WLAN認(rèn)證加密技術(shù)

前言

隨著移動數(shù)據(jù)業(yè)務(wù)需求的急劇擴(kuò)大，運(yùn)營商的主要業(yè)務(wù)增長點(diǎn)已經(jīng)由傳統(tǒng)的語音業(yè)務(wù)過渡到高速數(shù)據(jù)業(yè)務(wù)。尤其是智能終端的普及，加速了移動數(shù)據(jù)業(yè)務(wù)的需求，WLAN被國內(nèi)運(yùn)營商用來分流2G/3G流量，在國內(nèi)大規(guī)模建設(shè)，WLAN正逐漸走到每個普通用戶身邊。在用戶享受WLAN帶來方便快捷的同時， WLAN的安全問題往往被忽視。WLAN容易受到各種各樣的攻擊，WLAN的安全問題是影響WLAN發(fā)展的制約因素之一，WLAN的安全問題也逐漸受到運(yùn)營商的重視。本文主要介紹目前采用的幾種常用加密認(rèn)證技術(shù)。

共享密鑰認(rèn)證（WEP）

共享密鑰認(rèn)證：基于WEP的共享密鑰認(rèn)證的目的就是實現(xiàn)訪問控制，移動終端和AP采用靜態(tài)WEP加密，AP和它所聯(lián)系的所有移動終端都使用相同的加密密鑰。共享密鑰認(rèn)證作為最初的WLAN加密標(biāo)準(zhǔn)，由于其安全性較低，目前已經(jīng)很少使用。

802.1x

IEEE 802.1x是一種基于端口的網(wǎng)絡(luò)接入控制技術(shù)，該技術(shù)提供一個可靠的用戶認(rèn)證和密鑰分發(fā)的框架，可以控制用戶只有在認(rèn)證通過以后才能連接網(wǎng)絡(luò)。IEEE 802.1x本身并不提供實際的認(rèn)證機(jī)制，需要和上層認(rèn)證協(xié)議（EAP）配合來實現(xiàn)用戶認(rèn)證和密鑰分發(fā)。EAP允許無線終端支持不同的認(rèn)證類型，能與后臺 不同的認(rèn)證服務(wù)器進(jìn)行通信，如遠(yuǎn)程接入用戶服務(wù)（Radius）。

在采用認(rèn)證端口訪問控制技術(shù)（IEEE802.1x）的WLAN中，無線用戶端安裝802.1x客戶端軟件，AP內(nèi)嵌802.1x認(rèn)證代理，同時它還作為RADIUS服務(wù)器的客戶端，負(fù)責(zé)用戶與RADIUS服務(wù)器之間認(rèn)證信息的轉(zhuǎn)發(fā)。一個用戶無線終端和一個AP的連接被視做一個邏輯端口，只有在端口認(rèn)證通過的情況下，用戶無線終端才能夠與AP進(jìn)行通信。

802.11i：IEEE定義的安全標(biāo)準(zhǔn)

IEEE 802.11i規(guī)定使用802.1x認(rèn)證和密鑰管理方式，在數(shù)據(jù)加密方面，定義了TKIP（Temporal Key Integrity Protocol）、CCMP（Counter-Mode/CBC-MAC Protocol）和WRAP（Wireless Robust Authenticated Protocol）三種加密機(jī)制。其中TKIP采用WEP機(jī)制里的RC4作為核心加密算法，可以通過在現(xiàn)有的設(shè)備上升級固件和驅(qū)動程序的方法達(dá)到提高 WLAN安全的目的。CCMP機(jī)制基于AES（Advanced Encryption Standard）加密算法和CCM（Counter-Mode/CBC-MAC）認(rèn)證方式，使得WLAN的安全程度大大提高，是實現(xiàn)RSN的強(qiáng)制性要 求。由于AES對硬件要求比較高，因此CCMP無法通過在現(xiàn)有設(shè)備的基礎(chǔ)上進(jìn)行升級實現(xiàn)。802.11i協(xié)議結(jié)構(gòu)如圖1所示。

802.11i草案標(biāo)準(zhǔn)中建議的認(rèn)證方案是基于802.1x和擴(kuò)展認(rèn)證協(xié)議（EAP）的，加密算法為高級加密標(biāo)準(zhǔn)（AES）。動態(tài)協(xié)商認(rèn)證和加密算法使RSN可以不斷演進(jìn)，與最新的安全水平保持同步，添加算法應(yīng)付新的威脅，并不斷提供保護(hù)無線局域網(wǎng)傳送的信息所需要的安全性。

