IEEE 802.11 无线局域网的安全管理

作者 Kapil Sood 和 Mathew Eszenyi

简介

使用 IEEE 标准方法防止漏洞和阻止攻击

随着 802.11 无线网络迅速得到广泛应用,要求我们不断地解决安全问题。目前,通过 802.11i,数据包安全问题已经得到解决;但直到 802.11w 的出现,人们才开始关注对无线网络管理框架的保护。802.11w 是利用 802.11i 提供的预先存在框架的一套安全机制,可针对多种潜在的拒绝服务攻击提供网络保护功能。幸运的是,802.11w 规范的厂商和参与者都意识到保护无线管理框架的必要性,并根据主流 802.11i 安全标准技术,快速建立一种易于部署的解决方案。

管理框架安全

IEEE 802.11 管理框架提供数据链接层(OSI 7 层模型的第 2 层),表示 IEEE 802.11 接入点(AP)与工作站(STA)之间的管理命令。对于典型的 IEEE 802.11 WLAN,管理命令与各种 WLAN 设备之间进行通信,以确保正确的操作。声音与视频服务质量(QoS)、快速漫游、网络管理等高级 WLAN 应用开始初步采用管理框架。但目前这些管理框架并不安全,容易受到攻击。目前,保护管理通信成为 WLAN 企业 IT 与操作人员的一项重要安全要求。

目前,IEEE 802.11 任务组‘w’(TGw)正在考虑进行安全设计,以保护 IEEE 802.11 无线局域网(WLAN)的管理通信。日前通过批准的 IEEE 802.11i 安全标准为 IEEE 802.11 的第 2 层数据框架提供了数据保密和完整安全性服务。TGw 扩展 802.11i 的安全算法和密钥管理以确保单播和多播管理通信的安全,有助于对 WLAN 进行可靠的、受保护的管理。

1.1 威胁与漏洞
如果企业和操作人员部署的 802.11 AP 和 STA 正常工作,则需要为管理框架传输某些安全属性。例如,要确保源身份验证应确保接收者能够检测到伪造攻击;可防止窃听攻击的保密性;以及可防止对未发送消息进行更改的完整性保护;以上这些都非常重要。如果没有这些安全保证,IEEE 802.11 WLAN 就可能受到多种攻击,例如:
  • 伪造断开连接:攻击者可通过发送伪造的取消连接的消息,使授权用户与 WLAN 断开连接。
  • MAC 状态机崩溃:管理框架允许在 802.11 WLAN AP 和 STA 之间进行内部状态机的传输。如果管理消息顺序有误,或者管理消息是伪造的,则将导致 WLAN 设备锁定或进入不一致状态。
  • 未经授权的服务崩溃:攻击者可伪造消息来阻止授权用户访问网络服务;例如,某种声音应用的 Qos。

对攻击的说明如下:如果 WLAN 包括不受保护的管理框架,则当攻击者代替与有效用户相连接的 AP 向该用户发出一条“取消连接”的消息时,将会发生伪造断开连接。用户虽然已经完成了完整的 WPA2 身份验证,但是由于“取消连接”的管理消息未受到保护,因此攻击者可以很容易发动这样的攻击。这种攻击的轻微变化是,攻击者代替 AP 向所有已连接用户发送一条广播“取消连接”管理消息,导致所有用户立即断开连接,从而导致服务大范围崩溃。

1.2 安全架构与协议
IEEE 802.11w 的一项基本设计要求就是要采用安全设计,使之建立在最近已在 IEEE 802.11i 中通过批准的安全协议的基础之上。IEEE 802.11i 使用了 CCMP(计数器模式密码块链接消息身份验证代码协议)和 TKIP(临时密钥完整性协议),并通过 WiFi 联盟的标准化,被认定为企业和操作人员部署的 WiFi 保护访问(WPA 和 WPA2)。

