浅谈WLAN运营中Portal认证安全性

浅谈WLAN运营中Portal认证安全性WLAN运营有多种认证方式，但最常用的方式为弹出Portal登录页面。即：用户搜索到运营商的AP后，连接进去获得IP地址，打开浏览器，输入账号和密码便可登录，如下图展示的是Saiver的热点登录界面：这种方式虽然简单方便，但由于AP的接入没有采用WEP和WPA2等加密方式，空中信道很容易被侦查破解，黑客能够截获空中传输的账号和密码。因此直接采用该方式安全性较低。如何提高登录页面的安全性呢？目前大部分WLAN运营商采用以下几种辅助方案：1.Portal服务器与NAS和Radius服务器采用CHAP的认证方式2.HTTPS的登录页面方式3.手机短信获得动态密码的方式下面对这三种方式进行论述与比较。1．方案1的认证方式最为简单实用，也非常安全。其中Radius标准提供了两种可选的身份认证方法：口令验证协议PAP（PasswordAuthenticationProtocol，PAP）和质询握手协议（ChallengeHandshakeAuthenticationProtocol，CHAP）。如果双方协商达成一致，也可以不使用任何身份认证方法。质询握手协议认证（CHAP）相比口令验证协议认证（PAP）安全性更高，因为CHAP不在线路上发送明文密码，而是发送经过摘要算法加工过的随机序列，也被称为挑战字符串.处理算法和过程如下图所示。与此同时，身份认证可以随时进行，包括在双方正常通信过程中。因此，这种方式下传输的密码具有时效性。采用PAP的认证方式，密码是明码或者采用可逆算法传输，而且可以通过查看登录页面的源代码查到加密的算法，因此可以很容易地找到破解的算法。而CHAP采用MD5的加密方式是不可逆的，算法是公开的，也就是说侦听者无法从加密后的结果去反算出密码，在整个认证过程中的只有Radiusserver和用户知道密码，包括BRAS等接入设备也只是传输MD5加密后的结果，加密采用一个挑战值的方式，每次认证都不一样，加密的结果也是每次不同，即使被黑客获得，也会在下一次认证时失效。2.Https的登录页面方式，安全性是最高的，因为动态SSL的证书加密方式，目前无法破解，但是需要portal服务器购买正式的网站证书，成本也比较高。3.目前移动运营商多数采用手机短信获得动态密码的方式，密码仅在10-20分钟有效，这种方式与CHAP的安全机制有异曲同工之处，均采用限制密码的有效周期这一手段。该方法虽安全性高，但每次至少使用一条短信，成本也就随之升高，并且操作手段相对繁琐。通过上述论证，我们认为这三种方式彼此独立，互不矛盾，都是提高运营商认证安全的很好方法，也可混合使用。作为宽带计费开发商，赛维智提供的整体解决方案中均涵盖了这三种方式，可根据用户的需求提供最佳方案，扬长避短，以达到最优结果！