高校校園無線網絡覆蓋所面臨的安全威脅與防范技術研究

◆祁宏偉 白海艷

（集寧師范學院 內蒙古 012000）

高校校園無線網絡覆蓋所面臨的安全威脅與防范技術研究

◆祁宏偉 白海艷

（集寧師范學院 內蒙古 012000）

隨著信息科技的快速發展，無線網絡的覆蓋范圍不斷擴大，高校作為知識型人才培養的主要基地，也加大了校園無線網絡覆蓋的力度，但高校師生在享受無線網絡提供的便利的同時，也面臨著巨大的安全威脅，使高校無線網絡覆蓋防范技術受到高度關注。本文為更加全面地認識高校校園無線網絡覆蓋現狀，為進一步發展高校校園無線網絡，對高校校園無線網絡覆蓋所面臨的安全威脅與防范技術展開研究。

高校；校園無線網絡覆蓋；安全威脅；防范技術

0 引言

無線網絡具有功能強、安裝簡單、組裝靈活、移動性突出等特點，在未使用通信線纜的情況下就可以實現數據通訊的特點，所以現階段在高校中被廣泛地應用，學生可在校園范圍內進行網絡的登錄和信息利用，極大地方面了高校學生的學習、娛樂等。

1 高校校園無線網絡覆蓋所面臨的安全威脅

1.1 網絡竊聽、信息重放威脅

在無線網絡覆蓋范圍內利用物理網絡訪問限制的手段保證網絡安全的可行性較低，換言之，網絡入侵人員可以在無線網絡覆蓋范圍內的任意地點進行網絡連接，并以各種手段、方式攻擊、竊聽無線網絡。高校作為人口密集的場所，發生無線網絡竊聽的可能性更大，而且控制困難，使師生的信息安全受到嚴重的威脅。另外，現階段網絡入侵者可以利用非法接入點實現中間人欺騙攻擊，由于其以“中間人”的身份出現，能夠對授權客戶端和接入點進行同步欺騙，采用傳統VPN技術防范，并不能有效的防治此類攻擊行為，信息被篡改、竊取的可能性仍較大。所以建立更完善、更合理的無線用戶認證和授權系統迫在眉睫。

1.2 WEP破解威脅

WEP雖然現階段得到有效的升級，但由于其針對有線網絡設計，在無線網絡覆蓋范圍內的應用，仍存在一定不足。網絡黑客利用計算機技術，通常可以對無線網絡覆蓋范圍內的數據包進行部分甚至全部的捕獲，在非法軟件的作用下，可以對數據包加密WEP密鑰進行快速有效的破解，在破解密碼后以“合法”的身份對數據進行利用。現階段高校校園無線網的覆蓋速度越來越快，據相關資料顯示對校園無線網絡WEP訪問密鑰進行有效地破解時間平均在1小時以內。可見現階段高校無線網絡覆蓋受到嚴重的安全威脅，需要更理想的無線數據加密技術做保證。

1.3 MAC地址欺騙威脅

現階段高校無線網絡覆蓋接入控制的主要方式是MAC地址訪問控制，借此實現分層管理。但受結構限制，現階段入侵者仍可以在MAC地址訪問控制作用下，成功的入侵校園網絡。例如入侵者可利用相應的網絡竊聽工具對高校校園無線網絡的數據包進行全面的獲取，然后對獲取的數據包的MAC地址進行分析和判斷，進而獲取校園無線網絡通信的靜態地址池，通過地址偽裝的形式重新進入高校的無線網絡覆蓋范圍進行網絡訪問。此時訪問控制系統則會認為其身份合法，進而同意其在無線網絡系統內進行操作，對無線網絡系統的安全性和學生的信息安全等方面構成嚴重的威脅。要對此威脅有效的防治，需要建立相應的無線局域網內用戶有效隔離技術，并對無線用戶認證和授權系統進行針對性的完善。

1.4 服務拒絕威脅

現階段無線網絡攻擊者通常在對無線網絡進行破壞前會先進行泛洪攻擊。此時無線網絡為保證整體的信息安全會拒絕提供任何服務，換言之無線網絡整體會處于癱瘓的狀態。學生在進行正常訪問時，并不能獲得相應的網絡信息服務，使無線網絡的功能無法真正發揮。另外，除泛洪攻擊外，入侵者采用消耗供給，使無線網絡的網速變慢，無線網絡對學生服務申請的反應速度變慢。這也是高校校園無線網絡常見的安全威脅，需要高校在強化用戶認證、授權系統，應用隔離技術等措施的同時，有效地利用病毒檢測設備等對其進行有效的防范。

