Lecture3无线网络技术、应用及安全.ppt

,无线网络技术、应用及安全,郑相涵,福州大学数学与计算机科学学院,2023年11月7日,2,无线网络的定义,所谓无线网络，是指无需布线能实现计算机互联的网络。无线网络技术涵盖的范围很广，既包括允许用户建立远距离无线连接的全球语音和数据网络，也包括为近距离无线连接进行优化的红外线技术及射频技术。,3,无线网络类型,与有线网络一样，无线网络可根据数据传输的距离分为几种不同类型：无线广域网（WWAN）无线城域网（WMAN）无线局域网（WLAN）无线个人网（WPAN）,4,无线网络,5,无线广域网（WWAN）,WWAN 技术可使用户通过远程公用网络或专用网络建立无线网络连接。通过使用由无线服务提供商负责维护的若干天线基站或卫星系统，这些连接可以覆盖广大的地理区域，例如若干城市或者国家（地区）。目前的 WWAN 技术正努力从 2G 网络向第三代(3G)技术过渡。一些 2G 网络限制了漫游功能并且相互不兼容；而第三代(3G)技术将执行全球标准，并提供全球漫游功能。,6,无线城域网（WMAN）,WMAN 技术使用户可以在城区的多个场所之间创建无线连接（例如，在一个城市或大学校园的多个办公楼之间），而不必花费高昂的费用铺设光缆、铜质电缆和租用线路。此外，当有线网络的主要租赁线路不能使用时，WMAN 还可以作备用网络使用。WMAN 使用无线电波或红外光波传送数据。为用户提供高速 Internet 接入的宽带无线接入网络的需求量正日益增长。,7,无线局域网（WLAN）,WLAN 技术可以使用户在本地创建无线连接（例如，在公司或校园的大楼里，或在某个公共场所，如机场）。WLAN 可用于临时办公室或其他无法大范围布线的场所，或者用于增强现有的 LAN，使用户可以在不同时间、在办公楼的不同地方工作。,8,无线个人网（WPAN）,WPAN 技术使用户能够为个人操作空间(POS)设备（如 PDA、移动电话和笔记本电脑等）创建临时无线通讯。POS 指的是以个人为中心，最大距离为 10 米的一个空间范围。目前，两个主要的 WPAN 技术是“Bluetooth”和红外线。,9,WLAN在无线网络中的位置,10,WLAN概述,WLAN(Wireless Local Area Network)是指传输范围在 100米左右的无线网络，它的推动联盟为 Wi-Fi Alliance（目前都以 Wi-Fi（Wireless Fidelity）产品的称呼来形容 802.11 的产品），可用于单一建筑物或办公室之内，需要使用WLAN的场合主要包括：(1)不方便架设有线网络的环境;(2)使用者时常需要移动位置;(3)临时性的网络。,11,WIFI常用设备,台式机无线网卡,迅弛笔记本,笔记本无线网卡,AP无线接入点,USB无线网卡,WIFI手机,12,WLAN的应用类型,802.11 WLAN主要面向两种应用类型：(1)接入：无线站点通过无线接入设备访问企业网络(2)中继：利用无线信道作为企业网的干线，用于大楼(LAN)与大楼(LAN)之间的数据传输,13,中继例：扩展距离-无线网桥,中继：利用无线信道作为企业网的干线，用于大楼与大楼之间 的数据传输。,14,接入WLAN的构成组件,一个最基本的无线网络需要1、中心接入点（无线路由器）2、“传输介质”（红外线或无线电波）3、接收器（无线网卡），当然，也需要有线设备连接到现有的网络上。,两种类型的 WLAN形态：Infrastructured 网（有固定基础设施的网络）Ad Hoc 网（特定网络，或称自组网络，无固定基础设施）,15,移动自组网(Mobile Ad hoc network),移动自组网（MANET），无基础设施，没有基本服务集中的接入点 AP，而是由一些处于平等状态的移动站之间相互通信组成的临时网络。