物聯(lián)網(wǎng)與短距離無線通信技術(shù)[董健]第三章

1、n WLANWLAN發(fā)展發(fā)展n WLANWLAN網(wǎng)絡(luò)結(jié)構(gòu)網(wǎng)絡(luò)結(jié)構(gòu)n WLANWLAN安全架構(gòu)安全架構(gòu)n WLANWLAN協(xié)議協(xié)議本章內(nèi)容本章內(nèi)容n WLANWLAN發(fā)展介紹發(fā)展介紹 WLANWLAN是什么是什么 WLANWLAN大事記大事記 WLANWLAN標(biāo)準(zhǔn)族標(biāo)準(zhǔn)族 WLANWLAN網(wǎng)站網(wǎng)站小節(jié)提綱小節(jié)提綱WLAN是什么是什么WPAN：無線個(gè)域網(wǎng)：無線個(gè)域網(wǎng)l采用無線連接的個(gè)人局域網(wǎng)，它被用在諸如手機(jī)、計(jì)算機(jī)、PDA之間的小范圍（一般是在10米以內(nèi)）通訊。WPAN的技術(shù)包括藍(lán)牙、ZigBee、紅外等，其中藍(lán)牙應(yīng)用最廣泛。WLAN：無線局域網(wǎng)：無線局域網(wǎng)l一般應(yīng)用于家庭、企業(yè)和熱點(diǎn)覆蓋，覆蓋

2、半徑幾十米到幾百米，提供PC和手機(jī)高速上網(wǎng)。l無線局域網(wǎng)采用Wi-Fi技術(shù)，速率可到達(dá)幾十Mbps，使用方式與有線局域網(wǎng)一樣，簡(jiǎn)單易用。WLAN：無線城域網(wǎng)：無線城域網(wǎng)l提供城市范圍的無線覆蓋，用于進(jìn)行城市范圍內(nèi)的寬帶無線數(shù)據(jù)傳輸。l無線城域網(wǎng)采用WiMax技術(shù)，覆蓋半徑幾公里到幾十公里，速率可達(dá)到幾十Mbps。藍(lán)牙Wi-FiWiMaxWLAN是什么是什么WLAN： Wireless Local Area Network廣義的WLAN，是指通過無線通信技術(shù)將計(jì)算機(jī)設(shè)備互聯(lián)起來，構(gòu)成通信網(wǎng)絡(luò)。狹義的WLAN，是指采用IEEE 802.11無線技術(shù)進(jìn)行互連的通信網(wǎng)絡(luò)。目前的目前的WLAN一一般指般

3、指802.11無線網(wǎng)絡(luò)無線網(wǎng)絡(luò)。IEEE 802.11，是國際電工電子委員會(huì)（Institute of Electrical and Electronics Engineers）下負(fù)責(zé)WLAN標(biāo)準(zhǔn)制定的工作組。Wi-Fi：Wireless Fidelity是最大的WLAN工業(yè)組織Wi-Fi聯(lián)盟（Wi-Fi Alliance）的商標(biāo)，該組織致力于對(duì)WLAN設(shè)備進(jìn)行兼容性認(rèn)證測(cè)試。Wi-Fi是指Wi-Fi聯(lián)盟認(rèn)證，通過認(rèn)證的產(chǎn)品，可以使用Wi-Fi的LOGO。通常，Wi-Fi作為作為WLAN的同義詞使用的同義詞使用，盡管并非所有WLAN設(shè)備都進(jìn)行Wi-Fi認(rèn)證。WLAN大事記大事記WLAN標(biāo)準(zhǔn)化：

4、標(biāo)準(zhǔn)化：IEEE 802.11l1990年，IEEE 802.11標(biāo)準(zhǔn)工作組成立l1997年，IEEE 802.11標(biāo)準(zhǔn)發(fā)布（2Mbit/s，工作在2.4GHz）l1999年，IEEE 802.11a標(biāo)準(zhǔn)發(fā)布（54Mbit/s，工作在5GHz）l1999年，IEEE 802.11b標(biāo)準(zhǔn)發(fā)布（11Mbit/s工作在2.4GHz）l2003年，IEEE 802.11g標(biāo)準(zhǔn)發(fā)布（54Mbit/s，工作在2.4GHz）l2007年，IEEE 802.11n draft2發(fā)布（300Mbit/s，工作在2.4GHz/5.8GHz）WLAN產(chǎn)業(yè)化：產(chǎn)業(yè)化： Wi-Fi Alliancel1999年，Wir

5、eless Ethernet Compatibility Alliance (WECA)成立，后來WECA更名為Wi-Fi Alliance（Wi-Fi 聯(lián)盟），現(xiàn)總部設(shè)在美國德州，成員單位超過300個(gè)。l2000年，Wi-Fi 聯(lián)盟啟動(dòng)了Wi-Fi認(rèn)證計(jì)劃（Wi-Fi CERTIFIED），對(duì)WLAN產(chǎn)品進(jìn)行802.11兼容性認(rèn)證測(cè)試。l2007年，Wi-Fi聯(lián)盟啟動(dòng)IEEE 802.11n draft2認(rèn)證測(cè)試。l2008年截止，累計(jì)超過4000種WLAN設(shè)備通過Wi-Fi認(rèn)證（Wi-Fi CERTIFIED）l2008年底，累計(jì)超過10億的Wi-Fi芯片出貨量；2012年，預(yù)計(jì)Wi-Fi

