作为网络管理员,安全问题是最不能忽视和回避的,有线网防火墙,IDS,IPS,无线网全都使用安全级别很高的802.1x认证方式,但是如果公司内部人员私自接入一个AP,用于实时的向外界泄露机密文件,或者别有用心的人在公司闲置的网络接口安放非法AP窃取敏感信息,看似固若金汤的网络安全很可能就会因这个“蚁穴”而全盘崩溃。
什么是SSID?SSID(Service Set Identifier),它是用来区分不同的网络或自治域的,简单说,SSID就是一个局域网的ID,最多可以有32个字符。SSID只不过是一个标识,它能和“安全”产生什么关系呢?我们来回想一下我们连接公司AP的过程,点击右下角的图标,选择要连接的SSID,如果需要认证,填写两遍密码,这样就完成了无线网的连接。为什么我能看到SSID?那是因为AP在设置的时候打开了Broadcast SSID选项,目的是方便User的连接,如果黑客想通过安放非法的Rogue AP在网络内来窃取机密数据,相信它不会傻到打开广播,告诉管理员你的网络内有一个“信号质量非常好”的AP存在吧?我们可以大胆的假设,凡是我们见到的不认识的SSID都可能是非法的,凡是我们看不到的隐藏的SSID肯定是非法的!也许现在您的网络内就存在这样一颗罪恶的小AP!
虽然禁用了SSID广播,但是我们仍然可以通过侦听无线数据包“透视”无线网络查找SSID,Airmagnet Laptop就是这样一款专业的无线网测试软件,禁用SSID广播这种小伎俩根本瞒不过它的法眼,Annouced SSID(通告SSID):NO,SSID:test_lab。Airmagnet快速准确的获得了我们需要的信息,而且告诉我们它原本是不广播SSID的,来看看此功能是如何实现的。
首先我们来看一下AP是如何将SSID广播出去的。AP只要接通电源就会发送Beacon frame(信标帧)广播,BI(信标帧的发送间隔)为100毫秒,也就是说每秒钟发送10个信标,来看一下捕捉到的Beacon frame信标帧, 看看它里面都有什么?最基本的信号强度,所在的Channel(信道),当然还有SSID parameter set:”test_lab”等等。没错,如果AP广播SSID,那么信标帧中就会包含SSID的信息就会被添加到中广播出去,这样在PC“查看无线网络”的时候就能看到有这么一个SSID的存在。不广播SSID的Beacon帧是什么样呢?(图三),SSID parameter set:”