WiFi/WiMAXWiFi/WiMAX
文件类型：PDF/Adobe Acrobat 文件大小：字节
更多搜索：WiFi WiMAXWiFi WiMA
WiFi/WiMAXWiFi/WiMAX
无线网路基础建设与应用系统无线网路基础建设与应用系统
安全查核指引方案安全查核指引方案
经济部工业局
行动台湾应用推动计画
内容
一,无线网路安全问题
二,无线网路技术v.s. 安全机制
三,实施策略与方法
四,安全查核文件介绍
一,无线网路安全问题
因无线网路特性而衍生之问题
-资料皆以电波型式於空气中传输
-更容易提供入侵者进行窃听,干扰,或伪冒之
机会,例如
-可以在基地台广播之范围内窃听传输之资料
基地台伪冒
-伪造假的基地台,以骗取用户端之资料
无线电波干扰
-不正常占用频道,妨碍正常通讯
一,无线网路安全问题(cont.)
因无线网路特性衍生问题之对策(技术面)
-完善的无线基地台设定,配置,及管理方案
如基地台位置
发射功率
修改出厂密码,…
-选用足够强度之加密机制
如AES加密机制
合适的金钥长度(e.g. 128 bits)
-使用完善的认证机制
如EAP双向认证机制
合适的认证载具(e.g. 帐号/密码,IC卡,…)
一,无线网路安全问题(cont.)
因无线网路IP化而衍生之问题
-WiFi/WiMAX皆为IP化网路环境
-会遭遇Internet上之各种安全威胁,如
骇客入侵
-IP位址假冒, 封包扫描, 阻绝服务, 作业系统/应用程式漏
洞, 网路钓鱼…
病毒/蠕虫/木马程式
间谍程式
人员管理
实体安全
一,无线网路安全问题(cont.)
因无线网路IP化衍生问题之对策
-操作面
对於外部未授权人员,行为之管理
用以辅助及增进安全的资讯技术或工具,如入侵侦
测(IDS),防毒软体,防火墙,虚拟专用网路
(VPN),身分验证机制,存取控制,…
-管理及营运面
对内部人员,行为,资源之管理
安全策略,管理规则,应变计划,稽核计划与机
制,…
二,无线网路技术v.s. 安全机制
2G3GWiFiFixed
WiMAX
Mobile
WiMAX
通讯技术e.g. GSMe.g.
UMTS
802.11a/b
/g
802.16-
2004
802.16e
认证机制SIM/A3/A
8
用户端单
向认证
(存在安全
漏洞)
USIM/AK
A双向认证
EAP双向
认证
(一般建置
均只启用
用户端单
向认证)
PKMv1用
户端单向
认证
PKMv1&
PKMv2
(RSA+EA
P)双向认
证
二,无线网路技术v.s. 安全机制
(cont.)
2G3GWiFiFixed
WiMAX
Mobile
WiMAX
传输加密A5加密机
制
(安全性不
足)
f8(加密)
f9(资料完
整性)
DES/RC4/
AES加密
机制
(一般未使
用,或安
全性不足)
DES/AES
加密机制
(DES加密
机制安全
性不足)
DES/AES
加密机制
(DES加密
机制安全
性不足)
说明为封闭式之系统
使用SIM/USIM卡保
护相关秘密资讯,破解
不易
破解成本较高
认证及加密机制均为
预设强制使用,较不易
遭遇安全威胁
一般均为开放式系统
秘密资讯无硬体保护,易遭窃取
破解成本较低(如PC+无线网卡)
认证及加密机制皆需进行设定,
需更为注意安全问题
三,实施策略与方法
著重WiFi及WiMAX无线网路通讯技术之安
全考量
系统,网路及应用服务等面向
搜集国际间之相关资讯
-安全规范
-资讯安全相关标准
-无线网路安全标准
-网路攻击技术
提出厂商在基础建设,应用服务之安全参
考指引
Wireless City Security
安全分析
Wireless City SecurityWireless City Security
安全分析安全分析
(2)(2)实地安全实地安全
测试,分析测试,分析
无线网路
安全标准
无线网路无线网路
安全标准安全标准
资讯安全
相关标准
资讯安全资讯安全
相关标准相关标准
(1)(1)相关安全资料相关安全资料
搜集搜集
(6)(6)安全查核安全查核
指引方案指引方案
(5)(5)厂商意见回馈厂商意见回馈
(3)(3)内部意见整合内部意见整合
(4)(4)专家意见搜集专家意见搜集
意见回馈意见回馈
及搜集及搜集
三,实施策略与方法(cont.)
