無線局域網(wǎng)（Wireless Local Area Network,，WLAN" title="WLAN">WLAN）具有可移動性、安裝簡單,、高靈活性和擴(kuò)展能力,，作為對傳統(tǒng)有線網(wǎng)絡(luò)的延伸，在許多特殊環(huán)境中得到了廣泛的應(yīng)用,。隨著無線數(shù)據(jù)網(wǎng)絡(luò)解決方案的不斷推出,，“不論您在任何時(shí)間、任何地點(diǎn)都可以輕松上網(wǎng)”這一目標(biāo)被輕松實(shí)現(xiàn)了,。
由于無線局域網(wǎng)采用公共的電磁波作為載體,，任何人都有條件竊聽或干擾信息，因此對越權(quán)存取和竊聽的行為也更不容易防備,。在2001年拉斯維加斯的黑客會議上,，安全專家就指出，無線網(wǎng)絡(luò)將成為黑客攻擊的另一塊熱土,。一般黑客的工具盒包括一個(gè)帶有無線網(wǎng)卡的微機(jī)和一片無線網(wǎng)絡(luò)探測卡軟件,，被稱為Netstumbler（下載）,。因此，我們在一開始應(yīng)用無線網(wǎng)絡(luò)時(shí),，就應(yīng)該充分考慮其安全性,。常見的無線網(wǎng)絡(luò)安全技術(shù)有以下幾種：
服務(wù)集標(biāo)識符（SSID）
通過對多個(gè)無線接入點(diǎn)AP（Access Point）設(shè)置不同的SSID，并要求無線工作站出示正確的SSID才能訪問AP,，這樣就可以允許不同群組的用戶接入,，并對資源訪問的權(quán)限進(jìn)行區(qū)別限制。因此可以認(rèn)為SSID是一個(gè)簡單的口令,，從而提供一定的安全,，但如果配置AP向外廣播其SSID，那么安全程度還將下降,。由于一般情況下,，用戶自己配置客戶端系統(tǒng)，所以很多人都知道該SSID,，很容易共享給非法用戶,。目前有的廠家支持"任何（ANY）"SSID方式，只要無線工作站在任何AP范圍內(nèi),，客戶端都會自動連接到AP,，這將跳過SSID安全功能。
物理地址過濾（MAC" title="MAC">MAC）
由于每個(gè)無線工作站的網(wǎng)卡都有唯一的物理地址,，因此可以在AP中手工維護(hù)一組允許訪問的MAC地址列表,，實(shí)現(xiàn)物理地址過濾。這個(gè)方案要求AP 中的MAC地址列表必需隨時(shí)更新,，可擴(kuò)展性差,；而且MAC地址在理論上可以偽造，因此這也是較低級別的授權(quán)認(rèn)證,。物理地址過濾屬于硬件認(rèn)證,，而不是用戶認(rèn)證。這種方式要求AP中的MAC地址列表必需隨時(shí)更新,，目前都是手工操作,；如果用戶增加，則擴(kuò)展能力很差,，因此只適合于小型網(wǎng)絡(luò)規(guī)模,。
連線對等保密（WEP）
在鏈路層采用RC4對稱加密技術(shù)，用戶的加密密鑰必須與AP的密鑰相同時(shí)才能獲準(zhǔn)存取網(wǎng)絡(luò)的資源,，從而防止非授權(quán)用戶的監(jiān)聽以及非法用戶的訪問,。WEP提供了40位（有時(shí)也稱為64位）和128位長度的密鑰機(jī)制，但是它仍然存在許多缺陷，例如一個(gè)服務(wù)區(qū)內(nèi)的所有用戶都共享同一個(gè)密鑰,，一個(gè)用戶丟失鑰匙將使整個(gè)網(wǎng)絡(luò)不安全,。而且40位的鑰匙在今天很容易被破解；鑰匙是靜態(tài)的,，要手工維護(hù),，擴(kuò)展能力差。目前為了提高安全性,，建議采用128位加密鑰匙,。
Wi-Fi保護(hù)接入（WPA" title="WPA">WPA）
WPA（Wi-Fi Protected Access）是繼承了WEP基本原理而又解決了WEP缺點(diǎn)的一種新技術(shù)。由于加強(qiáng)了生成加密密鑰的算法,，因此即便收集到分組信息并對其進(jìn)行解析,，也幾乎無法計(jì)算出通用密鑰。其原理為根據(jù)通用密鑰,，配合表示電腦MAC地址和分組信息順序號的編號,，分別為每個(gè)分組信息生成不同的密鑰,。然后與WEP一樣將此密鑰用于RC4加密處理,。通過這種處理，所有客戶端的所有分組信息所交換的數(shù)據(jù)將由各不相同的密鑰加密而成,。無論收集到多少這樣的數(shù)據(jù),，要想破解出原始的通用密鑰幾乎是不可能的。WPA還追加了防止數(shù)據(jù)中途被篡改的功能和認(rèn)證功能,。由于具備這些功能,，WEP中此前倍受指責(zé)的缺點(diǎn)得以全部解決。WPA不僅是一種比WEP更為強(qiáng)大的加密方法,，而且有更為豐富的內(nèi)涵,。作為802.11i標(biāo)準(zhǔn)的子集，WPA包含了認(rèn)證,、加密和數(shù)據(jù)完整性校驗(yàn)三個(gè)組成部分,，是一個(gè)完整的安全性方案。
