無線網絡畢業設計論文-資料下載頁

【導讀】安徽交通職業技術學院。無線校園網的構建。系（部）城市軌道與信息工程系。2021～2021學年第2學期

　　

【正文】 無線子系統中所有的工作站（包括客戶機和訪問點）共享一套四個缺省的密鑰。當一個客戶機得到缺省的密鑰后，它可以安全地和系統中其它所有的工作站進行通信。這種缺省密鑰的問題在于它們越是廣泛地進行分配，也就越有可能暴露。在第二種方案中，每個客戶機 建立和其它工作站 密鑰映射 關系。這種方案工作起來更為安全，因為擁有密鑰的工作站更少。但是當工作站的數量不斷增加時，分配這樣一個獨一無二的密鑰會變得很困難。 17 身份驗證 一個客戶機在進行身份驗證之前不能接入到無線 LAN 中。 IEEE 標準定義了兩種身份驗證的方法：開放和共享密鑰。身份驗證必須在每臺客戶機上進行設置，并且這些設置應該能夠與想和客戶機通信的所有訪問點相匹配。 開放式身份驗證為缺省的方法，整個驗證過程以明碼電文的方式完成，客戶機即使沒有提供正確的 WEP 密鑰也能和訪問點進 行通信。在共享密鑰的方法中，訪問點發送給客戶機一個詢問文本信息包，客戶機必須使用正確的 WEP 密鑰對它進行編碼，并且把它返回訪問點。如果客戶機提供的密鑰錯誤或者根本沒有提供密鑰，說明身份驗證失敗，它將不會被允許和訪問點進行通信。 一些無線 LAN 廠商支持基于客戶機物理地址，或者說基于介質訪問控制（ MAC）地址的身份驗證方法。只有當客戶機的 MAC 地址與訪問點所使用的驗證表中的地址相匹配時，訪問點才允許客戶機與它進行通信 。 硬件被竊 靜態地指定 WEP 密鑰給一臺客戶機是很常見的方法，密鑰或者存儲在客戶 機的磁盤存儲器中，或者存儲在客戶機的無線 LAN 適配器的內存中。當這些步驟完成后，客戶機處理器就擁有了客戶機的 MAC 地址和 WEP 密鑰，并且可以利用這些單元獲得對無線 LAN 的訪問權了。如果多個用戶共用一臺客戶機，這些用戶將有效地共享 MAC 地址和 WEP 密鑰。 當客戶機丟失或被盜時，該客戶機的正常用戶將不再擁有對 MAC 地址和 WEP密鑰的訪問權，而非正常用戶則有了這些權限。此時管理員要想檢測網絡的安全性是否被破壞是不可能的；原有的機主應該及時通知網絡管理員。當網絡管理員接到通知后，必須改變安全方案，使 MAC 地址和 WEP 密鑰在訪問無線 LAN 和對傳送的數據進行解密時變得無效。同時，網絡管理員還必須對與丟失或被盜的客戶機密鑰相同的其它客戶機的靜態密鑰全部進行重新編碼。客戶機的數目越多，對WEP 密鑰進行重新編程的工作量也就越大。 所需要的安全方案 ? 無線 LAN 身份驗證基于設備獨立的項目，如用戶名和口令等，不論在哪一部客戶機上運行，這些項目都由用戶擁有和使用 ? 使用由用戶身份驗證動態產生的 WEP 密鑰，并不是和客戶機物理相關的靜態密鑰 虛假訪問點 共享密鑰驗證使用單向，非相互的身份驗證方 法。訪問點可以驗證用戶的身份，但是用戶并不能驗證訪問點的身份。如果一個虛假訪問點放置到無線 LAN 中，它可以通過 劫持 合法用戶客戶機來成為發動拒絕服務攻擊的平臺。 18 因此在客戶機和驗證服務器之間需要一個相互驗證方法，雙方都應在一個合理的時間證明它們的合法性。因為客戶機和驗證服務器通過訪問點進行通信，訪問點必須支持雙向的身份驗證方法。雙向的身份驗證使檢測和隔離虛假訪問點成為可能。 其它隱患 標準的 WEP 支持每個信息包加密功能，但是并不支持對每個信息包的驗證。黑客可從對已知數據包的響應來重構信息 流，從而能夠發送欺騙信息包。彌補這個安全弱點的途徑之一是定期更換 WEP 密鑰。 通過監視 控制和數據通道，黑客可以得到如下信息： ? 客戶機和訪問點 MAC地址 ? 內部主機的 MAC地址 ? 進行通信 /斷開通信的時間 黑客可能使用這些信息來進行長期的流量測量和分析，從而獲悉用戶和設備的詳細信息。為預防此類黑客活動，站點應使用每次會話 WEP 密鑰 。 解決安全性時所遇到的隱患 總的來說，為了確保本部分所提到的安全性，無線 LAN安全方案應做到： ? 無線 LAN 身份驗證基于與設備獨立的項目，如用戶 名和口令等，不論在哪一部客戶機上運行，這些項目都由用戶擁有和使用 ? 支持客戶機和驗證（ RADIUS）服務器之間的雙向身份驗證 ? 使用由用戶身份驗證動態產生的 WEP 密鑰，并不是和客戶機物理相關的靜態密鑰 ? 支持基于會話的 WEP密鑰 第一代無線 LAN 安全性能依賴于訪問控制和保密的靜態 WEP 密鑰，它并不能解決以上這些需求。 