0 引言

随着我国信息化建设的不断推进，安全稳定的信息网络发挥着越来越重要的作用。无线网络（Wireless Network）是采用无线通信技术实现的网络，具有简单快捷、低成本、高速率、高灵活性等特点，极大地方便了终端接入。但无线网络的所有数据都在空气中传输，其传输信道无法隔离和切割，受到电磁干扰、无线窃听、非法接入等问题的困扰，成为涉密无线网络安全的制约瓶颈。

本文首先论述了无线网络面临的安全威胁，然后对现有技术及研究成果进行概述，然后针对这些威胁提出涉密无线网络的安全建设目标，最后设计了涉密无线网络的安全接入体系结构。

1 涉密无线网络面临的安全威胁

由于其信道的开放性，无线网络在安全性上的缺陷是显而易见的，很容易遭受外界非法接入、无线干扰、无线窃听等网络攻击。总体来说，无线网络面临的安全威胁主要有以下几个方面。

（1）非法接入。包含两个方面，一是非法用户连接无线接入设备，前提是该用户破解了接入设备的身份认证；二是非法接入设备通过伪装诱骗用户连接，在用户不知情的情况下收集用户信息，执行钓鱼攻击。

（2）信道窃听。由于信道的开放性以及无线设备的严重同质化，攻击者只需要一台无线接收设备就可以很容易地扫描到无线信号，并利用无线抓包工具抓取数据包进而寻求破解，用户甚至无法检测自己发送和接收的数据是否曾被截获，也难以探测窃听者的存在。

（3）无线干扰。现有无线传输是利用红外或射频技术实现，工作频率范围有限，攻击者可以架设无线发送设备，在无线网络的工作频段发送大量无用信号实施干扰，使正常设备无法使用。

（4）异构移动设备引发的安全问题。现在移动终端类型越来越多，使得网络越发复杂，难以实施统一有效的管理措施，进而对网络安全造成一定冲击。

总之，信道的开放性是无线网络安全的根本缺陷，与其优点是互斥的，无法彻底消除，只能利用其它手段加以弥补。

2 现有技术及研究成果

防范网络攻击的根本方法在于修补网络本身脆弱性，提高攻击防范能力。围绕无线网络的安全性改进，科学家进行了大量的研究。

（1）SSID隐藏技术。SSID（Service Set Identifier）是无线局域网的唯一标识符，用于区分不同的网络。通过SSID隐藏技术，可取消SSID广播，攻击者就不能直接获取此网络的相关必要信息。但现有技术通过简单扫描就可以发现隐藏的 SSID，此技术的有效性已大大降低。

（2）无线加密技术。802.11标准描述了WLAN和WMAN的MAC层和物理层的规范，并引入了WEP（Wired Equivalent Privacy）加密技术，但密码分析专家现已发现WEP存在严重弱点；WPA（Wi-FiProtectedAccess）技术是WEP的改进型，是802.11i完备之前的过渡方案安全性已有较大提高；WPA2是WPA的升级版，它实现了802.11i的全部规范，其安全性大大增强，从2006年3月起，WPA2已成为企业的强制性标准。

（3）身份认证技术。802.1x协议是基于 Client/Server的访问控制和认证协议，它可以限制未经授权的用户、设备接入网络；EAP是扩展验证协议，它提供了强大的身份验证机制和动态密钥分发功能，同时还提供进行双向身份验证的一种方式。两种技术相结合，具有简洁高效、安全可靠、灵活方便、低成本、易管理的特点，成为当前流行的身份认证技术。

（4）IPsec技术。IPsec（Internet Protocol Security）是网络安全的长期方向，通过端对端的安全性来防止来自内外网的攻击。IPsec拥有不可否认性、完整性、认证等安全特性。