2 針對高校校園無線網絡覆蓋安全威脅的防范技術

針對無線校園網的特點及安全問題，可在網絡不同層次采取多種安全策略，現階段主要防范策略如下：

2.1 建立更完善、更合理的無線用戶認證和授權系統

PPPoE、WEB和IEEE802.1X均是現階段相對較成熟的安全認證技術，但考慮到WEB認證方式的服務器端口可直達，受惡意攻擊的可能性較大，安全性無法得到保證，而PPPoE認證協議對高校主干網萬兆帶寬的利用程度較低，所以基于端口的訪問控制協議IEEE802.1X在高校無線網絡覆蓋無線用戶認證和授權系統建立中被廣泛的應用。此項技術集合了802.1xRADIUS認證和MAC地址認證技術的優點，非授權用戶的接入、訪問等操作都可以得到有效的拒絕。此認證技術的原理是，在申請者向認證服務器進行身份信息輸入后，由認證服務器對申請者的身份進行認證，在認證通過對密鑰加密并向申請者傳送后，申請者具有訪問無線網絡的權利。現階段在高校建立IEEE802.1X訪問控制協議，對提升無線網絡覆蓋的安全性具有重要的意義，具體建設方式要結合學校無線網絡的具體方式進行。例如天津大學應用IPv4/IPv6混合組網，所以其以IEEE802.1X訪問控制協議為基礎建立了無線校園網IPv4/IPv6認證系統。在建立無線用戶認證和授權系統的過程中需要考慮校內臨時連接無線網絡的特殊人群，如學生家長、辦理校園業務的人員等。現階段臨時用戶認證，通常采用DHCP+強制Portal認證技術，以此保證校園無線網絡的整體功能不受影響。

2.2 無線局域網內用戶有效隔離技術

此方法的主要原理是，首先將本來由IEEE802.11MAC固件實現中繼轉發的無線數據包都發送到無線訪問點的無線網橋模塊，然后判斷收到的數據包的源地址和目的MAC地址信息，根據網橋轉發表項，以及MAC數據包過濾表項決定是否轉發或丟棄該數據包，實現對同一分布系統DS內無線用戶的隔離。可見該方法采用了一種二層無線防火墻機制，不但可以用于無線用戶隔離，還可以通過規則匹配和處理方法定義來過濾和轉發MAC數據包，實現防火墻的功能。利用無線局域網內用戶有效隔離技術，不僅無線網內病毒的傳播可以得到有效的控制，而且無線網資源的利用效率也可以得到大幅度的提升。

2.3 網絡層數據的加密技術

傳統的WEP加密技術利用16位或32位的加密方式，網絡中存在的非法密碼破譯軟件，在15至30分鐘內就可實現數據密碼破譯，使其加密的效果并不理想。為縮減密碼被破譯的概率，出現128位WEP密鑰認證方式，而且在此基礎上出現了針對WEP缺點的專門保護無線電腦網絡安全的WPA數據加密技術，其將以RC4為核心的TKIP技術、以AES加密算法和CCM認證方式為基礎的CCCMP機制、以128為AESOCB加密算法為基礎的WRAP技術又結合，在密鑰產生、數據封裝、數據解封的全過程保證無線網絡的數據安全。高校在防范無線網絡覆蓋所帶來的安全威脅的過程中應有意識的應用WPA密鑰認證方式，并更改密鑰的具體設置，可以有效地縮減非法用戶侵入校園無線網絡的空間，使高校無線網絡受到安全威脅的概率大幅降低。

3 結論

通過上述分析可以發現，隨著高校無線網絡覆蓋建設力度的不斷擴大，人們在享受無限網絡提供的服務的同時，已經認識到無線網絡所帶來的安全威脅。高校為保證師生的信息安全，針對無線網絡覆蓋所面臨的安全威脅，應加大技術防范的力度，現階段雖然取得了較大的成果，但仍需要進一步的完善。

[1]趙劍峰.高校無線校園網方案設計及工程實踐[D]．北京：北京郵電大學，2012.

[2]吳剛山.江蘇農林職業技術學院校園網絡安全系統建設與實現[D].南京：南京郵電大學，2012.

[3]鐘平.校園網安全防范技術研究[D].廣州：廣東工業大學，2007.

[4]黃述杰.武威職業學院無線校園網方案設計與實現[D].蘭州：蘭州大學，2013.

[5]卞揚.校園無線網絡安全威脅及其防范技術淺析[J].科技風，2015.

課題項目：高校校園無線網絡覆蓋所面臨的安全威脅與防范技術研究，項目計劃編號：jsky2016042。