無線網(wǎng)絡(luò)安全及典型案例分析(已修改)
2025-02-21 19:45 本頁面
【正文】 1思科無線網(wǎng)絡(luò)安全及典型案例1. 無線網(wǎng)絡(luò)安全無線網(wǎng)絡(luò)安全第一代第一代 安全機(jī)制安全機(jī)制 （（ 基本安全）基本安全）第二代第二代 安全機(jī)制安全機(jī)制 （（ 增強(qiáng)安全）增強(qiáng)安全）2.無線網(wǎng)絡(luò)典型案例無線網(wǎng)絡(luò)典型案例AGENDA虛擬專網(wǎng) (VPN)沒有 WEP，采用廣播模式公共接入開放的接入 40位和 128位靜態(tài)密鑰（ WEP) 遠(yuǎn)程辦公及 SOHO基本的安全性 動態(tài)密鑰管理開放的 TKIP、 MIC、 AES中型、大型企業(yè)增強(qiáng)的安全性公共網(wǎng)絡(luò)安全專業(yè)應(yīng)用 /商業(yè)旅行者思科安全無線局域網(wǎng)機(jī)制四種不同級別的 WLAN安全措施：沒有安全、基本安全、增強(qiáng)安全和專業(yè)安全 ?；景踩?： WEP:“WiredEquivalentProtection“，一種將資料加密的處理方式， WEP40bit或 128bit的 encryption乃是 IEEE透過 WEP的處理便可讓我們的資料于傳輸中更加安全。但靜態(tài) WEP密鑰是一種在會話過程中不發(fā)生變化也不針對各個用戶而變化的密鑰。增強(qiáng)安全 ： LEAP，它也被稱為 EAPCiscoWireless（可擴(kuò)展身份認(rèn)證協(xié)議）TKIP、 MIC、 AES專業(yè)安全： VPN(金融機(jī)構(gòu)，需要 VPN終端，造價高）思科安全無線局域網(wǎng)機(jī)制? 1）共享的、靜態(tài)的 WEP密鑰沒有集中的密鑰管理不能有效抵御各種安全攻擊 ? 2）如果客戶的適配器丟失或被盜，需要進(jìn)行大規(guī)模的密鑰重部署處理器能接入網(wǎng)絡(luò)需要對所有的 WLAN客戶機(jī)設(shè)備進(jìn)行密鑰重部署? 3）缺乏綜合用戶管理 需要獨立的用戶數(shù)據(jù)庫，不使用 RADIUS能夠只通過設(shè)備特性（如 MAC地址 ）識別用戶? 4）在 ,驗證與加密是可選的(不是必需的 )第一代 安全機(jī)制的特點 (基本安全）MAC1+WEPkey MAC2+WEPkey在現(xiàn)有的 WLAN產(chǎn)品中，常用的加密方法是給用戶靜態(tài)分配一個密鑰，該密鑰或者存儲在磁盤上或者存儲在無線局域網(wǎng)客戶適配器的存儲器上。這樣，擁有客戶適配器就有了 MAC地址和 WEP密鑰并可用它接入到接入點。如果多個用戶共享一個客戶適配器，這些用戶有效地共享 MAC地址和 WEP密鑰。 1）當(dāng)一個客戶適配器丟失或被竊的時候，合法用戶沒有 MAC地址和 WEP 密鑰不能接入，但非法用戶可以。網(wǎng)絡(luò)管理系統(tǒng)不可能檢測到這種問題，因此用戶必須立即通知網(wǎng)絡(luò)管理員。接到通知后，網(wǎng)絡(luò)管理員必須改變接入到MAC地址的安全表和 WEP 密鑰，并給與丟失或被竊的客戶適配器使用相同密鑰的客戶適配器重新編碼靜態(tài)加密密鑰?？蛻舳嗽蕉?，重新編碼 WEP 密鑰的數(shù)量越大。 2） ，而不是互相認(rèn)證。接入點鑒別用戶，但用戶不能鑒別接入點。如果一個虛假接入點放在無線局域網(wǎng)內(nèi)，它可以通過劫持合法用戶的客戶適配器進(jìn)行拒絕服務(wù)或攻擊 。 