WLAN無線網絡的三大風險和攻防技巧

無線網絡並不是就如此不堪一擊，布署嚴密的保護措施，應用最新的加密技術，能夠充分保護我們的網絡免於來自內部與外部的攻擊。

在介紹WEP加密破解的文章中，你會發現WEP的破解比你想像的容易得多，誰都可以用這些工具破譯這種加密方法，只要觀察網絡上足夠數量的流量，就能弄明白加密密鑰。不過無線網絡並不是就如此不堪一擊，布署嚴密的保護措施，應用最新的加密技術，能夠充分保護我們的網絡免於來自內部與外部的攻擊。本文就是對怎樣保護無線網絡的方法作一些比較基礎的介紹。

對某些人來說，他們可能認為無線網絡的安全性問題顯得很復雜，設置一個安全的無線網絡可能需要十分專業的基礎知識和進行復雜的設置，也有人會講:“我只是用電腦上上網而已，並沒有干其他什麼重要的事情，為什麼我還要為安全問題費心呢?”，所以他們會放棄在安全方面的打算，這樣就導致自己的網絡“門戶大開”。對於這個問題的回答，各位看了下面的內容後可能就不會產生這樣的想法了。

一、無安全措施的WLAN所面臨的三大風險:

1、網絡資源暴露無遺

一旦某些別有用心的人通過無線網絡連接到你的WLAN，這樣他們就與那些直接連接到你LAN交換機上的用戶一樣，都對整個網絡有一定的訪問權限。在這種情況下，除非你事先已采取了一些措施，限制不明用戶訪問網絡中的資源和共享文檔，否則入侵者能夠做授權用戶所能做的任何事情。在你的網絡上，文件、目錄、或者整個的硬盤驅動器能夠被復制或刪除，或者其他更壞的情況是那些諸如鍵盤記錄、特洛伊木馬、間諜程序或其他的惡意程序，它們能夠被安裝到你的系統中，並且通過網絡被那些入侵者所操縱工作，這樣的後果就可想而知了。　　　　

二、保護我們的WLAN

在明白了一個毫無防護的WLAN所面臨的種種問題後，我們就應該在問題發生之前作一些相應的應對措施，而不要等到發生嚴重的後果後才意識到安全的網絡維護是多麼重要。以下的內容就是介紹針對各種不同層次的入侵方式時采取的各種應對措施。

1、擁有無線網卡的普通用戶

在一個無任何防護的無線WLAN前，要想攻擊它的話，並不需要采取什麼特別的手段，只要任何一台配置有無線網卡的機器就行了，能夠在計算機上把無線網卡開啟的人就是一個潛在的入侵者。在許多情況下，人們無心地打開了他們裝備有無線設備的計算機，並且恰好位於你的WLAN覆蓋范圍之內，這樣他們的機器不是自動地連接到了你的AP，就是在“可用的”AP列表中看到了它。不小心，他們就闖進了你未設防的“領域”了。其實，在平常的統計中，有相當一部分的未授權連接就是來自這樣的情況，並不是別人要有意侵犯你的網絡，而是有時無意中在好奇心的驅使下的行為而已。

如下的對策可以保護你的網絡避免不經意的訪問，不過這都是一些相當初級的內容，並不能提供避免那些更熟練些入侵者的實時保護。雖說這些內容都很“菜鳥”，它們大部分是如此簡單，不過如果你的無線設備能夠支持的話，我還是建議你作一下相關設置。

對策1:更改默認設置

最起碼，要更改默認的管理員密碼，而且如果設備支持的話，最好把管理員的用戶名也一同更改。對大多數無線網絡設備來說，管理員的密碼可能是通用的，因此，假如你沒有更改這個密碼，而另外的人就可輕而易舉地用默認的用戶名和密碼登錄到了你的無線網絡設備上，獲得整個網絡的管理權限，最後，你可能會發現自己都不能夠夠登錄到你的WLAN了，當然，通過恢復工廠設置還是可重新獲得控制權的。

更改你AP或無線路由器的默認SSID，當你操作的環境附近有其他鄰近的AP時，更改默認的SSID就尤其需要了，在同一區域內有相同制造商的多台AP時，它們可能擁有相同的SSID，這樣客戶端就會有一個相當大的偶然機會去連接到不屬於它們的AP上。在SSID中尤其不要使用個人的敏感信息。

更改默認的頻道數可以幫助你避免與鄰近的無線LAN發生沖突，但作為一個安全防范方法的作用很小，因為無線客戶端通常會為可能的連接自動地掃描所有的可用頻道。

對策2:更新AP的Firmware

有時，通過刷新最新版本的Firmware能夠提高AP的安全性，新版本的Firmware常常修復了已知的安全漏洞，並在功能方面可能添加了一些新的安全措施，隨著現在更新型的消費類AP的出現，通過幾下簡單的點擊就可檢驗和升級新版本的Firmware了，與以前的AP相比較，老產品需要用戶要從界面並不是很友好的廠商技術支持站點手工去尋找、下載、更新最終版本的Firmware。