(1)相关安全资料搜集
资料种类详细资料安全规范内容引用之部份
无线网路
相关安全
标准
802.1x提供文件中WiFi/WiMAX建
置,认证需求应考量之重点
802.11i(WPA
,WPA2)
提供文件中WiFi建置,认证
需求应考量之重点
802.16 2004提供文件中WiMAX建置,认
证需求应考量之重点
802.16e提供文件中WiMAX建置,认
证需求应考量之重点
95.8.7 开始搜
集相关标准
三,实施策略与方法(cont.)
(1)相关安全资料搜集(cont.)
资料种类详细资料安全规范内容引用之部份
国际规范
与资讯安
全相关标
准
NIST Special
Publication
800-48
以此文件资料为本,提供技
术面,操作面,管理面之内
容
BS 7799作文件之营运面及管理面之
内容增修
95.9.1 开始搜
集国际资安相
关标准
三,实施策略与方法(cont.)
资料种类详细资料安全规范内容引用之
部份
实地安全
测试分析
资料
资讯监听提供文件在现实无线
网路环境中,技术面
应考量之重点
阻断攻击
WEP之破解
WPA(WPA2)之
破解
伪造攻击
(2)实地安全测试,分析
96.1.26 开始实地测试分析
96.3.30 完成测试分析报告
三,实施策略与方法(cont.)
(3)内部整合意见
讨论规范outline
讨论查核表之加入
讨论BS7799参考资料之加入
协力完成指引方案初稿大致雏形
协力完成指引方案初稿
讨论并改进指引方案初稿
与多位专家学者讨论后,完成指引规范
修改
三,实施策略与方法(cont.)
(4)专家意见搜集
厂商
厂商一
厂商二
官方
经济部工业局谢戎峰技正
行政院研考会何全德处长
学者
交通大学谢续平教授
清华大学孙宏民教授
三,实施策略与方法(cont.)
(4)专家意见搜集
厂商
厂商一
厂商二
官方
经济部工业局谢戎峰技正
行政院研考会何全德处长
学者
交通大学谢续平教授
清华大学孙宏民教授
95.10.31 将资料给厂商一
95.11.3 拜访厂商一讨论文件
95.11.4~16 陆续讨论文件
95.11.17 厂商一回覆意见
三,实施策略与方法(cont.)
厂商一意见
-本公司只适合填写表7,不适合填写表5
-表7的第1点(确保应用程式或设备在不使用的
时间(如下班与周末)是关闭的)在本公司不
适用,因为本公司的应用程式为全年24小时服
务.
三,实施策略与方法(cont.)
(4)专家意见搜集
厂商
厂商一
厂商二
官方
经济部工业局谢戎峰技正
行政院研考会何全德处长
学者
交通大学谢续平教授
清华大学孙宏民教授
95.12.12 拜访厂商二讨论文件
95.12.12 将资料给厂商二
95.12.13~96.1.2 陆续讨论文件
96.1.3 厂商二回覆意见
三,实施策略与方法(cont.)
厂商二意见
-本公司可填写表5与表7
-基本上,表7的所有要求都可以达到
-表5的第17,18,19,30和51点是有关WiFi的部分,不适
合WiMAX厂商填写
17变更在无线基地台上的识别码(如SSID,AKSN)预设值.
18
关闭广播识别码(如SSID,AKSN)的特性,以便让客户端的识别码必须
与其无线基地台的识别码相匹配.
19
证实识别码符号字串无法反映出代理机构的名称(如区域,领域,街道
等)或产品.
30设定MAC存取控制列表.
