無(wú)線網(wǎng)絡(luò)的安全通信探索

無(wú)線網(wǎng)絡(luò)的安全通信探索

[論文關(guān)鍵詞]無(wú)線網(wǎng)絡(luò)安全通信手段對(duì)比

[論文摘要]探討無(wú)線網(wǎng)絡(luò)中實(shí)現(xiàn)安全通信的若干手段，并對(duì)比它們之間的差異，供同行參考。

一、引言

無(wú)線通信采用無(wú)線電波傳輸，具有保密性強(qiáng)、移動(dòng)性高、抗干擾性好、架設(shè)與維護(hù)容易等特點(diǎn)，還能支持移動(dòng)計(jì)算，越來(lái)越成為室外通信的最佳方案。目前無(wú)線通信可以實(shí)現(xiàn)計(jì)算機(jī)局域網(wǎng)、無(wú)線接入、網(wǎng)際互聯(lián)、圖文傳真、電子郵件、互聯(lián)網(wǎng)瀏覽、數(shù)據(jù)采集和遙測(cè)遙控等，已經(jīng)成為現(xiàn)代通信手段的重要組成部分。因此，無(wú)線網(wǎng)絡(luò)的安全通信技術(shù)成為業(yè)界的研究熱點(diǎn)。

二、無(wú)線網(wǎng)絡(luò)的安全通信措施

WLAN的安全保障

雖然目前廣泛使用的跳頻擴(kuò)頻技術(shù)可以讓人難于截取，但也只是對(duì)普通人難而已，隨著通信技術(shù)的飛速發(fā)展，相信很快就會(huì)普及起來(lái)。

標(biāo)準(zhǔn)制定了如下3種方法來(lái)為WLAN的數(shù)據(jù)通信提供安全保障：

1．使用的服務(wù)群標(biāo)識(shí)符SSID。但是，在一個(gè)中等規(guī)模的WLAN上，即使每年只進(jìn)行兩次基本群標(biāo)識(shí)符的人工修改，也足以證明這是一個(gè)低效的不可靠的安全措施。

2．使用設(shè)備的MAC地址來(lái)提供安全防范，顯然這也是一個(gè)低水平的防護(hù)手段。

3．安全機(jī)制相比前兩種效果要好得多，即WEP(WiredEquivalentPrivacy)。它是采用RC4算法來(lái)加密傳輸?shù)木W(wǎng)絡(luò)分組，通過(guò)WEP協(xié)議來(lái)保護(hù)進(jìn)入無(wú)線網(wǎng)的身份驗(yàn)證過(guò)程。但從有線網(wǎng)連接到無(wú)線網(wǎng)是通過(guò)使用某些網(wǎng)絡(luò)設(shè)備進(jìn)行連接，還有其他的一些不可靠問(wèn)題，人們?cè)谥匾c(diǎn)的加密場(chǎng)合，都不使用WEP安全協(xié)議。

VPN與IPSec的作用

VPN首先是用于在Internet上擴(kuò)展一個(gè)公司的網(wǎng)絡(luò)當(dāng)然公司的部門(mén)或子公司在地理上位于不同的地域，甚至在不同的國(guó)家。VPN是一個(gè)加密了的隧道，在隧道中它對(duì)IP中的所有數(shù)據(jù)進(jìn)行封裝。在VPN中最常用的兩種隧道協(xié)議是，點(diǎn)對(duì)點(diǎn)隧道協(xié)議PPTP和第二層隧道化協(xié)議LTP，它們分別是由微軟和Cisco公司開(kāi)發(fā)的。還有一種現(xiàn)在也在VPN中廣泛使用的有隧道功能的協(xié)議即IPSec，它還是一個(gè)IETF建議IP層安全標(biāo)準(zhǔn)。IPSec首先是作為IPv4的附加系統(tǒng)實(shí)現(xiàn)的，而IPv6則將該協(xié)議功能作為強(qiáng)制配置了。

IPSec協(xié)議及其實(shí)施

IPSec協(xié)議包括驗(yàn)證頭AH(Authentication)，封裝安全載荷ESP(EncapsulationSecurityPayload)，Internet密鑰交換IKE(InternetKeyExchange)，Internet安全關(guān)聯(lián)和密鑰管理協(xié)議ISAKMP(InternetSecurityAssociationandKeyManagementProtocol)及轉(zhuǎn)碼。IPSec體系定義了主機(jī)和網(wǎng)關(guān)應(yīng)該提供的各科能力，討論了協(xié)議的語(yǔ)義，以及牽涉到IPSec協(xié)議同TCP/IP協(xié)議套件剩余部分如何進(jìn)行溝通的問(wèn)題。封裝安全載荷和驗(yàn)證頭文檔定義了協(xié)議、載荷頭的格式以及它們提供的服務(wù)，還定義了包的處理規(guī)則。轉(zhuǎn)碼方式定義了如何對(duì)數(shù)據(jù)進(jìn)行轉(zhuǎn)換，以保證其安全。這些內(nèi)容包括：算法、密鑰大小、轉(zhuǎn)碼程序和算法專(zhuān)用信息。IKE可以為IPSec協(xié)議生成密鑰。還有一個(gè)安全策略的問(wèn)題，它決定了兩個(gè)實(shí)體間是否能夠通信，采取哪一種轉(zhuǎn)碼方式等。

