logo资料库

从WAPI看无线局域网安全协议.doc

发布时间：2022-05-29 发布人：admin 分类：说明书 资料大小：0.06M 资料格式：doc 举报 版权申诉
第1页 / 共7页
第2页 / 共7页
第3页 / 共7页
第4页 / 共7页
第5页 / 共7页
第6页 / 共7页
第7页 / 共7页
资料共7页，全文预览结束
     
    从 WAPI 看无线局域网安全协议 20 世纪 90 年代以来，随着个人数据通信的发展，功能强大的便携式数据终端以及多媒体终 端的广泛应用，为了实现任何人在任何时间、任何地点均能实现数据通信的目标，要求传统 的计算机网络由有线向无线，由固定向移动，由单一业务向多媒体发展，更进一步推动了无 线局域网（Wireless LAN，简称 WLAN）的发展。 制约无线网络得到广泛应用的因素第一是价格，另外就是无线网络的安全性问题。如今， 无线网络产品的价格已经下调到用户可以接受的程度，无线网络的安全问题就成为了当前发 展无线网络产业的最大问题之一。 无线局域网安全的最大问题在于无线通信设备是在自由空间中进行传输，而不是像有线 网络那样是在一定的物理线缆上进行传输，因此无法通过对传输媒介的接入控制来保证数据 不会被未经授权的用户获取。所以，WLAN 就面临一系列的安全问题，而这些问题在有线 网络中并不存在。无线网络存在的安全风险和安全问题主要包括： （1）来自网络用户的进攻。 （2）来自未认证的用户获得存取权。 （3）来自公司的窃听泄密等。 针对以上威胁问题，从最初利用 ESSID、MAC 限制，防止非法无线设备入侵的访问控 制，到基于 WEP 数据加密的解决方案，再到即将成为新标准的 802.11i，以及从 2003 年 12 月 1 日起我国开始施行的 WLAN 产品的新标准 WAPI（无线局域网鉴别和保密基础结构）， 无线网络安全技术在很大的程度上已经得到了改善，即使这样，但要真正构建端到端的安全 无线网络还任重道远。在介绍无线局域网安全协议之前，首先简要介绍无线局域网的主要标 准。 一、无线局域网的标准 在众多的无线局域网标准中，人们知道最多的是 IEEE（美国电子电气工程师协会）802.11 系列，此外制定 WLAN 标准的组织还有 ETSI （欧洲电信标准化组织）和 HomeRF 工作组， ETSI 提出的 标准有 HiperLan 和 HiperLan2，HomeRF 工作组 的两个标 准是 HomeRF 和 HomeRF2。在这三家组织所制定的标准中，IEEE 的 802.11 标准系列由于它的以太网标准 802.3 在业界的影响力使得在业界一直得到最广泛的支持，尤其在数据业务上。ETSI 是一个 欧洲组织，因此一直得到欧洲政府的支持，很多运营商也都很尊重它的 GSM 和 UMTS 蜂窝 电话标准，它在制定 WLAN 标准的时候更加关注语音业务。HomeRF 作为一种为家庭网络 专门设计的标准在业界也有一定的影响力。下面就这几个组织的标准逐一进行介绍。 1．IEEE 的 802.11 标准系列 802.11 是 IEEE 最初制定的一个无线局域网标准，主要用于解决办公室局域网和校园网 中用户与用户终端的无线接入，业务主要限于数据存取，速率最高只能达到 2Mbps。目前， 3Com 等公司都有基于该标准的无线网卡
    由于 802.11 在速率和传输距离上都不能满足人们的需要，因此，IEEE 小组又相继推出 了 802.11b 和 802.11a 两个新标准。3 者之间技术上的主要差别在于 MAC 子层和物理层。 802.11b 物理层支持 5.5Mpbs 和 11Mpbs 两个新速率。802.11 标准在扩频时是一个 11 位 调制芯片，而 802.11b 标准采用一种新的调制技术 CCK 完成。 802.11b 使用动态速率漂移，可因环境变化，在 11Mbps、5.5Mbps、2Mbps、1Mbps 之 间切换，且在 2Mbps、1Mbps 速率时与 802.11 兼容。