51
让特定分享金钥(如802.11WEP的key-mapping keys或802.16的AK)的使
用取代系统预设金钥(default key),以便每个session可以使用不同的分享
金钥.
三,实施策略与方法(cont.)
(4)专家意见搜集
厂商
厂商一
厂商二
官方
经济部工业局谢戎峰技正
行政院研考会何全德处长
学者
交通大学谢续平教授
清华大学孙宏民教授
96.4.26 将资料给谢技正
96.5.4 拜访谢技正讨论文件
96.5.7 根据谢技正意见修改资料
96.5.9 再次拜访谢技正讨论文件
96.5.10 再次根据谢技正意见修改资料
三,实施策略与方法(cont.)
谢戎峰技正意见
-「无线城市参考规范」应明订适用范围是WiFi
与WiMAX
-应考虑与3G/3.5G的安全比较,是否可达到
3G/3.5G的安全性
-应做安全等级分类
-应问何全德处长对於规范之意见为何
三,实施策略与方法(cont.)
(4)专家意见搜集
厂商
厂商一
厂商二
官方
经济部工业局谢戎峰技正
行政院研考会何全德处长
学者
交通大学谢续平教授
清华大学孙宏民教授
96.5.14 将资料给何处长
96.5.30 拜访何处长讨论文件
96.5.31 根据何处长意见修改资料
三,实施策略与方法(cont.)
何全德处长意见
-「无线城市参考规范」应考虑的范围比较广,
应该以较大的构面长期来规划
-本文件应以针对M-Taiwan建置厂商之指引方案
为主轴
-本文件题目应该明订是WiFi,WiMAX的文件,
而非包含全部的无线网路
三,实施策略与方法(cont.)
(4)专家意见搜集
厂商
厂商一
厂商二
官方
经济部工业局谢戎峰技正
行政院研考会何全德处长
学者
交通大学谢续平教授
清华大学孙宏民教授
96.5.18 将资料给谢教授
96.5.25 谢教授回覆意见
96.5.29 根据谢教授意见修改资料
三,实施策略与方法(cont.)
谢续平教授意见
-已经将修改建议放在「追踪修订」处
-例如「本文件不叙述其他不含在IEEE 802.11
(Wi-Fi)与IEEE 802.16(WiMAX)标准之外
的无线技术」应该修改成「本文件只叙述在
IEEE 802.11(Wi-Fi)与IEEE 802.16
(WiMAX)标准之内的无线技术」
-请按照「追踪修订」之修改处来修改文件
三,实施策略与方法(cont.)
(4)专家意见搜集
厂商
厂商一
厂商二
官方
经济部工业局谢戎峰技正
行政院研考会何全德处长
学者
交通大学谢续平教授
清华大学孙宏民教授
96.5.18 将资料给孙教授
96.5.27 孙教授回覆意见
96.5.30 根据孙教授意见修改资料
三,实施策略与方法(cont.)
项次意见处理方式
1
本文的表5十分完整,涵盖技术,管
理两方面.
感谢,已知悉.
2
在软体解决方案可加入防毒软体,在
这方面可以加入.
已加入防毒软体
3
在本文中提到技术名词时可以加上英
文原词.
已加入英文原词
4
在表五中所提的管理建议有三个栏
位,最佳实践是指should还是must,
必须性标示出来.
已将「最佳实践」修改成「应实
施」
5
在表5技术建议的部分:第24,27点
可以考虑改成最佳实践.
由於DES使用的金钥为
56bit,第24点的128 bit为
「应考虑」.
第27点为「在所有的无线客
户端安装防毒软体」,可列
入会议讨论.
孙宏民教授意见
三,实施策略与方法(cont.)
孙宏民教授意见(cont.)
项次意见处理方式
6
在表5操作建议的部分:第47点可以
考虑改成最佳实践.
第47点为「考虑如RADIUS和
Kerberos等其他种类的无线网路
认证」为「应考虑」.
7
在表6操作建议的部分:第97点可以
考虑改成最佳实践.
已修改.(第97点为「应限制对
程式原始码的存取」.)
8
在第四章的部分,安全分级是恰当
的.