IEEE 802.11w 通过如下方法来满足高级服务对 WLAN 安全性方面的要求:
  • 保护多播管理框架免受外界伪造和泄漏的攻击
  • 保护广播管理框架免受外界伪造的攻击
  • 防止广播由于内部伪造攻击而取消连接

安全管理框架协议使用独立的序列计数器来防止重放攻击。攻击者利用重放攻击捕获消息,供以后发送给接收者。攻击者利用重放攻击还可以将同一条消息重放多次。

802.11w 协议还包括在消息完整性检查中包含管理框架标头,这样可防止对消息类型的伪造及状态机的崩溃。802.11w 安全协议对单播管理框架正文进行了加密,以防止敏感系统参数意外泄漏。

对数据和管理进行通用安全设计还可实现在现有 WPA 和 WPA2 部署上更简便地实现现场升级。此外,管理安全的覆盖解决方案除了需要保证网络的管理安全以外,不需要额外的安全配置与设置。

简单部署

无线网络基础设施的使用者普遍关心的一个问题就是部署的复杂度以及进行必要改动所需的资源。但是,无线网络的使用者们考虑到传统网络以及预先存在的 802.11i 网络,他们可以选择各种灵活且适于部署的迁移途径,如图 1 所示。



图 1:IEEE 802.11w 移植流程

如果在企业中同时采用支持 802.11w 的设备与传统的(不支持 802.11w)设备,则在这种环境下部署 IEEE 802.11w 可以逐步进行。因此,企业管理者根据计划和蓝图,利用该安全协议中包含的能力协商,逐步将所有不支持 802.11w 的设备转换为支持 802.11w 的设备。

采用预先存在的安全机制可为系统集成商和设备制造商提供简单的连接,以便成功实施 802.11w。

时间线
IEEE 802.11w 协议的安全设计工作目前正以飞快的速度进行,已经通过了 IEEE 开发的多个阶段。IEEE 802.11w 在起初的一年中已完成首批起草,预计于 06 年夏进行 IEEE 工作组信件投票工作,这意味着 IEEE 802.11 的 600 多名成员将对该草案进行全面审阅。

IEEE 协议草案一经确定,预计 WiFi 联盟将展开同步工作,以验证并测试不同厂商提供的互操作性。经预计,802.11w 兼容系统将于 2007 年准备就绪并进入企业部署阶段。

结论

IEEE 802.11w 是一种处于开发阶段的安全协议,用来保护 WLAN 的管理框架,并能弥补 IEEE 802.11i (WPA/WPA2) 协议无法逾越的安全鸿沟。对管理框架进行的加密和完整性保护可防止多种攻击,否则这些攻击将会肆无忌惮。IEEE 内部正在加紧进行协议的开发,以满足市场的需求。业界预计将于 2007 年推出 IEEE 802.11w 兼容产品。无线网络的使用者目前可以开始筹备简单轻松的移植途径,以保护声音、视频和数据 WLAN 的管理框架。

作者简介

Kapil Sood 是英特尔实验室的一名安全架构师,致力于战略移动、业界标准和平台技术的发展。他是 IEEE 802.11 WLAN 标准在管理框架保护(TGw)、快速安全漫游机制(TGr)方面的主要贡献者,同时在 WiFi 联盟和 IETF 中也做出了巨大贡献。Kapil 拥有硕士学位 (CS)、MBA 和学士学位 (CS),并获得过多项专利,撰写过多篇论文,是开放源代码的贡献者。

Mathew S. Eszenyi 是隶属于英特尔企业技术事业部的通信技术实验室的一名高级技术营销工程师,负责英特尔混合无线网络计划的技术和战略定位。Mathew 于 1999 年加盟英特尔,此前,他任职于爱普生和 Gateway 公司的企业网络部门。Mathew 拥有经济学学士、MBA,获多项行业证书、Cisco 的 CCNA 和 Sun 的 SCSA。

 

有关编译器优化的更完整信息,请参阅优化通知
类别: