iOS裝置接入WiFi和3G網路安全性分析

1. 接入WiFi

1.1 無線對等保密WEP(Wired Equivalent Privacy)

WEP在鏈路層採用RC4對稱式加密技術，使用者的加密金鑰必須與AP的密鑰相同時才能獲准存取網路的資源，從而防止非授權使用者的監聽以及非法使用者的訪問。WEP提供了40位和128位長度的密鑰機制，但是它仍然存在許多缺陷，例如一個服務區內的所有使用者都共用同一個密鑰，一個使用者丟失鑰匙將使整個網路不安全。而且40位的鑰匙在今天很容易被破解;鑰匙是靜態，要手工維護，擴充能力差。目前為了提高安全性，建議採用128位加密鑰匙。

1.2 WPA-PSK(Wi-Fi Protected Access Pre-Shared Key)/WPA2-PSK(TKIP or CCMP)

均採用預先共用金鑰認證。WPA2 則是基於IEEE802.11i 的正式規範制定，相比WPA具有更高的安全性。WPA-PSK必須支援基於TKIP(Temporal Key Integrity Protocol)的密鑰管理和資料加密，而對於WPA 是否支援基於CCMP(Counter mode with Cipher-block chaining Message authentication code Protocol)的密鑰管理和資料加密WiFi 聯盟即沒有進行規定，也不提供相容性測試。WPA2-PSK必須能夠同時支援TKIP 和CCMP，而且這兩種方式都必須通過相容性測試。TKIP 是對WEP 加密方法的加強和升級，其密鑰長度為128 位，解決了WEP 密鑰長度過短的問題，在安全性上有所增強。TKIP 通過將多種因素混合在一起(包括基本密鑰、AP 的MAC 位址以及資料包的序號)產生用於加密每個資料包的密鑰。該混合操作在設計上將對無線終端和AP 的要求減少到最低程度，並能提供足夠的密碼強度，使其不會被輕易破解。此外，混合操作還可以有效解決WEP 加密中遇到的重複密鑰使用和重放攻擊問題。CCMP 一種以AES(Advanced Encryption Standard)的塊密碼為基礎的安全性通訊協定。IEEE 802.11i 要求使用CCMP 為無線網路提供四種安全服務：認證、機密性、完整性和重放攻擊保護。CCMP 使用128 位AES 密碼編譯演算法實現機密性，使用其他 CCMP 協議組件實現其餘三種服務。CCMP 結合了兩種複雜的加密技術(counter mode 和 CBC-MAC)以此為無線終端和AP 之間的資料通訊提供一種健壯的安全性通訊協定。需要強調的是，雖然 WPA-PSK/WPA2-PSK 採用了更為強大的密碼編譯演算法，但其使用者認證和加密的共用密碼(原始密鑰)是人為確定並通過手工設定的，而且對於接入同一個AP的所有終端來說，它們所設定的密鑰是一樣的。因此，其密鑰難於管理並容易泄漏，不適合在安全性要求非常嚴格的場合應用。

1.3 WPA/WPA2(TKIP or CCMP)

為了改善WPA-PSK或WPA2-PSK(指Personal 的標準，主要用於個人使用者)在密鑰管理方面的不足，WiFi聯盟提供了WPA/WPA2(TKIP or CCMP)(指Enterprise 的標準，主要用於企業使用者)，它們使用802.1x 來進行使用者認證並產生用於加密資料的根密鑰，而不再使用手工設定的預先共用金鑰，但加密過程則沒有區別。在WPA(或WPA2)中，RADIUS伺服器取代了WPA-PSK(或WPA2-PSK)認證過程中的單一密碼機制。使用者在接入無線網路前，首先需要提供相應的身份證明，通過與使用者身份資料庫中的認證資訊進行比對檢查，以確認是否具有許可權並向用戶端動態分發用於加密資料的密鑰。由於採用了 802.1X 進行使用者身份認證，每個使用者的登入資訊都由其自身進行管理，有效減少資訊洩漏的可能性。並且使用者每次接入無線網路時的資料加密金鑰都是通過RADIUS伺服器動態分配的，攻擊者難於擷取加密金鑰。因此，WPA/WPA2(TKIP or CCMP)極大的提高了網路的安全性，並成為高安全無線網路的首選接入方式。

查看本欄目更多精彩內容：http://www.bianceng.cnhttp://www.bianceng.cn/Network/Security/