第十章
无线网络安全
10.1 无线网络标准
10.1.1 第二代无线峰房移动网
10.1.2 通用分级无线业务网
10.1.3 第三代无线峰房移动网
10.1.4 IEEE802.11无线局域网
10.1.5 HiperLAN/2高性能无线局域网
10.1.6 HomeRF 无线家庭网
10.1.7 蓝牙短距离无线网
10.1.8 IEEE802.16无线城域网
第十章 无线通信网络安全
10.2 无线局域网有限等价保密机制
10.2.1 有线等价保密 WEP
10.2.2 有线等价保密加密与解密
10.2.3 IEEE802.11身份认证
第十章 无线通信网络安全 （ 续 ）
10.3 无线局域网有线等价保密安全与漏洞
10.3.1 WEP默认配置漏洞
10.3.2 WEP加密漏洞
10.3.3 WEP密钥管理漏洞
10.3.4 服务设置标识漏洞
第十章 无线通信网络安全 （ 续 ）
10.4 无线局域网安全威胁
10.4.1 无线局域网探测
10.4.2 无线局域网监听
10.4.3 无线局域网欺诈
10.4.4 无线 IP欺诈
10.4.5 无线局域网劫持
第十章 无线通信网络安全 （ 续 ）
? 有线网络, 采用铜线或光缆等传输介
质实现数据通信的网络。
? 无线网络, 采用无线链路实现数据通
信的网络。
第十章 无线通信网络安全
随着移动电话, 个人数字助理, 笔记本计算机, 掌
上计算机等各种便携式终端的迅速发展, 可以随时随地
进行通信的无线网络日益受到重视, 无线网络为移动计
算提供了支撑环境 。 相对于有线网络, 无线网络为用户
提供便利性的同时, 也为基于无线链路和智能移动终端
蓄意破环, 篡改, 窃听, 假冒, 泄露和非法访问信息资
源的各种恶意行为提供了方便 。 因此, 无线网络比有线
网络存在更多的安全隐患和威胁 。
第十章 无线通信网络安全
此外, 由于无线网络本身体系结构复杂,
传输速率慢, 信号易受干扰, 安全隐患多, 通
信成本高等固有的局限性, 目前有线网络仍然
是计算机网络的主体, 无线网络只是有线网络
的补充, 主要用于不便布线和要求移动计算的
场合 。
第十章 无线通信网络安全
10.1 无线网络标准
无线通信网络根据 应用领域 可分为：
? 蜂房移动通信网
? 无线局域网
? 无线个人区域网
? 无线城域网等多种类型
随着无线通信技术的迅速发展, 出现了多种无线通
信网络标准 。 蜂房移动通信正在从广泛使用的全球移动
通信系统, 码分多址, 通用分组无线业务向国际移动电
信第三代移动通信标准过渡 。 无线局域网有 IEEE
802.11和满足多媒体数据业务需求的高性能无线局域网
标准, 无线个人区域网包括无线家庭网和蓝牙短距离无
线网标准, 面向大范围覆盖的无线城域网标准 IEEE
802.16也在逐步实施之中 。
无线网络标准
10.1.1 第二代蜂房移动通信网
20世纪 70年代诞生的模拟蜂房移动通信系统是第
一代 （ 1G） 移动通信系统, 1G系统采用模拟信号传输
方式实现语音业务, 使用频分多址 FDMA（ frequency
division multiple address） 接入技术划分信道 。 由
于 1G系统存在诸如频谱利用率低, 语音质量差, 接入
容量小, 保密性差和不能提供数据通信服务等先天不足,
目前已被数字蜂房移动通信系统取代, 形成了覆盖全球
的第二代 （ 2G） 移动通信网 。
目前 2G移动通信系统主要有：
? 全球移动通信系统 GSM（ global system for
mobile communication）
? 码分多址 CDMA（ code division multiple
access）
两大移动通信标准 。
2G移动通信系统
1991 年 欧 洲 电 信 标 准 协 会 ETSI
（ European telecommunication standard
institute） 推出的 GSM泛欧数字蜂房移动通信
标准, 不仅提供了移动电话语音服务, 还提供
了紧急呼叫, 短消息, 语音信箱, 可视图文等
多种数据服务 。
全球移动通信系统 GSM标准
GSM 采 用 时 分 多 址 TDMA （ time division
multiple address ） 窄 带 标 准, 可 以 分 别 工 作 在
900MHz,1800MHz和 1900MHz三个不同频段, 其中
900MHz频段又分为 E-GSM900MHz和 GSM900MHz
两个频段 。 E-GSM900MHz频段的上行, 下行频率分别
为 880~890MHz和 925~935MHz,GSM900MHz频
段的上行, 下 行 频 率 分 别 为 890~915MHz 和
935~960MHz,双工间隔为 45MHz。 1800MHz频段
的 上 行, 下 行 频 率 分 别 为 1710~1785MHz 和
1805~1880MHz,双工间隔为 95MHz。
GSM900MHz频段
1900MHz 频 段 的 上 行, 下 行 频 率 分 别 为
1850~1910MHz 和 1930~1990MHz, 双 工 间 隔 为
80MHz。 GSM标准最大可提供 9.6kbps的数据传输速率,
我国和世界上其他 170多个国家采用 GSM标准, 我国,
欧洲和东南亚地区都采用 900MHz和 1800MHz频段 。 上
行和下行载波频率各占用 25MHz带宽, 移动电话的接收
频率比发射频率高, 构成一个频分双工信道 。 在 25MHz
带宽内分成 124个 TDMA载波信道, 每个载波信道占用
200kHz的带宽 。 载波信道又分成 8个时隙, 每个时隙宽
度为 0.578ms,时隙就是 TDMA物理意义上的信道 。
900MHz和 1800MHz频段
GSM900MHz频段的频分双工频谱分配如图所示：
915MHz 935MHz 960MHz
···
45MHz25MHz 25MHz
上行 下行双工间隔
890MHz
200kHz
···
图 10-1 GSM频分双工频谱分配
GSM频分双工频谱分配图
2.码分多址 CDMA标准
? FDMA以不同频率区分移动电话地址，其特点
是频带独占而时间资源共享。
? TDMA采用不同时隙区分地址，特点是时隙独
占而频率资源共享。
? CDMA则采用不同码型区分地址，特点是码型
独占而频率和时间资源共享。
码分多址 CDMA标准
由于分配给移动电话的地址码型具有唯一
性, CDMA系统就能够在同一时间和同一频率
下实现通信, 因而拥有巨大的通信容量 。 图
10.2为采用频率划分前向和反向信道的 CDMA
码分信道, 基站对移动电话方向为前向信道,
其载波频率为 f1,移动电话对基站方向为反向信
道, 载波频率为 f2。
码分多址 CDMA标准
每个移动用户分配一个地址码型 Cj, 且不同
地址码型 C1,C2,Cj, …, Ck相互正交 。 地址码
型和移动用户具有一一对应关系, 因此, 利用地
址码型就可以实现选址通信 。 在蜂房移动通信系
统中, 为了充分利用信道资源, 地址码型是由基
站通过信令信道动态分配给移动用户的 。
地址码型的作用
C1 C2 C3 Ci Ck··· ···前向信道 f1
C1 C2 C3 Ci Ck··· ···反向信道 f2
图 10.2 CDMA频分双工码分信道
CDMA频分双工码分信道
CDMA 系 统 采 用 了 扩 频 通 信 （ spread
spectrum） 技术
? 扩频通信就是扩展基带信号的频谱, 其带宽通
常是基带信号频带的 100~1000倍 。
? 扩频通信具有很强的信号抗干扰能力, 而且扩
频信号的频谱接近白噪声, 有利于信号隐蔽和
通信保密 。
扩频通信技术
早期扩频通信主要用于军事通信, 随着扩
频通信技术的发展, 目前已广泛用于民用移动
通信 。 扩频通信的理论基础是式 （ 10.1） 给出
的著名 香农 （ Shannon） 定理, 其中 C 表示信
道的极限信息传输速率, W 为信号带宽, S 是
信道内信号的平均功率, N 是信道内高斯噪声
功率 。
香农定理
香农定理说明, 在保持信道信息传输速率
不变的前提下, 扩展信号带宽就相当于提高
了信号的信噪比, 增强了信号的抗干扰能力 。
)(1log
2 N
SWC += （ 10.1）
香农定理
目前广泛使用的扩频技术主要有,
? 直 序 扩 频 DSSS （ direct sequence
spread spectrum）
? 跳 频 扩 频 FHSS （ frequency hopping
spread spectrum）
主要的扩频技术
? DSSS在发送端使用伪随机码扩展信号频谱,
接收端使用相同的伪随机码将扩频信号恢复成
基带信号 。
? FHSS也使用伪随机码扩展信号频谱, 但扩频
方法与 DSSS不同 。 FHSS首先用伪随机码形成
跳频指令, 跳频指令控制载波频率在跳频带宽
内随机跳变, 达到扩展信号频谱的目的 。
DSSS和 FHSS
美国 Qualcomm公司提出的 Q-CDMA是世
界上第一个商用 CDMA数字蜂房移动通信系统,
后经美国电信工业协会批准成为 CDMA/IS-95
标准 。 前向信道, 反向信道的频段分别为
869~894MHz和 824~949MHz,载波间隔为
1.25MHz, CDMA/IS-95 标 准 最 大 可 提 供
9.6kbps的数据传输速率 。
Q-CDMA系统
GSM和 CDMA都是典型的电路交换数字蜂
房移动通信标准, 随着 Internet的迅速发展,
基于 IP分组交换的数据传输必然成为无线通信
的发展目标 。 但 IP移动通信需要一个逐步成熟
的过程, 为此诞生了过渡阶段的 2.5G移动通信
标准 。
10.1.2 通用分组无线业务网
欧洲电信标准协会提出的 通用分组无线业务
GPRS(general packet radio service) 是 典 型 的
2.5G移动通信标准之一 。
? 采用分组交换传输模式
? 以语音通信为主, 数据通信为辅
? 最大可提供 171.2kbps的数据传输速率
GPRS是在 GSM移动通信系统的基础上提供的分
组无线业务标准, 是 GSM迈向 3G的重要步骤 。
GPRS移动通信标准
GPRS与 GSM具有相同的频段, 双工间隔, 频带宽度,
载频间隔和 TDMA帧结构, 但现有的 GSM移动终端不能
直接在 GPRS中使用 。 由于采用了分组交换技术, 用户只
在数据通信期间占用信道资源, 在提高信道资源利用率的
同时, 也为按通信数据量, 业务类型和服务质量计费奠定
了基础 。 GPRS支持 Internet上应用广泛的 IP协议和
X.25协议, 能够无线接入 Internet和其他分组网络 。 目
前世界上已有近百个移动运营商开通了 GPRS商用系统,
中国移动通信集团公司也于 2002年 5月 17日正式推出了
GPRS商用服务 。
GPRS的使用
10.1.3 第三代蜂房移动通信网
国 际 电 信 联 盟 ITU （ international
telecommunication union） 早在 1985年就提出了
第三代 （ 3G） 移动通信的雏形, 当时称为未来公众陆
地移动电信系统 FPLMTS （ future public land
mobile telecommunication systems）, 1996年
ITU 将 其 正 式 更 名 为 国 际 移 动 电 信 IMT-2000
（ international mobile telecommunication-
2000）, 隐含的意义是 3G移动通信工作在 2000MHz
频段并于 2000年实现商用 。
尽管 GSM和 CDMA形成了全球 2G移动通信的主流
标准, 但不同国家和运营商使用的标准和频段仍然有很
大差异, 很难实现移动用户的全球漫游 。 IMT-2000希
望在全球范围内统一标准和频段, 为实现全球无缝漫游
消除障碍；在提高频谱利用率的同时, 提供文本, 语音,
音乐, 图像, 视频等多媒体移动通信服务 。 并根据不同
移动用户的需求, 可分别支持 2Mbps,384kbps和
144kbps的数据传输速率 。
3G的目标
当移动速度小于 10km/h时, 3G移动通信可
提供 2Mbps的数据传输速率；小于 120km/h时,
提供 384kbps的速率；大于 120km/h时, 能够
支持 144kbps的速率 。 因此, 统一标准和频段,
提高频谱利用率和支持多媒体移动通信正是 3G移
动通信与 2G的主要区别 。
3G移动通信与 2G的区别
由于移动通信标准直接影响国家, 运营商和移动终
端生产厂商的经济利益, ITU在协调多方利益的基础上,
于 2000年 5月从 10个 3G移动通信候选方案中确定了 5
个推荐标准, 其中：
? 欧洲提出的 宽带 WCDMA（ wideband CDMA）
? 美国提出的 CDMA2000
? 中国制定的 时分同步 TD-SCDMA（ time division-
synchronous CDMA）
最有可能成为未来 3G移动通信的主流标准 。
3G移动通信的主流标准
欧洲提出的宽带 WCDMA采用频分双工
FDD（ frequency division duplex） 信道 。
WCDMA的支持者主要是欧洲, 日本等国家
的 GSM网络运营商和生产厂商, 能够在现有
GSM网络基础上, 途径 GPRS逐步过渡到 3G
移动通信 。
宽带 WCDMA
中国制定的时分同步 TD-SCDMA采用时分双工 TDD
（ time division duplex ） 信道 。 美 国 提 出 的
CDMA2000采用频分双工 FDD（ frequency division
duplex） 信道 。 CDMA2000是在 CDMA/IS-95基础上
制定的标准系列, 包括 CDMA2000 1X,CDMA2000
1X EV-DO,CDMA2000 1X EV-DV和 CDMA2000
3X多个子标准, 计划分多个阶段逐步实施 。 北美, 韩国,
日本等国家的 CDMA网络运营商和生产厂商是其主要支
持者 。
CDMA2000标准系列
CDMA2000 1X 为 第 一 过 渡 阶 段, 在
CDMA/IS-95基础上引入了 分组交换技术, 能
够支持移动 IP业务, 最大数据传输速率为
308kbps。 类似于 GSM系统中的 GPRS,多数
人将 CDMA2000 1X归类到 2.5G移动通信 。
CDMA2000 1X EV-DO和 CDMA2000 1X EV-
DV是 CDMA2000 1X的演变升级体制, 其中 EV
就是英文 evolution的缩写 。
CDMA2000 1X的特点
? CDMA2000 1X EV-DO（ data only） 采用 专用
数据信道 传输数据, 目的是要提高数据传输速率,
最大数据传输速率可达到 2.4Mbps。
? CDMA2000 1X EV-DV（ data and voice） 采用
数据信道 和 语音信道 共享方式, 在提高接入容量
的同时, 将最大数据传输速率提高到 3.1Mbps。
CDMA2000 1X标准
? CDMA2000 3X是 CDMA2000的第二过渡阶段, 同
CDMA2000 1X的主要区别就是前向信道采用 3载波
方式 。
? CDMA2000 1X采用单载波方式, 多载波方式能够提
供更高的数据传输速率 。
? TD-SCDMA是中国在 ITU首次获准的移动通信技术标
