部署企业级Wi-Fi安全的七大理由

标签:企业安全wifi

访客:37260  发表于:2014-09-10 15:19:04

移动设备正成为企业黑客攻击的主要渠道,而安全漏洞不断的WiFi网络无疑是企业移动安全的最大隐患。更糟糕的是,很多中小企业,甚至一些规模更大的企业的部分WiFi网络都使用WiFi个人安全模式。
部署企业级Wi-Fi安全的七大理由
随着WiFi网络安全问题的日益严峻,中小企业应当尽快切换到WiFi企业级安全模式,也就是启用WPA2(802.11i),虽然这意味着需要启用专门的RADIUS服务器进行802.1X认证,设置起来比较麻烦,但是能大大提升企业WiFi网络的安全性,相比WiFi网络安全事故给企业带来的巨大损失,这种付出绝对物超所值(安全牛建议拥有WiFi网络的酒店网吧和酒吧也将WiFi网络升级到企业级安全模式)。

以下是安全牛总结的部署企业级WiFi网络安全模式的七大理由:

一、彻底消灭共享密码带来的安全隐患。

WiFi个人安全模式下,所有用户共享一个WiFi网络接入密码,也就是所谓的与共享秘钥PSK,任何一个用户的设备丢失或者离职都有可能导致WiFi密码的泄露,从而威胁到企业WiFi网络内的数据,管理员能做的只能是要求所有用户都统一更换新密码,非常麻烦。

虽然很多企业在安全策略中要求员工严格保护WiFi密码,但是只有升级到企业级WiFi安全模式才能彻底杜绝这种安全隐患。

企业级的WPA或WPA2安全模式下,管理员可以为每个用户分配不同的密码和用户名(PEAP),如果有员工丢失设备或者离职,管理员只需要注销对应的账户和密码就行,不会影响到其他用户。

二、防范WiFi网络监听。

在WiFi个人安全模式下,任何接入网络的用户都可以扫描网络内的流量,使用firesheep之类的插件或者黑客工具查看其他人的网络浏览记录、邮件、社交账户甚至截获网银账号。

在企业级WiFi安全模式下,秘钥的分配和交换在后台完成,用户之间无法互相解密流量,而且这不会影响文件和打印共享等网络服务。

三、支持部署其他高级网络安全功能。

除了通过802.1X的PEAP管理一对一的账户密码外,企业级WiFi安全还支持通过EAP-TLS模式部署客户端的SSL(X.509)安全证书。虽然安全证书的分发和安装会比密码麻烦,但显然是个更加安全的方式。如果还觉得不够安全,你还可以通过智能卡中储存的私钥来部署用户证书,这就要求用户需要有物理U盘插入客户端才能完成802.1X认证。

四、认证模式可以无缝扩展到有线网络。

WiFi企业级安全模式使用的802.1X认证配备RADIUS服务器,同时也可以提供有线网络的访问认证服务。

五、可以动态划分VLAN

使用802.1X认证也意味着你将可以为客户端动态分配VLAN。例如你可以将多个用户分配到不同的SSID上的同一个VLAN上。

六、可以有更多的网络控制选项

在WiFi个人安全模式下,所有人都使用相同的密码登入网络,而管理员无法管理具体的接入客户端。在企业级模式下,RADIUS服务器可以对特定的用户或者群组进行管理,例如登录时间限制,为特定用户划定所能访问的AP,以及指定终端接入设备。

七、支持网络访问保护NAP

除了RADIUS服务器支持的各种基本访问控制服务外,你还可以与802.1X认证配合使用NAP;例如Windows Server2008或者更新的版本可以配置网络策略服务器(NPS)同时支持NAP功能和802.1X认证。

NAP是微软开发的网络访问控制协议,可以根据客户端的安全健康状况(例如操作系统补丁和杀毒软件更新情况、个人防火墙和安全设置情况)来决定是否允许其访问网络。

补充建议:

虽然商用RADIUS服务器价格不菲,但是对于中小企业来说有很多低成本的解决方案,例如Windows Server 2003之后的版本中的IAS(互联网认证服务)模块,或者Windows2008之后版本中的NPS(网络策略服务器)模块都可以用来部署RADIUS服务器。

如果你不愿部署上述的RADIUS服务器,你还可以考虑一些云端或免费的802.1X认证服务,例如Elektron(750美元/月)、ClearBox()或FreeRADIUS(基于Linux的开源软件)。

评论(1)

您可以在评论框内@您的好友一起参与讨论!

    1. 孤城浪子 一般的WiFi完全就是一个大大的蜜罐,毫无安全性可言。

      回复[0] 2014/10/10 13:36

<--script type="text/javascript">BAIDU_CLB_fillSlot("927898");