許多用了幾年的AP都已經過了它們的保修期了，這就意味著很難找到新的Firmware版本了，如果你發現最後版本的Firmware並不支持提升了安全性能的WPA(Wi-Fi Protected Access)，其實更好的版本是WPA2，那就最好請認真地考慮一下是否更換你的設備了。

實際上，當前的802.11g設備至少應支持WPA，並在技術上有更新到WPA2的能力，但制造廠商並不會一直致力於支持他們的老產品，因此假如你想檢查一下AP是否可支持WPA2，要不就在Wi-Fi Alliance's certification database(鏈接為:http://wi-fi.org/OpenSection/certified_products.asp?TID=2)中檢查一下，要不就到google中搜索一下看。

對策3:屏蔽SSID廣播

許多AP允許用戶屏蔽SSID廣播，這樣可防范netstumbler的掃描，不過這也將禁止Windows XP的用戶使用其內建的無線Zero配置應用程序和其他的客戶端應用程序。在下圖一中如果選中顯示的“Hide ESSID”，則正是在一個ParkerVision的AP上屏蔽了SSID廣播。(實際上，SSID和ESSID是指的同一回事)。

2、可熟練使用工具軟件的中級用戶

以上的措施只能對那些菜鳥有效，現在我們來提高提高防范技能，來防止那些更熟練的操作者，他們可是經常積極地在四處搜索無線網絡的，在這些人中間，部分人並沒有惡意，他們只是喜歡看看到底能夠檢測到有多少無線網絡在周圍，並且他們從來都沒有嘗試過使用所檢測到的網絡弱點;但其他的一些人可就不是這樣了，他們一開始就是想連接到你的無線網絡上並還有一些其他的不良企圖。

在本段的內容中，我先假設在前面的介紹中所建議的所有防范措施都沒有被使用，並且那些可能的潛在入侵者是可以尋找到你的無線網絡。在這方面，最好有效的防范措施就是使用加密和身份驗證，下面就這兩方面特別是集中在加密方面來進行介紹。

對策7:加密

WLAN的管理員應該在網絡上運行可用的最高強度的加密技術，現在比較成熟可用的技術有WEP、WPA和WPA2三種可供選擇。

在這三種加密技術中，WEP(Wireless Equivalent Privacy)是加密能力最弱的一種無線安全技術，不過，當前它的應用是最為廣泛的，這應歸功於它實用於幾乎所有802.11的無線產品。針對802.11b的產品，由於許多消費類的無線網絡產品生產廠商已不提供從WEP升級到WPA的更新了，所以你就別無選擇只能使用它了，並且其他現在還正在生產的新產品如VoIP無線電話等就僅支持WEP，強制一些WLAN用戶降低他們的安全要求以適應最低的公共安全等級。

其他的WPA(Wi-Fi Protected Access)或WPA2則可提供足夠的無線安全，由於它們使用了更強壯的加密技術和經過改良的密鑰管理技術。這兩者之間的主要不同之處是WPA2支持更強壯的AES(Advanced Encryption Standard)加密，但更使用用戶糊塗的是，相比較於標准的WPA的TKIP加密技術，現在有許多允許選擇AES加密的但標記為WPA的產品。

大部分的802.11g產品都支持WPA，但把老的產品升級為WPA2還有一個過程，甚至基於WPA2的802.11i標准在2004年6月才被批准。

本人推薦使用WPA，因為它和WPA2一樣有效，並且有更廣泛的支持，至少我是這樣認為的。然而，要使用WPA的話，可能需要你購買一些新的設備了，特別是正在使用802.11b的WLAN中，不過標准的802.11g設備也不是很貴的，並能得到最佳的安全投資回報。

許多消費級的AP僅僅支持“Personal”版本，也叫做WPA-PSK(Pre-Shared Key)，如下圖四顯示的內容。也有一些消費級的無線產品支持WPA2或WPA“Enterprise”(也就是通常所說的WPA“RADIUS”)，不過如果沒有實現它所必需的附加RADIUS服務支持的話，這項功能也沒什麼大的用處的。

圖四:AP支持的加密選項

對許多個人的WLAN來說，使用WPA-PSK就可提供足夠的安全保護了，不過所使用的密碼必需足夠長並且是沒有什麼具體含義的，不要使用數字，或者來自字典中的單詞，因為如同cowpatty之類的程序已經可完成對WPA-PSK的基於字典的攻擊。許多安全方面的專家推薦使用128bit的PSK，現在的許多WPA設備都支持字母與數字的PSK，也就是說，只需要16個字符就可達到專家的要求。

在因特網上有許多的密碼產生器，我們可以通過Google來快速搜索到。例如在http://www.elfqrin.com/pwgen.html這個頁面中，有諸如小寫字母、大寫字母、數字、空格與定制這些的組合來產生密碼，甚至還可估計出要破解產生的這些密碼大致需要多長的時間。

對策8:增加身份驗證

面對各種新興的網絡攻擊，管理員應該在網絡中使用身份驗證。身份驗證通過要求一台客戶端計算機“注冊”到網絡中來增加另外一層次上的安全措施。