感谢,已知悉.
9
在检查表的部分,最后一个栏位可以
是不适用理由.
考虑填写空间问题,已加入了2个
表格(表6与表8)让代理厂商说
明不适用理由.
10
1.1目的部分:最后一行改成"本文件不
叙述其他不含在IEEE 802.11 (Wi-Fi)
与IEEE 802.16 (WiMAX)标准之外的
无线技术".
已修改.
三,实施策略与方法(cont.)
孙宏民教授意见(cont.)
项次意见处理方式
11
2.2.1第一行: "针对使无线网路获得安
全的管理从综合安全准则开始做
起."改成"针对使无线网路获得安全
的管理,从综合安全准则开始做
起."(加入逗点)
已修改.
12文中所提供营商可改成供应商.已修改.
13
在page 7,第3点认证最后那一句很
不流畅.
已修改句子的流畅度.
14
基本上,请修正文法错误以及加强文
字流畅度,使其易读易懂.
已顺稿并修改不流畅的部分.
三,实施策略与方法(cont.)
(5)厂商意见回馈
讨论会
邀请13家建置厂商共同讨论
於96年6月4日於工业局召开协调会
(6) 安全查核指引方案
针对协调会上之专家意见修订指引方案
三,实施策略与方法(cont.)
规范修订历程
日期版本说明
95.8.18 v0.1版完成规范outline初版
95.9.21 v0.21版完成规范初稿大致雏形
95.10.27 v0.44版完成规范初稿
95.12.19 v0.51版与厂商一讨论后,完成规范修改
96.1.2 v0.54版与厂商二讨论后,完成规范修改
96.5.8 v0.60版加上谢技正意见,完成规范修改
96.5.10 v0.70版加上谢技正意见,完成规范修改
96.5.29 v0.81版加上谢老师意见,完成规范修改
96.5.30 v0.84版加上孙老师意见,完成规范修改
96.5.31 v0.85版加上何处长意见,完成规范修改
四,安全查核文件介绍
1.前言
2.无线网路安全威胁与风险减轻方式
3.无线网路安全查核表
4.无线网路安全等级分类
5.参考文献
目的
适用对象
章节架构
安全需求与威胁
风险减轻
无线网路安全检查比较
与分类
架设无线网路基础建设之
安全查核
架设无线网路应用系统之
安全查核
WiFi安全等级分类
WiMAX安全等级分类
四,安全查核文件介绍(cont.)
无线网路安全查核
-架设无线网路基础建设之安全查核
(表5)基础建设安全查核表
(表6)「未达到(不适用)理由」表格
-架设无线网路应用系统之安全查核
(表7)应用系统安全查核表
(表8)「未达到(不适用)理由」表格
-查核表分成四种查核层面
技术面:电脑技术
管理面:内部人员,设备,资源在内部的管理
操作面:重要设备,资源对外部人员,环境的保护
营运面:公司,人员,设备,资源的持续经营
四,安全查核文件介绍(cont.)
查核层面查核项目说明
技术面
入侵侦测未授权用户试图存取或攻击网路
软体补丁与升
级
软体或硬体的安全漏洞被攻击侦
测到而加以攻击
使用者认证未授权用户来存取网路
资料保密攻击者窃听传输讯息以得到讯息
内容
无线基地台适
当配置
无线基地台配置不当所引起的安
全问题
更新预设密码,建立适当的加密
设定,变更预设密码金钥
无线网路安全查核(cont.)
查核项目说明
管理面
人员管理安全问题授权人员尝试使用某些特定资源
硬体管理安全问题设备可能被破坏,偷窃或不当使用
稽核问题无法即时得知或处理安全问题
资讯管理安全问题授权的使用者使用或破坏资讯
操作面
实体存取的控制敏感管理资讯可能暴露出来
人员确认实体上对设施的不当入侵
外在界限保护未授权人员可能有对於基地台之无线
网路设备的越权存取
营运面
重要记录的保护重要记录的遗失,毁损,及伪造
核对实施标准运作需遵照标准实施
稽核工具之保护措施稽核工具不当使用与存取
营运或管理过程中断
处理
营运或管理过程中断
无线网路安全查核(cont.)