准, 最大数据传输速率为 2Mbps。 由于中国具有庞大
的移动通信市场, 目前世界上已有多家电信设备厂商
宣布支持 TD-SCDMA标准 。
CDMA2000 标准系列
根据 ITU在 2004年 12月的统计, 2004年
全球移动通信用户总数已超过 15亿, WCDMA
和 CDMA2000 1X EV-DO第三代移动通信用
户总数已超过 2000万 。 根据我国信息产业部
2004年的统计, 仅 2004年就新增移动通信用
户 6400万, 移动用户总数达到 3.34824亿 。
全球移动通信用户统计
能够在有限范围内实现无线通信的网络称
为 无线局域网 WLAN（ wireless local area
network） 。
WLAN分为：
? 有固定基础设施
? 无固定基础设施
10.1.4 IEEE802.11无线局域网
? 固定基础设施 指预先建立的基站或接入点 AP
（ access point）, 主要用于将无线客户端接
到现有的有线网络, AP网络节点用于桥接有
线网络和 WLAN。
? 在有固定基础设施模式下, 无线客户端与其他
无线客户端及有线网络主机之间的通信需要
AP转发, 才能发送到目的端 。
固定基础设施
没有 AP的 WLAN 也称为 自组网络 （ ad
hoc network） 或对等网络 （ peer to peer
network）, 主要用于无线客户端之间的通信,
自组网络最多容许 9个无线客户端 。 有固定基
础设施和无固定基础设施的 WLAN分别如图
10.3和图 10.4所示 。
自组网络
图 10.3 固定基础设施 WLAN
无线客户端
接入点
有线网络
固定基础设施 WLAN图
图 10.4 自组 WLAN
无线客户端
自组 WLAN图
国际电气和电子工程师学会早在 1997年就发
布了 IEEE 802.11无线局域网标准, 规范了
WLAN的 MAC层协议和物理层规程, 使不同厂商
生产的无线设备能够实现无线互联 。 IEEE
802.11在参考 IEEE 802.3有线以太局域网 MAC
层 CSMA/CD协议的基础上, 采用 载波监听多路访
问 /冲突避免 CSMA/CA（ collision avoidance）
协议解决多用户共享无线信道的冲突问题 。
IEEE802.11标准
物理层规程定义了,跳频扩频 FHSS,直序扩频
DSSS,红外线 IR（ infrared） 三种调制技术实现方
法 。 并规定工作频段为不需要许可证的,2.4GHz工业,
科学和医疗 ISM（ industry science and medical）
频段, 其频段宽度为 2.4~2.4835GHz。
? 当使用 FHSS或 DSSS扩频技术时, 传输距离在 100m
范围内, 数据传输速率可达到 1Mbps或 2Mbps。
? 红外线主要用于室内通信, 其波长为 850~950nm，
传输速率为 1~2Mbps。
物理层规程
为了进一步提高 WLAN的数据传输速率, IEEE
802.11委员会于 1999年又发布了 IEEE 802.11a和
IEEE 802.11b标准, MAC层协议与 IEEE 802.11基本
相同, 但采用了不同的物理层规程 。 IEEE 802.11a物
理层使用 5GHz ISM频段和多载波调制技术, 可分别支
持 6,9,12,18,24,36,48,56 Mbps多种传输
速率, 通信距离长达 10km,能够满足不同移动用户的
需求 。
IEEE802,11标准
IEEE 802.11b物理层仍然使用 2.4GHz
ISM频段和 DSSS扩频技术, 能够根据通信环
境质量在 1,2,5.5,11Mbps范围内自动调
整传输速率 。 在室内有障碍的条件下最大传
输距离可达 100m,室外直线传播最大传输距
离可以达到 300m。
IEEE802.11b
IEEE标准委员会随后在 2003年 6月又正式批准了
IEEE 802.11g WLAN标准, IEEE 802.11g沿用了
IEEE 802.11,IEEE 802.11b的 2.4~2.4835GHz
ISM频段和 DSSS扩频技术, 完全兼容目前广泛使用的
IEEE 802.11b技术标准, 并且以低廉的成本将最大数
据传输速率提高到 IEEE 802.11a的 56 Mbps标准 。
IEEE 802.11g不仅支持 IEEE 802.11a具有的 6,9，
12,18,24,36,48,56 Mbps多种传输速率, 也
支持 IEEE 802.11b具有的 1,2,5.5,11Mbps传输
速率 。
IEEE802.11g
IEEE 802.11g向下兼容 IEEE 802.11b标准,
能够在 IEEE 802.11g和 IEEE 802.11b标准之间自
由切换 。 虽然 IEEE 802.11a具有传输速率高和覆
盖范围大的优点, 但由于不兼容 IEEE 802.11b标
准, 而且无线设备造价较高 。 毫无疑问, IEEE
802.11g标准比 IEEE 802.11a具有更好的市场前
景 。
IEEE802.11g
因为 IEEE并不负责测试 IEEE 802.11标准系列
无线设备的兼容性, 为了解决无线产品的互操作性
问题, 生产厂商自发成立了 无线以太网兼容性联盟
WECA （ Wireless Ethernet Compatibility
Alliance）, 凡通过 WECA认证的 IEEE 802.11a、
IEEE 802.11b和 IEEE 802.11g无线产品, 准予标
记无线高保真 Wi-Fi（ wireless fidelity） 兼容性认
证标签 。
无线高保真 Wi-Fi
高 性 能 无 线 局 域 网 HiperLAN （ high
performance radio local area network） 是
ETSI 制定的宽带无线接入网 BRAN
（ broadband radio access networks） 计划
的重要组成部分 。 BRAN包括 HiperLAN/1、
HiperLAN/2,HiperAccess 和 HiperLink 四
个标准 。
10.1.5 HiperLAN/2高性能无线局域网
? HiperLAN/1和 HiperLAN/2用于高速 WLAN
接入
? HiperAccess用于室外远距离有线通信网络
高速接入
? HiperLink提供 HiperAccess和 HiperLAN/2
之间的近距离高速无线连接
HiperLAN标准的接入
ETSI早在 1992年就提出了 HiperLAN/1 WLAN
标准, 由于实现成本高于随后推出的 IEEE 802.11b
标准, 没有获得商业应用 。 2000年 4月 ETSI又公布了
HiperLAN/2标准, 由欧洲, 北美和日本等地区的通
信厂商组成的 HiperLAN/2 全球论坛 H2GF
（ HiperLAN/2 global forum） 业界组织正在积极推
广 HiperLAN/2的市场应用, 目前国际上已有 50家著
名通信厂商表示支持 HiperLAN/2标准 。
HiperLAN/2标准的提出
HiperLAN/2类似 IEEE 802.11a标准,
物理层使用 5GHz ISM频段和正交频分复用
OFDM（ orthogonal frequency division
multiplexing） 调制技术, 可分别支持 6,9，
12,18,27,36,54 Mbps多种传输速率,
室内通信距离为 30m,室外通信距离可达
150 m。
HiperLAN/2标准
? IEEE802.11,IEEE802.11和 IEEE802.11b
标准采用无连接传输方式, 不能提供任何服务
质量 QoS（ quality of service） 保障 。
? HiperLAN/2采用了面向连接的传输方式, 为
支持多媒体数据传输服务奠定了良好的基础 。
IEEE802.11与 HiperLAN/2
HiperLAN/2面向连接有利于实现 QoS保
障, 可以为每个连接分配指定的 QoS参数,
QoS参数包括网络吞吐量, 传输延迟时间, 延
时 抖 动 和 数 据 传 输 误 码 率 。 因此,
HiperLAN/2能够更好地满足多媒体数据业务
的需求 。
HiperLAN/2的优点
HomeRF（ home radio frequency） 是面向
家庭的无线网络标准, 主要用于个人计算机和家用
电子设备之间的无线通信 。 1998年由英特尔
（ Intel）, IBM,康柏 （ Compaq）, 3COM、
飞利浦 （ Philips）, 微软, 摩托罗拉 （ Motorola）
等公司组成的 HomeRF工作组开发, 随后美国联邦
通 信 委 员 会 FCC （ federal communications
commission） 正式批准其为工业标准 。
10.1.6 HomeRF无线家庭网
? 共享无线访问协议 SWAP（ shared wireless access
protocol）,
? 数据通信采用了简化的 IEEE 802.11 标准, 沿用了 MAC层
CSMA/CA协议来获取信道的控制权；
? 物理层仍然采用跳频扩频 FHSS技术 。 语音通信采用 ETSI
制定的 数字增强无绳 电话 DECT （ digital enhanced
cordless telephony） 标准；
? DECT支持电路交换和分组交换两种方式；
? 电路交换用于语音传输；
? 分组交换用于数据传输, 使用 TDMA/TDD划分双工信道 。
HomeRF的 核心技术
HomeRF 1.0支持 1.6Mbps的数据传输速率,
工作频段为 2.4GHz ISM频段 。 HomeRF 2.0的数
据传输速率则提高到 10Mbps,工作频段为 5GHz
ISM频段 。 HomeRF曾经在短距离无线网市场具有
很高的占有率, 但由于技术标准未公开和技术升级
进展缓慢, 多数公司转向支持 IEEE 802.11b和蓝
牙标准, 目前已逐渐退出无线网络市场 。
HomeRF技术
世界著名的电信设备制造商瑞典爱立信 （ Ericsson）
公司：
? 早在 1994年就提出了蓝牙 （ Bluetooth） 短距离
无线网技术
? 1998年瑞典爱立信, 芬兰诺基亚 （ Nokia）, 日
本东芝 （ Toshiba）, 美国 IBM和 Intel五家公司
成 立 了 蓝 牙 特 别 兴 趣 小 组 SIG （ Bluetooth
special interest group）
10.1.7 蓝牙短距离无线网
随后微软, 3COM,朗讯, 摩托罗拉,
AMD,康柏, 戴尔, 惠普, 德州仪器, 飞利
浦, 三星, LG,夏普等许多世界著名计算机,
通信及消费电子产品公司也加盟 SIG组织, 希
望能够在全球范围内推广蓝牙技术 。 截止到
2004年底, 世界上已有 3000多家公司加盟
SIG组织, SIG总部位于美国堪萨斯州欧弗兰
公园 （ Overland Park Kansas） 。
蓝牙技术的发展
? 1999年 12月 SIG发布 Bluetooth 1.0版本
? 2001年 3月又发布了 Bluetooth 1.1版本规范
? 由于蓝牙技术获得世界上众多著名公司的支持,
2002年 3月 IEEE正式批准 Bluetooth 1.1版本为
IEEE802.15.1标准, 并将蓝牙更名为 无线个人区
域网 WPAN（ wireless personal area network）
标准, 为蓝牙短距离无线网的进一步普及铺平了
道路 。
蓝牙技术
IEEE802.15.1标准类似于 HomeRF,工作
频段为 2.4GHz ISM频段, 同样采用了跳频扩频
技术, 最大数据传输速率为 1Mbps,理想传输距
离为 10cm~10m,提高发射功率后可延长到 100
m。 2004年 SIG又推出 Bluetooth 2.0版本规范,
其核心是增强数据率 EDR（ enhanced data rate）
技术, Bluetooth 2.0在降低功耗的同时, 将
1Mbps的数据传输速率提升到 3Mbps。
Bluetooth 2.0规范
IEEE针对无线市场需求提出了一系列具有互补性
的无线网络标准：
? IEEE 802.11标准系列是面向无线局域网的标准
? IEEE 802.15标准系列是面向无线个人区域网的标准
? IEEE 802.16标准系列则是面向大范围覆盖的无线城
域网 WMAN （ wireless metropolitan area
network） 标准 。
早在 1999年 IEEE就成立了 IEEE 802.16工作组
专门研究宽带固定无线接入技术标准, 目的是希望能
够建立全球统一的宽带无线接入标准 。
10.1.8 IEEE802.16无线城域网
类似于 IEEE 802.11b Wi-Fi和 IEEE802.15
SIG联盟, 支持 IEEE 802.16标准的生产厂商于
2001年 4月也自发成立了微波接入全球互操作性
WiMAX （ worldwide interoperability for
microwave access） 联盟, 旨在全球范围推广
IEEE 802.16 标 准 并 加 快 市 场 化 进 程 。
IEEE802.15,IEEE802.11和 IEEE 802.16无线
通信标准的典型应用如图 10.5所示 。
IEEE802.16的推广
小型办公
IEEE802.16
IEEE802.15
U N I V E R S I T Y I I
IEEE802.16
Internet
IEEE802.11
IEEE802.11
家庭
学校
小型企业
IEEE802.16
IEEE802.16
图 10.5 IEEE802.16WLAN典型应用
IEEE802.16WLAN典型应用
? 截止到目前为止, IEEE 802.16 WMAN标准
系列共包括 802.16,802.16a,802.16c、
802.16d,802.16e,802.16f和 802.16g七
个子标准 。
? 其中 802.16, 802.16a, 802.16c,
802.16d已正式发布, 其余标准仍在制定和发
展中 。
IEEE802.16WMAN标准
IEEE 802.16标准系列根据是否支持移动特性
分为 宽带固定无线接入 和 移动无线接入 两类 。
? 802.16,802.16a,802.16c和 802.16d属于宽
带固定无线接入标准
? 802.16e属于宽带移动无线接入标准
? 802.16f是宽带固定无线接入空中接口管理信息库
规范
? 802.16g则是宽带固定和移动无线接入空中接口管
理服务规范 。
IEEE802.16标准 系列
? IEEE 802.16标准对使用 2~66GHz频段的宽带固
定无线接入空中接口物理层和 MAC层进行了规范,
最大覆盖范围可达 50km。
? IEEE 802.16a和 802.16c对 IEEE 802.16进行了
扩展, 分别规范了 2~11GHz和 10~66GHz频段的
宽带固定无线接入空中接口 。
? IEEE802.16d对先前颁布的标准进行了整合, 将
频段范围扩展成 2~66GHz。 目前 IEEE 802.16工
作组已将工作重点转向宽带移动无线接入标准 。
IEEE802.16标准系列
