消息。③密钥管理问题。在802.11标准中，缺少一种有效的密钥管理和分发机制。分配给客户机的WEP密钥由于丢失或泄密等原因，导致非正常用户具有了访问网络的权限，从而威胁网络的安全。另外，由于WEP密钥长期得不到更换，使攻击者很容易利用统计攻击的方法获得它。④IV数据空间不足。IV 数据空间只有24bit，由于WEP 使用一次性密码本形式的 RC4，因此最多每隔2
个包就会重复这个一次性密码本。基于801.11b的无线局域网一般几个小时就可以用完IV向量空间，这使得攻击者可以在比较短的时间内搜集到使用相同密钥的两个加密数据包并通过静态攻击来解析出消息。
2.3 WEP2算法及其安全漏洞
针对WEP算法安全性方面的缺陷，IEEE Group i开发了WEP2算法作为802.11i的安全标准，对原算法作了如下改进[1]:
(1)将IV长度由24增至128bit，增加了进行字典攻击的难度。
(2)动态密钥管理。WEP2算法动态更新密钥，但访问点需要进行软件升级以支持该算法使用。
WEP2虽然解决了一些问题但也存在以下安全缺陷：
(1)没有有效的消息完整性检验算法(MIC)，易被篡改。
(2)仍然缺乏IV重用保护。攻击者仍可以获得多个IV重用的实例进行破解。
(3)WEP2算法中Kerberos V算法的使用导致新的字典攻击成为可能。
3 安全措施与技术
3.1 802.1x/EAP与RADIUS服务器认证
(1) 802.1x与扩展认证协议 EAP
802.1x协议是由IEEE定义的一种基于端口访问与控制标准[2]，它提供了一种既可用于有线网络也可用于无线网络的用户认证和密钥管理的框架。EAP(Extensible Authentication Protocol)即PPP扩展认证协议是一个用于PPP认证的通用协议，可以支持多种认证方法， 其中针对WLAN采用的主要认证方式有：MD5(基于消息询问的单向认证)、TLS(基于证书的传输层认证)、TTLS(通道TLS)、PEAP(受保护的扩展认证)、LEAP(轻量级扩展认证)以及针对GSM的SIM(用户识别模块认证)等。为了在无线局域网中传输EAP包，EAP可以被封装在802.11数据帧中即EAPOL。
(2)认证机制
802.1x本身并不是认证方法，它依赖于扩展认证协议EAP的多种认证方式[3]，在实际的应用中安全认证主要由RADIUS服务器来完成。802.1x/EAP认证分为两步：由客户端到802.1x认证端的前向认证，采用EAP over LAN协议;由认证端到RADIUS认证服务器的后向认证，采用EAP over RADIUS协议。具体认证过程如图2所示：
3.2 VPN技术
VPN技术指在不安全的数据传输介质上通过隧道以及加密技术保证专用数据的安全性。它同时也是目前企业级无线网络应用的理想方法，主要提供三方面的安全措施：①加密技术：主要是对传输的数据加密，包括密钥和认证证书，常用的加密算法主要有：DES,3DES等。②密钥管理和交换技术：它主要保证密钥安全的传递而不被窃取，现在普遍使用Internet密钥交换协议IKE来管理密钥。③用户身份认证技术：通信双方只有确认对方的身份，才能建立隧道进行数据传输。实践证明，多种安全措施结合的好坏将直接关系到VPN的安全性能，图3给出基于VPN技术的无线局域网，其中客户端与无线接入点AP通过VPN相连，无线接入点AP与VPN服务器也通过VPN相连，AP只接受和转发基于VPN隧道的数据，其他数据一概丢弃。
4 企业级应用解决方案
当今无线局域网的企业级应用当首选基于VPN的认证与加密机制，无线客户端通过无线接入点(AP)连接到VPN服务器上，继而由该服务器访问企业内部网。在802.11i标准还并未成为真正的企业级应用前，基于VPN的无线安全解决方案看来是最优的选择，然而有研究表明在这种应用中也存在安全漏洞，基于用户口令的身份认证很容易被破解;二层通道协议本身并不提供安全机制, 无法抵抗插入、地址欺骗、拒绝服务(DoS)等攻击;IPSec VPN 也会受到中间人(Man-in-the-Middle)攻击;隐藏无线路由的存在导致攻击者可以绕过VPN服务器，入侵企业内部网[4]。由此可见，随着网络尤其是IP网络的不断发展和变化，几乎不可能仅仅依赖于对协议栈某一层或两层实施安全策略来保证整个网络的安全，在企业级应用中根据安全级别要求的不同，访问资源的不同也必须采取多级的安全策略，基于以上考虑本文提出一种企业级解决方案如下：
(1) 根据客户端访问权限的不同和访问资源的不同将他们分布在3个虚拟局域网(VLAN)上，分别提供管理员级，普通用户级，游客级服务;
(2) 每个无线虚拟局域网由一个或多个无线接入点服务，并通过交换机接入防火墙的非军事化区域(DeMilitarized Zone)端口。
(3) 每个无线虚拟局域网通过DHCP服务器获得子网地址，通过该子网地址区别客户端所在区域，实施不同的认证和访问控制级别。
(4) 在防火墙中用VPN模块根据三个级别服务提供三种不同加密和认证方法：①管理员级使用公用密钥认证(Public Key)和Internet密钥交换(IKE)协议的SHA1散列算法及3DES加密算法加密②普通用户级使用远程验证拨号用户服务(RADIUS)认证和SHA1散列算法及DES加密算法加密③游客级不使用任何认证和加密措施。
(5) 构建入侵检测系统IDS(Intrusion Detection System),捕获攻击者数据进行分析，自动回应入侵将攻击损害减小到最小，同时也可利用分布在其它不同级网络中的入侵检测系统提供的信息，形成动态入侵检测系统来保护网络安全。
该方案满足了企业级应用的不同安全层次要求，其优点如下：
(1)基于VPN的安全体系结构简单，实施较方便容易。
(2)按用户的权限和访问资源的不同进行认证和访问控制，可以分散企业级无线与有线网络的安全风险，通过不同的加密方法保证数据安全性与完整性。
(3)防火墙根据虚拟局域网地址的不同，将其请求导向不同的网络服务器，保证了资源的安全。
(4)通过构建入侵检测系统，可以时刻监视网络攻击，保护网络安全。
5 结束语
无线网络安全问题直接关系到下一带网络的发展方向，是一个值得深入研究的课题，正如人们看到，单一的技术不能解决安全问题，必须结合多种措施与技术，建立多层次的安全体系结构。同时无线网络安全的发展也必将推动无线网络应用的扩展与深入。
