移動互聯網、移動智能終端的快速興起，正在推動無線接入技術的快速發展。尤其是伴隨著全球移動數據流量的激增，以WiFi為代表的無線接入技術正在成為緩解蜂窩網絡壓力的有力手段。在旺盛的市場需求推動下，無線接入技術正在加快革命步伐，無線接入設備的種類也日漸增多，而由于海量設備的存在以及網絡復雜度的提升，使得無線接入設備和網絡的安全也成為一個突出問題。

隨著寬帶服務的普及，無線接入設備已經不僅用于小范圍內的局域網互連，而是更多地作為移動互聯網的“最后一公里”入口，成為移動互聯網不可或缺的承載平臺。當前，由于無線接入設備與互聯網直接相連，網絡環境復雜，數量眾多，且智能化發展導致設備形態不斷豐富，其安全問題日益凸顯。那么，無線接入設備的安全問題主要有哪些?是否有辦法規避和解決?

[[121131]]

圖1

無線接入設備種類日漸豐富

隨著移動互聯網的發展，尤其是智能操作系統的廣泛應用，出現了不同形態的無線接入設備，其結構和應用原理也有所區別，以滿足不同的應用場景和需求。大致上看，目前的無線局域網設備可以分為傳統無線局域網設備和新型無線局域網設備兩大類。

傳統無線局域網設備

傳統無線局域網設備主要指無線局域網AP(WLAN AP)，根據應用場合及部署方式不同，其可分為運營級AP和家用級AP.

運營級AP多使用“瘦AP”，主要由運營商部署在酒店、機場等熱點地區。通常此類AP僅具有簡單的二層轉發功能，用于完成WLAN覆蓋和接入，網絡運營所需的設備配置、路由、計費等功能，由AP上聯的AC(接入控制器)和AS(接入服務器)集中控制完成，普通用戶一般無法獲得“瘦AP”的配置管理權限。

家用級AP多使用“胖AP”，除具有無線接入與覆蓋功能外，還具有無線參數選擇、路由、安全等功能，一般用戶可自行完成配置和管理。“胖AP”具有用戶側(LAN)接口和網絡側(WAN)接口，LAN接口用于實現無線接入與覆蓋，WAN接口通過固定寬帶接入(如以太網、DSL、PON等)與互聯網連接，同時還支持DHCP、DNS、PPPoE、VPN等與接入控制、地址分配、路由功能等相關的協議，以實現設備配置、路由、安全等功能。

圖2 無線路由

#p#

新型無線局域網設備

隨著用戶接入需求的不斷升級，出現了多種新型無線接入設備，以滿足用戶在不同應用場景下的接入需求。如3G/4G無線路由器(Mi-Fi/LTE-Fi)、智能無線路由器、智能盒子等。

3G/4G無線路由器突破了傳統WLAN AP必須采用有線方式接入互聯網的局限性，其WAN側接口通過3G/4G蜂窩網絡進行數據回傳。根據蜂窩回傳方式的不同，3G/4G無線路由器可分為Mi-Fi(3G回傳)和LTE-Fi(LTE回傳)接入設備。

由于Mi-Fi和LTE-Fi可實現多個用戶通過WLAN接入同一蜂窩網絡的目標，故廣泛應用于家庭、小型辦公環境及特定行業應用(油田、電力、公交、酒店、商場等)環境。Mi-Fi和LTE-Fi通常具有協議轉換(3G/4G-WLAN)、WLAN無線接入及路由/管理功能。協議轉換功能將3G/4G網絡轉換成無線局域網接入，WLAN無線接入功能實現WLAN覆蓋和接入，而路由/管理功能用于WLAN接入網絡與3G/4G網絡之間的路由和地址映射，使得多個WLAN用戶可共享同一3G/4G網絡連接并具有相應的配置、安全、管理等功能。該類設備由運營商進行集采或市面自主銷售，最終由用戶進行使用，一般無需電信運營商統一配置管理，用戶自行對此類設備進行配置和管理。

智能無線路由器就是采用智能化操作系統的無線局域網AP.與傳統無線局域網AP相比，智能無線路由器具有應用層流量控制、應用軟件安裝，甚至視頻、游戲等第三方服務端資源搭載類擴展性功能，因而成為目前的一個應用熱點，其典型設備包括極路由、小米路由、360路由等。

智能盒子類似于機頂盒設備，其網絡側通過WLAN接口與互聯網相連，用戶側通過HDMI等視頻接口與電視、電腦等終端相連，實現內容共享。此外，還可根據用戶需要安裝應用軟件，從而拓展移動互聯網的應用場景，因而引起了業界和用戶的極大關注，典型設備包括小米盒子、華為秘盒等。