完整的安全解決方案 我們所需要的無線 LAN 安全解決方案，應該利用基于標準的和開放的結構，充分利用 安全部件，提供最高級別的可用安全性，實現從一個中央控制點進行有 效的安全管理。一個對安全做出承諾的安全解決方案應該遵循 IEEE 提案中的關鍵內容，這個提案由 Cisco、 Microsoft 和其它公司聯合提出。它的中心問題集中在以下幾個方面： ? 可擴展身份驗證協議（ EAP），是使無線客戶機適配器與 RADIUS服務器進行通信的遠程訪問撥號用戶服務（ RADIUS）的擴展 ? IEEE ，用于控制端口通信的推薦標準 在使用安全解決方案時，在用戶進行網絡登錄之前，與訪問點通信的無線客戶機并不能獲得網絡訪問權。用戶在網絡登錄對話框或與之功能相似的對話框中 19 鍵入用戶名和口令之 后，客戶機和 RADIUS 服務器（或其它驗證服務器）通過用戶所提供的用戶名和口令進行雙向的身份驗證，對被驗證的客戶機進行檢驗。RADIUS 服務器和客戶機利用客戶機所提供的特定 WEP 密鑰進行登錄對話連接。所有敏感的信息如口令等都受到保護，不會被被動監聽和其它攻擊方法所截獲。如果沒有保護措施，沒有什么能在空氣中暢行無阻、絕對安全地傳播。 這個過程的順序如下： ? 無線客戶機與訪問點進行通信 ? 在登錄到網絡之前，訪問點拒絕所有客戶機的對網絡資源的訪問。 ? 客戶機上的用戶在網絡登錄對話框或類似功能的對話框中提供用戶名 和口令。 ? 利用 和 EAP，無線 LAN 上的客戶機和 RADIUS 服務器通過訪問點進行雙向身份驗證。有幾種驗證身份的方法備選。在 Cisco 的身份驗證方法中， RADIUS 服務器發送一個驗證詢問信息到客戶機。客戶機利用用戶提供的單向口令散列信息來生成對詢問的響應，并把這個響應送到 RADIUS 服務器。 RADIUS 服務器根據它的用戶數據庫中的信息，自己產生一個響應，并與客戶機所送來響應進行比較。一旦 RADIUS 服務器驗證了客戶機的身份，上述過程逆向重復。 ? 當這個雙向的驗證過程全部完成后， RADIUS 服務器 和客戶機確定一個有別于客戶機的 WEP 密鑰，并為客戶機提供合適級別的網絡訪問權限，為個人臺式機提供與有線交換部分相似的安全性。然后，客戶機加載密鑰，準備把它應用到登錄會話過程中。 ? RADIUS 服務器通過有線 LAN 發送一個稱為會話密鑰的 WEP密鑰到訪問點。 ? 訪問點利用會話密鑰對廣播密鑰進行加密，把經過加密的密鑰送到客戶機，客戶機利用會話密鑰進行解密。 ? 客戶機和訪問點激活 WEP，并把會話和廣播密鑰應用到后續會話的所有通信過程中。 EAP 和 在遵循 WEP的基礎上，提供了一個集中管理、基于標準、開放的方法來解決 標準在安全方面的局限。同時， EAP框架是對有線網絡的擴展，使企業為每個訪問方法提供一個單獨的安全結構。 看起來許多廠商都會在他們的無線 LAN 產品中支持 和 EAP。由于認識到 ， Cisco公司現在已經支持這個即將實施的標準，提供完全符合 標準的、完整的、端到端的安全解決方案。這個解決方案在站點用戶使用 Cisco Airo無線客戶機適配器和訪問點以及 Cisco安全訪問 20 服務器時可以得到。要想獲悉更多的信息，請參考 Cisco Connection Online： 在使用了 Cisco 的無線 LAN安全解決方案之后，任何公司都將： ? 使由于硬件丟失或被盜、虛假訪問點、黑客攻擊造成的安全隱患最小 ? 使用在用戶登錄時動態創建的、特定用戶的、基于會話的 WEP 密鑰，而不是存儲在客戶機設備和訪問點的靜態 WEP 密鑰 ? 從一個集中控制點管理所有無線用戶的安全性 Cisco 無線安全服務與有線 LAN 的安全性能相當，完全可滿足一個穩定、可靠、安全的可移動網絡解決方案的需求。 21 第 五 章 總結 致謝 從組建網絡技術上看：現在計算機網絡技術已經相當成熟，無論是何種情況，都可以很好的解決。并 且目前隨著信息化社會的不斷發展，信息交流速度十分的快速，如果校園還未實現信息化，那么校園 的發展將受到制約。所以組建局域網是十分必要的。無線網的空間量很大，將來的局域網擴建也是十分有必要的；避免了在有限局域網中的局限性。 參考文獻 [1] 張保通 李偉紅 Cisco 網絡互連技術 2021 年 7 月第 9次印刷 [2] 劉瑞挺 網絡安全技術 2021 年 8 月第 4次印刷