WAPI白皮书

《WAPI白皮书》WAPI产业联盟WAPI产业联盟WAPI白皮书WAPI产业联盟秘书处2007年《WAPI白皮书》第2页总29页WAPI产业联盟一、前言：WAPI的定位与价值1、WAPI是什么？网络通信发展的永恒主题是使人们能自由获得网络资源，而安全性是保障实现这一目标的关键要素和必要条件。安全性保障的缺失必然导致网络非法操作并继而影响上层通信内容的安全。基于IP协议的通信网络向规模化、多样化方向发展，网络拓扑结构已不仅仅呈现为传统的C-S（客户端-服务器）模式，由终端到服务器的简单安全模型已无法满足网络发展要求；大量网络承接节点的物理存在需要一种新的安全体系架构，以适应这种网络拓扑和应用形态的变化。WAPI（WideAuthenticationandPrivacyInfrastructure，普适鉴别和保密基础结构），技术名称为基于对等访问控制的安全接入基础结构，是国内外首次提出的一种终端与网络对等鉴别技术思想和框架方法，属原创技术，可普遍适用于无线、有线网络，能有效阻止不符合安全条件的设备及访问进入网络。对我国网络基础设施的信息安全保障和产业良性发展、维护消费者利益和打破垄断具有重大意义，也是我国建立自主安全接入技术体系的重要标志，国内外影响广泛深远。作为网络安全的关键核心技术，它的推广应用将对各种网络、信息产品产生积极影响，从客户端软硬件到交换机等网络基础结构，到后端软件等都在范围之内。WAPI安全架构具备广泛的适用性，并能够充分满足大规模商用化要求。WAPI安全架构不仅具有有效的安全鉴别机制、灵活的密钥管理技术，而且实现了整个基础网络的集中用户管理，从而满足更多用户和更复杂的安全性要求。作为一种普遍适用型的安全架构体制，WAPI是一种广泛适用于IP网络接入控制的、支持IP网络承载层安全的可靠的体系架构，为上层承载各种应用奠定了基础。作为一种典型的宽带无线IP接入方式，无线局域网(WLAN)的迅猛发展及其存在的影响其发展的安全瓶颈为WAPI安全架构提供了一个典型应用场景。WAPI安全架构首先在WLAN中得到应用和发展的空间，它在WLAN中是基于公钥证书体制来实现的，无线局域网鉴别和保密基础结构(WLANAuthenticationandPrivacyInfrastructure)即为这种安全架构在无线中应用的完美体现。随着WAPI解决包括WLAN在内的宽带无线IP产业在我国发展的安全瓶颈和消除信息基础设施安全隐患，WAPI架构会在更多网络形态内取得更广泛的应用。2、WLAN中的WAPI非法用户在接收到无线信号的任何地方都可以发起对公共无线局域网的攻击，无须授权即可使用网络服务，这不仅会占用宝贵的无线信道资源，增加带宽费用，降低合法用户的服务质量，并且别有用心的人还可以利用这一漏洞进入到局域网内部窃取机密。根据国际互联网安全中心的统计数据，2003年针对无线局域网的攻击已经占全球互联网络攻击事件总数的23%。并且在2004年上半年，随着无线局域网的进一步普及，有可能达到2003年全年的无线局域网攻击事件的总和。这对于正在高速发展的中国计算机网络来说，的确是个重大的安全隐患。众所周知，为了保持稳步快速的发展，每一个团体或个人在使用无线技术的时候，首要考虑的是它的安全保密性。WLAN传输协议很难保证在今后规模普及的时期无线网络能够安全稳定地工作。《WAPI白皮书》第3页总29页WAPI产业联盟无论是对于运营商公众无线局域网(PWLAN)还是高端市场的拓展，可靠、易用的安全方案本身已经成为现阶段WLAN产业链关注的“热点”。无论是北电的Contivity还是Baffalo公司的一键式安全认证，亦或CISCO的SWAN整体安全策略，还是目前各厂商呼吁的有线无线一体化安全防御策略，可靠的安全方案本身就已经构成WLAN解决方案差异化竞争力的头等要素。虽然包括Linksys、D-link等设备厂商以及Broadcom这样的上游芯片厂商都推出了各自的WLAN安全方案，但是这些安全方案之间的兼容性普遍存在问题，这也是Wi-Fi联盟没有解决的一个关键问题。