热门关键字:   网站安全  黑客攻防  安全漏洞  系统安全  网络安全
站外
广告
域名申请虚拟主机 信息安全 域名注册 云主机 网络安全技术 企业网络安全 站外
广告
文字广告位招租 文字广告位招租 文字广告位招租 文字广告位招租 云安全

WiFi安全的十一个注意事项

发布时间:2011-12-15 09:07文章来源:51cto文章作者:秩名 点击次数:
摘要:只要采取正确的保护措施,WiFi完全可以具备相当程度的安全性。本文为大家总结数项正面与负面措施,切实帮助提高WiFi安全性。...

  WiFi自身的特性注定了它很容易遭受攻击及窃听活动的骚扰,但只要我们采取正确的保护措施,它仍然可以具备相当程度的安全性。遗憾的是网上流传着太多过时的建议与虚构的指导,而我在本文中将与大家分享数项正面与负面措施,旨在为切实提高WiFi安全性带来帮助。

  1. 不要使用WEP

  WEP(即有线等效保密机制)保护早已过时,其底层加密机制现在已经完全可以被一些没啥经验的初心者级黑客轻松打破。因此,大家不应该再使用 WEP。立即升级到由802.1X认证机制保护的WPA2(即WiFi接入保护)是我们的不二选择。如果大家使用的是旧版客户端或是接入点不支持 WPA2,那么请马上进行固件升级或者干脆更换设备吧。

  

不要使用WEP

  2. 不要使用WPA/WPA2-PSK

  WPA以及WPA2中的预共享密钥(简称PSK)模式对于商务或企业应用环境不够安全。在使用这一模式时,必须将同样的预共享密钥输入到每个客 户端当中。也就是说每当有员工离职或是某个客户端遭遇丢失或被窃事件,我们都需要在全部设备上更改一次PSK,这对于大部分商务环境来说显然是不现实的。

  3. 必须采用802.11i

  WPA以及WPA2安全机制所采用的EAP(即扩展认证协议)模式通过802.1X认证机制代替代替PSK,这样我们就有能力为每位用户或每个 客户端提供登录凭证:用户名、密码以及/或者数字证书。真正的加密密钥会定期修改,并在后台直接进行替换,使用者甚至不会意识到这一过程的发生。因此要改 变或撤销用户的访问权限,我们只需在中央服务器上修改登录凭证,而不必在每个客户端中更换PSK。每次会话所配备的独立密钥也避免了用户流量遭受窃听的危 险——这一点如今在火狐插件Firesheep以及Android应用程序DroidSheep之类工具的辅助之下已经变得非常简单。要使用802.1X 认证机制,我们必须先拥有一套RADUIS/AAA服务器。如果大家使用的是Windows Server 2008或是该系列的更高版本,也可以考虑使用网络策略服务器(简称NPS)或是互联网验证服务(简称IAS)的早期服务器版本。而对于那些没有采用 Windows Server的用户来说,开源服务器FreeRADIUS是最好的选择。

  4. 保证802.1X客户端得到正确的配置

  WPA/WPA2的EAP模式在中间人攻击面前仍然显得有些脆弱,不过保证客户端得到正确的配置还是能够有效地防止此类威胁。举例来说,我们可 以在Windows的EAP设置中通过选择CA认证机制以及指定服务器地址来启用服务器证书验证;也可以通过提示用户新的受信任服务器或CA认证机制来禁 用该机制。

  我们同样可以将802.1X配置通过组策略或者像Avenda的Quick1X这样的第三方解决方案应用在域客户端中。

  5. 必须采用无线入侵防御系统

  WiFi安全保卫战的内容可不仅仅局限于抵抗来自网络的直接访问请求。举例来说,客户们可能会设置恶意接入点或者组织拒绝服务攻击。为了帮助自 身检测并打击此类攻击行为,大家应该采用无线入侵防御系统(简称WIPS)。WIPS的设计及运作方式与供应商提供的产品不太一样,但总体来说该系统会监 控搜索行为并及时向我们发出通知,而且有可能阻止某些流氓AP或恶意活动的发生。

  不少商业供应商都在提供WIPS解决方案,例如AirMagnet公司及AirTightNetworks公司。像Snort这样的开源方案也有不少。

  6. 必须部署NAP或是NAC

  在802.11i及WIPS之外,大家还应该考虑部署一套网络访问保护(简称NAP)或是网络访问控制(简称NAC)解决方案。它们能够为网络 访问提供额外的控制力,即根据客户的身份及明确的相关管理政策为其分配权限。它们还具备一些特殊功能,用于隔离那些有问题的客户端并依照管理政策对这些问 题进行修正。

  有些NAC解决方案中可能还包含了网络入侵防御与检测功能,但大家一定要留意这些功能是否提供专门的无线保护机制。

  如果大家在客户端中使用的是Windows Server 2008或更高版本以及Windows Vista系统或更高版本,那么微软的NAP功能也是值得考虑的。如果系统版本不符合以上要求,类似PacketFence这样的第三方开源解决方案同样能帮上大忙。

标签分类:

上一篇:企业WiFi安全 WPA&WPA2加密并不完美
下一篇:使用aircrack注入式破解WEP