有线等价保密 WEP（ wired equivalent privacy）
是 IEEE 802.11,802.11a 802.11b,和 802.11g无线
局域网采用的安全保护机制, IEEE 802.11工作组希望
WEP能够提供同有线网络完全等价的个人保密保护 。 只
要正确配置 WEP的全部安全功能, WEP仍然能够为
WLAN应用提供基本的保密性和完整性 。 WEP加密利用
共享密钥在提供数据传输保密性的同时, 也提供了身份认
证机制, 能够在一定程度上防止通过无线链路泄露, 窃听
和非法访问等恶意行为 。 通过在每帧数据中加入完整性校
验值, 可以提高数据在传输过程中保持完整性的能力 。
10.2 无线局域网有线等价保密
安全机制
WEP主要提供了 数据加密 和 身份认证保护 功
能 。 数据加密采用著名密码专家 Ron Rivest
设计的 RC4加密算法, 提供,
? 无加密
? 40位密钥
? 104位密钥
三种不同实现方式 。
10.2.1 有线等价保密 WEP
无加密 表示数据以明文方式传输, 能够接
入 WLAN的任何无线网络嗅探器都可以侦听发
送的数据, 因此, 无加密不提供任何保密性 。
40位和 104位密钥长度分别向用户提供 2种不
同加密强度选择, 但有些无线网络适配器只支
持一种密钥, 如果无线网络适配器同时支持两
种密钥, 自然应当使用 104位密钥 。
数据加密
只有当无线客户端的 密钥 和 服务设置标识 SSID
（ service set identity） 与接入点完全相同时, 客
户端才能接入 WLAN。 SSID是标识特定 WLAN的
名称, 用户在配置 WLAN时, 可以选择任意 SSID
名称, 但不能与扫描范围内的其他 WLAN同名 。 由
于 WEP使用共享密钥加密和解密数据, 在有固定基
础设施条件下, 必须在无线 AP和所有无线客户端上
配置密钥 。 在无固定基础设施条件下, 需要在所有
无线客户端上配置密钥 。
数据密钥配置
WEP加密过程如图 10.6所示, 40位或 104位初始密
钥与 24位初始向量 IV（ initialization vector） 连接起
来, 生成 64位或 128位中间密钥 。 中间密钥通过 RC4加
密算法 生成一串与明文流按位异或的密钥流, 密钥流的
长度与明文流相同 。 RC4加密算法的核心是 伪随机数生
成器 PRNG（ pseudo random number generator）,
其算法效率大约是 DES的 10倍 。 WEP设置初始向量的目
地是尽可能避免因重复使用共享密钥而降低加密强度,
由于每帧数据都使用新的初始向量, 为破译共享密钥增
加了难度 。
10.2.2 有线等价保密 加密与解密
WEP保密过程图示
明文
连
接
初始向量 IV
初始密钥
RC4加密
算法中间密钥
密钥流 按
位
异
或
密文
连
接
密文 IV
密文消息
完整性
算法 完整性校验值
明文流
图 10.6 WEP加密过程
连
接
明 文 与 完 整 性 校 验 值 ICV （ integrity check
value） 连接起来形成明文流, ICV由 32位循环冗余完
整性校验算法 CRC32通过计算 明文 生成, 明文中添加 4
字节的 ICV能够防止在数据流中插入文本试图破解密文
消息 。 明文流与密钥流 按位异或 形成密文, 密文再与初
始向量连接生成最终的密文消息 。 由于在明文中连接了
4字节的 ICV值, 所以明文流比明文长 4个字节 。 明文流
与密钥流长度相同, 因此, 密文与明文流具有相同长度 。
初始向量为 3个字节, 完整性校验值为 4个字节, 最终密
文消息比明文多 7个字节 。
WEP加密过程
WEP解密是加密的逆过程, WEP解密过程如图
10.7所示 。 初始密钥与密文消息中的初始向量连接
后, 生成 64位或 128位中间密钥 。 RC4加密算法 将
中间密钥转换成密钥流, 密钥流与密文消息中的密
文异或后生成明文流, 将明文流拆分为明文和完整
性校验值 。 同时计算明文的完整性校验值, 并与明
文流携带的完整性校验值比较 。 如两个校验值不同,
表明该帧数据的完整性已经遭到破坏, 丢弃校验值
不同的无效帧 。
WEP解密过程
密文 IV
连
接
初始密钥
ICV
中间密钥
密钥流
按
位
异
或
密文
密文消息
完整性
算法
明文
图 10.7 WEP解密过程
ICV
RC4加密
算法
WEP解密过程图示
IEEE 802.11 WLAN具有
? 开放系统认证 (open system authentication)
? 封闭系统认证 (closed system authentication)
? 共享密钥认证 (shared key authentication)
三种身份认证方式 。
10.2.3 IEEE802.11身份认证
开放系统认证 是 IEEE
802.11身份认证的默认方式,
在开放系统认证方式下, 无
线 AP并不要求无线客户端提
供正确的 SSID。 当无线客户
端提交任意 SSID认证请求时,
无线 AP 通 过 广 播 自 己 的
SSID来响应开放系统认证请
求 。
开放系统 认证
无线客户端 无线 AP
任意 SSID认证请求
广播 SSID认证成功
图 10.8 开放系统认证过程
开放系统认证容许任意无线客户端接入无线 AP，
即使输入错误的密钥, 也可以同无线 AP和其他客户
端通信, 只不过所有数据都采用明文方式传输 。 只
有提供合法的共享密钥时, 数据才以密文方式传输 。
开放系统认证强调的是简单易用, 只能用于没有任
何安全要求的场合 。 如果输入正确的密钥, 开放系
统认证能够提供数据保密性, 但不具备身份识别功
能, 开放系统认证过程如图 10.8所示 。
开放系统 认证过程
封闭系统 认证
封闭系统认证 的安全级别略
高于开放系统认证, 在封闭系统
认证方式下, 无线 AP要求无线
客户端必须提交正确的 SSID。
只有认证双方具有相同的 SSID
时, 才容 许无线客户端接入
WLAN,否则, 拒绝无线客户
端的认证请求, 封闭系统认证过
程如图 10.9所示 。
无线客户端 无线 AP
正确 SSID认证请求
SSID匹配认证成功
图 10.9 封闭系统认证过程
共享密钥 认证
共享密钥认证 就是采用 WEP共享密钥和
SSID来识别无线客户端的身份, 只有提交正
确的密钥和 SSID,无线 AP才容许无线客户端
接入 WLAN。 显然, 共享密钥认证的安全级别
高于开放系统认证和封闭系统认证 。 WEP共
享密钥认证过程大致可以分为 4步, 如图
10.10所示 。
共享密钥 认证过程
认证请求
随机认证响应
加密随机认证
认证结果
图 10.10 WEP共享密钥认证过程
无线客户端向无线 AP发送
包含 SSID的认证请求
无线客户端 无线 AP
无线 AP接收到认证请求后,
生成一个随机认证消息,
作为认证请求的响应发送
给无线客户端
无线客户端用共享密钥加密，
随机认证响应并发送到无线 AP 无线 AP采用共享密钥解密。如解密
后的随机认证消息与发送的随机认
证消息完全相同，则容许无线客户
端接入。否则，无线客户端为非法
用户，拒绝接入 WLAN。
由于 WEP在考虑安全性和易用性之间的
均衡时, 更多地考虑了易用性和加密算法的高
效性, 在 WEP默认配置, 加密, 密钥管理和
服务设置标识等方面已经发现存在大量的漏洞,
为蓄意破坏 IEEE 802.11 系列 WLAN上信息
资源的保密性, 完整性和有效性提供了条件 。
10.3 无线局域网有线等价保密
安全漏洞
多数用户在安装无线网络适配器和无线 AP
设备时, 只要求这些设备能够正常工作就可以
了, 很少考虑启用并正确配置无线安全性, 通
常都使用默认配置, 而且正常工作后很少再重
新配置 。 开放系统认证是 WEP的默认配置,
由于在开放系统认证方式下, 任意无线客户端
都可以接入 WLAN。
10.3.1 WEP默认配置漏洞
开放系统认证就好像在无线链路上设置了一个
公共用户端口, 任何无线客户端都可以接入并使
用 WLAN资源 。 可以发送数据, 监听通信内容,
访问 WLAN共享资源或通过无线 AP访问有线网络
上的共享资源, 也可以窃取或破坏保密数据, 安
装 病 毒 或特 洛 伊 木马 程 序, 甚 至可 以 利 用
Internet 连接发送病毒邮件或作为傀儡机向其他
远程计算机发动攻击, 恶意流量有可能被追溯到
使用默认配置的 WLAN。
开放系统认证的作用
由图 10.7所示的 WEP加密过程可知, 密文
是通过明文流与密钥流按位异或形成的, 然后
密文再与初始向量连接构成密文消息 。 如果所
有 WEP帧都采用相同的密钥和初始向量加密,
即使不知道共享密钥, 利用重复使用的初始向
量完全有可能破译出加密的 WEP帧 。
10.3.2 WEP加密漏洞
破译的最简单方法就是对密文消息进行 按位异或运
算, 然后剔除密钥流和初始向量, 其结果是两个明文流
的异或形式 。 如知道其中一个明文流, 计算另一个明文
流并不困难 。
由于 IEEE 802.11没有明确规定初始向量的使用方
法, 许多厂商在设计 WLAN设备时, 简单地将设备启动
时的初始向量设置为 0,然后再 逐次加 1。 多数用户都会
在每天早晨几乎相同的时间重新启动设备, 大大增加了
初始向量的重用率 。 只要获得足够多的相同初始向量,
就有可能从密文消息中破译出密钥或明文 。
破译方法
由于 IEEE802.11初始向量只有 24位, 可用空间
十分有限 。 就目前的计算能力而言, 短时间内就可以
穷举完所有的初始向量 。 有限的初始向量空间, 也会
导致密钥重用率提高, 降低了密钥破译的难度 。
WEP采用共享密钥加密和解密数据, 如果需要更
改密钥, 就必须告知与之通信的所有节点, 了解
秘密的人越多, 秘密信息也就变成了公开信息 。
WEP加密 的缺陷
事实上, WEP并没有提供真正意义上的密钥管理机
制, 需要依赖 Internet工程任务组 IETF（ engineering
task force） 提出的远程认证拨号用户服务 RADIUS
（ remote authentication dial-in user service） 或
Cisco 公司提出的扩展认证协议 EAP （ extensible
authentication protocol） 等外部认证服务, 但多数
小型企业或办公在部署 WLAN时, 并不会使用造价昂贵
的专用认证服务器 。
10.3.3 WEP密钥管理 漏洞
尽管 WEP容许用户自己配置共享密钥, 但由
于手工配置共享密钥十分麻烦, 且多数用户不熟
悉密钥配置过程 。 无线网络适配器和无线 AP在出
厂时都带有 4个默认的密钥, 大多数用户一般都是
从 4个默认密钥中选择 1个作为共享密钥 。 但厂商
通常对密钥都进行了标准化, 因此, 只要知道设
备生产厂商和类型, 通过检索厂商缺省列表就有
可能获得共享密钥 。
共享 密钥的获取
WEP也容许在无线客户端建立一个密钥映射
表, 记录 MAC地址与共享密钥之间的对应关系 。
多个无线客户端之间直接利用 MAC地址进行通信,
MAC地址的随机性很强, 用 MAC地址代替共享
密钥从表面上看是提高了安全性 。 众所周知,
MAC地址同样也是经过标准化的, 如果能够知晓
设 备 生 产 厂 商, 从 IEEE 网站
http//:standards.ieee.org/regauth/oui 可
以很容易检索到分配给厂商的 MAC地址范围 。
密钥映射表的建立
服务设置标识 SSID是 WLAN的名称, 也可以
将一个 WLAN分为多个要求不同身份认证的子网,
用于区分不同的服务区 。 IEEE 802.11采用 SSID
实现基本的资源访问控制, 防止未经授权的无线
客户端进入 WLAN子网 。 无论是有固定基础设施
还是无固定基础设施的 WLAN,无线客户端都必
须出示正确的 SSID才能访问无线 AP或其他无线客
户端 。 事实上, SSID只是一个简单的口令身份认
证机制 。
10.3.4 服务设置标识 漏洞
多数制造商在其生产的无线 AP中设置了默认 SSID，
甚至在设备使用说明中明确指出默认的 SSID。 如果部
署 WLAN时不改变厂商默认的 SSID,任何人通过网上
检索或安装指南都很容易获得默认 SSID。 只要将无线
客户端的 SSID修改成无线 AP默认的 SSID,就有可能
非法接入 WLAN,表 10.1为目前市场上无线 AP主要生
产厂商使用的默认 SSID。 同一个生产厂商的无线 AP和
无线网络适配器一般具有相同的默认 SSID。 即使不知
道默认的 SSID,只要使用同一厂商的无线网络适配器
也可以非法接入无线 AP。
默认 SSID的作用
默认 SSID的获取
还有一些厂商使用无线网络适配器的半个 MAC地址作
为默认 SSID,MAC地址采用 16进制数字表示, 长度为 6个
字节 。 前 3个字节是 IEEE分配给厂商的 唯一标识 OUI
（ organizationally unique identifier）, 后 3个字节为
网络适配器的唯一标识编码 。 由于同一个厂商的 OUI是完
全相同的, 因此, 无论使用前半个还是后半个 MAC地址作
为默认 SSID,检索或推测出默认 SSID并不是一件十分困
难的事情 。 此外, 著名的 2600黑客杂志网站收集了几乎所
有 厂 商 的 默 认 SSID 和 WEP 密钥
（ http://mediawhore.wi2600.org/nf0/wireless/ssi
d_defaults/）
无线 AP主要厂商默认 SSID表
厂商名称 默认 SSID
Cisco tsunami
Linksys inksys
TP-LIN wireless
ACCTON WLAN
Compaq Compaq
Intel intel,xlan,101
Above Cable CTC
3COM 101
EOIN Technologies WLAN
Dell wireless
SMC WLAN
表 10.1 无线 AP主要厂商默认 SSID
10.4 无线局域网安全危胁
10.4.1 无线局域网探测
1,战争驱车探测
无线网络攻击步骤与有线网络攻击类
似, 第一步是发现目标无线网络 。 多数机
构都使用防火墙作为内部网络的第一道安
全防线, 因为防火墙能够有效地隔离内部
网和开放的 Internet。
战争驱车探测
但内部网中私自与 Internet连接的调制解调器
给内部网安全留下了隐患, 使用战争拨号器 （ war
dialers） 软件随机拨打电话号码, 能够迅速发现
接入 Internet的调制解调器, 人们将寻找隐藏调制
解调器的方法称为战争拨号 （ war dialing） 技术,
其中, 战争拨号中的战争 （ war） 一词取自著名电
影真假战争 （ war games） 。
由于探测 WLAN的方法有些类似战争拨号技术,
人们将携带移动设备驱车到处转悠寻找 WLAN的方
法称为战争驱车 （ war driving） 技术 。 战争驱车,
战争驾驶或战争驾车都是 war driving的直译, 事
实上, war driving是泛指各种搜索无线局域网信
息的技术, 也许用无线局域网探测或扫描能更好地
表示 war driving的含义 。
战争驱车技术的由来
目前网络上有 Windows,Unix,Linux和
