思科认证：VoIP解决企业无线局域网安全问题
发布时间：2011-05-01文章来源：技术部
思科认证：VoIP解决企业无线局域网安全问题
过去几年中，VoIP系统在企业及住宅两个市场的普及率都得到了很大的提高。VoIP将数据和语音两项业务融合进一个统一的网络中，使企业IT部门或家庭用户能极大地节省成本。我们还看到各服务提供商开始少量部署VoIP系统，能够将网关连接到DSL或有线调制解调器等宽带接入设备上。
当前一代的住宅网关提供了一种针对数据WLAN连接的机制。今天，大多数WLAN都是针对数据应用，用于替代以太网，与笔记本电脑或台式电脑连接。一些设备，例如打印机、相机或WLANIP电话等，由于本身没有充足的用户接口，从而限制了它们的部署。一般地讲，与WLAN有关的安全问题牵扯到所有和它相连的设备。WLANIP电话或复合式蜂窝/WLAN电话在这方面所面临的挑战更大。
WLAN系统中的安全
802.11i标准是一种支持数据包安全与认证安全的MAC层增强型标准。前几代基于密码的802.11安全机制都是围绕WEP协议制定的。但WEP所提供的认证不是双向认证，例如用户不能认证网络。WEP中密钥的重复使用也使黑客很容易就能破解密钥。最后，在静态WEP实现中，网管员实际上不可能更改接入点（AP）上的密钥，因为这需要更改每个站点上的密钥。所以在大多数情况下，WEP并没有得到贯彻。
通过以下两个步骤，802.11i可解决WEP中安全不足的问题：首先是提供一种可对目前产品进行软件升级的机制；其次是创建一个可能需要硬件改动的新型鲁棒安全网络（RSN）。第一个措施已被Wi-Fi联盟采纳为无线保护接入（WPA），而且经过批准的802.11i规范已被采用为WPA2。
WPA实际上相当于为WEP所使用的RC4加密方案添加了一个安全壳，可提供用户与网络之间的相互认证、进行自动安全的密钥交换以及提供对语音（及数据） 包的保护。通过用高级加密标准（AES）代替RC4作为加密引擎，WPA2增强了WPA的安全性。而且，通过采用类似的自动密钥交换机制，WPA2可保护用户在WPA上的基础设施投资。
虽然标准制定机构在解决802.11MAC层的安全性方面花费了大量的精力，但实际上并未解决家庭用户（或热点）应用中的安全问题。安全的缺乏与终端用户大多不能正确理解有关技术术语及配置步骤有关，而理解这些术语和配置步骤对于建立足够的安全性来说非常关键。
WLAN安全设置
从安全设置的需要出发，与无线网络连接的设备可分成以下三类：
1、带有充足用户接口的客户端，例如可连接到显示器的笔记本电脑及媒体适配器；
2、带有有限用户接口的固定设备，例如打印机等；
3、带有有限用户接口的移动设备，例如WLANIP电话（其中可能包括复合式蜂窝与WLAN设备）等。
WLANIP电话具有目前有绳与无绳电话所没有的重要特性——移动性。要充当无绳电话的替代设备，WLANIP电话的移动性必须具有像“拿起电话就打”这样的方便性。
此外，WLANIP电话还必须使用户可以接驳他们的“家庭”电话并使用相同的电话可以在任何地方接入宽带网络。因此，除传统使用情况外，安全还必须包括以上这些使用情况。早期开发的专用方案，主要是解决家庭网络中具有充足用户接口的设备的安全问题。这些专用解决方案包括像SecureEZ设置这样的安全机制，其所提供的安全类型一般仅限于建立一个与一台或多台计算机相连的接入点或STA设备，且这种安全机制还扩展不到能满足“B”或“C”类设备的需求。
其后开发的专用方案，如按键式方案等，则是为了能在前面提到的三类产品中使用。这些方案仍不能提供任何互操作性，以及对外部接入点无缝认证的能力。WiFi联盟目前正在着手提供便于安全使用的互操作性。
WLANIP电话系统的安全设置
作为RSN构架一部分的802.11i规范，提供了两种不同的认证机制，即：预共享密钥（PSK）模式与基于802.1x的认证模式。
PSK实现意味着小型家庭网络不具有企业级网络这样的认证。在保持一个安全网络，使之不易受黑客攻击方面，PSK模式具有优于WEP等现有协议的可靠性。 PSK实际上是一种可取代（通过802.1x机制交换的）成对主密钥（PMK）的用户设置。大多数家庭网络为了实现易使用性，都采用PSK模式作为其构架核心。这背后的含意是，家庭网络将没有可为每台设备提供PMK密钥的认证服务器。
