物联网信息安全 课件 第3章 无线局域网WLAN物理层安全

无线局域网WLAN物理层安全物联网工程PPT模板下载：/moban/行业PPT模板：/hangye/节日PPT模板：/jieri/PPT素材下载：/sucai/PPT背景图片：/beijing/PPT图表下载：/tubiao/优秀PPT下载：/xiazai/PPT教程：/powerpoint/Word教程：/word/Excel教程：/excel/资料下载：/ziliao/PPT课件下载：/kejian/范文下载：/fanwen/试卷下载：/shiti/教案下载：/jiaoan/PPT论坛：

目录IEEE802.11物理层特点IEEE802.11MAC层CSMA/CA协议RTS/CTS协议WAPI协议

IEEE802.11物理层特点目前，WLAN的主流是标准是802.11系列标准802.11物理层三种实现方法①调频扩展(FHSS)是扩频技术中常用的一种。它使用2.4GHz的ISM频段，共有79个信道可供调频使用。第一个频道中心频率为2.402GHz，以后每隔1MHz一个信道。因此每个信道可使用的带宽为1MHz。当时用GPSK时，基本接入速度为1Mb/s。当使用GFSK时，接入速度为2Mb/s。优点：1.保密性2.抗单频及部分带宽干扰的能力3.抗多径衰落的能力4.承受过载的能力缺点：1.信号的隐蔽性差2.跳频系统抗多频干扰及跟踪式干扰能力有限3.快速跳频器的限制802.11物理层三种实现方法②直接序列扩频(DSSS)是另一种重要的扩频技术。它也使用2.4GHz的ISM频段。当使用二元相对移相键控时，基本接入速度为1Mb/s。当使用四元相对移相键控时，接入速度为2Mb/s。优点：1.可靠性2.速度较快3.传输品质高4.传输稳定缺点：1.频道数减少2.带宽增大3.信息量增大802.11物理层三种实现方法③红外线(IR)的波长为850~950nm，可用于室内传输数据。接入速率为1~2Mb/s优点：1.保密性强2.传输速度快3.安全特性高4.抗干扰性强缺点：1.传输距离短2.要求设备的位置固定3.无法灵活地组成网络IEEE802.11标准中的MAC层802.11规范为MAC协议定义了5类时序间隔，其中两类是由物理层决定的基本类型：短帧空间(SIFS)和时隙(slottime)。其余3类时序间隔则基于以上两种基本的时序间隔：优先级帧间空间(PIFS)、分散帧间空间(DIFS)和扩展帧间空间(EIFS)。SIFS是最短的时序间隔，其次为时隙。时隙可视为MAC协议操作的时间单元，尽管802.11信道就整体而言并不工作于时隙级时序间隔上。对于802.11b网络(即具有DSSS物理层的网络)，SIFS和时隙分别为10和20μs。考虑到信号的传播和处理延迟，通常将时隙选择为20μs。PIFS等于SIFS加1个时隙，而DIFS等于SIFS加2个时隙。EIFS比上述4类时序间隔都长得多，通常在当收到的数据帧出现错误时才使用。IEEE802.11标准中的MAC层802.11MAC支持两种操作模式：单点协调功能(PCF)和分散协调功能(DCF)。PCF提供了可避免竞争的接入方式，而DCF则对基于接入的竞争采取带有冲突避免的载波检测多路访问(CSMA/CA)机制。上述两种模式可在时间上交替使用，即一个PCF的无竞争周期后紧跟一个DCF的竞争周期。PCF协议在PCF协议中，AP通过向相关的移动站发送轮询消息依次对这些移动站进行轮询。如果AP需要将数据发送至正被轮询的移动站，那么数据可包含在轮询消息中。如果轮询的基站需要将数据发送至AP，则可将数据包含在轮询响应消息中。在适当情况下，确认信息(确认收到了上一个来自AP的数据帧)也可包含在响应消息中。PCF的主要思想为：AP充当中心协调控制器（PC）的角色，根据其内部的轮询表（pollinglist）依次轮询与之连接的节点（CF-PollableSTA），看其是否有数据待传。在CFP时间内，节点由于NAV机制，故无法主动竞争信道。故除非基站轮询节点，要求其反馈数据，节点不可以主动进行传输动作。DCF协议

DCF采用CSMA/CA机制，其工作原理如下：带有准备传送的新分组数据的移动站(包括AP)首先检测信道是否繁忙，如果信道在DIFS时序间隔(对于802.11b网络为50μs)内为空闲状态，那么移动站将开始传送分组数据。否则，移动站继续检测信道。如果信道在DIFS时序间隔内空闲，那么移动站：a)开始将信道时间分为多个时隙单元；b)生成以时隙为单位的随机退避间隔(randombackoffinterval)；c)继续检测信道。接着，在信道仍保持空闲的每个时隙中，退避间隔值减1。当间隔值为0时，移动站将开始传送分组数据。

在退避期间，如果在一个时隙中检测到信道繁忙，那么退避间隔将保持不变，并且只当检测到在DIFS间隔及其下一时隙内信道持续保持空闲，才重新开始减少退避间隔值。当退避间隔为0，将再次传送分组数据。退避机制有助于避免冲突，因为信道可在最近时刻被检测为繁忙。更进一步，为了避免信道被捕获，在两次连续的新分组数据传送之间，移动站还必须等待一个退避间隔，尽管在DIFS间隔中检测到信道空闲。802.11MAC层功能扫描：802.11标准定义了被动和主动扫描，也就是说，一个radioNIC可以搜索AP。被动扫描是强制的，每个NIC搜索单独的信道来发现最好的信号。AP定期的发送beacon，radioNIC在扫描的时候接收此beacon并记录相应的信号强度。beacon中包含了AP的相关信息，如服务集标识符（SSID）、支持的速率等。RadioNIC可以使用这些信息和信号强度来比较AP并决定使用哪个AP。可选的主动扫描是类似的，除了radioNIC通过广播rpobe帧来初始化过程，而在区域内的AP则通过探测响应回复此报文。主动扫描使得radioNIC不需要经过一个beacon传输时间而直接从AP获取响应。尽管如此，问题在于主动扫描为网络增加了额外的开销，因为额外的探测和探测响应报文的传输开销。802.11MAC层功能认证：认证实际上就是提供证明的过程，802.11标准中指定了两种形式的认证：开放系统认证和共享密钥认证。开放系统认证是强制的，包含了两个步骤：一个radioNIC首先通过发送认证请求帧到AP来初始化此过程，AP则在响应帧的StatusCOde中设置同意或者拒绝的信息。共享密钥认证是可选的，包含了四个步骤。这是基于WEP密钥的认证方式。RadioNIC首先发送认证请求帧到AP上，AP然后在响应帧中包含挑战码。NIC使用WEP密钥对此挑战码进行加密并发送到AP上，AP将此密钥解密并与原来的挑战码进行比较。如果结果相同，则AP认为NIC有着同样的密钥。AP通过发送认证成功或者失败的帧来完成此过程。802.11MAC层功能关联：一旦认证成功，NIC在发送数据帧之前必须要和此AP关联。关联对于NIC和AP之间的信息同步是必要的，如支持的数据传输速率。NIC通过发送关联请求来初始化此过程，其中包含了SSID和支持的速率等信息。AP通过关联响应帧来响应此报文，其中包含关联的ID以及AP的其他信息。一旦NIC和AP完成关联过程，双方就可以互相发送数据帧了。CSMA/CA协议CSMA/CD（CarrierSenseMultipleAccesswithCollisionDetection）即带冲突检测的载波监听多路访问技术(载波监听多点接入/碰撞检测)。在传统的共享以太网中，所有的节点共享传输介质。如何保证传输介质有序、高效地为许多节点提供传输服务，就是以太网的介质访问控制协议要解决的问题。CSMA/CA协议

CSMA/CD是一种争用型的介质访问控制协议。它起源于美国夏威夷大学开发的ALOHA网所采用的争用型协议，并进行了改进，使之具有比ALOHA协议更高的介质利用率。主要应用于现场总线Ethernet中。另一个改进是，对于每一个站而言，一旦它检测到有冲突，它就放弃它当前的传送任务。换句话说，如果两个站都检测到信道是空闲的，并且同时开始传送数据，则它们几乎立刻就会检测到有冲突发生。它们不应该再继续传送它们的帧，因为这样只会产生垃圾而已；相反一旦检测到冲突之后，它们应该立即停止传送数据。快速地终止被损坏的帧可以节省时间和带宽。CSMA/CD控制方式的优点是：原理比较简单，技术上易实现，网络中各工作站处于平等地位，不需集中控制，不提供优先级控制。但在网络负载增大时，发送时间增长，发送效率急剧下降。CSMA/CA协议

CSMA/CD应用在OSI的第二层数据链路层它的工作原理是:发送数据前先侦听信道是否空闲,若空闲，则立即发送数据。若信道忙碌，则等待一段时间至信道中的信息传输结束后再发送数据；若在上一段信息发送结束后，同时有两个或两个以上的节点都提出发送请求，则判定为冲突。若侦听到冲突,则立即停止发送数据，等待一段随机时间,再重新尝试。其原理简单总结为：先听后发，边发边听，冲突停发，随机延迟后重发。CSMA/CA协议的二进制算法

由于单向传输的原因，对于宽带总线而言，冲突检测时间等于任意两个站之间最大传播时延的4倍，所以对于宽带CSMA/CD来说，要求数据帧的传输时延至少4倍于传播时延。在CSMA/CD算法中，一旦检测到冲突并发完阻塞信号后，为了降低再次冲突的概率，需要等待一个随机时间，然后再使用CSMA方法试图传输。为了保证这种退避操作维持稳定采用了一种称为“二进制数指数退避”算法。“二进制数指数退避算法”的规则如下：1.对每个帧，当第一次发生冲突时，设置参数L＝2。退避重发时间在1～L个时隙中随机抽取；2.当帧再次冲突时，L加倍，即L＝2L。退避重发时间仍在1～L个时隙中随机抽取；3.当冲突n次，L＝2n。设置一个最大重传次数，超过此值，不再重发，并报告出错。此算法的效果是不冲突或少冲突的帧重发的机会大，冲突多的帧重发的机会小。CSMA/CA协议CSMA/CD控制方式的优点是：原理比较简单，技术上也容易实现，网络中各工作站处于平等地位，不需集中控制，不提供优先级控制。但在网络负载增大时，发送时间增长，发送效率急剧下降。它的代价是用于检测冲突所花费的时间。对于基带总线而言，最坏情况下用于检测一个冲突的时间等于任意两个站之间传播时延的两倍。从一个站点开始发送数据到另一个站点开始接收数据，也即载波信号从一端传播到另一端所需的时间，称为“信号传播时延”。信号传播时延（μs）=两站点的距离（m）/信号传播速度（200m/μs）。RTS/CTS协议

RTS/CTS协议(RequestToSend/ClearToSend)即请求发送/清除发送协议是被802.11无线网络协议采用的一种用来减少由隐藏节点问题所造成的冲突的机制。相当于一种握手协议，主要用来解决"隐藏终端"问题。"隐藏终端"（HiddenStations）是指，基站A向基站B发送信息，基站C未侦测到A也向B发送，故A和C同时将信号发送至B，引起信号冲突，最终导致发送至B的信号都丢失了。"隐藏终端"多发生在大型单元中（一般在室外环境），这将带来效率损失，并且需要错误恢复机制。RTS/CTS协议