6、芯片的年出貨量達(dá)到10億WLAN標(biāo)準(zhǔn)族標(biāo)準(zhǔn)族主要的主要的IEEE 802.11標(biāo)準(zhǔn)：標(biāo)準(zhǔn)：lIEEE 802.11a - 54 Mbit/s, 5 GHz standard (1999, shipping products in 2001) lIEEE 802.11b - Enhancements to 802.11 to support 5.5 and 11 Mbit/s (1999) lIEEE 802.11d - International (country-to-country) roaming extensions (2001) lIEEE 802.11e - Enhancement

7、s: QoS, including packet bursting (2005) lIEEE 802.11g - 54 Mbit/s, 2.4 GHz standard (backwards compatible with b) (2003) lIEEE 802.11h - Spectrum Managed 802.11a (5 GHz) for European compatibility (2004) lIEEE 802.11i - Enhanced security (2004) lIEEE 802.11j - Extensions for Japan (2004) WLAN標(biāo)準(zhǔn)族標(biāo)準(zhǔn)族

8、主要的主要的IEEE 802.11標(biāo)準(zhǔn)：標(biāo)準(zhǔn)：lIEEE 802.11k - Radio resource measurement enhancements (2008) lIEEE 802.11n - Higher throughput improvements using MIMO (multiple input, multiple output antennas) (November 2009) lIEEE 802.11p - WAVE - Wireless Access for the Vehicular Environment (such as ambulances and pass

9、enger cars) (working - 2009?) lIEEE 802.11r - Fast roaming Working Task Group r - (2008) lIEEE 802.11s - Mesh Networking, Extended Service Set (ESS) (working - Jul. 2010?) lIEEE 802.11T - Wireless Performance Prediction (WPP) - test methods and metrics Recommendation (2008) lIEEE 802.11y - 3650-3700

10、 MHz Operation in the U.S. (2008) WLAN標(biāo)準(zhǔn)族標(biāo)準(zhǔn)族802.11模模式式發(fā)布發(fā)布時(shí)間時(shí)間頻段頻段(GHz)最大可用帶最大可用帶寬寬 (Mbit/s)物理層最大物理層最大帶寬帶寬(Mbit/s)調(diào)整調(diào)整模式模式室內(nèi)覆蓋室內(nèi)覆蓋半徑半徑1(m)室外覆蓋室外覆蓋半徑半徑2(m)a199952354OFDM35120b19992.44.311DSSS38140g20032.41954OFDM38140n draft2.020072.4574300OFDM702501.與墻的數(shù)目和類型有關(guān)2.考慮了一堵墻的損耗IEEE 802.11a/b/g/n制式的比較WLAN標(biāo)準(zhǔn)

11、族標(biāo)準(zhǔn)族Wi-Fi強(qiáng)制認(rèn)證：lWi-Fi產(chǎn)品無線認(rèn)證：802.11a/b/g單模認(rèn)證，802.11b/g雙模認(rèn)證，802.11a/b/g多頻段（2.4G和5G）認(rèn)證。本認(rèn)證目前是手持設(shè)備CTIA認(rèn)證的一部分。lWi-Fi無線網(wǎng)絡(luò)安全認(rèn)證：包括WPA/WPA2認(rèn)證。lEAP (Extensible Authentication Protocol) 認(rèn)證：EAP是一種網(wǎng)絡(luò)設(shè)備身份認(rèn)證的安全機(jī)制。 Wi-Fi可選認(rèn)證：l下一代Wi-Fi認(rèn)證：IEEE 802.11n draft 2.0無線標(biāo)準(zhǔn)認(rèn)證。 lWi-Fi Protected Setup認(rèn)證：快速完成安全配置的功能認(rèn)證。lWi-Fi Mult

12、imedia認(rèn)證：無線QoS認(rèn)證。lWMM Power Save認(rèn)證：語音和多媒體業(yè)務(wù)時(shí)省電功能的認(rèn)證測(cè)試。lWi-Fi手機(jī)認(rèn)證 ：對(duì)Wi-Fi手機(jī)中Wi-Fi與蜂窩系統(tǒng)的相互影響進(jìn)行認(rèn)證。Wi-Fi認(rèn)證標(biāo)準(zhǔn)認(rèn)證標(biāo)準(zhǔn)WLAN網(wǎng)站網(wǎng)站小節(jié)提綱小節(jié)提綱nWLAN網(wǎng)絡(luò)結(jié)構(gòu)網(wǎng)絡(luò)結(jié)構(gòu)802.11802Infrastructure網(wǎng)絡(luò)網(wǎng)絡(luò)Ad hoc網(wǎng)絡(luò)網(wǎng)絡(luò)Mesh網(wǎng)絡(luò)網(wǎng)絡(luò)胖胖/瘦瘦APWDS802.11802IEEE 802.11：包括物理層和：包括物理層和MAC層協(xié)議層協(xié)議 Infrastructure網(wǎng)絡(luò)網(wǎng)絡(luò)-BSSBSS（ Basic Service Set ）網(wǎng)絡(luò)）網(wǎng)絡(luò)l BSS是WLAN網(wǎng)絡(luò)的

13、基本單位，包括一個(gè)基站（AP）和若干個(gè)終端（STA），通訊必須通過AP來完成。l 網(wǎng)絡(luò)標(biāo)識(shí)：BSSID，使用AP的MAC地址。Infrastructure網(wǎng)絡(luò)網(wǎng)絡(luò)-ESSESS（ Extended Service Set ）網(wǎng)絡(luò)）網(wǎng)絡(luò)l 由多個(gè)BSS組成，多個(gè)BSS的AP通過DS(Distribution System)網(wǎng)絡(luò)互聯(lián)，終端能在不通BSS之間漫游。l 網(wǎng)絡(luò)標(biāo)識(shí)：SSID，AP上統(tǒng)一配置的一個(gè)字符串。Ad hoc網(wǎng)絡(luò)網(wǎng)絡(luò)IBSS（Independent Basic Service Set ）網(wǎng)絡(luò)）網(wǎng)絡(luò)l 若干Wi-Fi站點(diǎn)之間對(duì)等、臨時(shí)的組網(wǎng)，俗稱ad hoc網(wǎng)絡(luò)。l 站點(diǎn)之間地位平等