Mac OS操作系统平台下运行的多种无线局域网探
测和定位软件, 表 10.2列举了部分常用开放源码
或非商业无线局域网探测软件, 同时还给出了这些
软件的名称, 当前最高版本, 操作系统平台和下载
地址, 其中最著名的 WLAN探测和定位软件是由
Marius Milner开发的 Netstumbler。
战争驱车探测 软件
常用开放源码或非商业 WLAN探测软件
表 2 常用开放源码或非商业 WLAN探测软件
程序名称 最高版本 操作系统 软件类型 下载地址
NetStumbler 0.4.0 WINDOWS 免费
MiniStumbler 0.4.0 免费WINDOWS、CE
http://www.netstumbler.com/
downloads
http://www.netstumbler.com/
downloads
Kismet 04-10-R1 Unix、Linux 开放源码 http://www.kismetwireless.net/
SSIDSniff 0.4.0 Unix、Linux 开放源码 http://netsecurity.about.com/gi/dynam
WiFi Scanner 0.9.6 Unix、Linux 开放源码
开放源码
http://sourceforge.net/projects/
IStumbler 92 MAC OSX http://www.istumbler.net/
表 2 常用开放源码或非商业 WLAN探测软件 （ 续 ）
Wifimap
程序名称 最高版本 操作系统 软件类型 下载地址
0.3.1
1.9
https://sourceforge.net/projec
ts/wifimap
http://www.remote-exploit.org/
0.09a
Unix,Linux
WINDOWS
开放源码
http://kismac.binaervarianz.de/
0.7.3 Unix、Linux
开放源码
http://prismstumbler.sourcef
orge.net/开放源码
开放源码
Wellenreiter Unix、Linux
KisMAC MAC OSX
Prismstumbler
常用开放源码或非商业 WLAN探测软件
2.Netstumbler简介
Netstumbler 0.4.0要求在 Windows 2000、
Windows XP或更高操作系统版本下运行, 虽然未
公 开 源 代 码, 但可以免费使用 。 目前支持
IEEE802.11b,802.11a和 802.11g无线网络适
配 器 和 全 球 定 位 系 统 GPS （ global position
system）, 事实上, Netstumbler并不是一个专
用的 WLAN探测和定位工具 。
Netstumbler简介
其主要功能是 WLAN安全审计, 信号质量
检测, 安装位置选择, 探测与定位, 安全审计
供网络管理员检测自己周围是否存在恶意
WLAN,信号质量检测可以确定覆盖区内的信
号质量及覆盖范围, 安装位置选择能够为
WLAN选择干扰最小的安装位置, 探测和定位
结合 GPS实现战争驱车功能 。
Netstumbler的主要功能
Netstumbler通过向周围的 WLAN发送
探测请求, 能够获得目标 WLAN的 MAC地址,
SSID,无线 AP名称, 数据传输速率, 设备
制造商, AP网还是自组网, 是否加密, IP
地址, 信号强度及所在经纬度等信息 。
Netstumbler如何探测
无线局域网监听的机制和方法与广播机制以
太局域网相同, 需要利用无线网络适配器的混杂
工作模式从数据链路层实时截获数据帧, 然后通
过网络协议解协获取数据帧的内容 。 目前绝大多
数无线 AP属于无线集线器, 对于无线集线器共
享网络环境, 只要将网络适配器设置成混杂工作
模式, 就可以监听到整个 WLAN内的数据帧流量 。
10.4.2 无线局域网监听
无线交换 AP交换网络环境给 WLAN监听增
加了困难, 由于每个无线客户端都是一个独立的
网段, 不同网段之间通过交换 AP内部的网桥互
联 。 因此, 网络适配器混杂工作模式并不能截获
到其他网段的任何数据帧 。 如果利用无线集线器
将无线交换网络转换成共享网络, 就有可能实现
对无线交换网络的监听 。
无线交换网的监听
目前有许多软件工具支持无线局域网监听, 除
第 六 章 第 二 节 介 绍 的 Tcpdum, Ethereal,
Ngrep等网络数据包采集与分析工具之外, 诸如
Airopeek, Kismet, Airsniffer, AirTraf,
Airjack,LibRadiate,Mognet,APsniff等都可
以实现无线局域网监听任务 。 如果 WLAN以明文方
式传输数据, 这些无线局域网监听工具都可以解析
出传输内容 。
无线局域网监听 软件
即使 WLAN采用了加密保护机制, 甚至不需要自己
从密文消息中破译密钥, 因为有众多免费 WLAN密钥破
译软件供使用 。 例如, Wepcrack, Airsnort,
Weplab, Aircrack, Airsnarf, Asleap,
WepAttack都是当前网络上流行的 IEEE802.11 WEP
密钥破译软件 。 多数破译软件只要采集 5百万至 1千万
左右的加密分组, 利用 WEP加密漏洞就可以计算出
WEP密钥, 另一些破译软件则采用传统的字典攻击手
段, 试图猜测出密钥 。
WEP密钥破译软件
无线局域网欺诈 （ fraud） 就是利用默认配置漏洞,
加密漏洞, 密钥管理漏洞和服务设置标识漏洞等突破身
份认证的封锁, 假冒合法无线客户端或无线 AP骗取
WLAN的信任, 窃听重要机密信息或非法访问网络资源
的攻击行为 。 尽管 IEEE 802.11 WLAN开放系统认证
容许所有无线客户端接入无线 AP,但没有正确的共享
密钥, 欺诈客户端只能与无线 AP或其他无线客户端明
文通信, 并不能窃听到以密文传输的重要机密信息 。
10.4.3 无线局域网欺诈
封闭系统认证则要求无线客户端提供正确的 SSID，
共享密钥认证不仅要求无线客户端提供正确的共享密钥,
还要求出示正确的 SSID,只有通过身份认证的无线客
户端才能接入 WLAN。 因此, 实现欺诈的关键是突破身
份认证, 而通过身份认证最简便的办法就是设法获得
SSID和 WEP共享密钥 。 如前 SSID漏洞所述, 获取
SSID并不困难, 窃取或破译 共享密钥 才是 WLAN欺诈
的关键要素 。
WLAN欺诈 的关键
除了使用众多免费的 WEP共享密钥破译软件之
外, 由于 WEP共享密钥认证过程相对简单, 通过 伪
造合法 的共享密钥认证过程, 仍然有可能实现欺诈
意图 。 在共享密钥认证方式下, 无线 AP收到认证
请求后, 以明文形式发送一个 128位的随机认证消
息, 随机认证消息由共享密钥和初始向量通过 RC4
加密算法生成, 无线客户端用共享密钥对随机认证
消息加密后回送给无线 AP。
利用 WEP共享密钥认证欺诈
如果能够积累大量回送给无线 AP的加密随机
认证报文, 就有可能破译出无线客户端对明文流
加密使用的密钥流, 因为加密随机认证报文中隐
藏了密钥流 。 一旦窃听到发送给客户端的明文随
机认证响应, 就可以用密钥流伪造一个合法的加
密随机认证报文, 无线 AP必然错误地认为这是一
个合法的无线客户端, 共享密钥认证欺诈过程如
图 10.11所示 。
共享密钥认证欺诈
IEEE 802.11 WLAN除采用 SSID和 WEP共享密钥
安全机制之外, MAC地址过滤也是重要的安全措施之
一 。 将 SSID,MAC地址过滤和 WEP共享密钥多种安全
机制组合起来, 能够在很大程度上降低安全威胁, 多数
无线 AP在开放系统认证, 封闭系统认证和共享密钥认
证方式下都支持 MAC地址过滤 。 MAC地址过滤就是用
无线网络适配器的物理地址来确定无线客户端的合法性,
在 MAC地址过滤之前, 需要在无线 AP建立容许访问
WLAN的 MAC地址列表 。
MAC地址过滤
只有当无线客户端提交的 MAC地址能够与无线 AP建立
的 MAC地址列表匹配时, 才容许访问 WLAN。 如果在封闭
系统认证方式下配置了 MAC地址过滤, 无线客户端不仅要
向无线 AP出示正确的 SSID,还需要提交合法的 MAC地址 。
无线客户端首先向无线 AP发送 SSID认证请求, 如果是开放
系统认证, 则可以发送任意 SSID认证请求 。 如果提交的
SSID能够与无线 AP的 SSID匹配, 无线 AP将返回认证成功
应答 。 但此时无线客户端还不能接入 WLAN。 无线客户端
需继续向无线 AP发送 MAC地址连接请求, 如提交的 MAC地
址位于合法 MAC地址列表, 则无线 AP授权无线客户端的连
接请求 。
如何访问 WLAN
尽管 MAC地址过滤机制增强了 WLAN的安全
性, 但也为无线局域网欺诈提供了机会 。 由于无
线客户端以明文方式向无线 AP发送 MAC地址连
接请求, 利用无线局域网监听工具, 很容易窃取
WLAN中其他无线客户端向无线 AP发送的合法
MAC地址 。
MAC地址过滤的缺点
如果能知道无线客户端使用的无线网络适配器生产
厂商, 破译 MAC地址要比破译 WEP共享密钥容易的多,
因为 MAC地址是通过标准化生成的 。 通过伪造合法
MAC地址就可实现无线局域网欺诈, 操作系统和无线网
络适配器支持 MAC地址重新配置功能, 也为 MAC地址
欺诈提供了方便, 封闭系统认证 MAC地址欺诈过程如图
10.12所示 。 如果伪造 MAC地址的无线客户端和合法
MAC地址的无线客户端同时在线, 必然会破环 ARP缓冲
表 。 所以利用 MAC地址欺诈接入 WLAN之前, 需要用
WLAN监听工具确认合法 MAC地址是否在线 。
破译 MAC地址的作用
认证欺诈 图
无线客户端 无线 AP
SSID认证请求
随机认证响应
伪造加密随机认证
欺诈认证成功
图 10.11 共享密钥认证欺诈成功 图 10.12 封闭系统认证 MAC地址欺诈成功
认证成功应答
伪造 MAC地址连接请求
授权连接请求
SSID认证请求
无线客户端 无线 AP
无线 AP欺诈是指在 WLAN覆盖范围内秘密安
装无线 AP,窃取通信, WEP共享密钥, SSID、
MAC地址, 认证请求和随机认证响应等保密信息
的恶意行为 。 事实上, WLAN固有的性质不仅为
无线局域网欺诈提供了方便, 也为在 WLAN附近
安装欺诈无线 AP提供了便利条件 。
10.4.4 无线 AP欺诈
为了实现无线 AP 欺诈目的, 需要首先利用
Netstumbler等 WLAN探测和定位软件, 获得合法无线
AP的 SSID,信号强度, 是否加密等信息 。 根据信号强度
能够将欺诈无线 AP秘密安装到合适位置, 确保无线客户
端可以在合法 AP和欺诈 AP之间切换, 自然还需要将欺诈
AP的 SSID设置成合法无线 AP的 SSID值 。 如果 WLAN采
用开放系统认证或封闭系统认证, 无线 AP欺诈已经成功 。
如果 WLAN采用共享密钥认证, 还需要设法获得 WEP共
享密钥才能欺诈成功 。
无线 AP欺诈的实现
发现欺诈无线 AP的最简单方法就是使用
无线局域网探测软件, 因为无线局域网探测
软件的基本功能就是试图发现非法无线 AP，
但前提是欺诈无线 AP采用了开放系统认证,
因为在封闭系统认证或共享密钥认证方式下,
无线 AP并不广播自己的 SSID。 WLAN欺诈
无线 AP如图 10.13所示 。
发现无线 AP欺诈的方法
WLAN欺诈无线 AP图
合法无线 AP
欺诈无线 AP
有线网络
图 10.13 WLAN欺诈无线 AP
无线局域网劫持 （ hijack） 是指通过 伪造 ARP
缓冲表 使会话流向指定恶意无线客户端的攻击行为,
无线局域网劫持原理与有线网络的会话劫持相同, 主
要是利用了 ARP协议中存在的请求与应答报文漏洞 。
通过网络层将 MAC地址隐藏起来, 使用统一的 IP地
址通信可以使 TCP/IP协议与具体的物理网络无关,
但主机在数据链路层必须使用 MAC地址才能实现通
信, 正是 ARP协议提供了 IP地址到 MAC地址的映射
服务 。
10.4.5 无线局域网劫持
ARP协议采用动态绑定 （ dynamic binding） 方式
解析目标主机的 MAC地址, 当主机发送数据时, 首先查
询本机的 ARP缓冲表, 如检索到目标 IP地址对应的 MAC
地址, 将 MAC地址封装在数据帧头内就可以实现数据链
路层之间的通信 。 如果未检索到目标 IP地址对应的 MAC
地址, 则在本网段内广播 ARP请求报文, 只有同目标 IP
地址相同的主机才回送包含 MAC地址的 ARP应答报文 。
如果目标 IP地址位于其他网络, 主机将 ARP请求报文发
送给路由器, 路由器再报告自己的 MAC地址, 然后由路
由器转发数据报文 。
ARP协议
由于在设计 ARP协议时没有考虑 ARP发送请
求进程与侦听应答进程之间的关联, 换句话说,
发送主机接收到 ARP应答报文时, 并不清楚是否
曾发送过 ARP请求报文 。 主机只要接收到 ARP应
答报文, 就将 MAC地址保存到 ARP缓冲表中 。 正
是 ARP发送请求进程与侦听应答进程之间的无关
联性, 为通过伪造 MAC地址实现会话劫持提供了
机会 。
ARP的缺陷
同一网段及不同网段内的无线局域
网劫持过程如 10.14所示 。
恶意劫持举例
同网段及不同网段内 WLAN劫持过程
会话劫持
无线 AP
IP,192.168.0.0
无线客户端
恶意客户端
IP,192.168.0.1
MAC,00-00-86-01-02-0B
Internet
无线客户端
IP,192.168.0.2
IP,192.168.0.3
MAC,00-00-86-01-02-0D
图 10.14 同网段及不同网段内
WLAN劫持过程
无线 AP
交换机
路由器
防火墙
劫持同一网段内 IP地址为
192.168.0.0的无线客户端会话
过程：
知道对方的 IP地址, 并向其发送一个
包含自己 00-00-86-01-02-0B MAC
地址的 ARP应答报文无线客户端将错
误地认为 00-00-86-01-02-0B就是目
标主机的 MAC地址, 此时无线客户端
的所有报文将被劫持到恶意无线客户
端 。
劫持另一网段内 地址为
2的无线客户端会话
过程：
必须向路由器发送伪造 MAC地址 00-
00-86-01-02-0B,使路由器 ARP缓
冲表错误地将无线客户端的 IP地址
192.168.0.2 映射成 00-00-86-01-
02-0B恶意 MAC地址, 路由器会将无
线客户端发送的所有报文错误地转发
到恶意无线客户端
如何防止会话劫持
目前网络上存在大量免费的 会话劫持软件, 甚至有
些劫持软件还提供源代码, 只要在搜索引擎中输入关键
词 ARP Spoof 就可以发现众多的劫持软件 。 例如,
Dsniffer, Bktspibdc, WCI, ARP0C2, Hunt,
Fake,ARPtool等都是典型的 ARP会话劫持软件 。 从
无线局域网会话劫持的原理可以看出, 能够实现会话劫
持的前提是 ARP协议使用了动态绑定机制 。 因此, 只要
采用静态 ARP缓冲表就可以有效地防止这种会话劫持攻
击, 但手工维护大量的静态 MAC地址会给安全管理增加
额外的负担 。