例如，针对WLAN国际标准安全方案需要手动密钥管理的复杂性，Broadcom公司开发了一种更加易用的密钥设置软件方案SecureEZSetup，却只有其OEM伙伴Belkin宣布支持。正如CNN一位IT专栏作家所说：“不启用安全的时候，一切OK，当启用安全的时候，麻烦接踵而来。”事实上，中国WLAN市场经过两年多的发展，目前已经进入一个比较务实的，讲究满足商用需求与回报的、可运营可盈利的市场阶段。但是，无论是在运营商还是企业、行业市场，安全问题是导致WLAN市场无法拓展企业、行业高端客户的第一道屏障。正如信息产业部无线电管理局副局长刘岩最近指出：“我国建设2.4GHz频段的WLAN网络较多，但盈利状况不尽如人意。这主要是由于WLAN技术自身的漫游、计费、管理、认证等能力不足，限制了其大规模应用。”除“计费”外，“漫游、管理、认证”无不与WLAN安全方案息息相关。刘岩还指出运营商的公共无线局域网络应当多注意在拓展高端消费者的同时，注意企业用户的开发。缺乏深入的应用是WLAN在企业市场乏力的根本原因，但问题是，如果总是有70％以上的CIO对WLAN安全问题惴惴不安，何谈深入应用。目前国外很多较早部署WLAN的公司和校园，底线基本都是采取有线无线局域网的隔离方式保证信息安全。国内在企业总部率先部署WLAN的公司多为外企，只要稍作打听，你就会发现，这些公司也大多在有线、无线网之间采取了物理隔离等严厉手段。这使得WLAN信息处理效率和应用扩展上的优势被极大削弱，“安全保发展”的现实意义在这里得到佐证。2004年以来，中国乃至全球WLAN市场结构和利润空间的低迷，除却新技术标准发展对投资者信心的影响外，国际标准安全方案差劲的易用性和安全性能，以及各厂商补救方案的兼容性问题都是WLAN本身迟迟不能切入高端用户市场，进而导致产业结构升级困难的根本原因。例如，美国政府要求所有部门采用的无线设备必须符合联邦信息处理标准FIPS140-1,2，但WLAN国际标准中的WEP算法并不符合FIPS标准，同时自身也存在“根本性的、系统性的缺陷”，这样的WLAN安全性能如何能够在对安全要求较高的政府和行业市场得到认可？不幸的是这些问题似乎并不能随着IEEE802.11i的晚产迎刃而解，相反，正如Intel的JesseWalker的一句名言：“真正好的标准是大家都讨厌的标准。”由于有WAPI参照，11i在中国市场不再像预期的那样君临天下，而是要面临高端用户的选择。甚至在WAPI强制认证的日期敲定之前，IEEE802.11i的产品认证进度目前也是大大落后于WAPI的。如果11i在进入市场时间、易用性、升级成本、安全性、兼容性、技术开发难度、各方利益协调等方面陷入泥潭，它将首先在中国WLAN市场接受WAPI的强有力挑战。以下，本白皮书将就WAPI在企业、行业、政府以及最终用户市场部署的优势以及安全WLAN方案中涉及的最新技术标准、解决方案从用户价值的角度进行深入分析，力求为用《WAPI白皮书》第4页总29页WAPI产业联盟户选择合理的WLAN安全方案提供参考依据。二、谁为无线而生：WLAN市场主流安全解决方案分析随着WLAN的迅速发展，其安全问题日益受到人们的关注。WLAN中的数据通过射频无线电传输，这对于恶意的攻击者实施窃听是十分有利的。与有线网络相比较，WLAN难以采用物理手段的控制措施，因此保护WLAN的安全难度要远大于保护有线网络。人们已经认识到必须专门为WLAN设计安全防护机制，以保护在WLAN中传输数据的机密性、完整性和不可否认性，同时对请求接入WLAN的用户进行身份认证和访问控制。密码技术是保护信息安全的主要手段之一，它是结合数学、计算机、通信与电子等多学科的交叉学科，密码算法不仅有加解密功能，还具有数字签名、身份验证等功能。