14、，兩兩進(jìn)行通訊。l 網(wǎng)絡(luò)標(biāo)識(shí)：BSSID，自動(dòng)選擇某個(gè)站點(diǎn)的MAC地址作為ID。Mesh網(wǎng)絡(luò)網(wǎng)絡(luò)Mesh網(wǎng)絡(luò)l 是infrastructure網(wǎng)絡(luò)和ad hoc網(wǎng)絡(luò)的結(jié)合l 既支持AP的功能，又能通過ad hoc完成多個(gè)BSS互聯(lián)和回傳Mesh網(wǎng)絡(luò)網(wǎng)絡(luò)IEEE 802.11s：ESS Mesh Networkingl 標(biāo)準(zhǔn)進(jìn)展：因技術(shù)分歧大、需求不緊迫，進(jìn)展緩慢 2004年7月，成立11s標(biāo)準(zhǔn)工作組 2006年3月，通過第一個(gè)提案 預(yù)計(jì)2010年底，通過11s標(biāo)準(zhǔn)l 網(wǎng)絡(luò)組成：由MP/MAP/STA/LWMP組成，構(gòu)成ESS MP：MESH點(diǎn)，只有MESH回傳功能的站點(diǎn) MAP：MESH接入點(diǎn)

15、，除了MP功能外，又有AP功能（能接入Wi-Fi終端）的站點(diǎn) STA：Wi-Fi終端 LWMP：輕量MESH點(diǎn)，一般是移動(dòng)的MESH站點(diǎn)（也可稱作MESH終端）l 網(wǎng)絡(luò)標(biāo)識(shí)：用接入SSID和回傳SSID分別標(biāo)識(shí)接入網(wǎng)絡(luò)和回傳網(wǎng)絡(luò)胖胖AP/瘦瘦AP 對(duì)不同組網(wǎng)方式下對(duì)不同組網(wǎng)方式下AP的通俗叫法，沒有嚴(yán)格的定義。的通俗叫法，沒有嚴(yán)格的定義。l 胖AP（Fat AP）：能夠獨(dú)立配置、管理和工作的AP設(shè)備。 橋接型橋接型AP：僅完成Wi-Fi終端接入，以及無線與有線之間的二層橋接功能。企業(yè)中多采用這種方法，作為企業(yè)有線網(wǎng)絡(luò)的延伸。 路由型路由型AP：完成Wi-Fi終端的接入之外，還提供DHCP、NA

16、T路由和PPP撥號(hào)等功能，一般用在家庭或簡(jiǎn)單的熱點(diǎn)覆蓋，又叫無線路由器無線路由器。l 瘦AP（Thin AP）：多個(gè)瘦AP與接入控制器（AC）協(xié)同提供Wi-Fi接入服務(wù)。AC一般完成集中交換、鑒權(quán)和管理，以及外部互聯(lián)。 Fit AP：一些廠家對(duì)自己瘦AP的叫法，各廠家AP與AC的功能劃分有所差異。 無線交換機(jī)：無線交換機(jī)：早期的AC，從有線交換機(jī)演變而來，與瘦AP通過以太網(wǎng)連接。 接入控制器（接入控制器（AC）：）：對(duì)瘦AP及其業(yè)務(wù)流進(jìn)行集中管理、控制，并完成與外部網(wǎng)絡(luò)互聯(lián)的網(wǎng)關(guān)設(shè)備。AP與AC之間通過TCP/IP專用的隧道進(jìn)行互聯(lián)。l 大部分支持AC/AP組網(wǎng)的AP都具有胖瘦轉(zhuǎn)換胖瘦轉(zhuǎn)換能力

17、。胖胖AP/瘦瘦AP 胖胖AP vs 瘦瘦APl 胖AP：成本低，部署快，適合小規(guī)模、安全要求不高的網(wǎng)絡(luò)。l 瘦AP：可管理性好，安全性好，適合大規(guī)?；蜻\(yùn)營性質(zhì)的網(wǎng)絡(luò)。成本低安全性差可管理性差胖胖AP特性特性布設(shè)簡(jiǎn)單擴(kuò)展性好安全性高可管理性好可運(yùn)營瘦瘦AP特性特性網(wǎng)絡(luò)級(jí)協(xié)調(diào)胖胖AP/瘦瘦APlWTP：Wireless Termination Point，無線端結(jié)點(diǎn)，就是指瘦AP。lAC：Access Controller，接入控制器。lCAPWAP協(xié)議主要定義以下功能：協(xié)議主要定義以下功能： 1、發(fā)現(xiàn)，WTP自動(dòng)發(fā)現(xiàn)AC的機(jī)制。 2、配置，AC通過CAPWAP對(duì)WTP進(jìn)行配置，WTP可以做到零

18、配置。 3、軟件版本管理，AC可自動(dòng)更新WTP的軟件。 4、集中交換，用戶數(shù)據(jù)集中在AC上進(jìn)行交換。 5、無線資源管理，AC進(jìn)行全網(wǎng)的無線參數(shù)優(yōu)化。ACWTPSTAIntranet/InternetWi-FiCAPWAPTCP/IPWDS WDS(Wireless Distribution System)：802.11中定義了DS，用于將多個(gè)AP互聯(lián)的有線網(wǎng)絡(luò)。WDS則是無線DS，通過無線方式將多個(gè)AP互聯(lián)起來。WDS數(shù)據(jù)幀采用4地址格式，包括接收地址、發(fā)送地址、目的地址、源地址（RA/TA/DA/SA）。lWDS優(yōu)點(diǎn)優(yōu)點(diǎn)：部網(wǎng)快速、靈活，成本低。 沒有有線網(wǎng)絡(luò)情況下，使用WDS快速部網(wǎng) 將已