当需要传送大容量文件时，尤其需要杜绝"隐藏终端"现象的发生。IEEE802.11提供了如下解决方案。在参数配置中，若使用RTS/CTS协议，同时设置传送上限字节数----一旦待传送的数据大于此上限值时，即启动RTS/CTS握手协议：首先，A向B发送RTS信号，表明A要向B发送若干数据，B收到RTS后，向所有基站发出CTS信号，表明已准备就绪，A可以发送，而其余欲向B发送数据的基站则暂停发送；双方在成功交换RTS/CTS信号（即完成握手）后才开始真正的数据传递，保证了多个互不可见的发送站点同时向同一接收站点发送信号时，实际只能是收到接收站点回应CTS的那个站点能够进行发送，避免了冲突发生。即使有冲突发生，也只是在发送RTS时，这种情况下，由于收不到接收站点的CTS消息，大家再回头用DCF提供的竞争机制，分配一个随机退守定时值，等待下一次介质空闲DIFS后竞争发送RTS，直到成功为止。RTS/CTS协议的局限性

①由于缺乏认证机制,攻击者能任意地发送伪造数据包②通过在RTS/CTS帧中设定足够大的NAV值并连续发送RTS/CTS帧,可以达到阻塞无线网络,进行拒绝服务攻击的目的。③在数据包较小的情况下,采用RTS/CTS机制,尽管可以提高数据包冲突避免的效率,但却会造成信道共享效率的急速下降,最终导致信道利用率的恶化。WAPI协议一、WAPI的概念WAPI英文全拼为WirelessLANAuthenticationandPrivacyInfrastructure，即无线局域网鉴别和保密基础结构，它是一种安全协议同时也是中国无线局域网安全强制性标准。经多方参加，反复论证，充分考虑各种应用模式，在中国无线局域网国家标准GB15629.11中提出的WLAN安全解决方案。WAPI协议一、WAPI的概念简单来说，WAPI其实是一种应用于WLAN系统的安全性协议，只是它采用了比WIFI更高级的加密方式，而更重要的意义在于它是我国自主研发的无限局域网标准，普遍使用的话可以比WIFI更有利于保护我国的信息安全。WAPI协议二、WAPI的技术内容WAPI安全系统采用公钥密码技术，鉴权服务器AS(AS=AuthenticationServer，鉴别服务器)负责证书的颁发、验证与吊销等，无线客户端与无线接入点AP（AP，AccessPoint）上都安装有AS颁发的公钥证书，作为自己的数字身份凭证。当无线客户端登录至无线接入点AP时，在访问网络之前必须通过鉴别服务器AS对双方进行身份验证。根据验证的结果，持有合法证书的移动终端才能接入持有合法证书的无线接入点AP。WAPI协议二、WAPI的技术内容WAPI系统中包含以下部分：

1、WAI鉴别及密钥管理——无线局域网鉴别基础结构（WAI）不仅具有更加安全的鉴别机制、更加灵活的密钥管理技术，而且实现了整个基础网络的集中用户管理，从而满足更多用户和更复杂的安全性要求。WAPI协议二、WAPI的技术内容WAPI系统中包含以下部分：

2、WPI数据传输保护——无线局域网保密基础结构（WPI）对MAC(MediaAccessControl,介质访问控制)子层的MPDU（MACProtocolDataUnit--MAC协议数据单元）进行加、解密处理，分别用于WLAN设备的数字证书、密钥协商和传输数据的加解密，从而实现设备的身份鉴别、链路验证、访问控制和用户信息在无线传输状态下的加密保护。WAPI协议三、WAPI的认证体制基于WAPI协议的WLAN安全网络由AP、客户端和认证服务器（AS）三个实体组成，利用公开密码体系完成客户端和AP间的双向认证。认证过程中利用椭圆曲线密码算法，客户端和AP间协商出会话密钥；对通信过程中的数据采用国家密码主管部门指定的加密算法完成加密。同时，WAPI还支持在通信过程中在一定时间间隔后或传输了一定数量的数据包后更新会话密钥。WAP