圖3 小米盒子

#p#

兩大類安全問題不容忽視

無線局域網接入設備安全問題主要分為兩類：一是傳統無線接入設備存在的安全問題，二是智能化引起的新的安全問題。

目前，無線局域網接入設備的傳統安全問題主要涵蓋四個方面，即非法接入、無線竊聽、無線網絡干擾、網絡攻擊及遠程控制。

非法接入可以從兩個角度去理解。一是用戶端非法連接無線接入設備，如WLAN用戶通過密碼破解等方式，非法連接到WLAN AP上，發動網絡攻擊。二是無線接入設備非法連接用戶端，如偽AP釣魚，入侵者通過硬件或軟件方式搭建偽造的無線局域網AP，誘導用戶接入到此偽AP上，并在用戶不知情的情況下收集用戶信息，執行釣魚攻擊。

無線竊聽的安全隱患正日漸突出。當前，無線接入設備的空中接口是非法分子竊聽和攻擊的焦點，目前也存在很多商業和免費的工具可以對無線局域網無線鏈路進行抓包和解碼，獲取用戶應用層傳輸數據，并可據此發動網絡攻擊，給用戶安全帶來威脅。

無線網絡干擾會影響接入設備的正常使用。以WLAN AP為代表的無線接入設備主要工作在ISM頻段，因而難以實現統一有效的行業監管和約束，攻擊者可以通過自主架設該類設備，給運營商和用戶造成無線干擾，使上述設備無法正常使用。

網絡攻擊及遠程控制的風險不容忽視。無線接入設備普遍面臨網絡攻擊、遠程控制等安全問題，如對無線接入設備發起Ping Flood、DDoS等洪泛攻擊，可能導致設備癱瘓;針對無線接入設備的某些預設端口，通過構造特定的用戶數據包開啟遠程登錄服務，可對設備進行遠程控制，從而給用戶安全帶來極大威脅。

值得一提的是，智能化引發了無線局域網接入設備新的安全問題。當前，Android等智能操作系統引入無線接入設備上，使其與應用商店相結合，成為各種應用程序的承載平臺和傳播渠道。用戶可便利地接入網絡，同時安裝自己需要的應用軟件，提升用戶體驗。但由于Android操作系統具備開放的API，可被利用嵌入各類惡意代碼，在用戶不知情的情況下，后臺調用發送信息、聯網等功能，從而造成惡意吸費、隱私被竊取甚至流量被劫持等安全威脅。#p#

全面提升無線接入設備系統安全性

從信息安全的角度分析，任何一個信息系統的安全問題都來源于兩個方面：自身的脆弱性以及外來的攻擊。只有當這兩方面因素共同作用，才會引發安全事件。對這兩方面因素中的任何一個進行防護，都可緩解甚至遏制安全問題的產生，從而達到信息系統機密性、完整性和可用性的要求。對于信息系統自身而言，由于信息系統總是處在復雜的應用環境中，隨時可能受到各種有意無意的攻擊，因此只能盡量提升自身的安全防護能力，以對抗外來各種攻擊。

從無線接入設備系統的結構來看，最底層是硬件芯片層;之上為系統軟件層，主要包括操作系統和協議棧;頂層為應用層，主要指加載的應用軟件，包括預置應用軟件及第三方應用軟件;外圍接口主要涉及系統軟件層和硬件芯片層。

如前所述，為抵抗外來攻擊，需從各層面增強無線接入設備安全防護能力，基本原則是不能在用戶不知情的情況下發生后臺調用系統資源等惡意行為。硬件層主要指芯片，是整個設備安全的根節點，應通過排查隱秘通道及后門、設置遠程控制開關等措施，建立芯片安全防護能力。系統軟件層一方面需對操作系統進行加固，防止 API濫用造成惡意吸費、竊取用戶隱私、損壞設備功能等危害用戶安全的行為;另一方面需通過端口封堵、加載協議棧補丁等措施，建立協議棧安全防護能力。應用層需對應用軟件提出安全目標，保證安裝到無線接入設備上的應用軟件沒有損害用戶利益和危害網絡安全的行為。外圍接口層一方面要通過加密、鑒權和認證等安全機制防止空中接口(WLAN、3G/4G、藍牙等)引起的非法接入、無線竊聽、無線網絡干擾等問題;另一方面要通過強化外圍接口管控能力，防止外圍接口被非法開啟、連接、調用而導致用戶數據泄露等安全問題。