举报
WAPI 网络安全标准结构
2024-01-09 02:45:48
87次阅读
0个评论
WAPI （Wireless LAN Authentication and Privacy Infrastructure）是无线局域网鉴别和保密基础结构，是一种安全协议，同时也是中国无线局域网安全强制性标准，最早由西安电子科技大学综合业务网理论及关键技术国家重点实验室提出。
WAPI 像红外线、蓝牙、GPRS、CDMA1X等协议一样，是无线传输协议的一种，只不过跟它们不同的是它是无线局域网（WLAN）中的一种传输协议而已，它与802.11传输协议是同一领域的技术。
作用：
1、出于安全性考虑。
2013年斯诺登曝光了美国棱镜门事件，同时也披露了美国包括NSA、国土安全部、FBI、CIA在内的十余家情报机构，通过与美国标准制定机构长期合作，将有明显技术缺陷的密码算法和安全机制方案埋入其主导并参与的国际标准，从而实施全球网络监控计划的技术标准控制路径。这为各国的网络与信息安全敲响了警钟，各国都开始重新审视WIFI安全性和美国阻击WAPI的真实用心，这也成为WAPI重获新生的机遇。
对于个人用户而言，WAPI的出现最大的受益就是让自己的笔记本电脑从此更加安全。无线局域网传输速度快，覆盖范围广，因此它在安全方面非常脆弱。因为数据在传输的过程中都曝露在空中，很容易被别有用心的人截取数据包。虽然，3COM、安奈特等国外厂商都针对802.11制定了一系列的安全解决方案，但总得来说并不尽人意，而且其核心技术掌握在别国人手中，他们既然能制定得出来就一定有办法破解，所以在安全方面成了政府和商业用户使用WLAN的一大隐患。WIFI加密技术经历了WEP、WPA、WPA2的演化，每一次都极大提高了安全性和破解难度，然而由于其单向认证的缺陷，这些加密技术均已经被破解并公布。WPA于2008年被破解。WPA2则于2010年上半年被黑客破解并在网上公布。
而WAPI由于采用了更加合理的双向认证加密技术，比802.11更为先进，WAPI采用国家密码管理委员会办公室批准的公开密钥体制的椭圆曲线密码算法和秘密密钥体制的分组密码算法，实现了设备的身份鉴别、链路验证、访问控制和用户信息在无线传输状态下的加密保护。此外，WAPI从应用模式上分为单点式和集中式两种，可以彻底扭转WLAN采用多种安全机制并存且互不兼容的现状，从根本上解决安全问题和兼容性问题。所以我国强制性地要求相关商业机构执行WAPI标准能更有效地保护数据的安全。
另外，设备间互联是运营商必须要考虑的问题。当前，虽然许多厂商的产品都宣称通过了wi-fi兼容性测试，但由于各厂商所提出和采用的安全解决方案不同。例如，安奈特（AT-WR2411无线网卡）提供的是多级的安全体系，包括扩频编码和加密技术，安全的信息通过40和128位的Wired Equivalent Privacy (WEP) 加密方法；而3Com的无线网卡如果和3Com 11 Mbps无线局域网Access Point 6000配合使用，则可以使用高级的动态安全链路技术，该技术与共享密钥的方案不同，它会自动为每一个会话生成一个128位的加密密钥。这样，由于缺乏统一的安全解决方案标准，导致了不同的WLAN设备在启用安全功能时无法互通，会造成运营商的设备管理极其复杂，需要针对不同的安全方案开发不同用户管理功能，导致运营和维护成本大大增加，也不利于保护投资，而用户因为无法在不同的安全AP(Access Point)间漫游，而降低客户满意度。
2、出于利益方面的考虑。
我国是个经济蓬勃发展的发展中国家，许多产品都拥有巨大的发展空间，尤其是高科技产品。但是，在以前，我国在高科技产品方面丧失了很多的机会，由于极少有自主核心技术和自己业界标准的产品，造成了颇为被动的局面：DVD要被外国人收取大量的专利费，GPRS、CDMA1X等等的标准都掌握在外国人手里，我国只能乖乖地将大把的钞票送给人家去买人家的标准，而自己则像个替人“打工”的工人，只能去搞OEM、去帮人组装产品。所以，有人说“一流的企业卖标准、二流的企业卖技术、三流的企业卖产品”。
组成：
