網絡安全課中無線局域網安全問題及防范措施

郝萍萍 孫德剛

摘? 要：網絡工程實驗班是為創新創業目標而設立的一個特色班級，課程教授方面與普通班級有一定區別，對無線局域網絡，采用了創建實驗場景的方式，分步驟地讓學生找出網絡被盜用、被監聽、被拒絕服務式攻擊三種無線局域網絡面臨的安全問題，并根據這些問題按照實際需求從基本安全、增強安全、專業安全三個級別提出相應的安全措施，通過這種學習方式，鍛煉學生能力，加強了教學效果。所以必須重視無線局域網的安全問題，加強相應的安全措施，才能夠保證信息安全。

關鍵詞：無線局域網;安全問題;網絡安全

中圖分類號：TP393.17? ? ? ?文獻標識碼：A 文章編號：2096-4706（2020）01-0137-03

Abstract：The network engineering experimental class is a special class set up for the purpose of innovation and entrepreneurship. In terms of course teaching，it is different from ordinary classes. For wireless local area network，the way of creating experimental scenes is adopted. Students are asked to find out the security problems faced by three types of wireless local area network，namely，network embezzlement，monitoring and denial of service attack step by step. According to these problems，the according to the actual needs，the corresponding safety measures are put forward from three levels of basic safety，enhanced safety and professional safety. Through this way of learning，studentsability is trained and teaching effect is strengthened. So we must pay attention to the security of WLAN and strengthen the corresponding security measures to ensure the information security.

Keywords：WLAN;security issues;network security

0? 引? 言

隨著信息安全技術的發展，網絡安全課程已成為本校網絡工程專業、軟件工程專業的專業必修課。網絡安全課程以計算機系統本身安全和整個計算機網絡安全為中心，內容主要涉及到基礎原理、攻防技術、安全部署三個方面。無線局域網絡作為網絡的一種組成方式，突破了傳統有線網絡的限制，實現了網絡的靈動性和移動性，使得人們在網絡的連接和使用上獲得了解放，在社會的發展中得到了廣泛的應用。但是因其傳輸方式和特點，無線網絡相比有線網絡系統更容易遭受非法攻擊和入侵。因此，文章以本校的網絡工程實驗班的網絡安全授課過程為例，運用實例教學的方式，針對無線局域網絡這一部分，通過場景設置，讓學生參與其中，對WEP協議安全機制、IEEE802.11b協議安全機制以及無線局域網絡存在的缺陷和漏洞進行了分析，列舉出了一些針對這些安全機制常見的攻擊方法，并就這些攻擊方法給出了有針對性的無線局域網絡安全解決方案，旨在幫助廣大無線局域網絡的使用者構建起有效的網絡安全體系，以有力地抵御各種惡意網絡攻擊，提高無線局域網絡領域的安全性。

1? 教學場景設置

無線局域網是計算機網絡與無線通信技術相結合的產物，常用的組網方式有點對點模式、基礎結構模式、多AP模式、無線網橋模式、無線中繼器模式和AP客戶端模式等，本實驗室采用的是無線路由器+無線網卡建立連接的模式。無線局域網的協議包含IEEE802.11協議族、藍牙協議、HiperLAN、HomeRF等，常用的是IEEE802.11協議，我們的教學研究也是以IEEE802.11協議為主。在無線局域網絡安全的授課過程中，我們為了培養學生的動手能力和思考意識，在前期對實驗室進行了場景設置。

第一步：將實驗室的無線局域網絡接入設備復位，恢復到出廠默認值，然后讓學生連接可以搜索到的本實驗室的無線網絡連接上網。

第二步：打開實驗室的無線收發器，調至與無線局域網絡接入設備同頻率，進行信號干擾。

第三步：關閉無線收發器干擾，分別用MDK3、Charon（MDK3圖形界面）、Aireplay-ng軟件對實驗室的無線局域網絡進行DoS攻擊。

第四步：恢復無線局域網絡接入設備的正常使用，讓學生利用無線網絡相互進行通信，然后在教師機開啟Ettercap抓包軟件，使其監聽目標主機，然后開啟driftnet軟件，開始分析目標主機的數據，向同學發展示截取到的信息。

