| |
5 網(wǎng)絡(luò)接管與篡改
同樣因?yàn)門CP，IP設(shè)計(jì)的原因，某些技術(shù)可供攻擊者接管為無線阿上其他資源建立的網(wǎng)絡(luò)連接。如果攻擊者接管了某個(gè)AP，那么所有來自無線網(wǎng)的通信量都會傳到攻擊者的機(jī)器上，包括其他用戶試圖訪問合法網(wǎng)絡(luò)主機(jī)時(shí)需要使用的密碼和其他信息。欺詐AP可以讓攻擊者從有線網(wǎng)或無線網(wǎng)進(jìn)行遠(yuǎn)程訪問，而且這種攻擊通常不會引起用戶的重視，用戶通常是在毫無防范的情況下輸人自己的身份驗(yàn)證信息，甚至在接到許多SSL錯誤或其他密鑰錯誤的通知之后，仍像是看待自己機(jī)器上的錯誤一樣看待它們，這讓攻擊者可以繼續(xù)接管連接，而不必?fù)?dān)心被別人發(fā)現(xiàn)。
6 拒絕服務(wù)攻擊
無線信號傳輸?shù)奶匦院蛯ｉT使用擴(kuò)頻技術(shù)，使得無線網(wǎng)絡(luò)特別容易受到DoS（Denial of Service，拒絕服務(wù)）攻擊的威脅。拒絕服務(wù)是指攻擊者惡意占用主機(jī)或網(wǎng)絡(luò)幾乎所有的資源，使得合法用戶無法獲得這些資源。要造成這類的攻擊，最簡單的辦法是通過讓不同的設(shè)備使用相同的頻率，從而造成無線頻譜內(nèi)出現(xiàn)沖突。另一個(gè)可能的攻擊手段是發(fā)送大量非法（或合法）的身份驗(yàn)證請求。第三種手段，如果攻擊者接管AP，并且不把通信量傳遞到恰當(dāng)?shù)哪康牡�，那么所有的網(wǎng)絡(luò)用戶都將無法使用網(wǎng)絡(luò)。為了防止DoS攻擊，可以做的事情很少。無線攻擊者可以利用高性能的方向性天線，從很遠(yuǎn)的地方攻擊無線網(wǎng)。已經(jīng)獲得有線網(wǎng)訪問權(quán)的攻擊者，可以通過發(fā)送多達(dá)無線AP無法處理的通信量來攻擊它。此外為了獲得與用戶的網(wǎng)絡(luò)配置發(fā)生沖突的網(wǎng)絡(luò)，只要利用NetStumbler就可以做到。
7 惡意軟件
憑借技巧定制的應(yīng)用程序，攻擊者可以直接到終端用戶上查找訪問信息，例如訪問用戶系統(tǒng)的注冊表或其他存儲位置，以便獲取WEP密鑰并把它發(fā)送回到攻擊者的機(jī)器上。注意讓軟件保持更新，并且遏制攻擊的可能來源（Web瀏覽器、電子郵件、運(yùn)行不當(dāng)?shù)姆⻊?wù)器服務(wù)等），這是唯一可以獲得的保護(hù)措施。
8 偷竊用戶設(shè)備
只要得到了一塊無線網(wǎng)網(wǎng)卡，攻擊者就可以擁有一個(gè)無線網(wǎng)使用的合法MAC地址。也就是說，如果終端用戶的筆記本電腦被盜，他丟失的不僅僅是電腦本身，還包括設(shè)備上的身份驗(yàn)證信息，如網(wǎng)絡(luò)的SSID 及密鑰。而對于別有用心的攻擊者而言，這些往往比電腦本身更有價(jià)值。
二、無線安全對策
1 分析威脅
分析威脅是保護(hù)網(wǎng)絡(luò)的第一步。應(yīng)當(dāng)確定潛在人侵者，并納人規(guī)劃網(wǎng)絡(luò)的計(jì)劃。
2 設(shè)計(jì)和部署安全網(wǎng)絡(luò)
改變?nèi)笔≡O(shè)置。把基站看作RAS（Remote Access Server，遠(yuǎn)程訪問服務(wù)器）。指定專用于WLAN的IP協(xié)議。在AP上使用速度最快的、能夠支持的安全功能�？紤]天線對授權(quán)用戶和入侵者的影響。在網(wǎng)絡(luò)上，針對全部用戶使用一致的授權(quán)規(guī)則。在不會被輕易損壞的位置部署硬件。
3 實(shí)現(xiàn)WEP
WEP單獨(dú)使用，并不能提供足夠的 WLAN安全性。但通過在每幀中混入一個(gè)校驗(yàn)和的做法。WEP能夠防止一些初步的攻擊手段，即向流中插入已知文本來破解密鑰流。必須在每個(gè)客戶端和每個(gè) AP上實(shí)現(xiàn)WEP才能起作用。不必一定使用預(yù)先定義的WEP密鑰，可以由用戶來定義密鑰，而且能夠經(jīng)常修改。要使用最堅(jiān)固的WEP版本，并與標(biāo)準(zhǔn)的最新更新版本保持同步。
4 過濾MAC
把MAC過濾器作為第一層保護(hù)措施。應(yīng)該記錄WLAN上使用的每個(gè)MAC地址，并配置在AP上，只允許這些地址訪問網(wǎng)絡(luò)。使用日志記錄產(chǎn)生的錯誤，并定期檢查， 斷是否某些人企圖突破安全措施。
5 過濾協(xié)議
過濾協(xié)議是個(gè)相當(dāng)有效的方法，能夠限制那些企圖通過SNMP（Simple Network Management Pintocol，簡單網(wǎng)絡(luò)管理協(xié)議）訪問無線設(shè)備來修改配置的WLAN用戶，還可以防止使用較大的ICMP（Intemet Control Message Protocol，網(wǎng)際控制報(bào)文協(xié)議）包和其他會用作DoS的協(xié)議。過濾全部適當(dāng)?shù)膮f(xié)議和地址。維持對穿越自己網(wǎng)絡(luò)的數(shù)據(jù)的控制。 本新聞共 3頁,當(dāng)前在第 2頁 1 2 3 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