802.11b 的产品普及率最高，在众多的 标准中处于先导地位。 802.11a 在 802.11 协议组中是第一个出台的标准，802.11a 工作在 5GHzU－NII 频带，物 理层速率可达 54Mb／s，传输层可达 25Mbps。采用正交频分复用（OFDM）的独特扩频技 术；可提供 25Mbps 的无线 ATM 接口和 10Mbps 的以太网无线帧结构接口，以及 TDD／ TDMA 的空中接口；支持语音、数据、图像业务；一个扇区可接入多个用户，每个用户可 带多个用户终端。但是，芯片没有进入市场、设备昂贵、空中接力不好、点对点连接很不经 济、不适合小型设备。值得庆幸的是，Radiata 的低成本 COMS 无线引擎芯片装置可支持 802.11a。 802.11a 最明显的缺点就是兼容性，802.11a 使用的是较高的频率，在物理层上采用不同 于 802.11b 的 OFDM 技术，所以 802.11a 产品和现在已经安装的 802.11b 不能互通，解决这 个问题的唯一方法就是使用双模设备，使两种系统都可以支持。 蓝牙（IEEE 802.15）是一项最新标准，对于 802.11 来说，它的出现不是为了竞争而是 相互补充。蓝牙 802.11 更具移动性，比如，802.11 限制在办公室和校园内，蓝牙能把 1 个 设备连接到 LAN 到 WAN，甚至支持全球漫游。此外，蓝牙成本低、体积小，可用于更多 的设备。但是，蓝牙主要是点对点的短距离无线发送技术，本质上要么是 RF 要么是红外线。 而且，蓝牙被设计居低功耗、短距离、低带宽的应用，严格来讲，不算是真正的局域网技术。 2．ETSI 的 HiperLan2 HiperLan 是欧盟在 1992 年提出的一个 WLAN 标准，HiperLan2 是它的后续版本， HiperLan2 部分建立在 GSM 基础上，使用频段为 5GHz。在物理层上 HiperLan2 和 802.11a 几乎完全相同：它采用 OFDM 技术，最大数据速率为 54Mbps。它和 802.11a 最大的不同是 HiperLan2 不是建立在以太网基础上的，而是采用的 TDMA 结构，形成是一个面向连接的网 络，HiperLan2 的面向连接的特性使它很容易满足 QoS 要求，可以为每个连接分配一个指定 的 QoS，确定这个连接在带宽、延迟、拥塞、比特错误率等方面的要求。这种 QoS 支持与 高传输速率一起保证了不同的数据序列（如视频、话音和数据等）可以同时进行高速传输。 HiperLan2 虽然在技术上有优势，然而它在开发过程中却落在 802.11a 的后面，不过因 为它是欧洲的标准，所以一直得到欧洲政府的支持，尤其在频率规划上，因为它使用的波段 和 802.11a 相同，许多投资商一直在游说欧洲政府，希望 802.11a 也能在 HiperLan2 波段使 用， IEEE 也正在开发一个可以将两种 5GHz 系统统一起来的标准。 3．HomeRF
    顾名思义，HomeRF 是为家庭网络设计的（RF 意思是射频），是一种将家中的 PC 和用 户电子设备之间实现无线数字通信的开放性工业标准，所用波段为 2.4GHz。它是基于原始 的 802.11 的 FHSS 版本，但其推广一直不力，目前已基本退出历史舞台。 二、无线局域网安全协议 1．WEP 协议 IEEE802.11 标准中的 WEP（Wired Equivalent Privacy）协议是 IEEE802.11b 协议中最基 本的无线安全加密措施，其主要用途包括提供接入控制，防止未授权用户访问网络；对数据 进行加密，防止数据被攻击者窃听；防止数据被攻击者中途恶意纂改或伪造。此外，WEP 也提供认证功能，当加密机制功能启用，客户端要尝试连接上 AP 时，AP 会发出一个 Challenge Packet 给客户端，客户端再利用共享密钥将此值加密后送回存取点以进行认证比 对，如果正确无误，才能获准存取网络的资源。AboveCable 所有型号的 AP 都支持 64 位或 （与）128 位的静态 WEP 加密，有效地防止数据被窃听盗用。 