19、有的有線DS互聯(lián)的網(wǎng)線網(wǎng)絡(luò)，通過WDS進(jìn)行延伸覆蓋lWDS缺點(diǎn)缺點(diǎn)：1）安全性差，只能使用WEP；2）性能差，接入和DS共享信道WDS AP工作模式工作模式：除了標(biāo)準(zhǔn)的功能外，很多AP支持其他工作模式，包括Client、Client Bridge、WDS、Repeater和Repeater Bridge模式。lClient模式模式：Client作為STA連接AP，用戶通過有線連接Client，Client進(jìn)行NAT轉(zhuǎn)發(fā)。lClient模式模式：Client作為STA連接AP，用戶通過有線連接Client，Client進(jìn)行二層的橋接。WDS AP工作模式工作模式：除了標(biāo)準(zhǔn)的功能外，很多AP支持其

20、他工作模式，包括Client、Client Bridge、WDS、Repeater和Repeater Bridge模式。l WDS模式模式：WDS AP同時(shí)支持STA接入和WDS互聯(lián)。業(yè)務(wù)由WDS AP進(jìn)行橋接轉(zhuǎn)發(fā)。WDS AP工作模式工作模式：除了標(biāo)準(zhǔn)的功能外，很多AP支持其他工作模式，包括Client、Client Bridge、WDS、Repeater和Repeater Bridge模式。lRepeater模式模式：Repeater作為STA連接AP，同時(shí)作為AP允許STA接入。業(yè)務(wù)由Repeater進(jìn)行NAT轉(zhuǎn)發(fā)。lRepeater Bridge模式模式：Repeater作為STA連接

21、AP，同時(shí)作為AP允許STA接入。業(yè)務(wù)由Repeater進(jìn)行二層橋接轉(zhuǎn)發(fā)。小節(jié)提綱小節(jié)提綱n WLANWLAN安全架構(gòu)安全架構(gòu) 什么是什么是WLANWLAN安全安全 WEPWEP WPA/WPA2WPA/WPA2 WAPIWAPI什么是什么是WLAN安全安全? WLAN安全性：安全性：與其它通信網(wǎng)絡(luò)的安全性含義類似，包括鑒權(quán)、私密性和完整性。l 鑒權(quán)（鑒權(quán)（Autentication）：一般都指雙向鑒權(quán)，網(wǎng)絡(luò)對(duì)接入的用戶進(jìn)行身份確認(rèn)，同時(shí)用戶對(duì)接入的網(wǎng)絡(luò)也進(jìn)行身份確認(rèn)。實(shí)現(xiàn)合法用戶接入合法網(wǎng)絡(luò)。有時(shí)候也叫“鑒別”、“驗(yàn)證”、“認(rèn)證”。l 私密性（私密性（Privacy）：指數(shù)據(jù)包的加解密，確保

22、通信內(nèi)容不能被偷聽。l 完整性（完整性（Integrity）：在數(shù)據(jù)包中附加加密的校驗(yàn)字節(jié)，確保通信內(nèi)容沒有被篡改。l 安全架構(gòu)安全架構(gòu)：為達(dá)到安全目的設(shè)計(jì)的相關(guān)結(jié)構(gòu)、管理和操作方式，良好的安全架構(gòu)設(shè)計(jì)能夠滿足安全要求的同時(shí)做到容易部署和管理。WEP WEP：Wired Equivalent Privacy，已被淘汰的一種WLAN安全算法。1999年成為WLAN安全標(biāo)準(zhǔn)，2001年被徹底破解，2003年被WPA替代，現(xiàn)在依然在WLAN產(chǎn)品中廣泛支持。l 鑒權(quán)：鑒權(quán)：Open System，不鑒權(quán)；Shared Key：四次握手過程進(jìn)行鑒權(quán)。l 加密：加密：采用RC4流加密算法，密鑰長度為64/

23、128位。l 完整性：完整性：使用CRC-32算法WEP WEP：Shared Key鑒權(quán)鑒權(quán)WEP WEP：幀格式：幀格式WEP WEP：加密流程：加密流程WEP WEP：解密流程：解密流程WEP WEP安全缺陷：安全缺陷：嚴(yán)重的安全缺陷導(dǎo)致WEP最終被廢棄。lWEP鑒權(quán)缺陷鑒權(quán)缺陷 Open System：不鑒權(quán)，則容易被利用進(jìn)行DOS攻擊。 Shared Key：握手過程中出現(xiàn)了明文/密文對(duì)，嚴(yán)重?fù)p壞保密性。實(shí)際上，其安全性不如Open System。lWEP加密缺陷：加密缺陷：現(xiàn)在的研究表明流加密算法的安全性是比較低的，WEP中的RC4算法更加脆弱。 初始向量碰撞：初始向量碰撞：24位

24、的IV很容易重復(fù)，這是流加密算法的大忌。 完整性檢查太簡(jiǎn)單：完整性檢查太簡(jiǎn)單：采用CRC-32來進(jìn)行校驗(yàn)，容易被攻擊者用來猜測(cè)明文內(nèi)容。 RC4算法缺陷：算法缺陷：RC4生成的密碼流中部分bit隨機(jī)性不好，容易被攻擊者利用。l沒有密鑰管理：沒有密鑰管理：無密鑰動(dòng)態(tài)生成、分發(fā)和更新流程 合法用戶之間不保密：合法用戶使用相同的key，相互之間相當(dāng)于不保密。 固定密鑰不安全：這樣密碼容易泄漏，同時(shí)留給攻擊者無限的破解時(shí)間。lWEP破解工具：破解工具： 利用這些工具能在幾分鐘內(nèi)破解WEP密碼。 * AirSnort * WEPCrackWPA/WPA2 WPA（Wi-Fi Protected Acce

