11個保護Wi-Fi無線網(wǎng)絡(luò)小技巧

Wi-Fi生來就容易受到黑客攻擊和竊聽。但是，如果你使用正確的安全措施，Wi-Fi可以是安全的。遺憾的是網(wǎng)站上充滿了過時的忠告和誤區(qū)。下面是Wi-Fi安全中應(yīng)該做的和不應(yīng)該做的一些事情。

1.不要使用WEP

WEP(有線等效加密協(xié)議)安全早就死了。大多數(shù)沒有經(jīng)驗的黑客能夠迅速地和輕松地突破基本的加密。因此，你根本就不應(yīng)該使用WEP。如果你使用WEP，請立即升級到具有802.1X身份識別功能的802.11i的WPA2(WiFi保護接入)協(xié)議。如果你有不支持WPA2的老式設(shè)備和接入點，你要設(shè)法進行固件升級或者干脆更換設(shè)備。

2.不要使用WPA/WPA2-PSK

WPA/WPA2安全的預(yù)共享密鑰(PSK)模式對于商務(wù)或者企業(yè)環(huán)境是不安全的。當(dāng)使用這個模式的時候，同一個預(yù)共享密鑰必須輸入到每一個客戶。因此，每當(dāng)員工離職和一個客戶丟失或失竊密鑰時，這個PSK都要進行修改。這在大多數(shù)環(huán)境中是不現(xiàn)實的。

3.一定要應(yīng)用802.11i

WPA和WPA2安全的EAP(可擴展身份識別協(xié)議)模式使用802.1X身份識別，而不是PSK，向每一個用戶和客戶提供自己的登錄證書的能力，如用戶名和口令以及一個數(shù)字證書。

實際的加密密鑰是在后臺定期改變和交換的。因此，要改變或者撤銷用戶訪問，你要做的事情就是在中央服務(wù)器修改登錄證書，而不是在每一臺客戶機上改變PSK。這種獨特的每個進程一個密鑰的做法還防止用戶相互竊聽對方的通訊�，F(xiàn)在，使用火狐的插件Firesheep和Android應(yīng)用DroidSheep等工具很容易進行竊聽。

要記住，為了達到盡可能最佳的安全，你應(yīng)該使用帶802.1X的WPA2。這個協(xié)議也稱作802.1i。

要實現(xiàn)802.1X身份識別，你需要擁有一臺RADIUS/AAA服務(wù)器。如果你在運行WindowsServer2008和以上版本的操作系統(tǒng)，你要考慮使用網(wǎng)絡(luò)政策服務(wù)器(NPS)或者早期服務(wù)器版本的互聯(lián)網(wǎng)身份識別服務(wù)(IAS)。如果你沒有運行Windows服務(wù)器軟件，你可以考慮使用開源FreeRADIUS服務(wù)器軟件。

如果你運行WindowsServer2008R2或以上版本，你可以通過組策略把802.1X設(shè)置到區(qū)域連接在一起的客戶機。否則，你可以考慮采用第三方解決方案幫助配置這些客戶機。

4.一定要保證802.1X客戶機設(shè)置的安全

WPA/WPA2的EAP模式仍然容易受到中間人攻擊。然而，你可以通過保證客戶機EAP設(shè)置的安全來阻止這些攻擊。例如，在Windows的EAP設(shè)置中，你可以通過選擇CA證書、指定服務(wù)器地址和禁止它提示用戶信任新的服務(wù)器或者CA證書等方法實現(xiàn)服務(wù)器證書驗證。

你還可以通過組策略把802.1X設(shè)置推向區(qū)域連接在一起的客戶機，或者使用Avenda公司的Quick1X等第三方解決方案。

5.一定要使用一個無線入侵防御系統(tǒng)

保證WiFi網(wǎng)絡(luò)安全比抗擊那些直設(shè)法獲取網(wǎng)絡(luò)訪問權(quán)限的企圖要做更多的事情。例如，黑客可以建立一個虛假的接入點或者實施拒絕服務(wù)攻擊。要幫助檢測和對抗這些攻擊，你應(yīng)該應(yīng)用一個無線入侵防御系統(tǒng)(WIPS)。廠商直接的WIPS系統(tǒng)的設(shè)計和方法是不同的，但是，這些系統(tǒng)一般都監(jiān)視虛假的接入點或者惡意行動，向你報警和可能阻止這些惡意行為。

有許多商業(yè)廠商提供WIPS解決方案，如AirMagnet和AirTightNeworks。還有Snort等開源軟件的選擇。

6.一定要應(yīng)用NAP或者NAC

除了802.11i和WIPS之外，你應(yīng)該考慮應(yīng)用一個NAP(網(wǎng)絡(luò)接入保護)或者NAC(網(wǎng)絡(luò)接入控制)解決方案。這些解決方案能夠根據(jù)客戶身份和執(zhí)行定義的政策的情況對網(wǎng)絡(luò)接入提供額外的控制。這些解決方案還包括隔離有問題的客戶的能力以及提出補救措施讓客戶重新遵守法規(guī)的能力。

有些NAC解決方案可能包括網(wǎng)絡(luò)入侵防御和檢測功能。但是，你要保證這個解決方案還專門提供無線保護功能。

如果你的客戶機在運行WindowsServer2008或以上版本以及WindowsVista或以上版本的操作系統(tǒng)，你可以使用微軟的NAP功能。此外，你可以考慮第三方的解決方案，如開源軟件的PacketFence。

7.不要信任隱藏的SSID

無線安全的一個不實的說法是關(guān)閉接入點的SSID播出將隱藏你的網(wǎng)絡(luò)，或者至少可以隱藏你的SSID，讓黑客很難找到你的網(wǎng)絡(luò)。然而，這種做法只是從接入點信標(biāo)中取消了SSID。它仍然包含在802.11相關(guān)的請求之中，在某些情況下還包含在探索請求和回應(yīng)數(shù)據(jù)包中。因此，竊聽者能夠使用合法的無線分析器在繁忙的網(wǎng)絡(luò)中迅速發(fā)現(xiàn)“隱藏的”SSID。

一些人可能爭辯說，關(guān)閉SSID播出仍然會提供另一層安全保護。但是，要記住，它能夠?qū)�網(wǎng)絡(luò)設(shè)置和性能產(chǎn)生負面影響。你必須手工向客戶機輸入SSID，這使客戶機的配置更加復(fù)雜。這還會引起探索請求和回應(yīng)數(shù)據(jù)包的增加，從而減少可用帶寬。

12下一頁>