Wi-Fi無線網絡安全必須的技巧

　　上海潤滿計算機科技有限公司是專業的無線覆蓋項目服務商，在上海地區已經服務過酒店、工廠、超市、政府、堆場、碼頭等行業的項目。歡迎廣大客戶來電咨詢。

　　Wi-Fi生來就容易受到黑客攻擊和竊聽。但是，如果你使用正確的安全措施，Wi-Fi可以是安全的。遺憾的是網站上充滿了過時的忠告和誤區。下面是Wi-Fi安全中應該做的和不應該做的一些事情。

　　1.不要使用WEP

　　WEP（有線等效加密協議）安全早就死了。大多數沒有經驗的黑客能夠迅速地和輕松地突破基本的加密。因此，你根本就不應該使用WEP.如果你使用WEP，請立即升級到具有802.1X身份識別功能的802.11i的WPA2（WiFi保護接入）協議。如果你有不支持WPA2的老式設備和接入點，你要設法進行固件升級或者干脆更換設備。

　　2.不要使用WPA/WPA2-PSK

　　WPA/WPA2安全的預共享密鑰（PSK）模式對于商務或者企業環境是不安全的。當使用這個模式的時候，同一個預共享密鑰必須輸入到每一個客戶。因此，每當員工離職和一個客戶丟失或失竊密鑰時，這個PSK都要進行修改。這在大多數環境中是不現實的。

　　3.一定要應用802.11i

　　WPA和WPA2安全的EAP（可擴展身份識別協議）模式使用802.1X身份識別，而不是PSK，向每一個用戶和客戶提供自己的登錄證書的能力，如用戶名和口令以及一個數字證書。

　　實際的加密密鑰是在后臺定期改變和交換的。因此，要改變或者撤銷用戶訪問，你要做的事情就是在中央服務器修改登錄證書，而不是在每一臺客戶機上改變PSK.這種獨特的每個進程一個密鑰的做法還防止用戶相互竊聽對方的通訊。現在，使用火狐的插件Firesheep和Android應用DroidSheep等工具很容易進行竊聽。

　　要記住，為了達到盡可能最佳的安全，你應該使用帶802.1X的WPA2.這個協議也稱作802.1i.

　　要實現802.1X身份識別，你需要擁有一臺RADIUS/AAA服務器。如果你在運行Windows Server 2008和以上版本的操作系統，你要考慮使用網絡政策服務器（NPS）或者早期服務器版本的互聯網身份識別服務（IAS）。如果你沒有運行Windows服務器軟件，你可以考慮使用開源FreeRADIUS服務器軟件。

　　如果你運行Windows Server 2008　R2或以上版本，你可以通過組策略把802.1X設置到區域連接在一起的客戶機。否則，你可以考慮采用第三方解決方案幫助配置這些客戶機。

　　4.一定要保證802.1X客戶機設置的安全

　　WPA/WPA2的EAP模式仍然容易受到中間人攻擊。然而，你可以通過保證客戶機EAP設置的安全來阻止這些攻擊。例如，在Windows的EAP設置中，你可以通過選擇CA證書、指定服務器地址和禁止它提示用戶信任新的服務器或者CA證書等方法實現服務器證書驗證。

　　你還可以通過組策略把802.1X設置推向區域連接在一起的客戶機，或者使用Avenda公司的Quick1X等第三方解決方案。

　　5.一定要使用一個無線入侵防御系統

　　保證WiFi網絡安全比抗擊那些直設法獲取網絡訪問權限的企圖要做更多的事情。例如，黑客可以建立一個虛假的接入點或者實施拒絕服務攻擊。要幫助檢測和對抗這些攻擊，你應該應用一個無線入侵防御系統（WIPS）。廠商直接的WIPS系統的設計和方法是不同的，但是，這些系統一般都監視虛假的接入點或者惡意行動，向你報警和可能阻止這些惡意行為。

　　有許多商業廠商提供WIPS解決方案，如AirMagnet和AirTight Neworks.還有Snort等開源軟件的選擇。

　　6.一定要應用NAP或者NAC

　　除了802.11i和WIPS之外，你應該考慮應用一個NAP（網絡接入保護）或者NAC（網絡接入控制）解決方案。這些解決方案能夠根據客戶身份和執行定義的政策的情況對網絡接入提供額外的控制。這些解決方案還包括隔離有問題的客戶的能力以及提出補救措施讓客戶重新遵守法規的能力。

　　有些NAC解決方案可能包括網絡入侵防御和檢測功能。但是，你要保證這個解決方案還專門提供無線網絡覆蓋保護功能。

　　如果你的客戶機在運行Windows Server 2008或以上版本以及Windows

　　Vista或以上版本的操作系統，你可以使用微軟的NAP功能。此外，你可以考慮第三方的解決方案，如開源軟件的PacketFence.

