教师：在本课中, 我们将讨论如何保护您的无线网络免受某些威胁｡
现在, 无线网络为我们提供了很多便利,
但它也带来了大量的安全风险, 因为与有线网络不同,
只要我在无线信号的覆盖范围内,
我就可以用智能手机, 平板电脑或笔记本电脑连接到它｡
为了保护您的网络, 您真的需要确保您知道您的设备正在连接到什么,
并且一旦它们连接, 您希望确保正在发送的数据将被加密｡
现在, 我们要做的第一件事是确保我们传输的任何内容都是私下进行的,
以提高我们网络的安全性｡
其中一种方法是预共享密钥｡
现在, 预共享密钥是指两个端点,
即您的接入点和笔记本电脑或智能手机上的客户端具有相同的加密密钥｡
如果我在一端使用密码, 在另一端使用相同的密码,
并且它们匹配, 则使用相同的预共享密钥来创建加密隧道｡
现在, 当您使用预共享密钥时,
会出现一些问题｡
首先, 可扩展性对我们来说是一个大问题｡
假设我有一个办公室, 我有50个不同的用户,
他们都连接到无线网络, 所有人都使用相同的预共享密钥｡
但假设明天我去上班解雇一个员工｡
现在, 该员工知道预共享密钥, 所以猜猜我们要做什么？
我们必须更改预共享密钥,
因为我必须更改预共享密钥, 所以现在需要告诉所有其他50名员工新密钥是什么,
以便我们都可以更改它｡
就像换了你家前门的钥匙｡
如果你有10个家庭成员,
你现在必须复制10把钥匙｡
由于您的所有客户端都使用相同的密码和相同的密钥,
这使得我们很难更改和进行适当的密钥管理｡
这就是为什么我们不在大型环境中使用预共享密钥的重要原因之一｡
但是, 如果你在一个小办公室或家庭办公室环境中,
比如你的房子或10名员工或更少的小办公室,
你可以继续使用预共享密钥, 因为这样配置网络非常容易, 因为你只有几个设备｡
现在, 当我们查看无线安全时,
我们可以使用三种主要方法来实现这一点｡
第一个是WEP, 然后是WPA和WPA2｡
当我们处理WEP时,
我们谈论的是有线等效隐私｡
这是最早的无线安全技术,
可以追溯到第一个版本的802
wifi｡ 11.
现在, 它声称它和有线网络一样安全,
因此被称为“有线等效隐私”｡ 但事实是它并不安全, 这些天你永远不应该使用WEP,
因为它是一个非常不安全的协议｡
WEP的工作方式是使用预共享密钥｡
每个人都有相同的密钥, 它是一个静态的40位密钥,
非常小, 很容易使用强大的计算机进行暴力破解或猜测｡
随着时间的推移, 为了使WEP更安全,
他们将密钥从40位升级到64位, 然后再次升级到128位, 这解决了密钥长度问题,
但它没有解决另一个称为初始化向量的问题｡
WEP的工作方式是,
它使用一个24位的初始化向量, 这是一系列的24个1和0, 它们将被称为这个初始化向量｡
这是以明文形式发送的, 如果您捕获足够的这些初始化向量,
您实际上可以破解加密密钥并向后猜测您用于WEP密码的预共享密钥｡
事实上, 使用Aircrack NG, 您可以在大多数现代笔记本电脑上在大约两到三分钟内完成此操作｡
现在, 我们要谈的下一个是WPA｡
WPA或Wifi保护访问是WEP的替代品,
因为这个24位初始化向量的弱点｡
为了克服这一点, 他们引入了TKIP,
即临时密钥完整性协议｡
现在TKIP正在用一个48位长的新向量替换那个24位初始化向量｡
这使它的强度增加了一倍,
但当涉及到现代计算时,
这仍然被认为是相当薄弱的｡
他们做的另一件事是他们添加了一种新的加密类型,
称为RC4, 或Rivest Cipher
4, 它非常好, 但同样, 以今天的标准, 这被认为是弱的｡
WPA还希望为您的设备添加一些完整性,
他们通过确保没有人可以进行中间人攻击并更改信息来做到这一点｡
为了做到这一点, 他们使用了一种叫做MIC的东西,
即消息完整性检查, 这是一种在发送数据之前对数据进行散列的形式,
这样你就可以验证它在通过网络传输时没有被修改｡
WPA也发现了这个预共享密钥的缺陷,
并且能够非常快速地发送新密钥,
所以他们在WPA中添加了一个称为企业模式的东西｡
在企业模式下, 用户可以在交换密钥之前进行身份验证,
然后可以在客户端和接入点之间临时创建新密钥｡
这试图解决预共享密钥的可扩展性问题,
但最终WPA仍然被今天的标准认为是弱的,
并被称为WPA2或Wifi
Protected Access 2的更现代版本所取代｡
现在, WPA2是当前的标准,
而那些作为802. 11i标准｡
它首先被实现, 它是Wireless G, 然后是Wireless
N和Wireless AC｡