该技术适合一些小型企业 、家庭用户等小型环境的无线网络应用，无需额外的设备支 出，配置方便。但在无线行业应用中，基于 WEP 加密技术的安全缺陷饱受非议，因针对 WEP 数据包加密已有破译的方法，且使用这一方法破解 WEP 密钥的工具可以在互联网上免 费下载。相应的，替代 WEP 的 WPA 标准已于 2002 年下半年出台了，通过暂时密钥集成协 议（TKIP）增强了数据加密，提高无线网络的安全特性。 2．IEEE 802.11i 安全标准 IEEE 802.11 的 i 工作组致力于制订被称为 IEEE 802.11i 的新一代安全标准，这种安全 标准为了增强 WLAN 的数据加密和认证性能，定义了 RSN（Robust Security Network）的概 念，并且针对 WEP 加密机制的各种缺陷做了多方面的改进。 IEEE 802.11i 规定使用 802.1x 认证和密钥管理方式，在数据加密方面，定义了 TKIP （Temporal Key Integrity Protocol）、CCMP（Counter－Mode／CBC－MAC Protocol）和 WRAP （Wireless Robust Authenticated Protocol）三种加密机制。其中 TKIP 采用 WEP 机制里的 RC4 作为核心加密算法，可以通过在现有的设备上升级固件和驱动程序的方法达到提高 WLAN 安全的目的。CCMP 机制基于 AES（Advanced Encryption Standard）加密算法和 CCM（Counter －Mode／CBC－MAC）认证方式，使得 WLAN 的安全程度大大提高，是实现 RSN 的强制 性要求。由于 AES 对硬件要求比较高，因此 CCMP 无法通过在现有设备的基础上进行升级 实现。 3．WAPI 协议 我国早在 2003 年 5 月份就提出了无线局域网国家标准 GB15629.11 ，这是目前我国在 这一领域惟一获得批准的协议。标准中包含了全新的 WAPI（WLAN Authentication and Privacy Infrastructure）安全机制，这种安全机制由 WAI（WLAN Authentication Infrastructure） 和 WPI（WLAN Privacy Infrastruc－ture）两部分组成，WAI 和 WPI 分别实现对用户身份的
    鉴别和对传输的数据加密。WAPI 能为用户的 WLAN 系统提供全面的安全保护。WAPI 安全 机制包括两个组成部分。 WAI 采用公开密钥密码体制，利用证书来对 WLAN 系统中的 STA 和 AP 进行认证。 WAI 定义了一种名为 ASU（Authentication Service Unit）的实体，用于管理参与信息交换各 方所需要的证书（包括证书的产生、颁发、吊销和更新）。证书里面包含有证书颁发者（ASU） 的公钥和签名以及证书持有者的公钥和签名（这里的签名采用的是 WAPI 特有的椭圆曲线数 字签名算法），是网络设备的数字身份凭证。 在具体实现中，STA 在关联到 AP 之后，必须相互进行身份鉴别。先由 STA 将自己的 证书和当前时间提交给 AP，然后 AP 将 STA 的证书、提交时间和自己的证书一起用自己的 私钥形成签名，并将这个签名连同这三部分一起发给 ASU。 所有的证书鉴别都由 ASU 来完成，当其收到 AP 提交来的鉴别请求之后，会先验证 AP 的签名和证书。当鉴别成功之后，进一步验证 STA 的证书。最后，ASU 将 STA 的鉴别结果 信息和 AP 的鉴别结果信息用自己的私钥进行签名，并将这个签名连同这两个结果发回给 AP。 AP 对收到的结果进行签名验证，并得到对 STA 的鉴别结果，根据这一结果来决定是否 允许该 STA 接入。同时 AP 需要将 ASU 的验证结果转发给 STA，STA 也要对 ASU 的签名 进行验证，并得到 AP 的鉴别结果，根据这一结果来决定是否接入 AP。 