移动自组网络中的每一个移动设备都具有路由器的转发分组的功能。,自组网络,A,E,D,C,B,F,源结点,目的结点,转发结点,转发结点,转发结点,16,802.11b无线用户,2.4G 11M无线网络,AP342无线接入点二,AP342无线接入点一,AP342无线接入点五,AP342无线接入点十二,专线,热点中心机房,公众信息网,用户WIFI接入网,PDA,17,WIFI企业配置实例,一个中型企业有两个办公室约40台台式机20台笔记本电脑，需要两部移动IP电话。,WLAN,A办公室,因特网,B办公室,成本：无线AP2台2000元 无线网卡60片12000元 其它（工程设计施工）5000元 小计：19000元,18,WIFI总体拓扑结构,公众信息网,GoldTel,RADIUS 服务器Radius Server,网管服务器NMS Server,计费服务器Billing Server,企业内部网Enterprise Intranet,VPN 网关,INTERNET orInternational Wireless ISP,接入控制器Access Controllor,无线接入点Access Point,19,无线局域网的特点,移动性WLAN利用电磁波在空气中发送和接受数据，而无需线缆介质。它是对有线连网方式的一种补充和扩展，使网上的计算机具有可移动性，能快速方便地解决使用有线方式不易实现的网络连通问题。安装的快速性和简单性在网络建设中，施工周期最长、对周边环境影响最大的，就是网络布线施工工程。在施工过程中，往往需要破墙掘地、穿线架管。而WLAN最大的优势就是免去或减少了网络布线的工作量，一般只要安装一个或多个接入点(Access Point)设备，就可建立覆盖整个建筑或地区的局域网络。,20,无线局域网的特点,安装的灵活性在有线网络中，网络设备的安放位置受网络信息点位置的限制。而一旦WLAN建成后，在无线网的信号覆盖区域内任何一个位置都可以接入网络。减少投资由于有线网络缺少灵活性，这就要求网络规划者尽可能地考虑未来发展的需要，这就往往导致预设大量利用率较低的信息点。而一旦网络的发展超出了设计规划，又要花费较多费用进行网络改造。而WLAN可以避免或减少以上情况的发生。扩展能力WLAN有多种配置方式，能够根据需要灵活选择。这样，WLAN就能胜任从只有几个用户的小型局域网到上千用户的大型网络，并且能够提供像“漫游(Roaming)”等有线网络无法提供的特性。,21,无线局域网的优点,与有线网络相较之下，有许多优点：无须布线 WiFi最主要的优势在于不需要布线，可以不受布线条件的限制，因此非常适合移动办公用户的需要，具有广阔市场前景。目前它已经从传统的医疗保健、库存控制和管理服务等特殊行业向更多行业拓展开去，甚至开始进入家庭以及教育机构等领域。健康安全 IEEE802.11规定的发射功率不可超过100毫瓦，实际发射功率约6070毫瓦，这是一个什么样的概念呢？手机的发射功率约200毫瓦至1瓦间，手持式对讲机高达5瓦，而且无线网络使用方式并非像手机直接接触人体，应该是绝对安全的。,22,WLAN带来的好处,让工作更高效不受限于时间和地点的接入网络，满足各行各业对于网络应用的需求；,体育场馆新闻中心,展馆与证券大厅,制造车间,物流运输,23,WLAN带来的好处,让网络使用更自由凡是自由空间均可连接网络，不受限于线缆和端口位置,办公大楼,候机大厅,渡假山庄,商务酒店,24,无线网络的应用,接入网络信息系统：电子邮件、文件传输和终端仿真。难以布线的环境：老建筑、布线困难或昂贵的露天区域、城市建筑群、校园和工厂。频繁变化的环境：频繁更换工作地点和改变位置的零售商、生产商，以及野外勘测、试验、军事、公安和银行等。使用便携式计算机等可移动设备进行快速网络连接。用于远距离信息的传输：如在林区进行火灾、病虫害等信息的传输；公安交通管理部门进行交通管理等。