|
新一代的加密技术TKIP，与WEP一样基于RC4加密算法，但对现有的WEP进行了改进，使用了动态会话密钥。TKIP引入了48位初始化向量(IV)和IV顺序规则(IV Sequencing Rules)、每包密钥构建(Per-Packet Key Construction)、Michael消息完整性代码(Message Integrity Code，MIC)以及密钥重获/分发4个新算法，极大提高了无线网络数据加密安全强度。
WPA之所以比WEP更可靠，就是因为它改进了WEP的加密算法。由于WEP密钥分配是静态的，黑客可以通过拦截和分析加密的数据，在很短的时间内就能破解密钥。而在使用WPA时，系统频繁地更新主密钥，确保每一个用户的数据分组使用不同的密钥加密，即使截获很多的数据，破解起来也非常地困难。
* WLAN验证与安全标准—IEEE 802.11i
为了进一步加强无线网络的安全性和保证不同厂家之间无线安全技术的兼容，IEEE802.11工作组于2004年6月正式批准了IEEE 802.11i安全标准，从长远角度考虑解决IEEE 802.11无线局域网的安全问题。IEEE 802.11i标准主要包含的加密技术是TKIP(Temporal Key ntegrity Protocol)和AES(Advanced Encryption Standard)，以及认证协议IEEE 802.1x。定义了强壮安全网络RSN(Robust Security Network)的概念，并且针对WEP加密机制的各种缺陷做了多方面的改进。
IEEE 802.11i规范了802.1x认证和密钥管理方式，在数据加密方面，定义了TKIP(Tem-poral Key Integrity Protocol)、CCMP(Counter-Mode/CBC2 MAC Protocol)和WRAP(Wireless Ro2bust Authenticated Protocol)三种加密机制。其中TKIP可以通过在现有的设备上升级固件和驱动程序的方法实现，达到提高WLAN安全的目的。CCMP机制基于AES(Advanced Encryption Standard)加密算法和CCM(Counter2Mode/CBC2MAC)认证方式，使得WLAN的安全程度大大提高，是实现RSN的强制性要求。AES是一种对称的块加密技术，有128/192/256位不同加密位数，提供比WEP/TKIP中RC4算法更高的加密性能，但由于AES对硬件要求比较高，因此CCMP无法通过在现有设备的基础上进行升级实现。
* WLAN的其它数据加密技术——虚拟专用网络(VPN)
虚拟专用网络(VPN)是指在一个公共IP网络平台上通过隧道以及加密技术保证专用数据的网络安全。它不属于802.11标准定义，是以另外一种强大的加密方法来保证传输安全的技术，可以和其它的无线安全技术一起使用。VPN协议包括二层的PPTP/L2TP协议和三层的IPSec协议，IPSec用于保护IP数据包或上层数据，IPSec采用诸如数据加密标准(DES)和168位三重数据加密标准(3DES)以及其它数据包鉴权算法来进行数据加密，并使用数字证书来验证公钥，VPN在客户端与各级组织之间架起一条动态加密的隧道，并支持用户身份验证，实现高级别的安全。VPN支持中央安全管理，不足之处是需要在客户机中进行数据的加密和解密，增加了系统的负担，另外要求在AP后面配备VPN集中器，从而提高了成本。无线局域网的数据用VPN技术加密后再用无线加密技术加密，就好像双重门锁，提高了可靠性。
建设WLAN时的安全事项
* 制定安全规划
各级组织在建设WLAN时，在有数据安全需求时，保护网络中重要数据传输的安全是非常重要的问题，必须确保重要数据不外泄和完整性，制定合理的安全规划。
* 从访问控制考虑
不论是对有线的以太网络还是无线的802.11网络，RADIUS都是标准化的网络登录技术。支持802.1x 协议的RADIUS技术，提高了WLAN的用户认证能力，802.1x技术能够为用户带来高效、灵活的无线网络安全解决方案。所以，选用802.1x技术的无线产品是各级组织WLAN访问控制的最佳选择，而没有技术和设备条件的各级组织在访问控制上起码要使用SSID匹配和物理地址过滤技术。
* 从数据加密考虑
无线网络的数据完全是在空气中传输，只要处于该无线信号覆盖范围内，就很容易通过其他无线设备截取信息，因此，保密性和安全性对无线产品尤为重要。WPA、TKIP、AES等数据加密技术提供了较高的安全性，各级组织必须选用有这类安全加密标准的产品，128位的WEP加密技术是迫不得已的选择。
* 选购合适的产品
* 传输性能及功耗
无线产品目前主要有IEEE802.11b、IEEE802.11a、IEEE802.11g标准。802.11b技术运行在2.4GHz频段，能够提供11Mbps的数据传输速率，802.11b产品成本较低，对电源要求较低，得到了众多厂商的广泛支持和普遍应用；运行于5GHz频段的802.11a规范能够提供高达54Mbps的数据传输速率；802.11g标准是专门设计用来提升802.11b网络的性能与应用，运行在2.4GHz频段的802.11g标准将设备的数据传输速率提升到了20Mbps之上，最高可以提供54Mbps的数据传输速率，802.11g+甚至可以达到108Mbps。802.11a／g调制的功效比802.11b高出二至三倍。这使得我们在WLAN上操作时，移动设备的电池寿命能够获得显著改善。尽管802.11b在某个时间瞬间所耗的功率可能较少，但在802.11b网络上传输／接收有意义的应用数据量的时间却可能比 802.11a／g 无线局域网长出五倍，支持更长的传输／接收时间所需的功率使802.11b的功效大大低于802.11a／g。所以，在产品选型上，尽量选用802.11a／g的产品。
* 安全指标
制定了安全规划后，在选择无线产品时，要仔细查看设备是否提供SSID、IEEE802.1X、MAC地址绑定、WEP、WPA、TKIP、AES等安全机制，以保证无线网络的顺利部署。
* 硬件安装
合理布置无线AP及工作站的位置，同样对网络安全性十分重要。例如，应将AP置于接近建筑物中心的地方，远离外向墙壁或窗户。这样不仅可使所有办公室能够更好地接入WLAN，而且还可减少来自外界的干扰，而且还应灵活地减少接入点广播强度，仅覆盖所需区域，减少被窃听的机会。
| 
