基于IEEE+802.11i协议标准的WLAN电信级应用安全系统设计

《基于IEEE+802.11i协议标准的WLAN电信级应用安全系统设计》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、电信工程技术与标准化标准与规范2015年第10期基于IEEE802.11i协议标准的WLAN电信级应用安全系统设计严晗（中国移动通信集团广东有限公司，广州510600）摘　要本文从WLAN技术的背景以及可能存在的风险威胁出发，通过分析当前WLAN的若干种常用认证方法的优劣，最后提出了一种较为安全并且具备可操作性的解决方案，即以IEEE802.11i-2004国际标准为核心，在IEEE802.11i标准框架下，采用802.1X/EAP方式实现强壮网络联合安全的强身份认证，完成身份认证后，使用基于A

2、ES算法（FIPSPUB197-2001）的CCMP实现数据保密性与完整性保护。关键词无线局域网；IEEE802.11i；EAP-TLS；CCMP中图分类号TN918文献标识码A文章编号1008-5599（2015）10-0028-06WLAN相比有线网络具有更大的灵活性和成本优据通道，确保网络的安全性和数据的保密性。势，然而由其带来的脆弱性也是急剧增加，并且网络的无线延伸带来的威胁并不会仅仅局限于网络的无线部1威胁分析分，各种验证证明，无线网络的脆弱性在很大程度上是由于认证和加密手段过于薄弱而

3、造成的，而正是由于这WLAN面临的各种威胁可以归纳为主动威胁与被种脆弱性，导致无线网络很有可能成为整个网络体系中动威胁两大类，具体威胁分类如图1所示。最薄弱的部分，通过无线网络渗透，攻击者可以轻易绕开传统的边界安全控制措施，直接进入内部网络，进而可以轻易在内部网络实现数据嗅探和其它攻击行为，获取各种敏感信息。通常情况下，WLAN采用WEP和WPA/WPA2的加密方式，但无法确保安全性，而IPSecVPN又因为成本高，部署复杂等原因无法大规模部署。本方案通过对目前流行的通用加密协议和方法进图1WL

4、AN面临的威胁分类行研究，建立简单、高效、经济、可靠的认证和加密方式，无需进行任何复杂繁琐的配置就能够建立自己的加密数面对上述各种威胁，解决方案必须能够具备足够的收稿日期：2015-09-08282015年10月第10期（第28卷总第217期）月刊2015年第10期标准与规范电信工程技术与标准化安全能力以进行应对，确保无线局域网具备较好的安全能减少维护工作的工作量。能力，尤其是在无线认证与加密方面。3方案设计2设计原则3.1常见WLAN安全技术分析（1）安全性：解决方案应具备较好的安全性，能够各

5、种常见WLAN安全技术对比如表1所示。实现强身份验证、强数据加密，以抵抗伪认证、密钥破解、由上述分析可知，静态WEP安全性能很差，完全嗅探等。不适合于对安全要求较高的环境，并且口令管理也极难（2）简单易用性：解决方案应具备简单易用的特点，实现真正的保密性。VPN和IPSec虽然在很多环境下都使得最终用户能够顺利迁移到新的认证加密体系下，迁能够提供很好的安全性，但其毕竟不是为无线网络设计移前后，在登陆认证等操作过程中尽量减少用户操作步的专用解决方案，而且，这两种安全技术并没有真正面骤，方便用户操作

6、。并且，解决方案应尽量能够适用于对WLAN的安全威胁，而是采取了“另类”方式提高各种不同的应用场景，尽量避免不同应用场景下使用不安全性，而其在安全性方面提供的能力对于无线网络中同的联网方式，增加联网操作的一致性。的各种威胁基本没有针对性，因此也很难从根本上应对（3）整体性：解决方案应具备一定的整体性，适当无线网络威胁。鉴于此，方案不采用静态WEP、VPN考虑WLAN整体组网的安全性。和IPSec作为解决方案的核心技术。（4）先进性：解决方案应具备较好的先进性，参考继续分析来看，我国的WAPI与I

7、EEE802.11i在成熟的国家及国际标准进行设计。无线网络安全性方面的实质性差异并不是很大，二者（5）兼容性：解决方案应具备很好的兼容性，使拥都无法完全解决WLAN面临的所有问题；但总体来有不同厂商产品的各种用户均能够顺利迁移至新的认证看，在系统兼容性方面和产品支持度方面，由于IEEE加密体系。802.11i采用国际标准的X.509证书，因此具有很好的（6）易维护性：解决方案应具备一定的易维护性，兼容性，并且得到支持的产品比较丰富。鉴于此，本方尽量减少因应用场景不同导致的维护工作差异性，尽可案

8、采用以IEEE802.11i为核心的技术架构来设计安全表1WLAN安全技术特点对比特点802.11iWAPI静态WEPVPNIPSec是（使用IPSec隧道模式部署是（使用证书或强身份认证是是否预共享密钥认证架构）Kerberos认证）强数据加密是是否是是透明连接、重连是是是否是用户级认证是是否是是计算机级认证是是是否是广播、多播流量保护是是是是否Radius服务器Radius服务器VPN服务器其它网络设备需求无无AD服务器AD服务器Radius服务器针对WLAN安全接入是是是否否兼容性好差好差