　　7.不要信任隱藏的SSID

　　無線安全的一個不實的說法是關閉接入點的SSID播出將隱藏你的網絡，或者至少可以隱藏你的SSID，讓黑客很難找到你的網絡。然而，這種做法只是從接入點信標中取消了SSID.它仍然包含在802.11相關的請求之中，在某些情況下還包含在探索請求和回應數據包中。因此，竊聽者能夠使用合法的無線分析器在繁忙的網絡中迅速發現“隱藏的”SSID.

　　一些人可能爭辯說，關閉SSID播出仍然會提供另一層安全保護。但是，要記住，它能夠對網絡設置和性能產生負面影響。你必須手工向客戶機輸入SSID，這使客戶機的配置更加復雜。這還會引起探索請求和回應數據包的增加，從而減少可用帶寬。

　　8.不要信任MAC地址過濾

　　無線安全的另一個不實的說法是啟用MAC（媒體接入控制）地址過濾將增加另一層安全，控制哪一個客戶機能夠連接到這個網絡。這有一些真實性。但是，要記住，竊聽者很容易監視網絡中授權的MAC地址并且隨后改變自己的計算機的MAC地址。

　　因此，你不要以為MAC過濾能夠為安全做許多事情而采用MAC地址過濾。不過，你可以把這種做法作為松散地控制用戶可以使用哪一臺客戶機和設備進入網絡的方法。但是，你還要考慮保持MAC列表處于最新狀態所面臨的管理難題。

　　9.一定要限制SSID用戶能夠連接的網絡

　　許多網絡管理員忽略了一個簡單而具有潛在危險的安全風險：用戶故意地或者非故意地連接到臨近的或者非授權的無線網絡，使自己的計算機向可能的入侵敞開大門。然而，過濾SSID是防止發生這種情況的一個途徑。例如，在Windows　Vista和以上版本中，你可以使用netsh

　　wlan指令向用戶能夠看到和連接的那些SSID增加過濾器。對于臺式電腦來說，你可以拒絕你的無線網絡的那些SSID以外的所有的SSID.對于筆記本電腦來說，你可以僅僅拒絕臨近網絡的SSID，讓它們仍然連接到熱點和它們自己的網絡。

　　10.一定要物理地保護網絡組件的安全

　　要記住，計算機安全并不僅僅是最新的技術和加密。物理地保證你的網絡組件的安全同樣重要。要保證接入點放置在接觸不到的地方，如假吊頂上面或者考慮把接入點放置在一個保密的地方，然后在一個最佳地方使用一個天線。如果不安全，有人會輕松來到接入點并且把接入點重新設置到廠商默認值以開放這個接入點。

　　11.不要忘記保護移動客戶

　　你的WiFi安全的擔心不應該僅限于你的網絡。使用智能手機、筆記本電腦和平板電腦的用戶也許也要得到保護。但是，在他們連接到WiFi熱點或者自己家里的路由器的時候會怎樣呢？你要保證他們其它的WiFi連接也是安全的以防止入侵和竊聽。

　　遺憾的是保證WiFi連接外部的安全并不是一件容易的事情。這需要采取綜合性的方法，如提供和推薦解決方案以及教育用戶有關WiFi安全風險和防御措施等。

　　首先，所有的筆記本電腦和上網本都應該有一個個人防火墻以防止入侵。如果你運行Windows Serve操作系統，你可以通過組策略強制執行這個功能，你還可以使用Windows Intune等解決方案管理非范圍內的名計算機。

　　其次，你需要保證用戶的互聯網通訊是加密的以防止本地竊聽，同時在其它網絡上提供訪問你的網絡的VPN（虛擬專用網）接入。如果你不為這種應用使用內部的VPN，可以考慮使用Hotspot Shield或者Witopia等外包服務。對于iOS（iPhone、iPad和iPod　Touch）和Android設備來說，你可以使用這些設備本地的VPN客戶端軟件。然而，對于黑莓和Windows Phone 7設備來說，你必須設置一個消息服務器并且設置這個設備使用自己的VPN客戶端軟件。

　　你還應該保證你的面向互聯網的服務是安全的，一旦用戶在公共網絡或者不可信任的網絡上不能使用VPN的時候可以使用這個服務。例如，如果你提供你的局域網、廣域網或者VPN以外的電子郵件地址，你要保證使用SSL加密以防止本地竊聽者。在不可信任的網絡中的竊聽者能夠捕獲用戶的登錄證書或者信息。