专门工程或高峰时间所需的暂时局域网：学校、商业展览、建设地点等人员流动较强的地方；利用无线局域网进行信息的交流；零售商、空运和航运公司高峰时间所需的额外工作站等。流动工作者可得到信息的区域：需要在医院、零售商店或办公室区域流动时得到信息的医生、护士、零售商、白领工作者。,25,低成本网络扩容,家属区/宿舍区宽带运营,视频监控,图书馆移动访问,广场/体育场热点覆盖,移动办公/教学/会议,教育行业无线网络已经走入主流应用,26,福州大学无线校园网,网管系统,应用服务器群,SAN/NAS,CERNET,INTERNET,校园核心网,图例,千兆线路,百兆线路,学生公寓,教学楼区,各学院办公楼,行政楼,汇聚/接入交换机,无线接入点,无线接入点,27,核心交换机,汇聚层交换机,接入层交换机,校园网网络中心,网管系统安全策略中心,无线接入点,无线上网用户,典型的无线校园网架构,28,无线校园网应用图一,网管系统安全策略中心,图书馆,学生食堂,国际交流学院,研究生公寓,田径运动场,教学楼,校园核心网,29,无线校园网应用图二,操场,CERNET,INTERNET,校园核心网,变电所,专家楼,交换机,交换机,无线接入点,无线网桥,各学院楼,主教学楼,无线网桥,现教中心,网络中心,图书馆,科一楼,科二楼,无线接入点,无线接入点,无线接入点,30,WLAN,医疗行业无线应用百花齐放,31,政务无线高安全、灵活开展业务,32,园区视频监控或VoIP应用，采用传统有线解决方案需要巨资投入，采用WLAN方式投入成本低、快速开通。,企业无线有线网络的替代者,33,军事无线信息化作战的主要手段,战场环境信息采集：战场的恶劣环境和快速机动要求不断减少通信装备的体积和重量。无线设备良好的移动便携性很好地满足了这一需求。,多兵种协同作战：通过无线网络实现地面、空中、海面、太空，四维空间的互通及指挥调动地面部队、导弹拦截以及海空战舰的集结和战机快速反应升空作战。,34,军事无线信息化作战的主要手段,实兵对抗演习：导演部通过无线网络实时判断战场态势、明确红蓝双方的战损情况，最后得出演习结果。,单兵系统：通过无线单兵系统加强各级指挥员之间、各级指挥员与士兵之间及士兵与士兵之间的信息沟通，真正做到了战地指挥信息实时化、一体化。,35,无线城市,根据M的统计，截至2007年5月底，美国无线城市的发展概况如下表所示：,36,无线城市,全球在建和规划中的无线城市已经超过1000个。其中包括：美国华盛顿、纽约、旧金山、洛杉矶、波特兰、费城、芝加哥、休斯顿、硅谷等重要城市奥兰多等著名旅游城市，英国伦敦、法国巴黎、德国汉堡、荷兰阿姆斯特丹、加拿大安大略、澳大利亚帕斯、新西兰惠灵顿、以色列耶路撒冷、新加坡以及我国台北等等。北京、上海、天津、武汉等大城市也在积极规划并启动试点。全球无线热点、无线热区、无线城市的建设大势所趋，已经形成当今世界的潮流。,37,无线网络的若干杀手级应用,Voice over WiFi WiFi+Skype相当于通话免费Data everywhere 在现场能随时随地连接数据中心，相当于数据库随身带。Location Based Services 随时随地获取与所在位置相关的信息服务Triple Play 数据、话音、视频三重播放服务。在802.11n和Mobile WiMAX支持下服务将会更加丰富多彩。,38,无线城市的应用特征,随处可用：在城市的大部分地区，都有信号覆盖；城域无线宽带：为整个城市提供的无线宽带，而不单纯是局部；互联互通：无线城市各个片区能够互联互通，没有信息孤岛；一网多能：能够承载多种应用，并且允许在其上开发新应用；包括视频监控等应用；支持多种终端：能够方便地支持多种终端，保证用户群并减少终端升级或更换成本；（未来）无所不包：政府、企业、个人之间的信息交互非常充分，各方所需要的信息基本上在无线上都能找到，大部分要办的事情都能解决；（未来）无人不用：大家都能用，大家都爱用。