25、ss）：）：因?yàn)閃EP的嚴(yán)重安全漏洞，IEEE制定了802.11i來替代WEP，WPA是Wi-Fi聯(lián)盟基于IEEE 802.11i技術(shù)標(biāo)準(zhǔn)制定的商業(yè)標(biāo)準(zhǔn)，分WPA/WPA2。其主要差別在于其主要差別在于WPA2增加了對(duì)增加了對(duì)CCMP的支持的支持。lWPA：2002年，Wi-Fi聯(lián)盟以已經(jīng)完成 TKIP 的 IEEE 802.11i draft 3)為基準(zhǔn) , 制定了 WPA 。是一個(gè)過渡性的中間標(biāo)準(zhǔn)。lWPA2： 2004年，Wi-Fi聯(lián)盟以完成 的 IEEE 802.11i 標(biāo)準(zhǔn)為基準(zhǔn)，制定了WPA2。lTKIP：前向兼容WEP硬件，依然采用了RC4作為加密算法，還是存在安全性漏洞。lCC

26、MP：采用了AES加密算法，徹底解決WLAN全性問題。也稱作AES或AES-CCMP。lWRAP：另一種加密協(xié)議，因?qū)＠麢?quán)爭(zhēng)議，成為可選項(xiàng)（事實(shí)上已被廢棄）。WPA/WPA2 WPA(2) / WPA(2)-PSKlWPA(2)-PSK：WPA的簡(jiǎn)化版本，以預(yù)設(shè)的密碼（Pre Shared Key）驗(yàn)證替代WPA的IEEE 802.1X/EAP驗(yàn)證，不需要驗(yàn)證服務(wù)器AS（如：RADIUS服務(wù)器）。這種方式方便了使用，但降低了安全性。但認(rèn)為用于家庭等小規(guī)模網(wǎng)絡(luò)足夠安全。lWPA(2)-Enterprise/WPA(2)-Personal：一些設(shè)備廠商的叫法，WPA-Enterprise就是指標(biāo)準(zhǔn)

27、的WPA，WPA-Personal就是指WPA-PSK。ASAPSTAWPA (WPA-Enterprise)APSTAWPA-PSK (WPA-Personal)WPA/WPA2 TKIP：Temporal Key Integrity Protocol ，802.11i定義的一種基于WEP安全算法RC4，改進(jìn)WLAN網(wǎng)絡(luò)安全的協(xié)議。lTKIP相對(duì)相對(duì)WEP的改進(jìn)：的改進(jìn)： 引入引入802.1x/EAP鑒權(quán)鑒權(quán)：引入了終端和網(wǎng)絡(luò)的雙向鑒權(quán)，而WEP中幾乎沒有鑒權(quán)。 密鑰分發(fā)和更新機(jī)制密鑰分發(fā)和更新機(jī)制：通過802.1x機(jī)制，每次會(huì)話使用不同的基本密鑰。 每包密鑰構(gòu)建機(jī)制每包密鑰構(gòu)建機(jī)制：加密密

28、鑰由基本密鑰、MAC地址、包序號(hào)動(dòng)態(tài)生成，每包數(shù)據(jù)加密時(shí)，均采用不同的密鑰。增加了加密強(qiáng)度。 使用使用48位初始向量位初始向量：使用了48位包序號(hào)作為初始向量，因?yàn)?8位可認(rèn)為永不重復(fù)，可抵御重放攻擊。 Michael消息完整性檢查碼消息完整性檢查碼：解決WEP中數(shù)據(jù)包容易被篡改的漏洞。lTKIP的缺點(diǎn)的缺點(diǎn)：TKIP設(shè)計(jì)時(shí)要求兼容WEP硬件，因此沿用了WEP的RC4加密算法。 本質(zhì)不安全本質(zhì)不安全：因?yàn)镽C4算法已經(jīng)被破解，這決定了TKIP本質(zhì)上依然是不安全的。 已有破解實(shí)踐已有破解實(shí)踐：詳細(xì)破解方法，可參見Martin Beck & Erik Tews, “Practical at

29、tacks against WEP and WPA”。WPA/WPA2 TKIP：幀格式：幀格式WPA/WPA2 TKIP：加密流程：加密流程WPA/WPA2 TKIP：解密流程：解密流程WPA/WPA2 CCMP：802.11i定義的一種必選的加密協(xié)議（使用AES算法），用于提高WLAN網(wǎng)絡(luò)安全。也叫AES或CCMP-AES。lCCMP與與TKIP比較：比較：主要的差別就是采用了AES塊加密算法，塊長128位，密鑰長度128位。報(bào)文加密、密鑰管理、消息完整性校驗(yàn)都使用AES算法。lAES：Advanced Encryption Standard，2001年成為美國政府的加密標(biāo)準(zhǔn)，用于取代DE

30、S。該標(biāo)準(zhǔn)采用了由兩個(gè)比利時(shí)人發(fā)明的Rijndael塊加密算法。采用了128位的塊長度，128/192/156位密鑰長度，進(jìn)行10/12/14輪迭代。 安全性安全性：美國政府認(rèn)為其安全性滿足政府要求保密數(shù)據(jù)的加密要求。 破解情況破解情況：對(duì)于AES中的加密算法本身，目前還沒有發(fā)現(xiàn)破解方法。已有的成功的攻擊方式都是旁道攻擊（需要利用加密算法運(yùn)算的相關(guān)的信息，如：計(jì)算時(shí)間），且只能完成對(duì)降階AES算法的攻擊（如：降低迭代次數(shù)）。WPA/WPA2 CCMP：幀格式：幀格式WPA/WPA2 CCMP：加密流程：加密流程WPA/WPA2 CCMP：解密流程：解密流程WPA/WPA2 802.11i框架框

