無線局域網(wǎng)嗅探技術(shù)與防范策略

無線局域網(wǎng)（WLAN）因其安裝便捷、組網(wǎng)靈活的優(yōu)點(diǎn)在許多領(lǐng)域獲得了越來越廣泛的應(yīng)用，但由于它傳送的數(shù)據(jù)利用無線電波在空中傳播，發(fā)射的數(shù)據(jù)可能到達(dá)預(yù)期之外的接收設(shè)備，因而WLAN存在著網(wǎng)絡(luò)信息容易被竊取的問題。在網(wǎng)絡(luò)上竊取數(shù)據(jù)就叫嗅探，它是利用計算機(jī)的網(wǎng)絡(luò)接口截獲網(wǎng)絡(luò)中數(shù)據(jù)報文的一種技術(shù)。嗅探一般工作在網(wǎng)絡(luò)的底層，可以在不易被察覺的情況下將網(wǎng)絡(luò)傳輸?shù)娜繑?shù)據(jù)記錄下來，從而捕獲賬號和口令、專用的或機(jī)密的信息，甚至可以用來危害網(wǎng)絡(luò)鄰居的安全或者用來獲取更高級別的訪問權(quán)限、分析網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行網(wǎng)絡(luò)滲透等。

WLAN中無線信道的開放性給網(wǎng)絡(luò)嗅探帶來了極大的方便。在WLAN中網(wǎng)絡(luò)嗅探對信息安全的威脅來自其被動性和非干擾性，運(yùn)行監(jiān)聽程序的主機(jī)在竊聽的過程中只是被動的接收網(wǎng)絡(luò)中傳輸?shù)男畔?，它不會跟其它的主機(jī)交換信息，也不修改在網(wǎng)絡(luò)中傳輸?shù)男畔?，使得網(wǎng)絡(luò)嗅探具有很強(qiáng)的隱蔽性，往往讓網(wǎng)絡(luò)信息泄密變得不容易被發(fā)現(xiàn)。盡管它沒有對網(wǎng)絡(luò)進(jìn)行主動攻擊和破壞的危害明顯，但由它造成的損失也是不可估量的。只有通過分析網(wǎng)絡(luò)嗅探的原理與本質(zhì)，才能更有效地防患于未然，增強(qiáng)無線局域網(wǎng)的安全防護(hù)能力。

網(wǎng)絡(luò)嗅探原理

要理解網(wǎng)絡(luò)嗅探的實(shí)質(zhì)，首先要清楚數(shù)據(jù)在網(wǎng)絡(luò)中封裝、傳輸?shù)倪^程。根據(jù)TCP/IP協(xié)議，數(shù)據(jù)包是經(jīng)過層層封裝后，再被發(fā)送的。假設(shè)客戶機(jī)A、B和FTP服務(wù)器C通過接入點(diǎn)（AP）或其他無線連接設(shè)備連接，主機(jī)A通過使用一個FTP命令向主機(jī)C進(jìn)行遠(yuǎn)程登錄，進(jìn)行文件下載。那么首先在主機(jī)A上輸入登錄主機(jī)C的FTP口令，F(xiàn)TP口令經(jīng)過應(yīng)用層FTP協(xié)議、傳輸層TCP協(xié)議、網(wǎng)絡(luò)層IP協(xié)議、數(shù)據(jù)鏈路層上的以太網(wǎng)驅(qū)動程序一層一層包裹，最后送到了物理層，再通過無線的方式播發(fā)出去。主機(jī)C接收到數(shù)據(jù)幀，并在比較之后發(fā)現(xiàn)是發(fā)給自己的，接下來它就對此數(shù)據(jù)幀進(jìn)行分析處理。這時主機(jī)B也同樣接收到主機(jī)A播發(fā)的數(shù)據(jù)幀，隨后就檢查在數(shù)據(jù)幀中的地址是否和自己的地址相匹配，發(fā)現(xiàn)不匹配就把數(shù)據(jù)幀丟棄。這就是基于TCP/IP協(xié)議通信的一般過程。

網(wǎng)絡(luò)嗅探就是從通信中捕獲和解析信息。假設(shè)主機(jī)B想知道登陸服務(wù)器C的FTP口令是什么，那么它要做的就是捕獲主機(jī)A播發(fā)的數(shù)據(jù)幀，對數(shù)據(jù)幀進(jìn)行解析，依次剝離出以太幀頭、IP包頭、TCP包頭等，然后對報頭部分和數(shù)據(jù)部分進(jìn)行相應(yīng)的分析處理，從而得到包含在數(shù)據(jù)幀中的有用信息。