因此在用戶和認(rèn)證服務(wù)器之間進(jìn)行相互認(rèn)證是需要的因此在用戶和認(rèn)證服務(wù)器之間進(jìn)行相互認(rèn)證是需要的 第一代 安全機(jī)制的危險性~~接入點1其它網(wǎng)絡(luò)服務(wù)器與服務(wù)24加密 WEP35無線客戶端驗證服務(wù)器1) 用戶要求接入， AP防止網(wǎng)絡(luò)接入；2) 加密的證明材料被發(fā)送給驗證服務(wù)器；3) 驗證服務(wù)器驗證用戶并給予接入權(quán)；4) AP端口被啟動，動態(tài) WEP密鑰被分配給客戶（加密）；5) 無線客戶端現(xiàn)在可以安全地訪問普通的網(wǎng)絡(luò)服務(wù)了；6) Cisco LEAP與 EAPTLS 在每次（重新）驗證時均會生成一個 WEP會話密鑰– 新的密鑰基于用戶信息與會話信息– RADIUS 選項 27提供了會話超時設(shè)置WLAN環(huán)境中的 （增強(qiáng)安全）協(xié)議： LEAP，它也被稱為 EAPCiscoWireless（輕型可擴(kuò)展身份認(rèn)證協(xié)議）標(biāo)準(zhǔn)： ,和有線的 RADIUS 訪問 控制一致增強(qiáng)安全? EAPCiscoWireless的兩個重要優(yōu)點? 第一個優(yōu)點是客戶端和 RADIUS服務(wù)器之間的雙向認(rèn)證機(jī)制，這可以有效地阻止由偽裝的訪問點發(fā)動的 中間人 式攻擊。這也有助于確保只有合法的客戶端才能連接合法的、經(jīng)過授權(quán)的無線訪問點。? EAPCiscoWireless的第二個優(yōu)點是對 WLAN的集中式密鑰管理。在成功地認(rèn)證了客戶端的身份以后， RADIUS服務(wù)器和客戶端將獲得一個針對用戶的WEP密鑰，客戶端將在本次登錄會話中使用這個密鑰 。+雙向認(rèn)證 +每用戶每會話 WEP密鑰提供足夠安全“IsMutualauth.+PeruserpersessionWEPgoodenough?”SSID概念：1)服務(wù)組標(biāo)識符（ SSID： ServiceSetIdentifier）， 它提供一個最底層的接入控制。一個 SSID是一個無線局域網(wǎng)子系統(tǒng)內(nèi)通用的網(wǎng)絡(luò)名稱2)SSID 代表 VLAN號，每個 VLAN 必須用不同的 SSID它服務(wù)于該子系統(tǒng)內(nèi)的邏輯段。因為 SSID本身沒有安全性，所以用 SSID作為接入控制是不夠安全的。接入點作為無線局域網(wǎng)用戶的連接設(shè)備，通常廣播 SSID。 3） 在 AP上創(chuàng)建所有 SSID,在每臺客戶機(jī)上分配 SSID號。無線網(wǎng)絡(luò) VLAN 劃分策略無線網(wǎng)絡(luò) VLAN 劃分策略思科無線解決方案之獨到之處1. 業(yè)界最高的硬件性能業(yè)界最高的硬件性能 (數(shù)據(jù)傳輸率、覆蓋范圍、接收靈敏度數(shù)據(jù)傳輸率、覆蓋范圍、接收靈敏度 …… )；；2. 高可用性，可擴(kuò)展性，可升級性高可用性，可擴(kuò)展性，可升級性 (Load Balance、 Hot Standby、 /)；；3. 業(yè)界最高安全性業(yè)界最高安全性 (VLAN、 PSPF、 、 MIC、 TKIP…… )；；4. QoS支持各種應(yīng)用支持各種應(yīng)用 (數(shù)據(jù)、語音、視頻數(shù)據(jù)、語音、視頻 )；；5. 易于管理（易于管理（ WLSE…… )；；6. 便于部署和實施（便于部署和實施（ 室外應(yīng)用距離自動估算工具、在線電源、免費室室外應(yīng)用距離自動估算工具、在線電源、免費室內(nèi)勘察工具、無縫漫游（內(nèi)勘察工具、無縫漫游（ 2層、層、 3層層 )…… )。支持支持 DHCP,Tel,Http..7. 能夠與思科的有線網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)功能無縫結(jié)合能夠與思科的有線網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)功能無縫結(jié)合 （（ VLAN、 VPN、QoS、 網(wǎng)管、網(wǎng)管、 …… )， 思科是業(yè)界唯一一家可以為客戶提供從思科是業(yè)界唯一一家可以為客戶提供從有線到無線
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1