國家標(biāo)準(zhǔn)（WAPI）
WAPI（WLAN Authenticationand Privacy Infrastructure）,，即無線局域網(wǎng)鑒別與保密基礎(chǔ)結(jié)構(gòu),，它是針對IEEE802.11中WEP協(xié)議安全問題，在中國無線局域網(wǎng)國家標(biāo)準(zhǔn) GB15629.11中提出的WLAN安全解決方案,。同時(shí)本方案已由ISO/IEC授權(quán)的機(jī)構(gòu)IEEE Registration Authority審查并獲得認(rèn)可,。它的主要特點(diǎn)是采用基于公鑰密碼體系的證書機(jī)制，真正實(shí)現(xiàn)了移動終端（MT）與無線接入點(diǎn)（AP）間雙向鑒別,。用戶只要安裝一張證書就可在覆蓋WLAN的不同地區(qū)漫游,，方便用戶使用。與現(xiàn)有計(jì)費(fèi)技術(shù)兼容的服務(wù)，可實(shí)現(xiàn)按時(shí)計(jì)費(fèi),、按流量計(jì)費(fèi),、包月等多種計(jì)費(fèi)方式。AP設(shè)置好證書后,，無須再對后臺的AAA服務(wù)器進(jìn)行設(shè)置,，安裝、組網(wǎng)便捷,，易于擴(kuò)展,，可滿足家庭、企業(yè),、運(yùn)營商等多種應(yīng)用模式,。
端口訪問控制技術(shù)（802.1x）
該技術(shù)也是用于無線局域網(wǎng)的一種增強(qiáng)性網(wǎng)絡(luò)安全解決方案。當(dāng)無線工作站STA與無線訪問點(diǎn)AP關(guān)聯(lián)后,，是否可以使用AP的服務(wù)要取決于802.1x的認(rèn)證結(jié)果,。如果認(rèn)證通過，則AP為STA打開這個(gè)邏輯端口,，否則不允許用戶上網(wǎng),。802.1x要求無線工作站安裝802.1x客戶端軟件，無線訪問點(diǎn)要內(nèi)嵌802.1x認(rèn)證代理,，同時(shí)它還作為Radius客戶端,，將用戶的認(rèn)證信息轉(zhuǎn)發(fā)給Radius服務(wù)器。802.1x除提供端口訪問控制能力之外,，還提供基于用戶的認(rèn)證系統(tǒng)及計(jì)費(fèi),，特別適合于公共無線接入解決方案。
無線局域網(wǎng)安全防范措施
1.采用端口訪問技術(shù)（802.1x）進(jìn)行控制,，防止非授權(quán)的非法接入和訪問,。
2.采用128位WEP加密技術(shù)，并不使用產(chǎn)商自帶的WEP密鑰,。
3.對于密度等級高的網(wǎng)絡(luò)采用VPN進(jìn)行連接,。
4.對AP和網(wǎng)卡設(shè)置復(fù)雜的SSID，并根據(jù)需求確定是否需要漫游來確定是否需要MAC綁定,。
5.禁止AP向外廣播其SSID,。
6.修改缺省的AP密碼，Intel的AP的默認(rèn)密碼是Intel,。
7.布置AP的時(shí)候要在公司辦公區(qū)域以外進(jìn)行檢查,，防止AP的覆蓋范圍超出辦公區(qū)域（難度比較大），同時(shí)要讓保安人員在公司附近進(jìn)行巡查,，防止外部人員在公司附近接入網(wǎng)絡(luò),。
8.禁止員工私自安裝AP,，通過便攜機(jī)配置無線網(wǎng)卡和無線掃描軟件可以進(jìn)行掃描。
9.如果網(wǎng)卡支持修改屬性需要密碼功能,，要開啟該功能,，防止網(wǎng)卡屬性被修改。
10.配置設(shè)備檢查非法進(jìn)入公司的2.4G電磁波發(fā)生器,，防止被干擾和DOS
11.制定無線網(wǎng)絡(luò)管理規(guī)定,，規(guī)定員工不得把網(wǎng)絡(luò)設(shè)置信息告訴公司外部人員，禁止設(shè)置P2P的Ad hoc網(wǎng)絡(luò)結(jié)構(gòu)
12.跟蹤無線網(wǎng)絡(luò)技術(shù),，特別是安全技術(shù)（如802.11i對密鑰管理進(jìn)行了規(guī)定）,，對網(wǎng)絡(luò)管理人員進(jìn)行知識培訓(xùn)。