在實(shí)現(xiàn)嗅探時，首先設(shè)置用于嗅探的計算機(jī)，即在嗅探機(jī)上裝好無線網(wǎng)卡，并把網(wǎng)卡設(shè)置為混雜模式。在混雜模式下，網(wǎng)卡能夠接收一切通過它的數(shù)據(jù)包，進(jìn)而對數(shù)據(jù)包解析，實(shí)現(xiàn)數(shù)據(jù)竊聽。其次實(shí)現(xiàn)循環(huán)抓取數(shù)據(jù)包，并將抓到的數(shù)據(jù)包送入下一步的數(shù)據(jù)解析模塊處理。最后進(jìn)行數(shù)據(jù)解析，依次提取出以太幀頭、IP包頭、TCP包頭等，然后對各個報頭部分和數(shù)據(jù)部分進(jìn)行相應(yīng)的分析處理。

相應(yīng)防范策略

盡管嗅探隱蔽而不易被察覺，但并不是沒有防范方法，下面的策略都能夠防范嗅探。

——加強(qiáng)網(wǎng)絡(luò)訪問控制。一種極端的手段是通過房屋的電磁屏蔽來防止電磁波的泄漏，通過強(qiáng)大的網(wǎng)絡(luò)訪問控制可以減少無線網(wǎng)絡(luò)配置的風(fēng)險。同時配置勘測工具也可以測量和增強(qiáng)AP覆蓋范圍的安全性。雖然確知信號覆蓋范圍可以為WLAN安全提供一些有利條件，但這并不能成為一種完全的網(wǎng)絡(luò)安全解決方案。攻擊者使用高性能天線仍有可能在無線網(wǎng)絡(luò)上嗅探到傳輸?shù)臄?shù)據(jù)。

——網(wǎng)絡(luò)設(shè)置為封閉系統(tǒng)。為了避免網(wǎng)絡(luò)被NetStumbler之類的工具發(fā)現(xiàn)，應(yīng)把網(wǎng)絡(luò)設(shè)置為封閉系統(tǒng)。封閉系統(tǒng)是對SSID標(biāo)為“any”的客戶端不進(jìn)行響應(yīng)，并且關(guān)閉網(wǎng)絡(luò)身份識別的廣播功能的系統(tǒng)。它能夠禁止非授權(quán)訪問，但不能完全防止被嗅探。

——采用可靠的協(xié)議進(jìn)行加密。如果用戶的無線網(wǎng)絡(luò)是用于傳輸比較敏感的數(shù)據(jù)，那么僅用WEP加密方式是遠(yuǎn)遠(yuǎn)不夠的，需要進(jìn)一步采用像電子郵件連接的SSL方式。它是一個介于HTTP協(xié)議與TCP協(xié)議之間的可選層，SSL是在TCP之上建立了一個加密通道，對通過這一層的數(shù)據(jù)進(jìn)行加密，從而達(dá)到保密的效果。

使用安全Shell而不是Telnet也是必不可少的。SSH是一個在應(yīng)用程序中提供安全通信的協(xié)議。連接是通過使用一種來自RSA的算法建立的。在授權(quán)完成后，接下來的通信數(shù)據(jù)是用IDEA技術(shù)來加密的。SSH后來發(fā)展成為F－SSH，提供了高層次的、軍方級別的對通信過程的加密。它為通過TCP/IP網(wǎng)絡(luò)通信提供了通用的最強(qiáng)的加密。目前，還沒有人突破過這種加密方法。嗅探到的信息自然將不再有任何價值。此外，使用安全拷貝而不是用文件傳輸協(xié)議也可以加強(qiáng)數(shù)據(jù)的安全性。

——一次性口令技術(shù)。通常的計算機(jī)口令是靜態(tài)的，極易被網(wǎng)上嗅探竊取。采用S/key一次性口令技術(shù)或其它一次性口令技術(shù)，能使竊聽賬號信息失去意義。S/key的原理是遠(yuǎn)程主機(jī)已得到一個口令（這個口令不會在不安全的網(wǎng)絡(luò)中傳輸），當(dāng)用戶連接時會獲得一個“質(zhì)詢”信息，用戶將這個信息和口令經(jīng)過某個算法運(yùn)算，產(chǎn)生一個正確的“響應(yīng)”信息（如果通信雙方口令正確的話）。這種驗(yàn)證方式無需在網(wǎng)絡(luò)中傳輸口令，而且相同的“質(zhì)詢/響應(yīng)信息”也不會出現(xiàn)兩次。

網(wǎng)絡(luò)嗅探實(shí)現(xiàn)起來比較簡單，特別是借助良好的開發(fā)環(huán)境，可以通過編程輕松實(shí)現(xiàn)預(yù)期目的，但防范嗅探卻相當(dāng)困難。目前還沒有一個切實(shí)可行、一勞永逸的方法。在盡量實(shí)現(xiàn)上面提到的安全措施外，還應(yīng)注重不斷提高網(wǎng)管人員的安全意識，做到多注意、勤檢查。