3 涉密无线网络安全建设目标

涉密无线网络主要应用于国家政府机关、企业内部、野外作业等场景，对数据保密性、时效性、完整性、可靠性的要求非常高，总的来说，主要有以下几个方面。

（1）高健壮性。即在复杂恶劣环境或设备遭到不可抗力催毁的情况下，保证网络服务不间断。目前采用蜂窝式ad-hoc组网方式可较好地解决这方面问题。

（2）抗干扰。复杂电磁环境下，无线网络的通信受到很大干扰，无线通信必须具备强大的抗干扰、反干扰能力。

（3）高保密。安全保密是涉密网络建设的首要原则，采用必要的安全措施防止失密、泄密，是无线网络建设的首要目标。

（4）高可靠。涉密网络上传输的数据必须是可靠的、完整的，若存在虚假信息、非法信息，将严重影响用户判断，造成重大损失。

4 涉密无线网络安全接入体系结构

安全可靠的网络系统需要结合网络架构、安防手段、安防策略等多方面综合设计，下面从涉密无线网络的安全建设目标入手，分别从这三个方面讲述安全无线网络结构的设计。

4.1 网络架构

网络架构设计如图1所示，无线终端通过无线发射点（AP）接入网络，网络配置内外防火墙、入侵检测、认证服务器、加解密网关等安防设备，从结构上看，外部无线设备要访问内部服务，需要经过AP认证、认证服务器认证、加解密、入侵检测、外防火墙、内防火墙等六道防线，确保内部数据的稳定安全。

图1 涉密无线网络安全接入体系结构

4.2 安防手段

（1）无线AP接入。无线AP需专门定制，具备体积小、重量轻、易携带、防摔防水等功能。开启隐藏 SSID，尽可能减少网络暴露的风险；采用跳频、扩频等无线技术，抵抗一定规模的无线干扰；部署多个AP设备，使用ad-hoc方式组网，具备一定抗催毁能力；采用WPA2加密技术，设置足够长的密码，减少用户非法接入风险。

（2）802.11i认证。802.11i标准在物理层与链路层定义了数据加密及双向认证等功能，可识别非法终端及非法 AP，极大地提高了系统安全性，有效防止了非法终端接入、非法AP钓鱼等网络攻击。

（3）端对端加解密。由于身份认证及数据传输使用同样的通道，存在一定的安全隐患，因此引入加解密网关，对内网进出的数据进行二次加密。加解密网关采用非对称加密算法，此加解密网关在网络层之上、传输层之下实现了数据的加解密传递，有效防止了非法窃听、非法劫持等网络攻击。（4）入侵检测、防火墙、访问控制列表、防病毒系统、补丁分发系统等常规防护手段。入侵检测系统用于检测异常流量，配合防火墙联动，可有效预防大规格DDoS攻击；防火墙内外配置严格的检测措施，有效防止大部分非法网络攻击；防病毒系统和补丁分发系统能够极大地提高网络系统本身的健壮性，预防病毒、木马等攻击。

4.3 安防策略

（1）异构计算机接入平台。异构计算机接入是防止大规模网络入侵、病毒攻击的有效手段。系统漏洞与系统版本是密切相关的，即同一系统的同一版本往往具有相同的漏洞，如果网络中大量存在同构（即同一版本系统）计算机系统，攻击者如果攻陷一台此类系统，就可以继续攻击同构的所有系统；反之，在采用异构系统的情况下，攻击者即便攻陷了一台计算机，也难以寻找更多具有同样漏洞的计算机。

（2）采用自主研发设备。自主研发设备从研发、生产、装备、使用等过程上都相对可靠，一是不存在故意设置的后门，二是采用了符合涉密条件的安全性更高的技术，三是技术服务保障更到位。

（3）安全审计。安全审计是指由专业审计人员对计算机网络环境下的有关活动或行为进行系统的、独立的检查验证，并做出相应评价，便于及时发现异常和做出应对。

5 结语

安全保密是涉密无线网络的重要原则，也是制约无线网络在涉密通信领域拓展的瓶颈。本文针对无线网络面临的安全威胁，分析现有安全技术的利弊，提出了涉密无线网络安全接入体系结构，并配合相关安全手段和策略，实现无线网络的安全接入，保障涉密数据安全。