2? 無線局域網安全問題的提出

2.1? 無線網絡被盜用

問題：場景第一步同學們進入實驗室后，無需身份驗證就可以連接到實驗室的無線網絡。

結論：實驗室的無線網絡存在被盜用問題，也就是俗稱的“蹭網”。

如果是為了流量而蹭網，至多會引起網速的下降，但如果無線局域網是單位所有，有不法者蹭網就會有可能泄露單位的文件，造成不可預估的損失。

2.2? 無線網絡被拒絕服務式攻擊

問題：在場景設置的第二步和第三步，同學們本來可以訪問的網絡出現了網絡無法服務的情況。

結論：實驗室的網絡被拒絕服務式攻擊，攻擊的方式分為兩種：一種是基于無線通信過程及協議的，IEEE 802.11定義了一種客戶端狀態機制，用于跟蹤工作站身份驗證和關聯狀態，如第三步使用無線DoS工具：MDK3、Charon（MDK3圖形界面）、AIreplay-ng進行DoS攻擊，攻擊方式有Auth Dos身份驗證洪水攻擊、Deauth Flood取消驗證洪水攻擊、Disassociate關聯洪水攻擊、Disassociation Flood取消關聯洪水攻擊等;另一種是射頻干擾攻擊，如第二步中使用無線收發器進行頻率干擾。

2.3? 無線網絡被監聽

問題：第四步中，學生在無線局域網中傳輸的數據被監聽截獲。

結論：在這一步驟中利用了ARP欺騙原理中一個應用，那就是教師機通過啟動Ettercap軟件，將自己偽裝成了無線局域網絡內的網關，這樣被欺騙的學生機就會將數據傳輸到偽裝為網關的教師機端，使數據包被教師機截取，然后將截取的數據包用driftnet軟件進行分析，就可以得到學生相互之間發送的信息。無線網絡數據信號在空氣中傳播，只要在無線網絡覆蓋的范圍內，信號都可以被接收到，這是無法控制的，這些信號可以被不法者進行攔截監聽從而造成信息泄露。

3? 相對應的安全防范措施

無線局域網的組建標準，我們應該從實際使用需求出發，根據網絡數據的保密級別，確保組建好的網絡能夠達到我們前期規劃的安全級別，同時還要保證延展性，為日后擴容留夠空間。除了借助系統防火墻與入侵監測系統等軟件確保無線局域網上網安全外，我們可以利用無線局域網絡本身的技術性進行安全防范。

3.1? 基本安全的防范措施

基本的安全防范措施是指一些對于數據安全要求不是很高甚至不做要求的無線局域網絡采取的措施，如家庭、小的餐館、店鋪等，這些場景只需要提供一個網絡支撐，而不用過多地對網內數據進行保護。在我們實驗場景的第一步時將接入設備恢復到了出廠設置，這樣設備的SSID、WEP和DHCP功能均處于默認狀態，很容易被不法者侵入，我們可以采用以下措施進行安全防范，防止蹭網：

（1）組建無線局域網絡時，新使用的網絡接入設備多保留了出廠的默認值，一般都是設備的品牌加序列號，在這里，我們需要對設備的SSID值進行自定義，并且關閉掉設備的SSID廣播功能，因為SSID廣播能夠使得無線網絡很容易被人掃描到。另外建議將SSID設置成中文，因為一些非法者可以通過無線網絡掃描工具掃描到我們的無線網絡，從而實施入侵，這些工具多為國外軟件，在掃到中文名字的無線網絡后，會顯示亂碼，這樣就可以避免被無線網絡被盜用。

（2）新買到的很多無線設備在出廠時為了安裝方便都關閉了WEP功能，也就是說登錄我們的無線網絡不需要密碼，相當于網絡處于有門無鎖的狀態，這樣非法者就能利用無線嗅探器直接讀取數據，獲取我們的網絡連接，直接盜用我們的無線網絡。所以必須啟用WEP加密，設置足夠強度的WEP密鑰，最好是多類字符的長組合，并經常對WEP密鑰進行更換。

（3）關閉DHCP即動態IP地址分配功能，新啟用的無線接入設備DHCP功能也處于開啟狀態，無線局域網絡內終端設備就可以通過DHCP自動獲得一個IP地址，如果此時非法者通過掃描工具掃描到我們的無線網絡，其設備也可以獲得一個由DHCP自動分配的合法IP，也就成為了網內的合法一員，這樣是存在安全隱患的。所以必須關閉接入設備的DHCP功能，給每個網絡終端設備設置一個專屬的固定IP地址，并將該設備的MAC地址跟這個固定IP進行綁定，可以有效地防止非法入侵以及無線網絡被盜用。