31、架lTKIP和CCMP是以算法為核心的加密協(xié)議，實(shí)現(xiàn)通信的私密性和完整性。l802.1X實(shí)現(xiàn)基于端口的接入認(rèn)證。lKey Management完成TKIP/CCMP的密鑰生成和管理。TKIPCCMP802.1xKey Management802.11i / 802.1x鑒權(quán)WPA/WPA2 802.11i框架框架l802.1x定義了基于端口控制的三元鑒權(quán)結(jié)構(gòu)，并定義了EAPOL，用于承載EAP鑒權(quán)協(xié)議。lEAP（Extensible Authentication Protocol）定義了認(rèn)證流程和框架，具體認(rèn)證方法可擴(kuò)展，PEAP是使用最廣泛的認(rèn)證方法。l使用鑒權(quán)生成的主密鑰MK，生成CCMP

32、/TKIP密鑰，用于空口的加密。802.11EAPOLRADIUS安全通道EAPPEAP/EAP-TLS/EAP-SIM802.11(CCMP/TKIP)802.11i Key Management業(yè)務(wù)網(wǎng)絡(luò)802.11i / 加密WPA/WPA2 802.1x框架框架l三元結(jié)構(gòu)：鑒權(quán)在終端和鑒權(quán)服務(wù)器之間進(jìn)行，AP僅進(jìn)行協(xié)議轉(zhuǎn)發(fā)。l業(yè)務(wù)端口為受控端口，初始處于關(guān)閉狀態(tài)，鑒權(quán)通過后打開，終端可使用該業(yè)務(wù)端口。l鑒權(quán)完成后，終端與鑒權(quán)服務(wù)器協(xié)商生成主密鑰MK，該主密鑰由鑒權(quán)服務(wù)器分發(fā)給AP。 STA AP Radius ServerWPA/WPA2 802.1x / EAPOLl802.1x定義了

33、EAPOL協(xié)議，用于在LAN/WLAN上承載EAP協(xié)議。lEAPOL使用LLC/SNAP來封裝EAP協(xié)議。AA-AA-03 00-00-00-88-8EProtocol Version (1 byte)Packet Type (1 byte)Packet Body Length (2 bytes)Packet Body (n bytes)WPA/WPA2 802.11i操作流程操作流程l階段一：STA和AP利用關(guān)聯(lián)流程完成安全策略的協(xié)商。l階段二：STA與鑒權(quán)服務(wù)器AS之間完成802.1x認(rèn)證，并生成主密鑰MK。l階段三：AS給AP分發(fā)主密鑰MK，STA/AP之間根據(jù)MK生成點(diǎn)播/多播臨時(shí)密鑰

34、（PTK/GTK）。l階段四：TKIP/CCMP使用PTK/GTK進(jìn)行安全的數(shù)據(jù)收發(fā)。WPA-PSK流程：流程：l階段一：相同l階段二：無l階段三：使用PSK作為PMK，其他相同l階段四：相同WPA/WPA2 802.11i操作流程（階段一）：關(guān)聯(lián)過程操作流程（階段一）：關(guān)聯(lián)過程lSTA通過Probe流程（或偵聽Beacon），獲得AP的安全策略信息。l進(jìn)行Open System方式的鑒權(quán)。l進(jìn)行關(guān)聯(lián)流程，STA將自己的安全策略告知AP，協(xié)商達(dá)成一致后，則關(guān)聯(lián)成功。l安全策略的內(nèi)容包括：鑒權(quán)方法（802.1x or PSK），單播/多播加密協(xié)議（TKIP or CCMP）。WPA/WPA2 8

35、02.11i操作流程（階段二）：操作流程（階段二）：802.1x鑒權(quán)鑒權(quán)l(xiāng)AP觸發(fā)，啟動(dòng)802.1x/EAP認(rèn)證過程，認(rèn)證過程在STA與AS之間進(jìn)行，AP負(fù)責(zé)協(xié)議轉(zhuǎn)發(fā)。lSTA與AS之間認(rèn)證流程與選擇的EAP認(rèn)證方法有關(guān)系，AS可同時(shí)支持多種認(rèn)證方法。l認(rèn)證成功后，STA和AS生成了主密鑰MK，AS通過RADIUS將MK分發(fā)給AP。WPA/WPA2 802.11i操作流程（階段三）：密鑰派生和分發(fā)操作流程（階段三）：密鑰派生和分發(fā)l第1步：AS通過Radius協(xié)議將MK發(fā)送給AP，一般先轉(zhuǎn)換成Radius Key后再分發(fā)。l第2步：使用MK（或PSK）作為PMK，通過EAPOL-Key消息完成

36、PTK/GTK的派生和分發(fā)。l第3步：多播臨時(shí)密鑰GTK更新。WPA/WPA2 802.11i操作流程（階段三）：操作流程（階段三）：Pairwise Key HierarchylPMK生成臨時(shí)密鑰，PTK用于點(diǎn)播包的加密，PTK可周期性更新。l對(duì)于802.1x鑒權(quán)，STA與AS協(xié)商生成的MK（Master Key）即作為PMK。l對(duì)于PSK鑒權(quán)，PMK = PSK = PBKDF2(PassPhrase, ssid, ssidLength, 4096, 256)WPA/WPA2 802.11i操作流程（階段三）：操作流程（階段三）：Group Key HierarchylGMK由AP隨機(jī)生成