无线网络安全
10.1 无线网络标准
10.1.1 第二代无线峰房移动网
10.1.2 通用分级无线业务网
10.1.3 第三代无线峰房移动网
10.1.4 IEEE802.11无线局域网
10.1.5 HiperLAN/2高性能无线局域网
10.1.6 HomeRF 无线家庭网
10.1.7 蓝牙短距离无线网
10.1.8 IEEE802.16无线城域网
第十章 无线通信网络安全
10.2 无线局域网有限等价保密机制
10.2.1 有线等价保密 WEP
10.2.2 有线等价保密加密与解密
10.2.3 IEEE802.11身份认证
第十章 无线通信网络安全 （ 续 ）
10.3 无线局域网有线等价保密安全与漏洞
10.3.1 WEP默认配置漏洞
10.3.2 WEP加密漏洞
10.3.3 WEP密钥管理漏洞
10.3.4 服务设置标识漏洞
第十章 无线通信网络安全 （ 续 ）
10.4 无线局域网安全威胁
10.4.1 无线局域网探测
10.4.2 无线局域网监听
10.4.3 无线局域网欺诈
10.4.4 无线 IP欺诈
10.4.5 无线局域网劫持
第十章 无线通信网络安全 （ 续 ）
? 有线网络, 采用铜线或光缆等传输介
质实现数据通信的网络。
? 无线网络, 采用无线链路实现数据通
信的网络。
第十章 无线通信网络安全
随着移动电话, 个人数字助理, 笔记本计算机, 掌
上计算机等各种便携式终端的迅速发展, 可以随时随地
进行通信的无线网络日益受到重视, 无线网络为移动计
算提供了支撑环境 。 相对于有线网络, 无线网络为用户
提供便利性的同时, 也为基于无线链路和智能移动终端
蓄意破环, 篡改, 窃听, 假冒, 泄露和非法访问信息资
源的各种恶意行为提供了方便 。 因此, 无线网络比有线
网络存在更多的安全隐患和威胁 。
第十章 无线通信网络安全
此外, 由于无线网络本身体系结构复杂,
传输速率慢, 信号易受干扰, 安全隐患多, 通
信成本高等固有的局限性, 目前有线网络仍然
是计算机网络的主体, 无线网络只是有线网络
的补充, 主要用于不便布线和要求移动计算的
场合 。
第十章 无线通信网络安全
10.1 无线网络标准
无线通信网络根据 应用领域 可分为：
? 蜂房移动通信网
? 无线局域网
? 无线个人区域网
? 无线城域网等多种类型
随着无线通信技术的迅速发展, 出现了多种无线通
信网络标准 。 蜂房移动通信正在从广泛使用的全球移动
通信系统, 码分多址, 通用分组无线业务向国际移动电
信第三代移动通信标准过渡 。 无线局域网有 IEEE
802.11和满足多媒体数据业务需求的高性能无线局域网
标准, 无线个人区域网包括无线家庭网和蓝牙短距离无
线网标准, 面向大范围覆盖的无线城域网标准 IEEE
802.16也在逐步实施之中 。
无线网络标准
10.1.1 第二代蜂房移动通信网
20世纪 70年代诞生的模拟蜂房移动通信系统是第
一代 （ 1G） 移动通信系统, 1G系统采用模拟信号传输
方式实现语音业务, 使用频分多址 FDMA（ frequency
division multiple address） 接入技术划分信道 。 由
于 1G系统存在诸如频谱利用率低, 语音质量差, 接入
容量小, 保密性差和不能提供数据通信服务等先天不足,
目前已被数字蜂房移动通信系统取代, 形成了覆盖全球
的第二代 （ 2G） 移动通信网 。
目前 2G移动通信系统主要有：
? 全球移动通信系统 GSM（ global system for
mobile communication）
? 码分多址 CDMA（ code division multiple
access）
两大移动通信标准 。
2G移动通信系统
1991 年 欧 洲 电 信 标 准 协 会 ETSI
（ European telecommunication standard
institute） 推出的 GSM泛欧数字蜂房移动通信
标准, 不仅提供了移动电话语音服务, 还提供
了紧急呼叫, 短消息, 语音信箱, 可视图文等
多种数据服务 。
全球移动通信系统 GSM标准
GSM 采 用 时 分 多 址 TDMA （ time division
multiple address ） 窄 带 标 准, 可 以 分 别 工 作 在
900MHz,1800MHz和 1900MHz三个不同频段, 其中
900MHz频段又分为 E-GSM900MHz和 GSM900MHz
两个频段 。 E-GSM900MHz频段的上行, 下行频率分别
为 880~890MHz和 925~935MHz,GSM900MHz频
段的上行, 下 行 频 率 分 别 为 890~915MHz 和
935~960MHz,双工间隔为 45MHz。 1800MHz频段
的 上 行, 下 行 频 率 分 别 为 1710~1785MHz 和
1805~1880MHz,双工间隔为 95MHz。
GSM900MHz频段
1900MHz 频 段 的 上 行, 下 行 频 率 分 别 为
1850~1910MHz 和 1930~1990MHz, 双 工 间 隔 为
80MHz。 GSM标准最大可提供 9.6kbps的数据传输速率,
我国和世界上其他 170多个国家采用 GSM标准, 我国,
欧洲和东南亚地区都采用 900MHz和 1800MHz频段 。 上
行和下行载波频率各占用 25MHz带宽, 移动电话的接收
频率比发射频率高, 构成一个频分双工信道 。 在 25MHz
带宽内分成 124个 TDMA载波信道, 每个载波信道占用
200kHz的带宽 。 载波信道又分成 8个时隙, 每个时隙宽
度为 0.578ms,时隙就是 TDMA物理意义上的信道 。
900MHz和 1800MHz频段
GSM900MHz频段的频分双工频谱分配如图所示：
915MHz 935MHz 960MHz
···
45MHz25MHz 25MHz
上行 下行双工间隔
890MHz
200kHz
···
图 10-1 GSM频分双工频谱分配
GSM频分双工频谱分配图
2.码分多址 CDMA标准
? FDMA以不同频率区分移动电话地址，其特点
是频带独占而时间资源共享。
? TDMA采用不同时隙区分地址，特点是时隙独
占而频率资源共享。
? CDMA则采用不同码型区分地址，特点是码型
独占而频率和时间资源共享。
码分多址 CDMA标准
由于分配给移动电话的地址码型具有唯一
性, CDMA系统就能够在同一时间和同一频率
下实现通信, 因而拥有巨大的通信容量 。 图
10.2为采用频率划分前向和反向信道的 CDMA
码分信道, 基站对移动电话方向为前向信道,
其载波频率为 f1,移动电话对基站方向为反向信
道, 载波频率为 f2。
码分多址 CDMA标准
每个移动用户分配一个地址码型 Cj, 且不同
地址码型 C1,C2,Cj, …, Ck相互正交 。 地址码
型和移动用户具有一一对应关系, 因此, 利用地
址码型就可以实现选址通信 。 在蜂房移动通信系
统中, 为了充分利用信道资源, 地址码型是由基
站通过信令信道动态分配给移动用户的 。
地址码型的作用
C1 C2 C3 Ci Ck··· ···前向信道 f1
C1 C2 C3 Ci Ck··· ···反向信道 f2
图 10.2 CDMA频分双工码分信道
CDMA频分双工码分信道
CDMA 系 统 采 用 了 扩 频 通 信 （ spread
spectrum） 技术
? 扩频通信就是扩展基带信号的频谱, 其带宽通
常是基带信号频带的 100~1000倍 。
? 扩频通信具有很强的信号抗干扰能力, 而且扩
频信号的频谱接近白噪声, 有利于信号隐蔽和
通信保密 。
扩频通信技术
早期扩频通信主要用于军事通信, 随着扩
频通信技术的发展, 目前已广泛用于民用移动
通信 。 扩频通信的理论基础是式 （ 10.1） 给出
的著名 香农 （ Shannon） 定理, 其中 C 表示信
道的极限信息传输速率, W 为信号带宽, S 是
信道内信号的平均功率, N 是信道内高斯噪声
功率 。
香农定理
香农定理说明, 在保持信道信息传输速率
不变的前提下, 扩展信号带宽就相当于提高
了信号的信噪比, 增强了信号的抗干扰能力 。
)(1log
2 N
SWC += （ 10.1）
香农定理
目前广泛使用的扩频技术主要有,
? 直 序 扩 频 DSSS （ direct sequence
spread spectrum）
? 跳 频 扩 频 FHSS （ frequency hopping
spread spectrum）
主要的扩频技术
? DSSS在发送端使用伪随机码扩展信号频谱,
接收端使用相同的伪随机码将扩频信号恢复成
基带信号 。
? FHSS也使用伪随机码扩展信号频谱, 但扩频
方法与 DSSS不同 。 FHSS首先用伪随机码形成
跳频指令, 跳频指令控制载波频率在跳频带宽
内随机跳变, 达到扩展信号频谱的目的 。
DSSS和 FHSS
美国 Qualcomm公司提出的 Q-CDMA是世
界上第一个商用 CDMA数字蜂房移动通信系统,
后经美国电信工业协会批准成为 CDMA/IS-95
标准 。 前向信道, 反向信道的频段分别为
869~894MHz和 824~949MHz,载波间隔为
1.25MHz, CDMA/IS-95 标 准 最 大 可 提 供
9.6kbps的数据传输速率 。
Q-CDMA系统
GSM和 CDMA都是典型的电路交换数字蜂
房移动通信标准, 随着 Internet的迅速发展,
基于 IP分组交换的数据传输必然成为无线通信
的发展目标 。 但 IP移动通信需要一个逐步成熟
的过程, 为此诞生了过渡阶段的 2.5G移动通信
标准 。
10.1.2 通用分组无线业务网
欧洲电信标准协会提出的 通用分组无线业务
GPRS(general packet radio service) 是 典 型 的
2.5G移动通信标准之一 。
? 采用分组交换传输模式
? 以语音通信为主, 数据通信为辅
? 最大可提供 171.2kbps的数据传输速率
GPRS是在 GSM移动通信系统的基础上提供的分
组无线业务标准, 是 GSM迈向 3G的重要步骤 。
GPRS移动通信标准
GPRS与 GSM具有相同的频段, 双工间隔, 频带宽度,
载频间隔和 TDMA帧结构, 但现有的 GSM移动终端不能
直接在 GPRS中使用 。 由于采用了分组交换技术, 用户只
在数据通信期间占用信道资源, 在提高信道资源利用率的
同时, 也为按通信数据量, 业务类型和服务质量计费奠定
了基础 。 GPRS支持 Internet上应用广泛的 IP协议和
X.25协议, 能够无线接入 Internet和其他分组网络 。 目
前世界上已有近百个移动运营商开通了 GPRS商用系统,
中国移动通信集团公司也于 2002年 5月 17日正式推出了
GPRS商用服务 。
GPRS的使用
10.1.3 第三代蜂房移动通信网
国 际 电 信 联 盟 ITU （ international
telecommunication union） 早在 1985年就提出了
第三代 （ 3G） 移动通信的雏形, 当时称为未来公众陆
地移动电信系统 FPLMTS （ future public land
mobile telecommunication systems）, 1996年
ITU 将 其 正 式 更 名 为 国 际 移 动 电 信 IMT-2000
（ international mobile telecommunication-
2000）, 隐含的意义是 3G移动通信工作在 2000MHz
频段并于 2000年实现商用 。
尽管 GSM和 CDMA形成了全球 2G移动通信的主流
标准, 但不同国家和运营商使用的标准和频段仍然有很
大差异, 很难实现移动用户的全球漫游 。 IMT-2000希
望在全球范围内统一标准和频段, 为实现全球无缝漫游
消除障碍；在提高频谱利用率的同时, 提供文本, 语音,
音乐, 图像, 视频等多媒体移动通信服务 。 并根据不同
移动用户的需求, 可分别支持 2Mbps,384kbps和
144kbps的数据传输速率 。
3G的目标
当移动速度小于 10km/h时, 3G移动通信可
提供 2Mbps的数据传输速率；小于 120km/h时,
提供 384kbps的速率；大于 120km/h时, 能够
支持 144kbps的速率 。 因此, 统一标准和频段,
提高频谱利用率和支持多媒体移动通信正是 3G移
动通信与 2G的主要区别 。
3G移动通信与 2G的区别
由于移动通信标准直接影响国家, 运营商和移动终
端生产厂商的经济利益, ITU在协调多方利益的基础上,
于 2000年 5月从 10个 3G移动通信候选方案中确定了 5
个推荐标准, 其中：
? 欧洲提出的 宽带 WCDMA（ wideband CDMA）
? 美国提出的 CDMA2000
? 中国制定的 时分同步 TD-SCDMA（ time division-
synchronous CDMA）
最有可能成为未来 3G移动通信的主流标准 。
3G移动通信的主流标准
欧洲提出的宽带 WCDMA采用频分双工
FDD（ frequency division duplex） 信道 。
WCDMA的支持者主要是欧洲, 日本等国家
的 GSM网络运营商和生产厂商, 能够在现有
GSM网络基础上, 途径 GPRS逐步过渡到 3G
移动通信 。
宽带 WCDMA
中国制定的时分同步 TD-SCDMA采用时分双工 TDD
（ time division duplex ） 信道 。 美 国 提 出 的
CDMA2000采用频分双工 FDD（ frequency division
duplex） 信道 。 CDMA2000是在 CDMA/IS-95基础上
制定的标准系列, 包括 CDMA2000 1X,CDMA2000
1X EV-DO,CDMA2000 1X EV-DV和 CDMA2000
3X多个子标准, 计划分多个阶段逐步实施 。 北美, 韩国,
日本等国家的 CDMA网络运营商和生产厂商是其主要支
持者 。
CDMA2000标准系列
CDMA2000 1X 为 第 一 过 渡 阶 段, 在
CDMA/IS-95基础上引入了 分组交换技术, 能
够支持移动 IP业务, 最大数据传输速率为
308kbps。 类似于 GSM系统中的 GPRS,多数
人将 CDMA2000 1X归类到 2.5G移动通信 。
CDMA2000 1X EV-DO和 CDMA2000 1X EV-
DV是 CDMA2000 1X的演变升级体制, 其中 EV
就是英文 evolution的缩写 。
CDMA2000 1X的特点
? CDMA2000 1X EV-DO（ data only） 采用 专用
数据信道 传输数据, 目的是要提高数据传输速率,
最大数据传输速率可达到 2.4Mbps。
? CDMA2000 1X EV-DV（ data and voice） 采用
数据信道 和 语音信道 共享方式, 在提高接入容量
的同时, 将最大数据传输速率提高到 3.1Mbps。
CDMA2000 1X标准
? CDMA2000 3X是 CDMA2000的第二过渡阶段, 同
CDMA2000 1X的主要区别就是前向信道采用 3载波
方式 。
? CDMA2000 1X采用单载波方式, 多载波方式能够提
供更高的数据传输速率 。
? TD-SCDMA是中国在 ITU首次获准的移动通信技术标