WAPI包括两部分：WAI（WLANAuthentication Infrastructure）和WPI（WLAN Privacy Infrastructure）。WAI和WPI分别实现对用户身份的鉴别和对传输的业务数据加密，其中WAI采用公开密钥密码体制，利用公钥证书来对WLAN系统中的STA和AP进行认证；WPI则采用对称密码算法实现对MAC层MSDU的加、解密操作。
1、WAPI 接入控制实体
WAPI接入控制中包括以下4个实体。
（1）鉴别服务单元ASU（authentication service unit），基本功能是实现对用户证书的管理和用户身份的鉴别等，是基于公钥密码技术的WAI 鉴别基础结构中重要的组成部分。ASU管理的证书里包含证书颁发者（ASU）的公钥和签名以及证书持有者STA和AP的公钥和签名，并采用WAPI特有的椭圆曲线作为数字签名算法。
（2）鉴别器实体AE（Authenticator Entity），为鉴别请求者实体在接入服务之前提供鉴别操作的实体。该实体驻留在AP 设备或者AC设备中。
（3）鉴别请求者实体ASUE（Authentication SUpplicant Entity），在接入服务之前请求进行鉴别操作的实体。该实体驻留在STA 中。
（4）鉴别服务实体ASE（Authentication Service Entity），为鉴别器实体和鉴别请求者实体提供相互鉴别服务的实体。该实体驻留在ASU 中。
2、WAPI 信息元素
为了使STA能够识别启用WAPI无线安全机制，在信标帧、关联请求帧、重新关联请求帧和探询请求帧中携带WAPI信息元素。对于AP来说，需要在发出信标帧和探询响应帧中，根据当前AP上WAPI的配置加入相应的WAPI信息元素。同时，解析关联请求帧和重新关联请求帧，只有在符合当前AP上WAPI的配置条件时才能和该STA进行后续的协商。
其中元素标识ID应为68。长度字段标识WAPI信息元素中除元素标识ID和长度字段以外字段的字节数。版本字段标识WAPI协议的版本号，本规范中版本号为1，其他值保留。鉴别和密钥管理（AKM）套件计数字段标识STA支持的鉴别和密钥管理机制个数。鉴别和密钥管理（AKM）套件字段包含STA支持的鉴别和密钥管理机制，m为鉴别和密钥管理套件计数字段的值。单播密码套件计数字段标识STA支持的单播密码算法个数。单播密码套件字段包含STA支持的单播密码算法，n 为单播密码套件计数字段的值。组播密码套件字段包含STA支持的组播密码算法。WAPI能力信息，比特0为预鉴别标识位，其他位保留。BKID计数和列表字段，BKID计数和列表字段仅用于发往AP的关联或重新关联请求帧中。BKID计数字段表示BKID列表字段中包含的BKID个数。
3、WAPI 身份鉴别和密钥协商
WAPI鉴别及密钥管理的方式有两种，即基于证书和基于预共享密钥PSK。若采用基于证书的方式，整个过程包括证书鉴别、单播密钥协商与组播密钥通告；若采用预共享密钥的方式，整个过程则为单播密钥协商与组播密钥通告。
4、WAPI 报文封装和加解密
WPI保密基础结构对MAC子层的MPDU进行加、解密处理，但对于WAI协议分组不进行加解密处理。经过加密处理后的MPDU封装结构。
其中，MAC头当地址4 存在时，长度为30个字节；当地址4不存在时，长度为24个字节。当MAC 头包含服务质量控制（QoS）子字段时，长度再增加两个字节，WAPI协议中没有定义无线QoS的操作，即不支持无线QoS。KeyIdx表示USKID或MSKID或STAKeyID的索引值，这个报文使用的会话密钥索引值，保留字段默认值为0。PN字段表示一个整数，标识数据分组
序号，该数据分组序号作为OFB、CBC-MAC模式下数据加密和校验时所需的IV。数据分组序号PN字段按照小端模式编码发送。PDU（数据）字段为MPDU数据，最大长度为2278=2312－18（WPI头）－16（MIC）。FCS字段为MAC帧格式的帧校验序列。MIC字段是利用完整性校验密钥采用CBCMAC工作方式对完整性校验数据计算得到，图5为MIC计算时完整性校验数据的组成结构。
0
0