由于 WAI 中对 STA 和 AP 进行了双向认证，因此对于采用“假”AP 的攻击方式具有很 强的抵御能力。 在 STA 和 AP 的证书都鉴别成功之后，双方将会进行密钥协商。首先双方进行密钥算 法协商。随后，STA 和 AP 各自会产生一个随机数，用自己的私钥加密之后传输给对方。最 后通信的两端会采用对方的公钥将对方所产生的随机数还原，再将这两个随机数模运算的结 果作为会话密钥，并依据之前协商的算法采用这个密钥对通信的数据加密。 由于会话密钥并没有在信道上进行传输，因此就增强了其安全性。为了进一步提高通信的保 密性，WAPI 还规定，在通信一段时间或者交换一定数量的数据之后，STA 和 AP 之间可以 重新协商会话密钥。WAPI 采用对称密码算法实现对 MAC 层 MSDU 进行的加、解密操作。 WAPI 标准将替代国际现行的 WEP 协议，原有标准因其安全性不理想，一直以来都为全球 用户所诟病。而采纳了许多先进技术的新标准，无疑为推动国内 WLAN 产业发展起到了积 极的作用。同时，牵一发而动全身的安全新标准，也已影响到电信产业链上的诸多环节，格 局变幻暗流涌动。但同时更为关键的是，由于 WAPI 协议提供了优秀的认证和安全机制， 因此它非常适合于运营商的公众无线局域网（PWLAN）运营。这除了给现有运营商带来利 好之外，也极有可能因此衍生出更多的 WLAN 服务提供商。 然而就是这样一项标准，由于理解上的差异遭到了多方面质疑。一些业内人士指出，由 于新标准与先行标准差异较大，因此可能存在漫游及设备兼容等一些问题，而且，一些对安 全问题并不敏感的用户的使用成本也可能会增加。
    事实上，这只是标准推出初期不可避免的问题。而且据专家介绍，设备仅需要进行简单 的软件升级即可达到规范要求，过程平滑。同时，若从 WLAN 产业长期发展的角度这一代 价也是完全值得的。 WAPI 充分考虑了市场应用，从应用模式上可分为单点式和集中式两种：单点式主要用 于家庭和小型公司的小范围应用；集中式主要用于热点地区和大型企业，可以和运营商的管 理系统结合起来，共同搭建安全的无线应用平台。因此，采用 WAPI 可以彻底扭转目前 WLAN 多种安全机制并存且互不兼容的现状，从而在根本上解决安全问题和兼容性问题。 到 2004 年 6 月 1 日，未获认证产品不得出厂、进口、销售或者在其他经营活动中使用。 3．WEP、IEEE 802.11i、WAPI 三者之间的比较 WEP、IEEE 802.11i、WAPI 三者之间的比较如表 1 所示 WEP IEEE 802.11i WAPI 认 证 特征 对硬件认证，单向 认证。 无线用户和 RADIUS 服务器认 证，双向认证，无 线用户身份通常 为用户名和口令。 无线用户和无线 接入点的认证，双 向认证，身份凭证 为 公钥数字证 书。 性能 认证过程简单 认证过程复杂， RADIUS 服务器不 易扩充。 安全漏洞 认证易于伪造，降 低了总安全性。 用户身份凭证简 单，易于盗取，共 享密 钥管理存在 安全隐患。 算法 开放式系统认证， 共享密 钥 认证。 未确定 认证过程简单，客 户端可支持多证 书，方便用户多处 使用，充分保证其 漫游功能，认证单 元易于扩充，支持 用户的异地接入。 无 192/224/256 位 的椭圆曲线签名 算法。 安全强度 扩展性 算法 加密 低 低 较高 低 最高 高 64 位的 WEP 流 加密。 128 位的 WEP 流 加密， 128 位的 AES 加密算法。 认证的分组加密。 密 钥 静态 动态（基于用户、 基于认证、通信过 程中动态更新） 动态（基于用户、 基于认证、通信过 程中动态更新）