IPSec的工作模式有如下2種：

1．通道模式：這種模式特點(diǎn)是數(shù)據(jù)包的最終目的地不是安全終點(diǎn)。路由器為自己轉(zhuǎn)發(fā)的數(shù)據(jù)包提供安全服務(wù)時(shí)，也要選用通道模式。在通道模式中，IPSec模塊在一個(gè)正常的普通IP數(shù)據(jù)包內(nèi)封裝了IPSec頭，并增加了一個(gè)外部IP頭。

2．傳送模式：在傳送模式中，AH和ESP保護(hù)的是傳送頭，在這種模式中，AH和ESP會(huì)攔截從傳送層到網(wǎng)絡(luò)層的數(shù)據(jù)包，并根據(jù)具體情況提供保護(hù)。例如：A、B是兩個(gè)已配置好的主機(jī)，它們之間流通的數(shù)據(jù)包均應(yīng)予以加密。在這種情況采用的是封裝安全載荷(ESP)的傳送模式。若只是為了對(duì)傳送層數(shù)據(jù)包進(jìn)行驗(yàn)證，則應(yīng)采用“驗(yàn)證頭(AH)”傳送模式。IPSec可以在終端主機(jī)、網(wǎng)關(guān)/路由器或兩者之間進(jìn)行實(shí)施和配置。

一個(gè)實(shí)現(xiàn)無(wú)線通信加密的方法

在給出下面加密方案之前，首先確定加密的位置：綜前所述，選擇在TCP/IP協(xié)議的IP層進(jìn)行加密處理，可以達(dá)到既便利又滿足盡可能與上下游平臺(tái)無(wú)關(guān)性。

為了敘述方便，筆者定義一個(gè)抽象實(shí)體：加密模塊，當(dāng)它是一臺(tái)PC或工控機(jī)時(shí)，它就是具備基本網(wǎng)絡(luò)協(xié)議解析與轉(zhuǎn)換功能的安全網(wǎng)關(guān)；當(dāng)它是一個(gè)DSP或FPGA芯片時(shí)，它就是一個(gè)具備網(wǎng)絡(luò)協(xié)議功能的加密芯片；當(dāng)它是一個(gè)與操作系統(tǒng)內(nèi)核集成的軟件模塊時(shí)，它就是一個(gè)加密模塊。至此，就形成如下加密方案的雛形：

1．在無(wú)線網(wǎng)絡(luò)的橋路器或是無(wú)線Hub與有線LAN間置一加密模塊，這時(shí)可用一臺(tái)功能強(qiáng)勁的PC或是工控機(jī)，最好是雙CPU的，具備強(qiáng)大的數(shù)學(xué)運(yùn)算能力，實(shí)現(xiàn)網(wǎng)絡(luò)層到鏈路層之間的功能和IP數(shù)據(jù)包的加解密功能。

2．BlackBox：對(duì)FPGA(FieldProgrammableGateArray)進(jìn)行集群，初定為由3塊FPGA芯片構(gòu)成，1塊加密，1塊解密，1塊進(jìn)行協(xié)議處理。之所以要求集群，是基于這樣一個(gè)事實(shí)：由獨(dú)立的一塊100－1000MIPS的FPGA芯片完成協(xié)議處理和加解密這樣超強(qiáng)度的運(yùn)算處理，缺乏可行性。

3．在購(gòu)買(mǎi)第三方廠商的無(wú)線HUB及橋路器時(shí)，與廠商進(jìn)行技術(shù)合作，要求他們?cè)谠O(shè)備上提供FPGA的接口，邏輯上FPGA只完成IP包數(shù)據(jù)的加解密功能，不涉及協(xié)議處理。但這涉及知識(shí)產(chǎn)權(quán)歸屬的問(wèn)題，對(duì)廠商來(lái)說(shuō)，由他們來(lái)實(shí)現(xiàn)這一點(diǎn)是非常容易的。

三、小結(jié)

網(wǎng)絡(luò)協(xié)議是數(shù)據(jù)傳輸安全的基礎(chǔ)，加密技術(shù)是數(shù)據(jù)傳輸完全的核心技術(shù)，通訊傳輸機(jī)制是數(shù)據(jù)傳輸安全的實(shí)現(xiàn)方式，網(wǎng)絡(luò)管理是數(shù)據(jù)傳輸安全的保障，網(wǎng)絡(luò)數(shù)據(jù)的安全傳輸是在多方面機(jī)制的共同作用下實(shí)現(xiàn)的。因此，研究網(wǎng)絡(luò)安全機(jī)制也應(yīng)從網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)管理、網(wǎng)絡(luò)傳輸、數(shù)據(jù)加密及安全認(rèn)證機(jī)制等多方面進(jìn)行探討，網(wǎng)絡(luò)的安全性應(yīng)當(dāng)在網(wǎng)絡(luò)運(yùn)行機(jī)制中的各個(gè)環(huán)節(jié)中得到保障。

參考文獻(xiàn)：

[1]趙冬梅、徐寧、馬建峰，無(wú)線網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)評(píng)估[J].網(wǎng)絡(luò)安全技術(shù)