,39,全面融合的应用体现无线城市的丰富多彩,语音,视频,数据,应用的交汇，场景的融合,最基本的应用三要素,应急,城域安全监控,数据采集和分析,移动的数字城管,还有很多,40,无线网络物理层信号传输的特殊性无线网络协议的设计缺陷无线设备的安全管理存在漏洞,2、无线网络遭受到的攻击,无线网络除了要抵抗有线网络的传统攻击外，还要阻止无线网络的特殊攻击，这主要是因为无线网络具有以下三个方面特点：,41,2、无线局域网遭受到的攻击,逻辑攻击 协议攻击 MAC地址欺骗 中间人攻击 WLAN拓朴设置不合理 物理攻击 伪装AP攻击 AP安装位置不当引发攻击 AP信号覆盖范围攻击 DoS攻击 物理层的DoS攻击 MAC层DoS攻击,42,2、无线局域网遭受到的攻击,涉密网络,信号扫描,攻击者,信标帧,探测帧,探测帧,意外联结,恶意联结,入侵者,攻击,保密数据,硬AP,无线终端,Ad-Hoc,流氓接入点,AP,恶意入侵者,软AP,DoS攻击者,监听者,43,中国密码学会组编,无线网络安全概述,无线网络安全与有线网络安全的区别 无线网络的开放性使得网络更易受到恶意攻击无线链路使得网络更容易受到被动窃听或主动干扰等各种攻击。有线网络的网络连接是相对固定的，具有确定的边界，攻击者必须物理地接入网络或经过物理边界，如防火墙和网关，才能进入到有线网络。无线网络则没有一个明确的防御边界，攻击者可能来自四面八方和任意节点，每个节点必须面对攻击者直接或间接的攻击。无线网络的这种开放性带来了信息截取、未授权使用服务、恶意注入信息等一系列信息安全问题。,44,中国密码学会组编,无线网络安全概述,无线网络安全与有线网络安全的区别 无线网络的移动性使得安全管理难度更大。有线网络的用户终端与接入设备之间通过线缆连接，终端不能在大范围内移动，对用户的管理比较容易。而无线网络终端不仅可以在较大范围内移动，而且还可以跨区域漫游，这增大了对接入节点的认证难度，且移动节点没有足够的物理防护，从而易被窃听、破坏和劫持。通过网络内部已经被入侵的节点实施内部攻击造成的破坏更大，更难以检测，且要求密码安全算法能抗密钥泄露，抗节点妥协。,45,中国密码学会组编,无线网络安全概述,无线网络安全与有线网络安全的区别 无线网络动态变化的拓扑结构使得安全方案的实施难度更大。有线网络具有固定的拓扑结构，安全技术和方案容易部署；而在无线网络环境中，动态的、变化的拓扑结构缺乏集中管理机制，使得安全技术更加复杂。另一方面，无线网络环境中做出的许多决策是分散的，许多网络算法必须依赖大量节点的共同参与和协作来完成。攻击者可能实施新的攻击破坏来破坏协作机制。,46,中国密码学会组编,无线网络安全概述,无线网络安全与有线网络安全的区别 无线网络传输信号的不稳定性带来无线通信网络及其安全机制的鲁棒性问题。有线网络的传输环境是确定的，信号质量稳定，而无线网络随着用户的移动其信道特性是变化的，会受到干扰、衰落、多径、多普勒频移等多方面的影响，造成信号质量波动较大，甚至无法进行通信。无线信道的竞争共享访问机制也可能导致数据丢失。因此，这对无线通信网络安全机制的鲁棒性提出了更高的要求。协作机制。,47,中国密码学会组编,无线网络安全概述,无线网络安全威胁与对策 安全威胁及其具体表现 无线（以及有线）链路上存在的安全威胁 攻击者被动窃听链路上的未加密信息，或者收集并分析使用弱密码体制加密的信息。攻击者篡改、插入、添加或删除链路上的数据。攻击者重放截获的信息已达到欺骗的目的。因链路被干扰或攻击而导致移动终端和无线网络的信息不同步或者服务中断。攻击者从链路上非法获取用户的隐私，包括定位、追踪合法用户的位置、记录用户使用过的服务、根据链路流量特征推测用户个人行为的隐私等。