在WLAN这种对操作的实时性和安全性要求都很高的环境下，如何选取合适的加密、消息杂凑算法，如何快速准确地认证用户和管理访问权限，如何在为安全付出的开销和系统的效率之间找到最佳的平衡点，是WLAN安全解决方案所面对的主要问题。基于WEP＋静态密钥管理的安全机制已不能适应目前的安全需求，在提高无线网络安全方面，各国和各个公司均作了很大努力。IEEE的IEEE802.11i工作组定义了新的安全体系—RSNA(RobustSecurityNetworkAssociation)，它分为两个阶段WPAv1和WAPv2与生产厂商Wi-Fi联盟共同推荐；在我国，无线局域网国家标准GB15629.11-2003中提出了更为成熟的WAPI（无线局域网鉴别和保密基础结构）机制来实现无线局域网的安全。本白皮书中我们对这些安全机制进行讨论。中国电子科技集团公司第七研究所李进良教授：在国内外，因此出现的安全问题屡见不鲜，并导致很多安全纠纷。据统计，不愿采用WLAN的理由中，安全问题高居第一位，达40%以上，已经成为阻碍WLAN进入信息化应用领域的最大障碍。现有的安全机制由于不能提供足够安全的基础建设模块，让解决WLAN安全成本的负担转移到整个WLAN价值链上的产品制造厂商、系统集成商和用户，使市场上产生了多种安全安装解决方案，而最终用户为此不断付出更多的安全成本。Wi-Fi标准为此采用了WEP、WPA、VPN、802.11x、IEEE802.11i等方式试图保证WLAN安全，但它们只是将有线局域网安全机理通过技术转接到WLAN上，应用到无线电环境在技术上很容易被破译。WEPWiredEquivalentPrivacy有线等效加密这是无线局域网IEEE802.11标准最初使用的安全协议。其认证机制是对客户机硬件进行单向认证，采用开放式系统认证与共享式密钥认证算法，认证简单，易于伪造。其加密机制是64位WEP流加密算法，静态密钥，安全强度低。遗憾的是目前IEEE802.11标准中的WEP安全解决方案，在15分钟内就可被攻破，已被广泛证实不安全。在日本，西屋百货公司基于WLAN的移动POS机因为泄漏消费者隐私，致使大量客户的信用卡资料被黑客窃取；在韩国，许多准备部署WLAN的公司发现一些公司员工已经私自安装了WLAN接入点设备，使得公司针对有线互联网设计的安全方案形同虚设；在美国，负责研究核武器以及其他国家防御技术的LawrenceLivermore国家实验室关闭了已有的两个无线计算机网络并宣布禁止使用无线局域网，原因在于这些系统中存在的安全隐患容易遭受到黑客的攻击而丢失机密信息；在英国，年轻的黑客驾车沿街扫描（wardriving）周围建筑物中的无线局域网信号，随手截取保密信息，无线局域网黑客文化已经略具雏形；在雅典，国际奥委会已经正式宣布Wi-Fi《WAPI白皮书》第5页总29页WAPI产业联盟网络将无缘2004年奥运会......凡此等等，不一而足。在无线局域网产业迅猛发展的同时，其所面临的安全瓶颈也日益突出，并已成为制约该产业进一步发展的主要障碍。随着WLAN产业成为移动计算主流的方式，当涉及到个人的方方面面的时候，目前这些苗头、个案将成为群体爆发的严重社会现象。目前美国法律界已经开始讨论WLAN安全标准导致的第三方问题，根据国际很多专家的分析百分之七十以上的人，对无线安全问题是忽视的。在具体使用WLAN产品上，对安全性的需求，不像企业级用户那么重视。即使在个人消费市场，美国相关的由于国际安全标准漏洞产生的法律问题，已经提到议事日程。比如一个邻居或者一个陌生人在马路边的咖啡屋使用你家里没有健全的安全措施的AP，去下载儿童色情片或者进行了银行抢劫，在美国大部分的法律工作者认为，不采用安全措施的AP用户也要承担相关的法律责任。更为严重的是，目前破解Wi-Fi安全标准的黑客工具很成熟，也很容易被一般用户得到使用，这将会导致更为严重的安全问题。WPAWi-FiProtectedAccess，Wi-Fi保护访问IEEE为了缓解来自产业和最终用户的压力，于2002年匆忙推出了IEEE802.11i标准的过渡方