天下网吧 >> 网吧天地 >> 网吧技术 >> 网吧安全 >> 正文

加密Wi-Fi网络N种方法的安全性简析

2010-10-20CNBeta佚名

1 隐藏SSID
防止非法用户扫描你的无线网络。
但极易被破解。只要有数据通过,一些嗅探软件很容易扫描到不广播的无线网络,得到你的SSID和AP MAC。
因此,只可作为无线安全的辅助手段。
安全等级:很低

2 修改SSID
当用户使用wpa或wpa2加密时,修改过的SSID能有效防止通过现成的table来暴力破解。
破解wpa或者wpa2,现用的方法就是获得四次握手包后暴力破解。用已经HASH好的table,破解速度可以翻几百倍。此HASH是把SSID和密码共同作为变量的。很多黑客已经做好常用的SSID和通过社会工程学做好的密码计算而成的HASH table,可以网络下载,有些甚至是免费的。如果你的SSID不在此列,就没有现成的table。而做table本身比挂字典破解更费时间,因此就失去意义。
安全等级:较高(需和wpa wpa2配合使用)。

3 使用MAC过滤
表面看来是极完美的防蹭方案。但可以通过伪造你的MAC来上网。极易破解。而且MAC值是极容易被嗅探到的。
安全等级:很低

4 使用wep加密
极易被破解。在今天,使用wep加密和不加密基本等同,没有任何安全性可言。即使再复杂的密码,也可以在数分钟内破解。
安全等级:很低

5 使用wpa或wpa2个人版 加密
迄今为止,破解方法只有一个:暴力破解。如果你设置一个强密码,破解的概率几乎为0。另外,加密算法选择AES
尽量选择wpa2,因为wpa2比wpa具有更好的安全性。wpa2是真正的802.11i,而wpa只是其草案3,有很多不足。
暴力破解的速度是极其低下的。一般只有300key / s,就算采取所谓的GPU加速,速度也不过是10000 key / s,对于一个8位数字 字母 字符的复杂密码破解时间都需要2900年!即使采用100台分布式,也需要29年!
安全等级:较高

说到这里,大家应该看到:如果你不加密或者用wep,即使采取了1,2,3手段也没有任何意义。破解都是分分钟的事。但如果你只用了wpa2,且密码极其复杂,破解都是以年计算的。

现在我再提一下更为先进的wifi保全手段。

1 Wpa2企业版
wpa2企业版需要radius拨号服务器,为802.1x提供认证。
个人版中的PMK=PSK,PSK是固定的。虽然在之后的通信中,密匙是变化的,但初始密匙是固定的。这就是可以通过最初的四个握手包破解的原因(上文提到的HASH即为PSK的生成HASH,在四次握手中还有其他HASH计算)。而且整个WLAN中,PSK具唯一性。一旦泄漏,具有灾难性后果。一般要重新设置路由器和所有的合法客户端。
Wpa2中,PMK的获取依赖于802.1x认证的结果,认证失败则无法得到PMK。而且每次认证得到的PMK都是随机的。所以上述暴力破解在这里完全没有意义。除非先破解认证机制,得到用户名和密码。
而目前的802.1x安全性还是不错的。一般用一个比较好的EAP就有很好的安全性了。以下是几种最常见的EAP方式:LEAP    EAP-TLS   EAP-TTLS   PEAP 。所有EAP方法都支持双向认证,这样可以阻止中间人攻击——因为客户需要对服务器进行认证,反之亦然。伪造的无线接入点无法伪造服务器端安全认证。
即使一个帐号,密码泄漏,则只有一个非法用户上网。在认证服务器上取消此帐号,就OK了。

2 最好修改路由器的登录密码,最好禁止用无线网络登录。做到即使有蹭网,也无法修改无线路由器。

3 启用PPPOE服务器。用户必须用PPPOE拨号后,才可访问路由器和Internet。
用PPPOE可以有效防止ARP攻击,同时增强无线网络的安全。即使用户破解无线密码,也毫无意义,和没有破解等同。而破解PPPOE并非易事。
通过专业的设置,可以让PPPOE更安全。比如,指定服务名(ISP名称)只选择CHAP,不选择明文传输的PAP等等。

这就是本人想到的让无线网络更安全的几点方案及其分析。较粗浅,如有谬误,请给予斧正

本文来源:CNBeta 作者:佚名

声明
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。文章是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益,请作者持权属证明与本网联系,我们将及时更正、删除,谢谢。 Email:support@txwb.com,系统开号,技术支持,服务联系微信:_WX_1_本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下
  • 本周热门
  • 本月热门
  • 阅读排行