准, 最大数据传输速率为 2Mbps。 由于中国具有庞大
的移动通信市场, 目前世界上已有多家电信设备厂商
宣布支持 TD-SCDMA标准 。
CDMA2000 标准系列
根据 ITU在 2004年 12月的统计, 2004年
全球移动通信用户总数已超过 15亿, WCDMA
和 CDMA2000 1X EV-DO第三代移动通信用
户总数已超过 2000万 。 根据我国信息产业部
2004年的统计, 仅 2004年就新增移动通信用
户 6400万, 移动用户总数达到 3.34824亿 。
全球移动通信用户统计
能够在有限范围内实现无线通信的网络称
为 无线局域网 WLAN（ wireless local area
network） 。
WLAN分为：
? 有固定基础设施
? 无固定基础设施
10.1.4 IEEE802.11无线局域网
? 固定基础设施 指预先建立的基站或接入点 AP
（ access point）, 主要用于将无线客户端接
到现有的有线网络, AP网络节点用于桥接有
线网络和 WLAN。
? 在有固定基础设施模式下, 无线客户端与其他
无线客户端及有线网络主机之间的通信需要
AP转发, 才能发送到目的端 。
固定基础设施
没有 AP的 WLAN 也称为 自组网络 （ ad
hoc network） 或对等网络 （ peer to peer
network）, 主要用于无线客户端之间的通信,
自组网络最多容许 9个无线客户端 。 有固定基
础设施和无固定基础设施的 WLAN分别如图
10.3和图 10.4所示 。
自组网络
图 10.3 固定基础设施 WLAN
无线客户端
接入点
有线网络
固定基础设施 WLAN图
图 10.4 自组 WLAN
无线客户端
自组 WLAN图
国际电气和电子工程师学会早在 1997年就发
布了 IEEE 802.11无线局域网标准, 规范了
WLAN的 MAC层协议和物理层规程, 使不同厂商
生产的无线设备能够实现无线互联 。 IEEE
802.11在参考 IEEE 802.3有线以太局域网 MAC
层 CSMA/CD协议的基础上, 采用 载波监听多路访
问 /冲突避免 CSMA/CA（ collision avoidance）
协议解决多用户共享无线信道的冲突问题 。
IEEE802.11标准
物理层规程定义了,跳频扩频 FHSS,直序扩频
DSSS,红外线 IR（ infrared） 三种调制技术实现方
法 。 并规定工作频段为不需要许可证的,2.4GHz工业,
科学和医疗 ISM（ industry science and medical）
频段, 其频段宽度为 2.4~2.4835GHz。
? 当使用 FHSS或 DSSS扩频技术时, 传输距离在 100m
范围内, 数据传输速率可达到 1Mbps或 2Mbps。
? 红外线主要用于室内通信, 其波长为 850~950nm，
传输速率为 1~2Mbps。
物理层规程
为了进一步提高 WLAN的数据传输速率, IEEE
802.11委员会于 1999年又发布了 IEEE 802.11a和
IEEE 802.11b标准, MAC层协议与 IEEE 802.11基本
相同, 但采用了不同的物理层规程 。 IEEE 802.11a物
理层使用 5GHz ISM频段和多载波调制技术, 可分别支
持 6,9,12,18,24,36,48,56 Mbps多种传输
速率, 通信距离长达 10km,能够满足不同移动用户的
需求 。
IEEE802,11标准
IEEE 802.11b物理层仍然使用 2.4GHz
ISM频段和 DSSS扩频技术, 能够根据通信环
境质量在 1,2,5.5,11Mbps范围内自动调
整传输速率 。 在室内有障碍的条件下最大传
输距离可达 100m,室外直线传播最大传输距
离可以达到 300m。
IEEE802.11b
IEEE标准委员会随后在 2003年 6月又正式批准了
IEEE 802.11g WLAN标准, IEEE 802.11g沿用了
IEEE 802.11,IEEE 802.11b的 2.4~2.4835GHz
ISM频段和 DSSS扩频技术, 完全兼容目前广泛使用的
IEEE 802.11b技术标准, 并且以低廉的成本将最大数
据传输速率提高到 IEEE 802.11a的 56 Mbps标准 。
IEEE 802.11g不仅支持 IEEE 802.11a具有的 6,9，
12,18,24,36,48,56 Mbps多种传输速率, 也
支持 IEEE 802.11b具有的 1,2,5.5,11Mbps传输
速率 。
IEEE802.11g
IEEE 802.11g向下兼容 IEEE 802.11b标准,
能够在 IEEE 802.11g和 IEEE 802.11b标准之间自
由切换 。 虽然 IEEE 802.11a具有传输速率高和覆
盖范围大的优点, 但由于不兼容 IEEE 802.11b标
准, 而且无线设备造价较高 。 毫无疑问, IEEE
802.11g标准比 IEEE 802.11a具有更好的市场前
景 。
IEEE802.11g
因为 IEEE并不负责测试 IEEE 802.11标准系列
无线设备的兼容性, 为了解决无线产品的互操作性
问题, 生产厂商自发成立了 无线以太网兼容性联盟
WECA （ Wireless Ethernet Compatibility
Alliance）, 凡通过 WECA认证的 IEEE 802.11a、
IEEE 802.11b和 IEEE 802.11g无线产品, 准予标
记无线高保真 Wi-Fi（ wireless fidelity） 兼容性认
证标签 。
无线高保真 Wi-Fi
高 性 能 无 线 局 域 网 HiperLAN （ high
performance radio local area network） 是
ETSI 制定的宽带无线接入网 BRAN
（ broadband radio access networks） 计划
的重要组成部分 。 BRAN包括 HiperLAN/1、
HiperLAN/2,HiperAccess 和 HiperLink 四
个标准 。
10.1.5 HiperLAN/2高性能无线局域网
? HiperLAN/1和 HiperLAN/2用于高速 WLAN
接入
? HiperAccess用于室外远距离有线通信网络
高速接入
? HiperLink提供 HiperAccess和 HiperLAN/2
之间的近距离高速无线连接
HiperLAN标准的接入
ETSI早在 1992年就提出了 HiperLAN/1 WLAN
标准, 由于实现成本高于随后推出的 IEEE 802.11b
标准, 没有获得商业应用 。 2000年 4月 ETSI又公布了
HiperLAN/2标准, 由欧洲, 北美和日本等地区的通
信厂商组成的 HiperLAN/2 全球论坛 H2GF
（ HiperLAN/2 global forum） 业界组织正在积极推
广 HiperLAN/2的市场应用, 目前国际上已有 50家著
名通信厂商表示支持 HiperLAN/2标准 。
HiperLAN/2标准的提出
HiperLAN/2类似 IEEE 802.11a标准,
物理层使用 5GHz ISM频段和正交频分复用
OFDM（ orthogonal frequency division
multiplexing） 调制技术, 可分别支持 6,9，
12,18,27,36,54 Mbps多种传输速率,
室内通信距离为 30m,室外通信距离可达
150 m。
HiperLAN/2标准
? IEEE802.11,IEEE802.11和 IEEE802.11b
标准采用无连接传输方式, 不能提供任何服务
质量 QoS（ quality of service） 保障 。
? HiperLAN/2采用了面向连接的传输方式, 为
支持多媒体数据传输服务奠定了良好的基础 。
IEEE802.11与 HiperLAN/2
HiperLAN/2面向连接有利于实现 QoS保
障, 可以为每个连接分配指定的 QoS参数,
QoS参数包括网络吞吐量, 传输延迟时间, 延
时 抖 动 和 数 据 传 输 误 码 率 。 因此,
HiperLAN/2能够更好地满足多媒体数据业务
的需求 。
HiperLAN/2的优点
HomeRF（ home radio frequency） 是面向
家庭的无线网络标准, 主要用于个人计算机和家用
电子设备之间的无线通信 。 1998年由英特尔
（ Intel）, IBM,康柏 （ Compaq）, 3COM、
飞利浦 （ Philips）, 微软, 摩托罗拉 （ Motorola）
等公司组成的 HomeRF工作组开发, 随后美国联邦
通 信 委 员 会 FCC （ federal communications
commission） 正式批准其为工业标准 。
10.1.6 HomeRF无线家庭网
? 共享无线访问协议 SWAP（ shared wireless access
protocol）,
? 数据通信采用了简化的 IEEE 802.11 标准, 沿用了 MAC层
CSMA/CA协议来获取信道的控制权；
? 物理层仍然采用跳频扩频 FHSS技术 。 语音通信采用 ETSI
制定的 数字增强无绳 电话 DECT （ digital enhanced
cordless telephony） 标准；
? DECT支持电路交换和分组交换两种方式；
? 电路交换用于语音传输；
? 分组交换用于数据传输, 使用 TDMA/TDD划分双工信道 。
HomeRF的 核心技术
HomeRF 1.0支持 1.6Mbps的数据传输速率,
工作频段为 2.4GHz ISM频段 。 HomeRF 2.0的数
据传输速率则提高到 10Mbps,工作频段为 5GHz
ISM频段 。 HomeRF曾经在短距离无线网市场具有
很高的占有率, 但由于技术标准未公开和技术升级
进展缓慢, 多数公司转向支持 IEEE 802.11b和蓝
牙标准, 目前已逐渐退出无线网络市场 。
HomeRF技术
世界著名的电信设备制造商瑞典爱立信 （ Ericsson）
公司：
? 早在 1994年就提出了蓝牙 （ Bluetooth） 短距离
无线网技术
? 1998年瑞典爱立信, 芬兰诺基亚 （ Nokia）, 日
本东芝 （ Toshiba）, 美国 IBM和 Intel五家公司
成 立 了 蓝 牙 特 别 兴 趣 小 组 SIG （ Bluetooth
special interest group）
10.1.7 蓝牙短距离无线网
随后微软, 3COM,朗讯, 摩托罗拉,
AMD,康柏, 戴尔, 惠普, 德州仪器, 飞利
浦, 三星, LG,夏普等许多世界著名计算机,
通信及消费电子产品公司也加盟 SIG组织, 希
望能够在全球范围内推广蓝牙技术 。 截止到
2004年底, 世界上已有 3000多家公司加盟
SIG组织, SIG总部位于美国堪萨斯州欧弗兰
公园 （ Overland Park Kansas） 。
蓝牙技术的发展
? 1999年 12月 SIG发布 Bluetooth 1.0版本
? 2001年 3月又发布了 Bluetooth 1.1版本规范
? 由于蓝牙技术获得世界上众多著名公司的支持,
2002年 3月 IEEE正式批准 Bluetooth 1.1版本为
IEEE802.15.1标准, 并将蓝牙更名为 无线个人区
域网 WPAN（ wireless personal area network）
标准, 为蓝牙短距离无线网的进一步普及铺平了
道路 。
蓝牙技术
IEEE802.15.1标准类似于 HomeRF,工作
频段为 2.4GHz ISM频段, 同样采用了跳频扩频
技术, 最大数据传输速率为 1Mbps,理想传输距
离为 10cm~10m,提高发射功率后可延长到 100
m。 2004年 SIG又推出 Bluetooth 2.0版本规范,
其核心是增强数据率 EDR（ enhanced data rate）
技术, Bluetooth 2.0在降低功耗的同时, 将
1Mbps的数据传输速率提升到 3Mbps。
Bluetooth 2.0规范
IEEE针对无线市场需求提出了一系列具有互补性
的无线网络标准：
? IEEE 802.11标准系列是面向无线局域网的标准
? IEEE 802.15标准系列是面向无线个人区域网的标准
? IEEE 802.16标准系列则是面向大范围覆盖的无线城
域网 WMAN （ wireless metropolitan area
network） 标准 。
早在 1999年 IEEE就成立了 IEEE 802.16工作组
专门研究宽带固定无线接入技术标准, 目的是希望能
够建立全球统一的宽带无线接入标准 。
10.1.8 IEEE802.16无线城域网
类似于 IEEE 802.11b Wi-Fi和 IEEE802.15
SIG联盟, 支持 IEEE 802.16标准的生产厂商于
2001年 4月也自发成立了微波接入全球互操作性
WiMAX （ worldwide interoperability for
microwave access） 联盟, 旨在全球范围推广
IEEE 802.16 标 准 并 加 快 市 场 化 进 程 。
IEEE802.15,IEEE802.11和 IEEE 802.16无线
通信标准的典型应用如图 10.5所示 。
IEEE802.16的推广
小型办公
IEEE802.16
IEEE802.15
U N I V E R S I T Y I I
IEEE802.16
Internet
IEEE802.11
IEEE802.11
家庭
学校
小型企业
IEEE802.16
IEEE802.16
图 10.5 IEEE802.16WLAN典型应用
IEEE802.16WLAN典型应用
? 截止到目前为止, IEEE 802.16 WMAN标准
系列共包括 802.16,802.16a,802.16c、
802.16d,802.16e,802.16f和 802.16g七
个子标准 。
? 其中 802.16, 802.16a, 802.16c,
802.16d已正式发布, 其余标准仍在制定和发
展中 。
IEEE802.16WMAN标准
IEEE 802.16标准系列根据是否支持移动特性
分为 宽带固定无线接入 和 移动无线接入 两类 。
? 802.16,802.16a,802.16c和 802.16d属于宽
带固定无线接入标准
? 802.16e属于宽带移动无线接入标准
? 802.16f是宽带固定无线接入空中接口管理信息库
规范
? 802.16g则是宽带固定和移动无线接入空中接口管
理服务规范 。
IEEE802.16标准 系列
? IEEE 802.16标准对使用 2~66GHz频段的宽带固
定无线接入空中接口物理层和 MAC层进行了规范,
最大覆盖范围可达 50km。
? IEEE 802.16a和 802.16c对 IEEE 802.16进行了
扩展, 分别规范了 2~11GHz和 10~66GHz频段的
宽带固定无线接入空中接口 。
? IEEE802.16d对先前颁布的标准进行了整合, 将
频段范围扩展成 2~66GHz。 目前 IEEE 802.16工
作组已将工作重点转向宽带移动无线接入标准 。
IEEE802.16标准系列