802.11相關(guān)認(rèn)證方式僅是無線終端設(shè)備的認(rèn)證。在運(yùn)營商的網(wǎng)絡(luò)環(huán)境中，還需要針對用戶進(jìn)行認(rèn)證、計費(fèi)，此時需要通過802.1x+EAP方式或其他方式（PPPoE、DHCP+WEB）進(jìn)行認(rèn)證。

WPA：向IEEE 802.11i過渡的中間標(biāo)準(zhǔn)

在WLAN的發(fā)展過程中，市場對于提高WLAN安全的需求是十分緊迫的，IEEE 802.11i的進(jìn)展并不能滿足這一需要。在這種情況下，Wi-Fi聯(lián)盟制定了WPA（Wi-Fi Protected Access）標(biāo)準(zhǔn)。這一標(biāo)準(zhǔn)采用了IEEE802.11i的草案，保證了與未來出現(xiàn)的協(xié)議的前向兼容。

STA通過了802.1x身份驗證之后，AP會得到一個與STA相同的Session Key， AP與STA將該Session Key作為PMK（Pairwise Master Key，對于使用預(yù)共享密鑰的方式來說，PSK就是PMK）。隨后AP與STA通過EAPOL-KEY進(jìn)行WPA的四次握手（4-Way Handshake）過程，如圖2所示。

在這個過程中，AP和STA均確認(rèn)了對方是否持有與自己一致的PMK，如不一致，四次握手過程就告失敗。為了保證傳輸?shù)耐暾裕谖帐诌^程中使用了名為 MIC（Message Integrity Code）的檢驗碼。在四次握手的過程中，AP與STA經(jīng)過協(xié)商計算出一個512位的PTK（Pairwise Transient Key），并將該P(yáng)TK分解成為五種不同用途的密鑰。

WPA2是IEEE為進(jìn)一步增強(qiáng)安全性，對WPA的加密算法進(jìn)行了增強(qiáng)：采用了CCMP機(jī)制，通過強(qiáng)度更高的AES加密算法，來提升安全性。

WAPI：中國無線局域網(wǎng)安全標(biāo)準(zhǔn)

WAPI 是 Wireless LAN Authentication and Privacy Infrastructure (無限局域網(wǎng)鑒別和保密基礎(chǔ)結(jié)構(gòu)）的英文縮寫，是WIFI的一種安全協(xié)議，同時也是中國無線局域網(wǎng)安全強(qiáng)制性標(biāo)準(zhǔn)。

WAPI 是我國首個在計算機(jī)寬帶無線網(wǎng)絡(luò)通信領(lǐng)域自主創(chuàng)新并擁有知識產(chǎn)權(quán)的安全接入技術(shù)標(biāo)準(zhǔn)。作為全球在此領(lǐng)域的兩個標(biāo)準(zhǔn)之一，相比另一個由美國IEEE主導(dǎo)完成的公認(rèn)存在嚴(yán)重安全缺陷的802．11i標(biāo)準(zhǔn)，WAPI具有明顯的安全和技術(shù)優(yōu)勢，迄今未被發(fā)現(xiàn)有安全技術(shù)漏洞。

WAPI的工作原理如下圖所示，整個系統(tǒng)有移動終端MT(Mobile Terminal)、AP和認(rèn)證服務(wù)器AS組成；其中，認(rèn)證服務(wù)器AS的主要功能是 負(fù)責(zé)證書的發(fā)放、驗證與吊銷等；移動終端MT與AP上都安裝有AS發(fā)放的公鑰證書，作為自己的數(shù)字身份憑證。當(dāng)MT登錄至無線接入點(diǎn)AP時，在使用或訪問 網(wǎng)絡(luò)之前必須通過AS進(jìn)行雙向身份驗證。根據(jù)驗證的結(jié)果，只有持有合法證書的移動終端MT才能接入持有合法證書的無線接入點(diǎn)AP。這樣不僅可以防止非法移 動終端MT接入AP而訪問網(wǎng)絡(luò)并占用網(wǎng)絡(luò)資源，而且還可以防止移動終端MT登錄至非法AP而造成信息泄漏。

結(jié)束語

WLAN的安全問題越來越受運(yùn)營商的重視，目前國內(nèi)運(yùn)營商的集采的WLAN設(shè)備，均要求支持以上加密認(rèn)證技術(shù)，對WLAN的加密認(rèn)證都有嚴(yán)格的要求。這些加密認(rèn)證技術(shù)為用戶享受安全、快捷、高速的WLAN網(wǎng)絡(luò)提供了保證，保證了用戶信息的安全。