摘 要：雖然無(wú)線組網(wǎng)比較靈活，但其開(kāi)放的傳輸信道會(huì)產(chǎn)生各種安全問(wèn)題。為解決無(wú)線網(wǎng)絡(luò)中的安全問(wèn)題，并將安全協(xié)議用于無(wú)線接入點(diǎn)，有必要深入研究安全機(jī)制在無(wú)線網(wǎng)絡(luò)中的應(yīng)用。

關(guān)鍵詞：無(wú)線網(wǎng)；接入點(diǎn)；安全機(jī)制

1 無(wú)線網(wǎng)絡(luò)及其安全需求

無(wú)線網(wǎng)絡(luò)結(jié)合了移動(dòng)通信技術(shù)和網(wǎng)絡(luò)技術(shù)，在其發(fā)展過(guò)程中，由于無(wú)線網(wǎng)絡(luò)的邏輯鏈路層以上的各層對(duì)不同物理層有不同的要求，所以有必要對(duì)無(wú)線網(wǎng)絡(luò)的底層進(jìn)行標(biāo)準(zhǔn)化。在常見(jiàn)的無(wú)線局域網(wǎng)標(biāo)準(zhǔn)中，常用的有美國(guó)的IEEE 802.11標(biāo)準(zhǔn)、歐洲的HiperLan標(biāo)準(zhǔn)以及中國(guó)的WAPI標(biāo)準(zhǔn)等。

WLAN面臨的安全威脅很多，按照攻擊者在安全威脅中的作用，安全威脅可以分為安全攻擊和被動(dòng)攻擊兩種；按照攻擊過(guò)程中是否需要密鑰，安全威脅又分為針對(duì)密鑰、無(wú)需密鑰兩類(lèi)。被動(dòng)攻擊方法只是對(duì)網(wǎng)絡(luò)資源進(jìn)行非授權(quán)訪問(wèn)，并不會(huì)進(jìn)行修改；主動(dòng)攻擊會(huì)修改網(wǎng)絡(luò)消息的內(nèi)容。被動(dòng)攻擊和主動(dòng)攻擊并不是完全孤立的，兩者往往會(huì)被深層次結(jié)合在一起，此時(shí)無(wú)線網(wǎng)絡(luò)安全面臨著更嚴(yán)重的挑戰(zhàn)。

整體上看，無(wú)線網(wǎng)絡(luò)面臨的安全問(wèn)題主要表現(xiàn)在如下方面[1]：（1）移動(dòng)設(shè)備的組網(wǎng)方式使得對(duì)無(wú)線網(wǎng)絡(luò)的管理比較困難。（2）開(kāi)放的無(wú)線通信信道會(huì)泄漏通信信號(hào)。針對(duì)上述問(wèn)題，在解決無(wú)線網(wǎng)絡(luò)的安全性問(wèn)題時(shí)，可以提出對(duì)應(yīng)的解決方案，在具備認(rèn)證、加密的基礎(chǔ)上，提供數(shù)據(jù)完整性和不可否認(rèn)的功能。

2 無(wú)線網(wǎng)絡(luò)中的安全機(jī)制

在傳統(tǒng)的無(wú)線網(wǎng)絡(luò)接入控制中，無(wú)線網(wǎng)絡(luò)被劃分為可信和不可信兩個(gè)部分，無(wú)線接入控制系統(tǒng)由申請(qǐng)方（客戶(hù)端）、認(rèn)證方（無(wú)線接入控制點(diǎn)）和授權(quán)方組成。在無(wú)線網(wǎng)絡(luò)發(fā)展過(guò)程中，認(rèn)證方和授權(quán)方是一個(gè)實(shí)體，后來(lái)隨著網(wǎng)絡(luò)的復(fù)雜才獨(dú)立出授權(quán)方。認(rèn)證方式包括開(kāi)放系統(tǒng)認(rèn)證和共享密鑰認(rèn)證兩類(lèi)，前者也叫空認(rèn)證，是默認(rèn)的認(rèn)證機(jī)制，采用這種認(rèn)證方式的客戶(hù)端都可以認(rèn)證成功；后者是可選認(rèn)證，需要WEP協(xié)議的支持。客戶(hù)端首先向認(rèn)證方（AP）發(fā)送認(rèn)證請(qǐng)求，AP給客戶(hù)端返回一個(gè)質(zhì)詢(xún)文本，客戶(hù)端利用WEP協(xié)議中的加密算法加密此文本，并再次返回給AP；AP將被加密的質(zhì)詢(xún)文本解密后，和發(fā)送給客戶(hù)端的質(zhì)詢(xún)文本明文比對(duì)，如果兩者一致就認(rèn)為客戶(hù)端認(rèn)證成功。

WEP協(xié)議在完整性保護(hù)、無(wú)線接入控制等方面尚存在一定缺陷，802.11i標(biāo)準(zhǔn)中用AES算法代替了RC4算法，為在用戶(hù)接入網(wǎng)絡(luò)時(shí)在網(wǎng)絡(luò)入口處進(jìn)行接入控制，使用了802.1X標(biāo)準(zhǔn)。802.1X標(biāo)準(zhǔn)的正式名稱(chēng)是“基于端口的網(wǎng)絡(luò)接入控制”，其中端口并不僅僅限于實(shí)際的物理端口，邏輯端口等都可以被看作是無(wú)線網(wǎng)絡(luò)中的通信信道。802.1X標(biāo)準(zhǔn)的實(shí)體和傳統(tǒng)的無(wú)線網(wǎng)絡(luò)類(lèi)似，也包含申請(qǐng)者、認(rèn)證者以及認(rèn)證服務(wù)器三部分[2]。申請(qǐng)者一般是支持WLAN的客戶(hù)端，如手機(jī)以及PC等，客戶(hù)端上要安裝IEEE 802.1X軟件。認(rèn)證方的作用是控制接入，每個(gè)用戶(hù)的認(rèn)證方都有受控端和非受控端兩個(gè)邏輯端口，前者只有在認(rèn)證通過(guò)后才打開(kāi)，后者一直打開(kāi)，目的是傳輸認(rèn)證報(bào)文。認(rèn)證服務(wù)器保存了所有需要認(rèn)證用戶(hù)的相關(guān)信息，以決定用戶(hù)是否可以接入無(wú)線網(wǎng)絡(luò)。這三方都只是邏輯實(shí)體，實(shí)際應(yīng)用中可以對(duì)應(yīng)多個(gè)物理設(shè)備，也可以對(duì)應(yīng)一個(gè)物理設(shè)備。