有线等价保密 WEP（ wired equivalent privacy）
是 IEEE 802.11,802.11a 802.11b,和 802.11g无线
局域网采用的安全保护机制, IEEE 802.11工作组希望
WEP能够提供同有线网络完全等价的个人保密保护 。 只
要正确配置 WEP的全部安全功能, WEP仍然能够为
WLAN应用提供基本的保密性和完整性 。 WEP加密利用
共享密钥在提供数据传输保密性的同时, 也提供了身份认
证机制, 能够在一定程度上防止通过无线链路泄露, 窃听
和非法访问等恶意行为 。 通过在每帧数据中加入完整性校
验值, 可以提高数据在传输过程中保持完整性的能力 。
10.2 无线局域网有线等价保密
安全机制
WEP主要提供了 数据加密 和 身份认证保护 功
能 。 数据加密采用著名密码专家 Ron Rivest
设计的 RC4加密算法, 提供,
? 无加密
? 40位密钥
? 104位密钥
三种不同实现方式 。
10.2.1 有线等价保密 WEP
无加密 表示数据以明文方式传输, 能够接
入 WLAN的任何无线网络嗅探器都可以侦听发
送的数据, 因此, 无加密不提供任何保密性 。
40位和 104位密钥长度分别向用户提供 2种不
同加密强度选择, 但有些无线网络适配器只支
持一种密钥, 如果无线网络适配器同时支持两
种密钥, 自然应当使用 104位密钥 。
数据加密
只有当无线客户端的 密钥 和 服务设置标识 SSID
（ service set identity） 与接入点完全相同时, 客
户端才能接入 WLAN。 SSID是标识特定 WLAN的
名称, 用户在配置 WLAN时, 可以选择任意 SSID
名称, 但不能与扫描范围内的其他 WLAN同名 。 由
于 WEP使用共享密钥加密和解密数据, 在有固定基
础设施条件下, 必须在无线 AP和所有无线客户端上
配置密钥 。 在无固定基础设施条件下, 需要在所有
无线客户端上配置密钥 。
数据密钥配置
WEP加密过程如图 10.6所示, 40位或 104位初始密
钥与 24位初始向量 IV（ initialization vector） 连接起
来, 生成 64位或 128位中间密钥 。 中间密钥通过 RC4加
密算法 生成一串与明文流按位异或的密钥流, 密钥流的
长度与明文流相同 。 RC4加密算法的核心是 伪随机数生
成器 PRNG（ pseudo random number generator）,
其算法效率大约是 DES的 10倍 。 WEP设置初始向量的目
地是尽可能避免因重复使用共享密钥而降低加密强度,
由于每帧数据都使用新的初始向量, 为破译共享密钥增
加了难度 。
10.2.2 有线等价保密 加密与解密
WEP保密过程图示
明文
连
接
初始向量 IV
初始密钥
RC4加密
算法中间密钥
密钥流 按
位
异
或
密文
连
接
密文 IV
密文消息
完整性
算法 完整性校验值
明文流
图 10.6 WEP加密过程
连
接
明 文 与 完 整 性 校 验 值 ICV （ integrity check
value） 连接起来形成明文流, ICV由 32位循环冗余完
整性校验算法 CRC32通过计算 明文 生成, 明文中添加 4
字节的 ICV能够防止在数据流中插入文本试图破解密文
消息 。 明文流与密钥流 按位异或 形成密文, 密文再与初
始向量连接生成最终的密文消息 。 由于在明文中连接了
4字节的 ICV值, 所以明文流比明文长 4个字节 。 明文流
与密钥流长度相同, 因此, 密文与明文流具有相同长度 。
初始向量为 3个字节, 完整性校验值为 4个字节, 最终密
文消息比明文多 7个字节 。
WEP加密过程
WEP解密是加密的逆过程, WEP解密过程如图
10.7所示 。 初始密钥与密文消息中的初始向量连接
后, 生成 64位或 128位中间密钥 。 RC4加密算法 将
中间密钥转换成密钥流, 密钥流与密文消息中的密
文异或后生成明文流, 将明文流拆分为明文和完整
性校验值 。 同时计算明文的完整性校验值, 并与明
文流携带的完整性校验值比较 。 如两个校验值不同,
表明该帧数据的完整性已经遭到破坏, 丢弃校验值
不同的无效帧 。
WEP解密过程
密文 IV
连
接
初始密钥
ICV
中间密钥
密钥流
按
位
异
或
密文
密文消息
完整性
算法
明文
图 10.7 WEP解密过程
ICV
RC4加密
算法
WEP解密过程图示
IEEE 802.11 WLAN具有
? 开放系统认证 (open system authentication)
? 封闭系统认证 (closed system authentication)
? 共享密钥认证 (shared key authentication)
三种身份认证方式 。
10.2.3 IEEE802.11身份认证
开放系统认证 是 IEEE
802.11身份认证的默认方式,
在开放系统认证方式下, 无
线 AP并不要求无线客户端提
供正确的 SSID。 当无线客户
端提交任意 SSID认证请求时,
无线 AP 通 过 广 播 自 己 的
SSID来响应开放系统认证请
求 。
开放系统 认证
无线客户端 无线 AP
任意 SSID认证请求
广播 SSID认证成功
图 10.8 开放系统认证过程
开放系统认证容许任意无线客户端接入无线 AP，
即使输入错误的密钥, 也可以同无线 AP和其他客户
端通信, 只不过所有数据都采用明文方式传输 。 只
有提供合法的共享密钥时, 数据才以密文方式传输 。
开放系统认证强调的是简单易用, 只能用于没有任
何安全要求的场合 。 如果输入正确的密钥, 开放系
统认证能够提供数据保密性, 但不具备身份识别功
能, 开放系统认证过程如图 10.8所示 。
开放系统 认证过程
封闭系统 认证
封闭系统认证 的安全级别略
高于开放系统认证, 在封闭系统
认证方式下, 无线 AP要求无线
客户端必须提交正确的 SSID。
只有认证双方具有相同的 SSID
时, 才容 许无线客户端接入
WLAN,否则, 拒绝无线客户
端的认证请求, 封闭系统认证过
程如图 10.9所示 。
无线客户端 无线 AP
正确 SSID认证请求
SSID匹配认证成功
图 10.9 封闭系统认证过程
共享密钥 认证
共享密钥认证 就是采用 WEP共享密钥和
SSID来识别无线客户端的身份, 只有提交正
确的密钥和 SSID,无线 AP才容许无线客户端
接入 WLAN。 显然, 共享密钥认证的安全级别
高于开放系统认证和封闭系统认证 。 WEP共
享密钥认证过程大致可以分为 4步, 如图
10.10所示 。
共享密钥 认证过程
认证请求
随机认证响应
加密随机认证
认证结果
图 10.10 WEP共享密钥认证过程
无线客户端向无线 AP发送
包含 SSID的认证请求
无线客户端 无线 AP
无线 AP接收到认证请求后,
生成一个随机认证消息,
作为认证请求的响应发送
给无线客户端
无线客户端用共享密钥加密，
随机认证响应并发送到无线 AP 无线 AP采用共享密钥解密。如解密
后的随机认证消息与发送的随机认
证消息完全相同，则容许无线客户
端接入。否则，无线客户端为非法
用户，拒绝接入 WLAN。
由于 WEP在考虑安全性和易用性之间的
均衡时, 更多地考虑了易用性和加密算法的高
效性, 在 WEP默认配置, 加密, 密钥管理和
服务设置标识等方面已经发现存在大量的漏洞,
为蓄意破坏 IEEE 802.11 系列 WLAN上信息
资源的保密性, 完整性和有效性提供了条件 。
10.3 无线局域网有线等价保密
安全漏洞
多数用户在安装无线网络适配器和无线 AP
设备时, 只要求这些设备能够正常工作就可以
了, 很少考虑启用并正确配置无线安全性, 通
常都使用默认配置, 而且正常工作后很少再重
新配置 。 开放系统认证是 WEP的默认配置,
由于在开放系统认证方式下, 任意无线客户端
都可以接入 WLAN。
10.3.1 WEP默认配置漏洞
开放系统认证就好像在无线链路上设置了一个
公共用户端口, 任何无线客户端都可以接入并使
用 WLAN资源 。 可以发送数据, 监听通信内容,
访问 WLAN共享资源或通过无线 AP访问有线网络
上的共享资源, 也可以窃取或破坏保密数据, 安
装 病 毒 或特 洛 伊 木马 程 序, 甚 至可 以 利 用
Internet 连接发送病毒邮件或作为傀儡机向其他
远程计算机发动攻击, 恶意流量有可能被追溯到
使用默认配置的 WLAN。
开放系统认证的作用
由图 10.7所示的 WEP加密过程可知, 密文
是通过明文流与密钥流按位异或形成的, 然后
密文再与初始向量连接构成密文消息 。 如果所
有 WEP帧都采用相同的密钥和初始向量加密,
即使不知道共享密钥, 利用重复使用的初始向
量完全有可能破译出加密的 WEP帧 。
10.3.2 WEP加密漏洞
破译的最简单方法就是对密文消息进行 按位异或运
算, 然后剔除密钥流和初始向量, 其结果是两个明文流
的异或形式 。 如知道其中一个明文流, 计算另一个明文
流并不困难 。
由于 IEEE 802.11没有明确规定初始向量的使用方
法, 许多厂商在设计 WLAN设备时, 简单地将设备启动
时的初始向量设置为 0,然后再 逐次加 1。 多数用户都会
在每天早晨几乎相同的时间重新启动设备, 大大增加了
初始向量的重用率 。 只要获得足够多的相同初始向量,
就有可能从密文消息中破译出密钥或明文 。
破译方法
由于 IEEE802.11初始向量只有 24位, 可用空间
十分有限 。 就目前的计算能力而言, 短时间内就可以
穷举完所有的初始向量 。 有限的初始向量空间, 也会
导致密钥重用率提高, 降低了密钥破译的难度 。
WEP采用共享密钥加密和解密数据, 如果需要更
改密钥, 就必须告知与之通信的所有节点, 了解
秘密的人越多, 秘密信息也就变成了公开信息 。
WEP加密 的缺陷
事实上, WEP并没有提供真正意义上的密钥管理机
制, 需要依赖 Internet工程任务组 IETF（ engineering
task force） 提出的远程认证拨号用户服务 RADIUS
（ remote authentication dial-in user service） 或
Cisco 公司提出的扩展认证协议 EAP （ extensible
authentication protocol） 等外部认证服务, 但多数
小型企业或办公在部署 WLAN时, 并不会使用造价昂贵
的专用认证服务器 。
10.3.3 WEP密钥管理 漏洞
尽管 WEP容许用户自己配置共享密钥, 但由
于手工配置共享密钥十分麻烦, 且多数用户不熟
悉密钥配置过程 。 无线网络适配器和无线 AP在出
厂时都带有 4个默认的密钥, 大多数用户一般都是
从 4个默认密钥中选择 1个作为共享密钥 。 但厂商
通常对密钥都进行了标准化, 因此, 只要知道设
备生产厂商和类型, 通过检索厂商缺省列表就有
可能获得共享密钥 。
共享 密钥的获取
WEP也容许在无线客户端建立一个密钥映射
表, 记录 MAC地址与共享密钥之间的对应关系 。
多个无线客户端之间直接利用 MAC地址进行通信,
MAC地址的随机性很强, 用 MAC地址代替共享
密钥从表面上看是提高了安全性 。 众所周知,
MAC地址同样也是经过标准化的, 如果能够知晓
设 备 生 产 厂 商, 从 IEEE 网站
http//:standards.ieee.org/regauth/oui 可
以很容易检索到分配给厂商的 MAC地址范围 。
密钥映射表的建立
服务设置标识 SSID是 WLAN的名称, 也可以
将一个 WLAN分为多个要求不同身份认证的子网,
用于区分不同的服务区 。 IEEE 802.11采用 SSID
实现基本的资源访问控制, 防止未经授权的无线
客户端进入 WLAN子网 。 无论是有固定基础设施
还是无固定基础设施的 WLAN,无线客户端都必
须出示正确的 SSID才能访问无线 AP或其他无线客
户端 。 事实上, SSID只是一个简单的口令身份认
证机制 。
10.3.4 服务设置标识 漏洞
多数制造商在其生产的无线 AP中设置了默认 SSID，
甚至在设备使用说明中明确指出默认的 SSID。 如果部
署 WLAN时不改变厂商默认的 SSID,任何人通过网上
检索或安装指南都很容易获得默认 SSID。 只要将无线
客户端的 SSID修改成无线 AP默认的 SSID,就有可能
非法接入 WLAN,表 10.1为目前市场上无线 AP主要生
产厂商使用的默认 SSID。 同一个生产厂商的无线 AP和
无线网络适配器一般具有相同的默认 SSID。 即使不知
道默认的 SSID,只要使用同一厂商的无线网络适配器
也可以非法接入无线 AP。
默认 SSID的作用
默认 SSID的获取
还有一些厂商使用无线网络适配器的半个 MAC地址作
为默认 SSID,MAC地址采用 16进制数字表示, 长度为 6个
字节 。 前 3个字节是 IEEE分配给厂商的 唯一标识 OUI
（ organizationally unique identifier）, 后 3个字节为
网络适配器的唯一标识编码 。 由于同一个厂商的 OUI是完
全相同的, 因此, 无论使用前半个还是后半个 MAC地址作
为默认 SSID,检索或推测出默认 SSID并不是一件十分困
难的事情 。 此外, 著名的 2600黑客杂志网站收集了几乎所
有 厂 商 的 默 认 SSID 和 WEP 密钥
（ http://mediawhore.wi2600.org/nf0/wireless/ssi
d_defaults/）
无线 AP主要厂商默认 SSID表
厂商名称 默认 SSID
Cisco tsunami
Linksys inksys
TP-LIN wireless
ACCTON WLAN
Compaq Compaq
Intel intel,xlan,101
Above Cable CTC
3COM 101
EOIN Technologies WLAN
Dell wireless
SMC WLAN
表 10.1 无线 AP主要厂商默认 SSID
10.4 无线局域网安全危胁
10.4.1 无线局域网探测
1,战争驱车探测
无线网络攻击步骤与有线网络攻击类
似, 第一步是发现目标无线网络 。 多数机
构都使用防火墙作为内部网络的第一道安
全防线, 因为防火墙能够有效地隔离内部
网和开放的 Internet。
战争驱车探测
但内部网中私自与 Internet连接的调制解调器
给内部网安全留下了隐患, 使用战争拨号器 （ war
dialers） 软件随机拨打电话号码, 能够迅速发现
接入 Internet的调制解调器, 人们将寻找隐藏调制
解调器的方法称为战争拨号 （ war dialing） 技术,
其中, 战争拨号中的战争 （ war） 一词取自著名电
影真假战争 （ war games） 。
由于探测 WLAN的方法有些类似战争拨号技术,
人们将携带移动设备驱车到处转悠寻找 WLAN的方
法称为战争驱车 （ war driving） 技术 。 战争驱车,
战争驾驶或战争驾车都是 war driving的直译, 事
实上, war driving是泛指各种搜索无线局域网信
息的技术, 也许用无线局域网探测或扫描能更好地
表示 war driving的含义 。
战争驱车技术的由来
目前网络上有 Windows,Unix,Linux和