3.2? 增強安全的防范措施

增強安全的防范是指：對于數據安全要求做防護，但是本身數據沒有達到機密程度的企業或者單位采取的防范措施，比如一些中小企業和單位。除了以上基本的防護措施外，我們還可以通過以下措施提高安全防護級別，避免無線網絡被盜用和監聽的危險。

除了上面基本的防護措施外，IEEE802.11標準還推出了諸如直線序列擴頻技術、有線等價保密協議、擴展服務集標識符、共享密鑰認證、訪問控制表等安全技術，我們在實際應用中，可以靈活地應用這些安全技術，補充無線局域網絡本身的技術缺點，使得無線局域網的安全等級可與有線局域網相同。

在無線局域網絡中采用802.1x標準，通過增設驗證服務器的方式來實現無線網絡客戶端的合法認證，在802.1x認證過程中，無線局域網絡內的終端設備需要通過接入點向驗證服務器發起認證請求，驗證服務器判定的用戶合法身份后，會將一個動態的WEP密鑰通過接入點返回給無線客戶端，同時接入點會向通過驗證的合法用戶開放接入網絡的端口。這種雙向認證機制可以十分有效地保證無線局域網絡內用戶的合法性，使得中間人攻擊的非法入侵無法得逞。另外，這個WEP密鑰是動態的、一次性的，客戶端下次登錄后密鑰將會更換。

具體登錄會話過程如圖1所示。

具體過程如下：

①戶要求接入，接入點防止網絡接入;

②加密證明材料被發往驗證服務器;

③驗證服務器驗證用戶并給予接入許可;

④接入點端口被啟動，動態WEP密鑰被以加密的方式分配給客戶;

⑤無線客戶端現在可以安全訪問網絡服務了。

3.3? 專業安全的防范措施

專業安全的防范是指針對大型企業、政府機關需要絕密安全的數據進行保護，這種級別的安全防范措施多采用虛擬專網技術（VPN）。VPN技術建立的是一個臨時的隧道，在公用網絡里搭建了一個暫時的安全隧道，它綜合了專用網絡安全性和數據質量保證性的優點，以及公共網絡結構的優點，所謂虛擬是指用戶不再需要占用實際的長途數據線路，專用是指利用現有的不安全的公用網絡環境，構建安全性、獨占性并自成一體的虛擬網絡，通過對隧道的加密來保證使用網絡時的安全性，從多方面避免了非法用戶的入侵，實現了用戶對自己網絡的完全控制。

4? 結? 論

在無線局域網的應用中，信息的泄露和被惡意竊取對生活、生產的影響都十分惡劣，因此必須要重視無線局域網的安全問題，使用一定的安全措施來維護無線網絡的安全。無論這種安全問題來自于無線局域網絡自身還是我們接入無線局域網絡時的操作，我們都必須加強相應的安全措施，修補系統的漏洞，加強管理，并規范自己的上網習慣，才能夠保證我們的信息安全，降低網絡安全存在的風險。

參考文獻：

[1] 簡練，張璐璐，侯鵬亮，等.移動辦公中的無線局域網安全分析及解決方案 [J].保密科學技術，2019（4）：14-16.

[2] 陳柏林.淺談無線局域網安全問題分析及對策 [J].中國新通信，2018，20（22）：90-91.

[3] 湯越.企業無線局域網接入訪問的安全控制 [J].無線互聯科技，2018，15（11）：34-35.

[4] 張文靜.無線局域網安全接入技術的應用 [J].電子技術與軟件工程，2017（18）：208.

[5] 馮維淼，張超.涉密場所無線局域網安全防護技術研究 [J].保密科學技術，2015（3）：19-24.

[6] 秦曉慧.淺談進行無線局域網安全防范的主要途徑 [J].電子技術與軟件工程，2014（5）：18-19.

作者簡介：郝萍萍（1977-），女，漢族，山東德州人，講師，就職于網絡工程教研室，畢業于青島大學，碩士研究生，研究方向：計算機網絡技術、創新創業教育;孫德剛（1978.04-），男，漢族，山東德州人，高級工程師，本科，研究方向：教育信息化，軟件開發。