| 海会 |
2010-10-19 21:25 |
无线网络安全的几点方案及其分析
随着Wi-Fi不断普及，其安全问题也凸显出来。802.11是IEEE制定的无线局域网标准。Wi-Fi是一个商业化的802.11标准。因为Wi-Fi联盟早期没有成熟的安全机制，导致蹭网者泛滥。下面是本人想到的让无线网络更安全的几点方案及其分析。较粗浅，如有谬误，请给予斧正。 h8hyQd$!
T$*#q('1"}
本文针对 隐藏SSID MAC绑定 WEP WPA WPA2及其企业版等进行安全性分析。因为Wi-Fi联盟早期没有成熟的安全机制，导致蹭网者泛滥。如何才能更好地加密自己的无线网络，让蹭网者知难而退呢？这里给大家提供几点参考。 eNu]K,rT
AS/z1M_U
1.隐藏SSID yyM`J7]J
防止非法用户扫描你的无线网络。 -
` {T ?
但极易被破解。只要有数据通过，一些嗅探软件很容易扫描到不广播的无线网络，得到你的SSID和AP MAC。 A\ r}V-
因此，只可作为无线安全的辅助手段。 n<e1 =L
安全等级：很低。 ,C0D|q4/!.
fxknfgbg
2.修改SSID Hb3t|<z
当用户使用wpa或wpa2加密时，修改过的SSID能有效防止通过现成的table来暴力破解。 <HH\VG\H6
破解wpa或者wpa2，现用的方法就是获得四次握手包后暴力破解。用已经HASH好的table，破解速度可以翻几百倍。此HASH是把SSID和密码共同作为变量的。很多黑客已经做好常用的SSID和通过社会工程学做好的密码计算而成的HASH table，可以网络下载，有些甚至是免费的。如果你的SSID不在此列，就没有现成的table。而做table本身比挂字典破解更费时间，因此就失去意义。 >9< YQ(
安全等级：较高（需和wpa wpa2配合使用）。 xv~Sk2Z+d
U <I]_]
3.使用MAC过滤 W:JR\KKU
表面看来是极完美的防蹭方案。但可以通过伪造你的MAC来上网。极易破解。而且MAC值是极容易被嗅探到的。 ToM1#]4
安全等级：很低。 9xaieR
Of
m0{c=
4.使用wep加密 D-LQQ{!D5
极易被破解。在今天，使用wep加密和不加密基本等同，没有任何安全性可言。即使再复杂的密码，也可以在数分钟内破解。 2hsRYh
安全等级：很低。 $V,ZH*
g
mv> -XJ+
5.使用wpa或wpa2个人版 加密 .~X&BY>qP
迄今为止，破解方法只有一个：暴力破解。如果你设置一个强密码，破解的概率几乎为0。另外，加密算法选择AES。 X8y :=k,E
尽量选择wpa2，因为wpa2比wpa具有更好的安全性。wpa2是真正的802.11i，而wpa只是其草案3，有很多不足。 jM: |%o
暴力破解的速度是极其低下的。一般只有300key / s，就算采取所谓的GPU加速，速度也不过是10000 key / s，对于一个8位数字 字母 字符的复杂密码破解时间都需要2900年！即使采用100台分布式，也需要29年！ &[P(}??Y\
安全等级：较高。 Egmp8:nZl@
+h@ZnFp3
说到这里，大家应该看到：如果你不加密或者用wep，即使采取了1，2，3手段也没有任何意义。破解都是分分钟的事。但如果你只用了wpa2，且密码极其复杂，破解都是以年计算的。 /Xl(>^|&
Q'rgh+6
现在我再提一下更为先进的wifi保全手段。 8(g}/%1mt3
+<bvh<]Od
1.Wpa2企业版 !GnwE
wpa2企业版需要radius拨号服务器，为802.1x提供认证。 @6b4YV
h
个人版中的PMK=PSK，PSK是固定的。虽然在之后的通信中，密匙是变化的，但初始密匙是固定的。这就是可以通过最初的四个握手包破解的原因（上文提到的HASH即为PSK的生成HASH，在四次握手中还有其他HASH计算）。而且整个WLAN中，PSK具唯一性。一旦泄漏，具有灾难性后果。一般要重新设置路由器和所有的合法客户端。 eI98J"h%?
Wpa2中，PMK的获取依赖于802.1x认证的结果，认证失败则无法得到PMK。而且每次认证得到的PMK都是随机的。所以上述暴力破解在这里完全没有意义。除非先破解认证机制，得到用户名和密码。 yM('!iG*/
而目前的802.1x安全性还是不错的。一般用一个比较好的EAP就有很好的安全性了。以下是几种最常见的EAP方式：LEAP EAP-TLS EAP-TTLS PEAP 。所有EAP方法都支持双向认证，这样可以阻止中间人攻击——因为客户需要对服务器进行认证，反之亦然。伪造的无线接入点无法伪造服务器端安全认证。 9Y+7o%6e
即使一个帐号，密码泄漏，则只有一个非法用户上网。在认证服务器上取消此帐号，就OK了。 [*1:?mD$
v^aI+p6
2.最好修改路由器的登录密码，最好禁止用无线网络登录。做到即使有蹭网，也无法修改无线路由器。 Zi{vEI ]
/sr. MT
3.启用PPPOE服务器。用户必须用PPPOE拨号后，才可访问路由器和Internet。 z}F^HQ 1
用PPPOE可以有效防止ARP攻击，同时增强无线网络的安全。即使用户破解无线密码，也毫无意义，和没有破解等同。而破解PPPOE并非易事。 Cd|rDa
通过专业的设置，可以让PPPOE更安全。比如，指定服务名（ISP名称），只选择CHAP，不选择明文传输的PAP等等。
|
|