Mac OS操作系统平台下运行的多种无线局域网探
测和定位软件, 表 10.2列举了部分常用开放源码
或非商业无线局域网探测软件, 同时还给出了这些
软件的名称, 当前最高版本, 操作系统平台和下载
地址, 其中最著名的 WLAN探测和定位软件是由
Marius Milner开发的 Netstumbler。
战争驱车探测 软件
常用开放源码或非商业 WLAN探测软件
表 2 常用开放源码或非商业 WLAN探测软件
程序名称 最高版本 操作系统 软件类型 下载地址
NetStumbler 0.4.0 WINDOWS 免费
MiniStumbler 0.4.0 免费WINDOWS、CE
http://www.netstumbler.com/
downloads
http://www.netstumbler.com/
downloads
Kismet 04-10-R1 Unix、Linux 开放源码 http://www.kismetwireless.net/
SSIDSniff 0.4.0 Unix、Linux 开放源码 http://netsecurity.about.com/gi/dynam
WiFi Scanner 0.9.6 Unix、Linux 开放源码
开放源码
http://sourceforge.net/projects/
IStumbler 92 MAC OSX http://www.istumbler.net/
表 2 常用开放源码或非商业 WLAN探测软件 （ 续 ）
Wifimap
程序名称 最高版本 操作系统 软件类型 下载地址
0.3.1
1.9
https://sourceforge.net/projec
ts/wifimap
http://www.remote-exploit.org/
0.09a
Unix,Linux
WINDOWS
开放源码
http://kismac.binaervarianz.de/
0.7.3 Unix、Linux
开放源码
http://prismstumbler.sourcef
orge.net/开放源码
开放源码
Wellenreiter Unix、Linux
KisMAC MAC OSX
Prismstumbler
常用开放源码或非商业 WLAN探测软件
2.Netstumbler简介
Netstumbler 0.4.0要求在 Windows 2000、
Windows XP或更高操作系统版本下运行, 虽然未
公 开 源 代 码, 但可以免费使用 。 目前支持
IEEE802.11b,802.11a和 802.11g无线网络适
配 器 和 全 球 定 位 系 统 GPS （ global position
system）, 事实上, Netstumbler并不是一个专
用的 WLAN探测和定位工具 。
Netstumbler简介
其主要功能是 WLAN安全审计, 信号质量
检测, 安装位置选择, 探测与定位, 安全审计
供网络管理员检测自己周围是否存在恶意
WLAN,信号质量检测可以确定覆盖区内的信
号质量及覆盖范围, 安装位置选择能够为
WLAN选择干扰最小的安装位置, 探测和定位
结合 GPS实现战争驱车功能 。
Netstumbler的主要功能
Netstumbler通过向周围的 WLAN发送
探测请求, 能够获得目标 WLAN的 MAC地址,
SSID,无线 AP名称, 数据传输速率, 设备
制造商, AP网还是自组网, 是否加密, IP
地址, 信号强度及所在经纬度等信息 。
Netstumbler如何探测
无线局域网监听的机制和方法与广播机制以
太局域网相同, 需要利用无线网络适配器的混杂
工作模式从数据链路层实时截获数据帧, 然后通
过网络协议解协获取数据帧的内容 。 目前绝大多
数无线 AP属于无线集线器, 对于无线集线器共
享网络环境, 只要将网络适配器设置成混杂工作
模式, 就可以监听到整个 WLAN内的数据帧流量 。
10.4.2 无线局域网监听
无线交换 AP交换网络环境给 WLAN监听增
加了困难, 由于每个无线客户端都是一个独立的
网段, 不同网段之间通过交换 AP内部的网桥互
联 。 因此, 网络适配器混杂工作模式并不能截获
到其他网段的任何数据帧 。 如果利用无线集线器
将无线交换网络转换成共享网络, 就有可能实现
对无线交换网络的监听 。
无线交换网的监听
目前有许多软件工具支持无线局域网监听, 除
第 六 章 第 二 节 介 绍 的 Tcpdum, Ethereal,
Ngrep等网络数据包采集与分析工具之外, 诸如
Airopeek, Kismet, Airsniffer, AirTraf,
Airjack,LibRadiate,Mognet,APsniff等都可
以实现无线局域网监听任务 。 如果 WLAN以明文方
式传输数据, 这些无线局域网监听工具都可以解析
出传输内容 。
无线局域网监听 软件
即使 WLAN采用了加密保护机制, 甚至不需要自己
从密文消息中破译密钥, 因为有众多免费 WLAN密钥破
译软件供使用 。 例如, Wepcrack, Airsnort,
Weplab, Aircrack, Airsnarf, Asleap,
WepAttack都是当前网络上流行的 IEEE802.11 WEP
密钥破译软件 。 多数破译软件只要采集 5百万至 1千万
左右的加密分组, 利用 WEP加密漏洞就可以计算出
WEP密钥, 另一些破译软件则采用传统的字典攻击手
段, 试图猜测出密钥 。
WEP密钥破译软件
无线局域网欺诈 （ fraud） 就是利用默认配置漏洞,
加密漏洞, 密钥管理漏洞和服务设置标识漏洞等突破身
份认证的封锁, 假冒合法无线客户端或无线 AP骗取
WLAN的信任, 窃听重要机密信息或非法访问网络资源
的攻击行为 。 尽管 IEEE 802.11 WLAN开放系统认证
容许所有无线客户端接入无线 AP,但没有正确的共享
密钥, 欺诈客户端只能与无线 AP或其他无线客户端明
文通信, 并不能窃听到以密文传输的重要机密信息 。
10.4.3 无线局域网欺诈
封闭系统认证则要求无线客户端提供正确的 SSID，
共享密钥认证不仅要求无线客户端提供正确的共享密钥,
还要求出示正确的 SSID,只有通过身份认证的无线客
户端才能接入 WLAN。 因此, 实现欺诈的关键是突破身
份认证, 而通过身份认证最简便的办法就是设法获得
SSID和 WEP共享密钥 。 如前 SSID漏洞所述, 获取
SSID并不困难, 窃取或破译 共享密钥 才是 WLAN欺诈
的关键要素 。
WLAN欺诈 的关键
除了使用众多免费的 WEP共享密钥破译软件之
外, 由于 WEP共享密钥认证过程相对简单, 通过 伪
造合法 的共享密钥认证过程, 仍然有可能实现欺诈
意图 。 在共享密钥认证方式下, 无线 AP收到认证
请求后, 以明文形式发送一个 128位的随机认证消
息, 随机认证消息由共享密钥和初始向量通过 RC4
加密算法生成, 无线客户端用共享密钥对随机认证
消息加密后回送给无线 AP。
利用 WEP共享密钥认证欺诈
如果能够积累大量回送给无线 AP的加密随机
认证报文, 就有可能破译出无线客户端对明文流
加密使用的密钥流, 因为加密随机认证报文中隐
藏了密钥流 。 一旦窃听到发送给客户端的明文随
机认证响应, 就可以用密钥流伪造一个合法的加
密随机认证报文, 无线 AP必然错误地认为这是一
个合法的无线客户端, 共享密钥认证欺诈过程如
图 10.11所示 。
共享密钥认证欺诈
IEEE 802.11 WLAN除采用 SSID和 WEP共享密钥
安全机制之外, MAC地址过滤也是重要的安全措施之
一 。 将 SSID,MAC地址过滤和 WEP共享密钥多种安全
机制组合起来, 能够在很大程度上降低安全威胁, 多数
无线 AP在开放系统认证, 封闭系统认证和共享密钥认
证方式下都支持 MAC地址过滤 。 MAC地址过滤就是用
无线网络适配器的物理地址来确定无线客户端的合法性,
在 MAC地址过滤之前, 需要在无线 AP建立容许访问
WLAN的 MAC地址列表 。
MAC地址过滤
只有当无线客户端提交的 MAC地址能够与无线 AP建立
的 MAC地址列表匹配时, 才容许访问 WLAN。 如果在封闭
系统认证方式下配置了 MAC地址过滤, 无线客户端不仅要
向无线 AP出示正确的 SSID,还需要提交合法的 MAC地址 。
无线客户端首先向无线 AP发送 SSID认证请求, 如果是开放
系统认证, 则可以发送任意 SSID认证请求 。 如果提交的
SSID能够与无线 AP的 SSID匹配, 无线 AP将返回认证成功
应答 。 但此时无线客户端还不能接入 WLAN。 无线客户端
需继续向无线 AP发送 MAC地址连接请求, 如提交的 MAC地
址位于合法 MAC地址列表, 则无线 AP授权无线客户端的连
接请求 。
如何访问 WLAN
尽管 MAC地址过滤机制增强了 WLAN的安全
性, 但也为无线局域网欺诈提供了机会 。 由于无
线客户端以明文方式向无线 AP发送 MAC地址连
接请求, 利用无线局域网监听工具, 很容易窃取
WLAN中其他无线客户端向无线 AP发送的合法
MAC地址 。
MAC地址过滤的缺点
如果能知道无线客户端使用的无线网络适配器生产
厂商, 破译 MAC地址要比破译 WEP共享密钥容易的多,
因为 MAC地址是通过标准化生成的 。 通过伪造合法
MAC地址就可实现无线局域网欺诈, 操作系统和无线网
络适配器支持 MAC地址重新配置功能, 也为 MAC地址
欺诈提供了方便, 封闭系统认证 MAC地址欺诈过程如图
10.12所示 。 如果伪造 MAC地址的无线客户端和合法
MAC地址的无线客户端同时在线, 必然会破环 ARP缓冲
表 。 所以利用 MAC地址欺诈接入 WLAN之前, 需要用
WLAN监听工具确认合法 MAC地址是否在线 。
破译 MAC地址的作用
认证欺诈 图
无线客户端 无线 AP
SSID认证请求
随机认证响应
伪造加密随机认证
欺诈认证成功
图 10.11 共享密钥认证欺诈成功 图 10.12 封闭系统认证 MAC地址欺诈成功
认证成功应答
伪造 MAC地址连接请求
授权连接请求
SSID认证请求
无线客户端 无线 AP
无线 AP欺诈是指在 WLAN覆盖范围内秘密安
装无线 AP,窃取通信, WEP共享密钥, SSID、
MAC地址, 认证请求和随机认证响应等保密信息
的恶意行为 。 事实上, WLAN固有的性质不仅为
无线局域网欺诈提供了方便, 也为在 WLAN附近
安装欺诈无线 AP提供了便利条件 。
10.4.4 无线 AP欺诈
为了实现无线 AP 欺诈目的, 需要首先利用
Netstumbler等 WLAN探测和定位软件, 获得合法无线
AP的 SSID,信号强度, 是否加密等信息 。 根据信号强度
能够将欺诈无线 AP秘密安装到合适位置, 确保无线客户
端可以在合法 AP和欺诈 AP之间切换, 自然还需要将欺诈
AP的 SSID设置成合法无线 AP的 SSID值 。 如果 WLAN采
用开放系统认证或封闭系统认证, 无线 AP欺诈已经成功 。
如果 WLAN采用共享密钥认证, 还需要设法获得 WEP共
享密钥才能欺诈成功 。
无线 AP欺诈的实现
发现欺诈无线 AP的最简单方法就是使用
无线局域网探测软件, 因为无线局域网探测
软件的基本功能就是试图发现非法无线 AP，
但前提是欺诈无线 AP采用了开放系统认证,
因为在封闭系统认证或共享密钥认证方式下,
无线 AP并不广播自己的 SSID。 WLAN欺诈
无线 AP如图 10.13所示 。
发现无线 AP欺诈的方法
WLAN欺诈无线 AP图
合法无线 AP
欺诈无线 AP
有线网络
图 10.13 WLAN欺诈无线 AP
无线局域网劫持 （ hijack） 是指通过 伪造 ARP
缓冲表 使会话流向指定恶意无线客户端的攻击行为,
无线局域网劫持原理与有线网络的会话劫持相同, 主
要是利用了 ARP协议中存在的请求与应答报文漏洞 。
通过网络层将 MAC地址隐藏起来, 使用统一的 IP地
址通信可以使 TCP/IP协议与具体的物理网络无关,
但主机在数据链路层必须使用 MAC地址才能实现通
信, 正是 ARP协议提供了 IP地址到 MAC地址的映射
服务 。
10.4.5 无线局域网劫持
ARP协议采用动态绑定 （ dynamic binding） 方式
解析目标主机的 MAC地址, 当主机发送数据时, 首先查
询本机的 ARP缓冲表, 如检索到目标 IP地址对应的 MAC
地址, 将 MAC地址封装在数据帧头内就可以实现数据链
路层之间的通信 。 如果未检索到目标 IP地址对应的 MAC
地址, 则在本网段内广播 ARP请求报文, 只有同目标 IP
地址相同的主机才回送包含 MAC地址的 ARP应答报文 。
如果目标 IP地址位于其他网络, 主机将 ARP请求报文发
送给路由器, 路由器再报告自己的 MAC地址, 然后由路
由器转发数据报文 。
ARP协议
由于在设计 ARP协议时没有考虑 ARP发送请
求进程与侦听应答进程之间的关联, 换句话说,
发送主机接收到 ARP应答报文时, 并不清楚是否
曾发送过 ARP请求报文 。 主机只要接收到 ARP应
答报文, 就将 MAC地址保存到 ARP缓冲表中 。 正
是 ARP发送请求进程与侦听应答进程之间的无关
联性, 为通过伪造 MAC地址实现会话劫持提供了
机会 。
ARP的缺陷
同一网段及不同网段内的无线局域
网劫持过程如 10.14所示 。
恶意劫持举例
同网段及不同网段内 WLAN劫持过程
会话劫持
无线 AP
IP,192.168.0.0
无线客户端
恶意客户端
IP,192.168.0.1
MAC,00-00-86-01-02-0B
Internet
无线客户端
IP,192.168.0.2
IP,192.168.0.3
MAC,00-00-86-01-02-0D
图 10.14 同网段及不同网段内
WLAN劫持过程
无线 AP
交换机
路由器
防火墙
劫持同一网段内 IP地址为
192.168.0.0的无线客户端会话
过程：
知道对方的 IP地址, 并向其发送一个
包含自己 00-00-86-01-02-0B MAC
地址的 ARP应答报文无线客户端将错
误地认为 00-00-86-01-02-0B就是目
标主机的 MAC地址, 此时无线客户端
的所有报文将被劫持到恶意无线客户
端 。
劫持另一网段内 地址为
2的无线客户端会话
过程：
必须向路由器发送伪造 MAC地址 00-
00-86-01-02-0B,使路由器 ARP缓
冲表错误地将无线客户端的 IP地址
192.168.0.2 映射成 00-00-86-01-
02-0B恶意 MAC地址, 路由器会将无
线客户端发送的所有报文错误地转发
到恶意无线客户端
如何防止会话劫持
目前网络上存在大量免费的 会话劫持软件, 甚至有
些劫持软件还提供源代码, 只要在搜索引擎中输入关键
词 ARP Spoof 就可以发现众多的劫持软件 。 例如,
Dsniffer, Bktspibdc, WCI, ARP0C2, Hunt,
Fake,ARPtool等都是典型的 ARP会话劫持软件 。 从
无线局域网会话劫持的原理可以看出, 能够实现会话劫
持的前提是 ARP协议使用了动态绑定机制 。 因此, 只要
采用静态 ARP缓冲表就可以有效地防止这种会话劫持攻
击, 但手工维护大量的静态 MAC地址会给安全管理增加
额外的负担 。