它需要更强的身份验证､
更强的加密和完整性检查｡
完整性检查是通过使用CCMP完成的｡
现在, CCMP代表计数器模式与密码块链消息认证码协议,
这是一个拗口的, 你将不必记住的考试或它的意思｡
您需要记住的是, 每次看到CCMP时,
您都应该考虑这是WPA2安全性的一部分｡
他们做的第二件事是他们通过VES
Cipher 4替换了旧的RC4加密机制,
使用了称为高级加密标准或AES的新机制｡
现在AES使用128位密钥, 一些较新的模型实际上可以使用256位密钥或更多｡
这为您在此无线网络上传输的数据提供了额外的安全性和机密性｡
在这个特殊的记录时, AES仍然没有被破坏,
WPA2算法本身也没有被破坏, 所以如果你有一个长而强的密码, 这是一件好事｡
现在, 人们能够破解这些网络的唯一方法是使用密码攻击,
这意味着他们试图通过使用暴力攻击或字典攻击猜测每一个可能的选项来猜测密码｡
所以, 如果你想保护你的网络,
请确保你使用一个好的, 长的, 强的密码｡
WPA2还支持两种不同的模式, 具体取决于您将要使用它的网络｡
如果您在家庭或小型办公室环境中使用它,
您将使用预共享密钥, 其中每个人都有相同的密码｡
这被称为个人模式｡
另一种方式是在使用企业模式的大型环境中使用它, 在这种环境中, 每个用户都获得一个唯一的用户名和密码,
他们将使用一个使用本地WPA2或卸载到801的中央身份验证服务器｡
1x认证服务器｡
在考试中, 我希望你们记住关于无线安全的四件事,
如果你们记住了这张图表上的四件事, 你们就会做得很好｡
首先, 任何时候你看到无线网络中的开放这个词,
这意味着没有安全性, 没有保护, 没有密码｡
如果你听到了WEP,
我希望你把它和初始化向量联系起来｡
这就是WEP的缺陷, 也是你们在考试中会听到的内容.
WEP很弱, WEP很坏｡
WEP使用初始化向量｡
如果你看到WPA, 我希望你考虑TKIP和RC4,
因为TKIP都是用来替换初始化向量的, RC4是它的加密形式｡
再次, WPA被认为是弱, 不要使用它｡
接下来, 如果你看到WPA2, 你应该想到CCMP和AES的缩写｡
CCMP是一个完整性协议,
AES是我们使用的加密机制｡
这是你在考试当天回答无线安全问题的关键｡
接下来, 让我们谈谈MAC地址过滤｡
我们可以使用ACL配置我们的接入点,
这将能够查看这些地址并允许或拒绝某些MAC地址连接到网络｡
例如, 如果我的iPhone试图连接到网络,
但它没有被授权, 或者它在拒绝列表上,
它将无法进行握手, 也无法进行通信｡
现在, Mac过滤的问题仍然存在于这样一个事实,
即它真的很容易改变你的MAC地址和欺骗它｡
知识渊博的用户可以使用免费提供的工具非常快速地更改他们的Mac地址,
而且确实需要大约五秒钟的时间｡
这将阻止一些人, 但它不是万无一失的,
它不会阻止所有人｡
如果你想更改你的Mac地址,
你可以使用Mac Address Changer for Windows,
Mac Daddy X for OSX和Mac系统, 或Mac Changer
for Linux等工具, 这些都是非常容易使用的工具｡
Mac地址不会成为您的强大保护来源,
但根据考试, 它是您可以用来形成防御和深度策略的一部分的保护｡
所以在现实世界中, 不要太担心Mac过滤,
但对于考试, 他们确实认为这是一个很好的安全措施｡
接下来, 我们将禁用SSID广播,
这也被认为是保护网络的一个小安全帮助｡
现在, 根据考试, 就像MAC过滤一样,
他们说这是一件好事｡
在现实世界中, 虽然它并不需要很长的时间来找到一个隐藏的SSID｡
什么是SSID？
嗯, 它代表服务器集标识符, 这是你的无线网络实际上被称为｡
例如, 如果你去星巴克, 他们有一个叫“星巴克客人”,
或者如果你去我家, 我有一个叫“迪翁”,
这样你就可以看到服务器组出去说, “嘿, 迪翁在这里, 我应该连接到它吗？
如果你搜索一个网络,
你会看到你周围的所有名字的列表, 对吧？
好吧, 如果你关闭了服务器集ID的广播,
它就不会广播出去, 也不会显示在你的可用网络中｡
这样, 用户必须手动输入名称才能连接到您的网络,
因此他们必须实际知道它在那里｡
现在, 问题是, 使用无线渗透技术,
很容易找到这些, 你仍然可以连接到他们｡
如果你所做的只是禁用你的广播,
它不是很安全｡
但是, 如果你这样做与MAC过滤和有一个很好的长,
强密码相结合, 你开始分层的安全性, 并给你一个更好的安全态势｡