802.11n對WLAN安全的影響
商業(yè)的發(fā)展遠遠高于WLAN的發(fā)展速度，許多事情必須開始關(guān)注，包括安全問題。802.11n可以拓展網(wǎng)絡(luò)的覆蓋范圍和性能，但仍然需要考慮更好的安全性問題。
一些舊標準：802.11a/b/g標準
和原來的802.11a/b/g標準一樣，802.11n高流通量標準擁有802.11i標準的魯棒安全（robust security）。事實上，所有的Draft N產(chǎn)品都支持WPA2（Wi-Fi保護連接版本2），這是Wi-Fi聯(lián)盟為802.11i推出的測試程序。
好消息是：所有的802.11n WLAN都能夠防范WEP破壞和WPA (TKIP MIC)攻擊，因為每一個802.11n裝置都通過AES加密數(shù)據(jù)。
最好將原有的802.11a/b/g客戶端和新的802.11n客戶端分到不同的SSID：高流量WLAN需要使用AES (WPA2)，而延遲WLAN則允許使用TKIP或者AES (WPA+WPA2)。這些可以通過在一個虛擬AP上定義SSID或在雙基站AP上使用不同的射頻來實現(xiàn)。但這僅僅是個臨時措施。一旦你將這些延遲裝置淘汰或更換，去掉TKIP來提高速度和安全。
借用功能：WPA2的優(yōu)勢
802.11n繼承了WPA2的優(yōu)點和缺點。802.11a/b/g和802.11n設(shè)備使用AES來防止無線數(shù)據(jù)幀的偷聽、偽造和重發(fā)送。802.11a/b/g和802.11n AP能夠使用802.1X在拒絕陌生接入的同時連接認證用戶。然而802.11n仍不能阻止入侵者發(fā)送偽造的管理幀——這是一種斷開合法用戶或偽裝成“evil twin”APS的攻擊方式。
因此，新的802.11n網(wǎng)絡(luò)必須對無線攻擊保持警惕性。很小的WLANs仍然用周期性的掃描來探測欺詐APS，同時商業(yè)WLAN應(yīng)該使用完整的無線入侵防御體系（WIPS）來阻止欺詐、意外連接、未授權(quán)的ad hocs和其他Wi-Fi攻擊。
然而，使用一個或所有這些安全機制的現(xiàn)有的WLANs不能以此為榮。802.11n設(shè)備能達到11a /b/g副本的兩倍遠。欺詐、鄰居或原來那些遠距離的城域APs現(xiàn)在變成一種威脅。入侵者不僅可以更容易連接到你的WLAN，而且合法用戶將更可能意外連到WLAN的外部。假設(shè)在你的舊11ag AP和一個更快的802.11n欺詐中選擇一個，連接到任意可用網(wǎng)絡(luò)的混雜的客戶端每次都會被認為是欺詐。 中國網(wǎng)管聯(lián)盟www_bitscn_com
簡而言之，802.11n傳輸范圍的擴展使得常規(guī)的無線安全事件發(fā)生的頻率增加，而且暴露了依賴于弱性能的薄弱配置。更糟糕的是，基于WIPS傳感器的11a/b/g會完全錯過許多安全事件的發(fā)生。每一次802.11n的出現(xiàn)都應(yīng)該包括一個WIPS升級來監(jiān)控新WLAN的更大的腳本，分析在20 MHz和40 MHz頻段中的11a/b/g和n流量。
新特點：802.11n帶來了新的安全威脅和復(fù)雜性
每種新技術(shù)都會引入一些未被發(fā)現(xiàn)的威脅；象802.11n這樣重要的創(chuàng)新也不例外。
802.11n這種新設(shè)備可能會包含一些尚未發(fā)現(xiàn)的缺陷。例如，網(wǎng)件公司（Netgear）型號為WN802T的無線接入點（AP）的早期版本不能正確解析長度為零（null）的SSID（WVE-2008-0010）。還有，Atheros公司用在新的802.11n無線接入點設(shè)備（如Linksys公司的WRT350N）上的驅(qū)動程序不能正確地處理某些管理幀信息單元（WVE-2008-0008）。這類的漏洞并不罕見；WLAN的管理人員只需要保持對安全公告的關(guān)注，并及時更新固件和驅(qū)動。
802.11n還包含許多非常復(fù)雜的可選項，這增加了配置錯誤的可能性。例如，會存在多條高通量數(shù)據(jù)傳輸通道，每一條都必須保證它的容量和參數(shù)組合在兩端相匹配。大多數(shù)情況下，錯誤的配置會導(dǎo)致性能的下降——雖然看起來不像是安全問題，但它確實能夠影響可用性。在某些極端的情況下，錯誤配置的802.11n AP會導(dǎo)致對鄰近的多個WLAN的拒絕服務(wù)攻擊。要找到并解決這些問題，需要相關(guān)的培訓(xùn)和現(xiàn)場分析。
最后，802.11n推出了一些新的MAC架構(gòu)，其中的一個架構(gòu)被發(fā)現(xiàn)是具有可開發(fā)性的。使802.11n用模塊確認確保幾個數(shù)據(jù)幀的收到，為流媒體應(yīng)用提供了有效支持。Dos攻擊可以通過發(fā)送偽造的模塊確認到接收器（WVE-2008-0006）破壞802.11nWLAN。一個802.11n WIPS可以檢測到攻擊，但避免攻擊的唯一方法是停止使用Add Block-ACK (ADDBA)功能。
危險性增加
幸運的是，當(dāng)前的無線網(wǎng)絡(luò)安全最佳解決方案仍然適用于802.11n。然而，需要注意的是由于802.11n在更廣的范圍內(nèi)支持了更多的用戶和應(yīng)用，它仍然提高了商業(yè)風(fēng)險。簡而言之，一些本來就有的攻擊對你的商業(yè)來說破壞性更大了。
對于802.11n來說，即使不比原來的11a/b/g網(wǎng)絡(luò)更安全，也會和原來的一樣安全。
【編輯推薦】