    安全强度 中国法规 低 不符合 高 不符合 最高 符合 三、中国宣布 WAPI 标准后引起的反响 2003 年 11 月 26 日，国家质量监督检验检疫总局和国家标准化管理委员会联合发 布公告，宣布两个无线局域网强制性国家标准自 2003 年 12 月 1 日起开始实施，届时将禁 止进口、生产和销售不符合强制性国家标准的无线局域网产品，该标准使用称为“无线局域 网鉴别与保密基础架构(WAPI)”的安全协议。 2003 年 12 月 1 日，国家质量监督检验检疫总局与国家认证认可监督管理委员会的 另一项公告随后出台，宣布对无线局域网产品实施强制性产品认证：自 2004 年 6 月 1 日起， 未获得强制性产品认证证书和未施加中国强制性认证标志的无线局域网产品不得出厂、进 口、销售或者在其他经营活动中使用。 所有在中国销售的无线局域网设备都要遵循的这项标准的加密技术被无偿转让给 了包括联想、华为、东软等在内的 11 家国内厂商，而其他任何企业要想生产并销售此类设 备，必须要先和这 11 家厂商合作。 此举引起了国外厂商和媒体的强烈反响，《华尔街日报》、美联社等世界各大媒体纷 纷给予特别关注，其中《亚洲华尔街日报》更是连续推出多篇报道，《亚洲华尔街日报》引 用企业的话说：“戴尔公司称﹐预计宽限期结束时，公司将暂停向中国发运受此政策影响的 产品。业内其它大型公司，从美国芯片巨头英特尔到日本的索尼公司，再到联想等中国硬件 制造商，都急于了解新政策对其业务的潜在影响。美国的行业团体已出面就此问题游说中国 和美国的决策者。” 国外巨头普遍担心这 11 家国内企业会向在产品中采用此加密技术的中外公司收 费，或者为了自己的产品抢占市场而拖延谈判。另外，外国公司还担心在购买加密技术过程 中其知识产权遭到损害，他们认为，即使指定公司拒绝提供加密技术，新政策似乎也没有为 外国公司提供任何合法的补救办法。 但国内公司并不这么看，长期以来，中国因为在很多领域技术落后而在专利和标准 上屡屡吃亏，翻不过身来，现在国家制定的这个标准起到了很大的保护作用，中国是一块非 常巨大的市场，这个市场足以培育起一个产业，而国外巨头想在这里分羹，就必须遵守中国 的标准。 在这次“WLAN 安全风波”中，国外厂商不解的焦点集中在三方面。一是该标准 是否较现行的国际 WLAN 安全标准牢靠；二是该标准推出时间太匆忙，6 个月的缓冲期太 短；三是该 WAPI 的标准文本的细节并未完全披露。 事实上，这些“不解”都源于对这一标准推行的理解偏差。 制定这一标准的中国宽带无线 IP 标准工作组负责人刘朝阳表示：“简单的软件升级 即达到新规范的要求，这仅是一种态度问题。”事实上，今年年中该规定就已经下发，当时
    大多国外企业均表示要对标准进行详细解析，但半年时间过去后他们显然尚未采取切实行 动。 另外，对于标准文本及密码算法细节，国家有关规定指出，可以通过与国内指定的 11 家企业合作获得具体的加密算法。对此，国外厂商也颇多异议，合作模式及知识产权让 他们感到举步维艰。 尽管这一标准的推出使一些国外厂商遭受一定程度上的损失，但国家标准化管理委 员会发言人强调：这并非是针对国外厂商的限制性标准。但这一新标准的推出在客观上还是 为国内厂商提供了新的发展契机。据悉，联想、华为和中兴等 11 家企业已与国家监管部门 签订了有关协议，授权获得无线局域网新加密标准，外国投资者可选择与他们合作。面对庞 大的中国市场，国外厂商需要与中国本土的设备制造商站在同一起跑线，重新开始市场格局 的竞争。事实上，无论 WAPI 怎样发展，厂商如何应对，国家标准的积极执行是毋庸置疑的， 而整个 WLAN 产业健康、快速地向前发展，也将以此为契机。现阶段，涉及利益各方正积 极行动，以期在 2004 年 6 月前赢得一个更好的局面。
    分享到：
    赞 收藏

    相关推荐

    资料库

    开发技术

    共收录19306份资料，累计14个分类，关注成员有19位，主要包括：Actionscript,Javascript,PHP,VB,Perl,Delphi,Python,C#,C,Java,C++,Web开发,硬件开发,其它

    热门标签

    Actionscript Javascript PHP VB Perl Delphi Python C# C Java C++ Web开发 硬件开发 其它

    最新资料