37、，通過GMK（周期性）生成GTK，GTK用于多播包的加密和完整性檢查。lGTK可周期性更新。l僅AP-STA需要使用多播，STA到AP的均為點(diǎn)播包。WAPI WAPI：Wireless Authentiction and Privacy Infrastructure，定義了WLAN中的安全架構(gòu)和加密算法，中國的WLAN安全標(biāo)準(zhǔn)。相當(dāng)于相當(dāng)于IEEE 802.11i協(xié)議協(xié)議。由于美國的抵制，WAPI最終沒有成為IEEE 802.11國際標(biāo)準(zhǔn)。l各國的安全標(biāo)準(zhǔn)：各國的安全標(biāo)準(zhǔn)：美國加密標(biāo)準(zhǔn)是AES，中國WLAN安全標(biāo)準(zhǔn)是WAPI，歐洲安全標(biāo)準(zhǔn)是NESSIE。目前WLAN和有線網(wǎng)絡(luò)上普遍使用的是AE

38、S。lWAPI安全架構(gòu)：安全架構(gòu)：由WAI（接入鑒權(quán)）和WPI（通信加密）組成。 三元結(jié)構(gòu)雙向鑒權(quán)：三元結(jié)構(gòu)雙向鑒權(quán)：分終端（STA）、接入點(diǎn)（AP）、鑒權(quán)服務(wù)器（ASE）。終端和AP都采用證書方式互相鑒權(quán)，鑒權(quán)在中心服務(wù)器ASE上完成。 密鑰管理流程：密鑰管理流程：鑒權(quán)通過后，STA與AP之間通過協(xié)商確定通信密鑰。 加密算法：加密算法：鑒權(quán)和密鑰協(xié)商過程采用了非對(duì)稱的ECC加密算法，報(bào)文加密采用了對(duì)稱的SMS4塊加密算法，這些高強(qiáng)度算法確保無線網(wǎng)絡(luò)的安全性。WAPIWAPIlWAPI已經(jīng)錯(cuò)過成為國際標(biāo)準(zhǔn)的時(shí)機(jī)已經(jīng)錯(cuò)過成為國際標(biāo)準(zhǔn)的時(shí)機(jī) 802.11i已經(jīng)無可替代已經(jīng)無可替代： 802.11i

39、作為國際標(biāo)準(zhǔn)，得到廣泛應(yīng)用和持續(xù)發(fā)展。 Wi-Fi聯(lián)盟的實(shí)力強(qiáng)大聯(lián)盟的實(shí)力強(qiáng)大：相比WAPI產(chǎn)業(yè)聯(lián)盟，成員300 : 48，認(rèn)證產(chǎn)品4000 : 100。 WAPI的技術(shù)優(yōu)勢(shì)已不明顯的技術(shù)優(yōu)勢(shì)已不明顯：不再是與WEP/WPA比較了，而是WPA2比較。l國內(nèi)國內(nèi)WAPI/WPA雙模應(yīng)用的成功機(jī)會(huì)尚存雙模應(yīng)用的成功機(jī)會(huì)尚存 中國政府的大力支持中國政府的大力支持：自主創(chuàng)新的大環(huán)境需要，信息安全的需要。 WAPI具有技術(shù)先進(jìn)性具有技術(shù)先進(jìn)性：WAPI為中國獲得的唯一ISO/IEC以太類字段0 x88B4，IANA將3810端口作為WAPI專用的TCP/IP字段，國際標(biāo)準(zhǔn)競(jìng)爭(zhēng)中受到不公正待遇曲折落敗。

40、中國中國WLAN運(yùn)營商市場(chǎng)加速啟動(dòng)運(yùn)營商市場(chǎng)加速啟動(dòng)：這將造就世界上最大的WLAN市場(chǎng)，4大運(yùn)營商都是WAPI聯(lián)盟的成員，其中中國移動(dòng)和中國電信的WLAN設(shè)備規(guī)范都將WAPI作為必須支持的功能。 國際國際Wi-Fi大廠商開始支持大廠商開始支持WAPI：由于看好中國巨大的市場(chǎng)， Atheros、ST、Intel、TI、Broadcom均明確宣布將支持WAPI，包括硬件方案和軟件方案。小節(jié)提綱小節(jié)提綱nWLANWLAN協(xié)議介紹協(xié)議介紹 協(xié)議框架協(xié)議框架 PHYPHY層層 PHYPHY層管理層管理 MACMAC層層 MACMAC層管理層管理協(xié)議框架協(xié)議框架 802.11協(xié)議定義了物理層和數(shù)據(jù)鏈路層的

41、協(xié)議定義了物理層和數(shù)據(jù)鏈路層的MAC子層。子層。l物理層物理層：802.11定義了6種物理層，每一種都有各自的PMD、PLCP和PLME協(xié)議，其中最重要的有HR/DSSS（802.11b）、ERP（802.11g）和OFDM（802.11a）。lMAC（Medium Access Control）：媒介接入控制層，提供標(biāo)準(zhǔn)的MAC服務(wù)。l層管理（層管理（Layer Management Entity）：提供物理層和MAC層的層管理服務(wù)接口。PMD子層PLCP子層MAC子層層管理物理層LLC數(shù)據(jù)鏈路層PHY層層 802.11b物理層物理層：HR/DSSS。l頻段頻段：2.4G ISM頻段，頻寬為