四,安全查核文件介绍(cont.)
无线网路安全等级分类
安全分级建议分成四级
-第一级:无安全保护(No Security)
-第二级:使用者认证(User authentication only)
-第三级:双向认证(Mutual Authentication)
(between SS/MS and BS)
-第四级:使用硬体保护的双向认证
(Mutual Authentication using
hardware protection)
四,安全查核文件介绍(cont.)
WiFi安全等级分类
WiFi
技术面
第1级
第2级
单向认证
第3级
双向认证
第4级
双向认证+硬体保护
加密不加密WEP WPA或WPA2WPA或WPA2
认证不认证
以下其中一项
EAP-MD5
EAP-SIM
EAP-AKA
以下其中一项
EAP-TLS
EAP-TTLS
EAP-PEAP
硬体保护认证加上以
下其中一项
EAP-TLS
EAP-TTLS
EAP-PEAP
无线网路安全等级分类
四,安全查核文件介绍(cont.)
四,安全查核文件介绍(cont.)
WiMAX
(802.16d &
802.16e)
技术面
第1级
第2级
(PKMv1)
第3级
(PKMv2)
第4级
(PKMv2+硬体
保护(eg:SIM
,USIM,自然
人凭证))
加密不加密
DES
(56 bit key)
3DES或AES
(128 bit key)
3DES或AES
(128 bit key)
认证不认证
使用单向认证
使用「RSA
认证模式」或
「EAP认证模
式」
使用双向认证
使用双重认证
之「RSA与
EAP认证模式
」或「EAP-
in-EAP认证
模式」
使用双向认证
使用双重认证
之「RSA与
EAP认证模式
」或「EAP-
in-EAP认证
模式」
WiMAX安全等级分类
无线网路安全等级分类
敬请指教
附录
WiMAX与3G/3.5G安全
之防护重点比较
3G无线网路攻击方式分类
窃听(Eavesdropping)
伪造使用者(Impersonation of a user)
伪造网路(Impersonation of the network)
中间人攻击(Man-in-the-middle attack)
收集并伪造认证讯息(Compromising
authentication vectors in the network)
3G网路之安全需求
手机端基地台Core Network
1.伪冒使用者(破解PIN)
2.破解,复制SIM/USIM
卡,窃取秘密资讯
1.窃听讯号
2.伪冒基地台
3.伪冒使用者
4.Man-in-The-
Middle攻击
5.密码演算法
破解(收集资
讯,破解密码)
1.窃听讯号
2.Man-in-the-Middle攻击
3.伪冒Core Network
1.攻击基地台
(eg:窃取资讯)
WiMAX与3G/3.5G安全之
防护重点比较(1)
攻击标的3G/3.5G之作法WiMAX防护措施
Client端设备秘密资讯eg:金钥
遭窃取,复制
以USIM的资讯以安全硬体保护
client端秘密资讯
破解PIN连续三次login失
败即锁卡
系统可以锁被终止
之网卡
Client端与基地台
之间的通讯
窃听讯号讯息加密加密讯息加密
伪冒基地台对称金钥式之双
向认证
双向认证之EAP认
证方法
伪冒使用者对称金钥式之双
向认证
双向认证之EAP认
证方法
密码演算法破解安全之演算法(未
公开)
使用安全之演算法
(eg:AES,3DES)
Man-in-The-
Middle攻击
对称金钥式之双
向认证
双向认证之EAP认
证方法
攻击标的3G/3.5G之作法WiMAX防护措施
基地台安全攻击基地台Private系统,不
对外公开
选用安全之作业
系统
基地台与core
Network之通讯
伪冒Core
Network
对称金钥式之双
向认证
双向认证之EAP
认证方法
Man-in-the-
Middle攻击
对称金钥式之双
向认证
双向认证之EAP
认证方法
窃听讯号对称金钥式之双
向认证
讯息加密
(eg:AES)
WiMAX与3G/3.5G安全之
防护重点比较(2)
·上一篇：拥有者手册
·下一篇：出类拔萃