無(wú)線網(wǎng)絡(luò)中安全機(jī)制的安全性能主要取決于三點(diǎn)：加解密算法的長(zhǎng)度、密鑰長(zhǎng)度以及密鑰的分配管理策略。密鑰管理的目的是安全的維護(hù)密鑰的生成、銷(xiāo)毀等過(guò)程。密鑰的分配過(guò)程如下[3]：認(rèn)證方與認(rèn)證服務(wù)器建立一個(gè)安全通道，然后借助認(rèn)證及密鑰交換的方式產(chǎn)生會(huì)話主密鑰（MSK）；接下來(lái)申請(qǐng)方及認(rèn)證方會(huì)用MSK計(jì)算得到成對(duì)的主密鑰（PMK），PMK被通過(guò)安全通道傳送給認(rèn)證方；然后申請(qǐng)方和認(rèn)證方借助EAPoL-Key的四步握手機(jī)制確定密鑰的有效性，并得到用于完整性校驗(yàn)的臨時(shí)密鑰PTK；最后，申請(qǐng)方和認(rèn)證方協(xié)商得到組密鑰，用于保護(hù)廣播數(shù)據(jù)。

3 無(wú)線接入點(diǎn)安全協(xié)議分析

我國(guó)的無(wú)線安全標(biāo)準(zhǔn)是基于WAPI協(xié)議的，WAPI協(xié)議和認(rèn)證服務(wù)器共同完成用戶(hù)認(rèn)證過(guò)程。在鑒別及密鑰協(xié)商方面，WAPI協(xié)議的過(guò)程主要是[4]：用戶(hù)的無(wú)線設(shè)備和接入控制設(shè)備建立無(wú)線鏈路，此過(guò)程完成后會(huì)觸發(fā)對(duì)無(wú)線設(shè)備的認(rèn)證過(guò)程；認(rèn)證服務(wù)器認(rèn)證接入點(diǎn)的身份，并將認(rèn)證結(jié)果發(fā)送給客戶(hù)端，認(rèn)證成功的話就直接進(jìn)入到密鑰協(xié)商的過(guò)程，并允許用戶(hù)接入無(wú)線網(wǎng)絡(luò)，否則不允許用戶(hù)接入。

WAPI協(xié)議借助數(shù)字證書(shū)驗(yàn)證雙方身份，每次客戶(hù)端首次或重新連接到無(wú)線網(wǎng)絡(luò)時(shí)、或者密鑰更新時(shí)，都會(huì)激活證書(shū)的鑒別過(guò)程。如果客戶(hù)端和無(wú)線接入點(diǎn)的證書(shū)鑒別成功，就會(huì)進(jìn)入單播密鑰協(xié)商階段，此時(shí)接入點(diǎn)向無(wú)線終端發(fā)送密鑰協(xié)商請(qǐng)求報(bào)文，對(duì)方生成對(duì)應(yīng)的響應(yīng)報(bào)文并發(fā)回接入點(diǎn)，無(wú)線終端收到接入點(diǎn)的確認(rèn)報(bào)文后，開(kāi)始進(jìn)行數(shù)據(jù)傳輸。

單播密鑰協(xié)商階段完成后，會(huì)進(jìn)入組播密鑰協(xié)商過(guò)程。單播密鑰協(xié)商過(guò)程中生成的通告密鑰（NMK）被用于對(duì)報(bào)文加密，組播密鑰的信息是利用交互組播密鑰協(xié)商報(bào)文得到的。客戶(hù)端和接入點(diǎn)都得到NMK后，就能夠用SHA算法計(jì)算得到長(zhǎng)度為256位的組播密鑰。

在經(jīng)過(guò)身份認(rèn)證、單播密鑰協(xié)商以及組播密鑰更新三階段后，就可以實(shí)現(xiàn)無(wú)線接入點(diǎn)的安全控制。正是因?yàn)槠湓跓o(wú)線接入點(diǎn)上的安全控制方案，WAPI才成為中國(guó)的自主無(wú)線安全標(biāo)準(zhǔn)。

參考文獻(xiàn)

[1]白文遠(yuǎn)，保承家.無(wú)線局域網(wǎng)絡(luò)通信安全問(wèn)題分析[J].電子技術(shù)與軟件工程，2014.

[2]陳玉霞.物聯(lián)網(wǎng)安全問(wèn)題之無(wú)線傳感器網(wǎng)絡(luò)安全研究[J].信息通信，2014.

[3]徐勇.無(wú)線局域網(wǎng)安全保密管控技術(shù)研究[J].信息安全與技術(shù)，2014.

[4]原錦明.無(wú)線局域網(wǎng)常見(jiàn)漏洞及安全策略[J].電腦編程技巧與維護(hù)，2014.

作者簡(jiǎn)介：王陳喜（1986，8-），男，云南省怒江州，現(xiàn)職稱(chēng)：助理工程師，學(xué)歷：本科，研究方向：網(wǎng)絡(luò)信息技術(shù)及運(yùn)維。