42、22MHz。l編碼調(diào)制編碼調(diào)制：采用DSSS-CCK調(diào)制編碼。l速率速率：1Mbps、2Mbps、5.5Mbps、11Mbps。PHY層層 802.11g物理層物理層：ERP。l頻段頻段：2.4G ISM頻段，頻寬為20/10/5MHz。l編碼調(diào)制編碼調(diào)制：支持5種方式，其中ERP-DSSS用于1Mbps和2Mbps，ERP-CCK用于5.5Mbps和11Mbps，ERP-OFDM用于6/9/12/18/24/48/54Mbps速率。l前向兼容前向兼容：兼容802.11b。PHY層層 802.11g物理層物理層：OFDM。l頻段頻段：5.8G頻段，頻寬為20/10/5MHz。 l編碼調(diào)制編碼調(diào)

43、制：OFDM，調(diào)制方式有BPSK/QPSK/16-QAM/64-QAM。l支持速率支持速率： 6/9/12/18/24/48/54Mbps 。PHY層層 2.4GHz信道信道PHY層層 5.8GHz信道信道PHY層管理層管理 物理層的層管理物理層的層管理：主要獲取和設(shè)置物理層的參數(shù)l物理層操作參數(shù)物理層操作參數(shù)：包括物理層類型、支持的規(guī)則區(qū)域列表、當(dāng)前規(guī)則區(qū)域。 l天線參數(shù)天線參數(shù)：發(fā)送天線選擇、接收天線選擇、接收分集。l發(fā)射功率參數(shù)發(fā)射功率參數(shù)：各功率等級(jí)、當(dāng)前發(fā)射功率等級(jí)。l信道信道：當(dāng)前工作信道。l速率速率：支持的接收速率表、支持的發(fā)送速率表。l調(diào)制方法調(diào)制方法：支持的調(diào)制方法。MAC層

44、層 MAC層功能層功能：使用物理層的服務(wù)為上層提供類似以太網(wǎng)的MAC功能，并針對(duì)無線的特點(diǎn)進(jìn)行了修改。l支持?jǐn)?shù)據(jù)加密支持?jǐn)?shù)據(jù)加密：因?yàn)闊o線環(huán)境比有線環(huán)境更容易被偷聽和攻擊。 l支持支持MAC層的確認(rèn)層的確認(rèn)：因?yàn)闊o線鏈路可靠性遠(yuǎn)遠(yuǎn)低于以太網(wǎng)，MAC層重傳比上層重傳效率高。lCSMA/CA：無線網(wǎng)絡(luò)無法使用CSMA/CD，因?yàn)闊o法同時(shí)收發(fā)，且無線媒介的沖突檢測(cè)很容易遺漏。沖突退避機(jī)制通過隨機(jī)的退避窗口可將沖突概率將到最低。lQoS：支持類似802.1D的QoS機(jī)制，8個(gè)用戶優(yōu)先級(jí)。l排序功能排序功能：因?yàn)榇嬖谥貍骱蛢?yōu)先級(jí)隊(duì)列，需要接收端進(jìn)行排序來保證MAC層的按序傳遞特性。l管理和控制管理和控制

45、：增加了大量的MAC層管理和控制功能。APMAC層層 MAC幀幀：MAC幀（MPDU）包括數(shù)據(jù)幀、控制幀和管理幀。l數(shù)據(jù)幀數(shù)據(jù)幀：為上層協(xié)議收發(fā)的MAC幀。圖中黑色所示。 l控制幀控制幀：MAC層之間為了控制功能收發(fā)的幀。圖中藍(lán)色所示。l管理幀管理幀：MAC層管理實(shí)體之間交換的幀。圖中紅色所示。PHYMAC層管理（MLME）MACPHY層管理（PLME）Upper LayerSTAUpper LayerMAC層管理（MLME）PHY層管理（PLME）PHYMACMAC層層 MAC數(shù)據(jù)幀數(shù)據(jù)幀l分QoS幀和非QoS幀，QoS幀中包括QoS Control字段。 l地址格式包括3地址格式和4地址格

46、式。ADHOCAP-STASTA-APWDSMAC層層 MAC控制幀控制幀：因?yàn)榭刂茙莾蓚€(gè)STA之間的協(xié)議交互幀，所以均為1地址格式和2地址格式，其中廣播性質(zhì)的控制幀為1地址格式。MAC層層 MAC管理幀管理幀：用于完成鑒權(quán)和關(guān)聯(lián)操作，都是3地址格式。MAC層層 DCF/PCF/HCFlDCF：基本的媒介協(xié)調(diào)控制功能，即CSMA/CA。lPCF：可選功能，只適合于AP架構(gòu)。由AP擔(dān)當(dāng)裁決，將媒介slot進(jìn)行分配。lHCF：支持EDCA和HCCA，分別用于基于競(jìng)爭(zhēng)的媒介分配和收控的媒介分配。MAC層層 DCF（Distributed Coordination Function）：即CSMA/CA，其核心是“先聽后說”和“隨機(jī)退避”機(jī)制。l媒介空閑：PHY層檢測(cè)到媒介持續(xù)DIFS沒有使用，則認(rèn)為媒介進(jìn)入空閑狀態(tài)。l隨機(jī)退避：檢測(cè)到媒介處于空閑狀態(tài)，如果需要競(jìng)爭(zhēng)媒介，則在競(jìng)爭(zhēng)窗口CW內(nèi)隨機(jī)選擇一個(gè)退避時(shí)間（n個(gè)slot單位）。l競(jìng)爭(zhēng)成功：只有媒介空閑時(shí)退避計(jì)數(shù)才遞減，遞減到0時(shí)即獲得媒介訪問權(quán)。MAC層層 DCF中的隨機(jī)回退示例中的隨機(jī)回退示例MAC層層 DCF在在MAC重傳時(shí)，競(jìng)爭(zhēng)窗口重傳時(shí)，競(jìng)爭(zhēng)窗口CW隨重傳次數(shù)指數(shù)遞