自從WPA2曝出協(xié)議漏洞后，Wi-Fi安全再度成為焦點(diǎn)，不過(guò)無(wú)線加密協(xié)議的更新并不能確保企業(yè)WLAN的全面安全。實(shí)際上，如果能了解駭客攻擊企業(yè)無(wú)線網(wǎng)絡(luò)的慣用招式，進(jìn)而將之封堵，才會(huì)做到事半功倍。

[[276383]]

訪客網(wǎng)易被忽略成跳板

對(duì)于訪客Wi-Fi，很多人并不陌生。它是是一種專門為到訪者開放的Wi-Fi模式，甚至在家用無(wú)線路由器的功能界面中都能找到。不過(guò)由于訪客Wi-Fi功能生來(lái)僅是為了方便無(wú)線設(shè)備的連接，并不具備天然的安全屬性，因此有安全專家證實(shí)訪客Wi-Fi模式存在安全隱患，容易受到惡意攻擊進(jìn)而導(dǎo)致數(shù)據(jù)泄漏。

而從駭客的角度來(lái)看，一些企業(yè)自以為通過(guò)訪客Wi-Fi正確配置了訪問(wèn)控制，但實(shí)際上這樣的操作不僅為訪客提供了Wi-Fi連網(wǎng)的能力，也可能開放了一些企業(yè)內(nèi)網(wǎng)的訪問(wèn)權(quán)限，成為可以入侵企業(yè)核心數(shù)據(jù)的跳板。

利用虛假證書展開身份欺詐

現(xiàn)在大多數(shù)企業(yè)級(jí)WLAN都在使用WPA2-Enterprise進(jìn)行最終用戶身份驗(yàn)證，然而當(dāng)WPA2的邏輯缺陷被公開后，其安全性還是受到了不小的質(zhì)疑。而通過(guò)這種邏輯缺陷，一些駭客還找到利用虛假證書展開身份欺詐的攻擊法門，他們往往會(huì)偽造一套假的終端設(shè)備證書去試探接入企業(yè)WLAN。

因此，如何阻止非法外接設(shè)備借助假的客戶端證書進(jìn)行偽裝，就成為企業(yè)WLAN的防護(hù)難點(diǎn)。這時(shí)就有必要采用多層次的身份驗(yàn)證方式，比如將客戶端的MAC標(biāo)識(shí)與EAP-TLS身份驗(yàn)證機(jī)制相結(jié)合等等，進(jìn)一步強(qiáng)化終端設(shè)備的識(shí)別與驗(yàn)證。

老舊預(yù)共享密鑰是目標(biāo)

WPA2可分為兩種加密形式，其中一種是WPA2-Enterprise，利用IEEE802.1X對(duì)分配了用戶名和密碼的無(wú)線終端進(jìn)行身份驗(yàn)證。另一種則是WPA2-Personal，是使用預(yù)共享密鑰(PSK)對(duì)用戶或設(shè)備進(jìn)行身份驗(yàn)證。而大量中小企業(yè)由于仍在采用傳統(tǒng)AP，甚至家用級(jí)無(wú)線路由器，無(wú)意中會(huì)使用到WPA2-Personal加密，但這種模式下是需要定期變換PSK的，不然便會(huì)成為駭客的攻擊目標(biāo)。

在駭客眼中，這些PSK普遍都是成年累月一直用，并不會(huì)被更換掉。隨著時(shí)間的推移，要掌握這些一成不變的PSK就相當(dāng)簡(jiǎn)單。而駭客攻擊PSK所需的時(shí)間在很大程度上取決于所用密碼的復(fù)雜性。PSK越長(zhǎng)，越隨機(jī)，破解的時(shí)間就越長(zhǎng)。

社會(huì)工程學(xué)屢試不爽

當(dāng)我們?cè)谟懻摕o(wú)線加密安全性的時(shí)候，很多駭客已坦承對(duì)企業(yè)WLAN安全的最大威脅往往并不是技術(shù)上的。相反，最大的風(fēng)險(xiǎn)是那些負(fù)責(zé)構(gòu)建WLAN的配置人員或后續(xù)的管理人員。即便你企業(yè)WLAN再固若金湯，一旦通過(guò)社會(huì)工程學(xué)獲得相關(guān)人員的信任，掌握到企業(yè)WLAN密碼或權(quán)限，一切防護(hù)便成為浮云。

而對(duì)于駭客來(lái)說(shuō)，毫無(wú)技術(shù)可言的社會(huì)工程學(xué)卻常常屢試不爽。這時(shí)，如果能對(duì)企業(yè)WLAN進(jìn)行實(shí)時(shí)配置、監(jiān)控、審計(jì)以及其他流程的實(shí)時(shí)把握，才能最終確保WLAN的安全性。

結(jié)語(yǔ)

所謂知己知彼，方能百戰(zhàn)不殆。當(dāng)我們了解到駭客攻擊企業(yè)WLAN必用招式后，怎樣有效利用一系列安全工具去掃描無(wú)線環(huán)境并檢測(cè)安全異常，顯然應(yīng)成為企業(yè)WLAN防護(hù)的日常操作。