WEP安全性极差 企业无奈却仍在使用

作为一种无线安全解决方案，有线等效隐私(WEP协议)多年以来一直是分析师解释无线安全问题的替罪羊。但是，处于某种原因，许多公司仍在机构内部使用某种水平的WEP协议。
　　最近，一个德国的研究人员小组发明了一种攻击WEP协议的新方法。这种攻击能够使在繁忙的802.11g网络中的WEP协议在20秒钟之内失效，使在802.11b网络中的WEP协议在80秒钟之内失效。如果这个网络处于闲置状态，这种攻击能够使在802.11g网络上的WEP在52秒钟之内失效，使在802.11b网络上的WEP在3分钟之内失效。这种攻击使用了"aircrack-ptw"破解口令的算法。

　　许多专家一致认为，虽然这种新的破解WEP协议和暴露网络的方法很吓人，但是，这个事情提醒人们WEP协议并不是那样安全的，企业应该考虑使用更新的无线安全标准，如WPA或者WPA2。

　　研究公司Burton Group的高级分析师Paul DeBeasi说，这只是再一次给那些应该使用标准化WPA2协议的人们敲响了警钟。它提醒人们黑客能够以多么快的速度突破你的网络和访问信息。

　　Core Competence公司副总裁Lisa Phifer把DeBeasi的警告又加深了一步。她说，WEP协议早在2000年就被破解了。更好的解决方案已经推出五年时间了，最初是WPA，现在是WPA2。许多担心无线局域网安全的企业很久以前就从WEP协议转移到其它协议了。

　　Phifer说，WEP破解工具在过去的几年里通过减少猜测WEP密钥所需要的通讯量已经提高了速度。最新的攻击采用主动数据包注入方式把破解一个WEP密钥所需要的时间从一个小时缩短到了不到一分钟。不过，由于WEP协议本身就缺乏安全性，这种新的破解工具也许没有任何影响。

　　她说，任何想要破解你的WEP密钥的人可能都会等待一个小时。那些由于设备陈旧仍在使用WEP密钥的无线局域网可能不会使用类似于802.1x的东西自动刷新这些密钥。如果一个静态WEP密钥使用了6个月的时间，一个小时时间对于他们暴露的窗口没有太大的影响。

　　Phifer在告诫企业如何保护自己防止WEP破解和其它安全漏洞时明确指出："避免使用WEP协议。我怎样强调这一点都不过分。

　　她建议企业淘汰和更换不能做WPA-PSK工作的老式设备。

　　Phifer说，但是，如果你确实不能做这个事情，你可以在他们自己的虚拟局域网/子网上隔离这些设备并且尽一切可能仅允许已知的设备进行通讯。例如，除了预料之中的应用程序连接请求之外，封锁全部的连接请求，并且只有在他们连接到应用服务器的时候才对设备/用户进行身份识别。这不能保证通讯隐私，但是，这可以防止密钥破解程序进一步侵入你的网络。如果你有一个无线IPS，设置这个程序在发生主动WEP破解攻击时向你报警，并且决定采取什么行动：关闭受影响的接入点，重新设置设备的密钥和物理跟踪入侵者等。

　　无线局域网保护平台制造商AirDefense本月推出了一个WEB保护模块，旨在帮助企业保持它们在老式掌上设备方面的投资，避免昂贵的升级和培训成本。

　　这种WEP保护模块使用AirDefense企业版平台，利用无线传感器保护掌上设备避免破解WEP加密密钥的被动的和主动的企图。

　　AirDefense制作一种工具保护WEP的应用。但是，该公司负责产品营销的副总裁David Thomas说，企业仍然应该期待着升级。

　　他说，我们很长时间以来一直告诉客户，WEP过时了。他们应该放弃使用WEP。但是，有些人有太多的嵌入式设备。要放弃这些设备代价太高了。

　　例如，在零售业，许多设备仅支持WEP。这些设备每台价格在2000美元左右。这就意味着升级是很大一笔开销。

　　Thomas说，当他们考虑升级的时候，这个成本太高了。他举例说，一个AirDefense的零售客户必须要用800万美元才能进行设备升级。这不是客户不想升级。如果客户有办法采取积极的行动不再使用WEP，我想他们会这样做的。

　　Thomas指出，研究人员最近的研究结果证实需要逐步淘汰WEP并且要加强这样的想法，就是类似于AirDefense公司的WEP保护模块这样的工具应该是一种权宜的解决方案。

　　Thomas说，像这样的研究总是很有趣的和好的事情。这基本上上是说WEP在一次被攻破了。他说，许多公司对于仍在使用WEP都有一种犯罪的感觉。对于许多公司来说这都是不可告人的丑事。

　　Thomas说，WEP保护模块让企业以自己的步伐从WEP向WPA或者WPA2过渡。这是一个让企业根据自己的时间进行升级的权宜之计。

　　DeBeasi表示，许多公司仍在使用WEP是一件很遗憾的事情。不过，他很快承认，在无线局域网安全领域，即使像WEP这样差的东西，有总比什么都没有好。他说，这个东西很容易安装和使用的。许多公司避免使用WPA和WPA2等产品，因为他们认为这些产品太复杂了，有许多活动部件。升级需要在笔记本电脑中配置辅助的软件，设置网络基础设施、设置后台身份识别服务以及其它一些步骤。对于某些人来说，安全是复杂的事情。

　　作为AirDefense的WEP保护模块的销售目标的那些公司可能没有钱购买升级到WPA或者WPA2所需要的设备。有些公司没有钱升级支持WPA客户端的笔记本电脑。例如，许多零售公司使用条形码扫描器和其它仅支持WEP的设备。

　　DeBeasi说，如果一家公司仍在使用WEP，我很高兴看到你安装了某些东西，但是...。对于那些没有无线安全措施并且没有使用WEP的人，他将提醒他们"不要吃老本。"

　　据Phifer说，使用没有集成WPA技术的设备的那些公司应该是这个规则的惟一例外。她说，对于那些老式的嵌入了不支持WPA的Wi-Fi芯片的小型设备来说肯定存在例外的情况。这种小型设备包括售货机、条形码扫描器和手机等。不能或者不愿意升级这些老式设备的企业在aircrack-ptw破解工具出现之前就已经非常容易受到WEP破解攻击了。