,48,中国密码学会组编,无线网络安全概述,无线网络安全威胁与对策 安全威胁及其具体表现 网络实体上存在的安全威胁，具体表现如下：攻击者伪装成合法用户使用网络服务。攻击者伪装成合法网络实体欺骗用户使其接入，或者与其他网络实体进行通信，从而获取有效的用户信息，便于展开进一步攻击。合法用户超越原有权限使用网络服务。攻击者针对无线网络实施阻塞、干扰等攻击。用户否认其使用过某种服务、资源、或完成的某种行为。,49,中国密码学会组编,无线网络安全概述,无线网络安全威胁与对策 安全威胁及其具体表现 移动终端上存在的安全威胁：包括移动终端由于丢失或被窃取而造成其中的机密信息泄漏；现有移动终端操作系统缺乏完整性保护和完善的访问控制策略，容易被病毒或恶意代码所侵入，造成用户的机密信息被泄漏或篡改。另外需要注意，在某些网络中（如MANET、WSN等）中，网络实体和移动终端可能在物理上是等同的。,50,中国密码学会组编,无线网络安全概述,无线网络安全威胁与对策 安全威胁及其具体表现 从信息安全的4个基本安全目标（机密性、完整性、认证性、以及可用性）的角度来看，可将安全威胁相应地分成四大类基本威胁：信息泄露、完整性破坏、非授权使用资源和拒绝服务攻击。围绕着这四大类主要威胁，在无线网络中具体的安全威胁主要有无授权访问、窃听、伪装、篡改、重放、重发路由信息、错误路由信息、删除应转发消息、网络泛洪等。表1.1给出了具体的安全威胁。从网络通信服务的角度来看，安全防护措施通常称为安全业务，具体如表1.2所示。,51,中国密码学会组编,无线网络安全概述,无线网络安全威胁与对策 保密性和认证需求 保密性和认证性是无线网络安全的基本安全业务。无线网络环境中的保密性包括移动用户位置的机密性、用户身份的机密性、传输数据的机密性和完整性。机密性又可以分为链路到链路和端到端两种情形。机密性通常在链路层提供，对用户是透明的。认证性通过实体认证或者身份识别来保证通信方的身份，其目的是阻止伪装、防止非法用户的接入与访问。,52,中国密码学会组编,无线网络安全概述,无线网络安全威胁与对策 解决无线网络安全问题的一般思路 分析对系统的假设和约定，包括对网络中各节点的计算、通信、存储、电源等能力的假设。分析网络的体系结构，明确网络的拓扑结构、通信类型、链路参数、网络规模、业务数据类型等。它和前一条一起构成了设计安全方案的约束条件。分析网络的业务构成，涉及的实体、业务通信的基本内容等，思考这些实体和通信内容可能面临的安全威胁。分析网络和系统中的信任模型，明确方案涉及的相关实体和通信链路的信任程度，即通信链路或者实体是可信、半可信还是非安全的，思考并确定安全的边界。,53,中国密码学会组编,无线网络安全概述,无线网络安全威胁与对策 解决无线网络安全问题的一般思路 分析攻击网络和系统的敌手模型：是内部还是外部攻击，是主动还是被动攻击，思考对敌手能力的设定，给出一些典型的攻击场景。根据网络的特征分析可能存在的特有的安全威胁或攻击模式，防御这些威胁时通用的网络安全措施可能不能奏效。从存在的威胁中归纳出共性的安全需求，特别是从信息安全基本安全需求的角度分析，包括保密性、认证性、完整性、可用性、健壮性、隐私保护、信任管理。根据安全目标和特性、网络体系结构、系统假设、安全策略和机制最后确定安全体系或方案。实际应用的需要可能需要构造新的组合工具、甚至需要提出新的密码学原语。,54,中国密码学会组编,无线网络安全概述,无线网络安全威胁与对策 解决无线网络安全问题的一般思路 在某些特殊的应用场景中，现有密码学原语可能不能满足需要，这时可以思考是否需要提出新的密码学原语，如某种新的特殊数字签名方案（聚集签名、在线离线签名、批量验证签名等）、具有特殊属性的公钥加密机制（代理重加密、基于属性的加密、完全同态加密等）、轻量级对称密钥加密机制、轻量级安全协议等。,55,中国密码学会组编,图1.3 解决无线网络安全问题的一般思路,