WLAN的漫游 - WLAN+RFID組合系統(tǒng)的應(yīng)?用方案詳解

5 WLAN的漫游

組合系統(tǒng)采用多小區(qū)無線局域網(wǎng)(指ESS：擴展服務(wù)組)。多小區(qū)無線局域網(wǎng)的一個功能是漫游，漫游功能使得無線用戶可以從一個小區(qū)(Cel1)到另一個小區(qū)進行移動。因為802.11沒有提供漫游的規(guī)范，所以就由WLAN供應(yīng)商來定義漫游協(xié)議通常，各公司提供專用漫游協(xié)議，這類協(xié)議工作在具備802，11接口的分布系統(tǒng)之上。每一個工作站會定期評估可接收AP的信號強度，工作站將和信號最強的AP重新建立連接。

LucentTechnologies公司的WaveAROUND就是一個典型的專用漫游協(xié)議，它屬于該公司的WaveLAN系列產(chǎn)品之一。下面以WaveAROUND為例介紹這個典型的專用漫游協(xié)議的工作過程。一個Wave LAN體系中的所有小區(qū)在一個無線網(wǎng)絡(luò)中被相互連接起來，稱為一個域。在域內(nèi)，移動工作站可以自動地在不同的小區(qū)之間交換，以保持不間斷的連接。移動工作站將監(jiān)視其與當前所在小區(qū)的AP的通信質(zhì)量，如果通信質(zhì)量下降到低于一個預(yù)先設(shè)定的值，它就會開始尋找另一個小區(qū)。一旦找到，該工作站將檢索并采用新小區(qū)的WLAN網(wǎng)絡(luò)ID，保證網(wǎng)絡(luò)的連通性。

在WaveAROUND工作模式下，多個小區(qū)不需要重疊。在小區(qū)重疊的位置，WaveLAN在終止與前一個AP的連接之前，已經(jīng)連接到了新的AP，從而提供了穩(wěn)定的網(wǎng)絡(luò)連接。

AP以固定的間隔廣播信標信息，從而支持漫游移動工作站。信標信息中包含域ID、AP的Wave LA 網(wǎng)絡(luò)ID、通信質(zhì)量信息和小區(qū)搜索閾(Cell Search Thresholds)的值。域ID指明了屬于同一個Wave LAN漫游網(wǎng)絳的AP和耩動工作站。一個正在監(jiān)聽信標的移動工作站只會解釋具有相同域ID 的信標信息。Wave LAN網(wǎng)絡(luò)ID指明了Wave LAN網(wǎng)絡(luò)的某一個特定小區(qū)，是為每一個AP分配的網(wǎng)絡(luò)ID。它告知移動工作站在該地用哪一個Wave LAN網(wǎng)絡(luò)ID與網(wǎng)絡(luò)進行通信。

可以利用信標密鑰(BeaconKey)對網(wǎng)絡(luò)ID信息進行編碼。通信質(zhì)量信息幫助移動工作站決定與某個小區(qū)的AP的實際連接質(zhì)量。小區(qū)搜索閾與通信質(zhì)量水平有關(guān)，當通信質(zhì)量下降，例如當移動工作站移往另一個地點時，就會激活小區(qū)搜索閱。在小區(qū)搜索模式下，移動工作站會監(jiān)聽信標開始搜索其它AP。依據(jù)環(huán)境選擇不同的敏感度水平，可以改變閾值。

6 WLAN+RFID組合系統(tǒng)的信息安全

在選擇RFID時，應(yīng)該根據(jù)實際情況考慮是否選擇具有密碼功能的系統(tǒng)。在對安全功能沒有要求的應(yīng)用中，如果引用密碼過程，會使費用增高。與此相反，在要求高安全性的應(yīng)用中，如果省略密碼過程，可能會由于使用假冒的應(yīng)答器來獲取未許可的服務(wù)，從而形成非常嚴重的疏漏。

WLAN使用無線電波傳輸介質(zhì)，所以它的信息安全問題比較復(fù)雜，組合系統(tǒng)的信息安全重點是WLAN。由于WLAN已經(jīng)采用了許多安全措施，RFID就可以不再設(shè)加密功能了。802.11采用的DSSS或FHSS不能視為安全措施的主要部分，因為這兩種技術(shù)原本都只是通信技術(shù)，不能提供足夠的抗惡意攻擊的能力。802.11的安全機制通過加密和認證來實現(xiàn)，雖然這些機制并不十分完善和有效，但是，它們畢竟在發(fā)展補充，并且為網(wǎng)絡(luò)提供安全措施。這些安全機制包括：WEP加密協(xié)議;用戶認證方法，SSID的使用;MAC地址過濾。

如果組合系統(tǒng)僅是一個范圍有限的內(nèi)部網(wǎng)絡(luò)，這些安全措施就足夠了。如果組合系統(tǒng)是一個外聯(lián)的網(wǎng)絡(luò)，這些措施顯然不足夠 文獻[4~6]介紹了這些安全機制及其存在的安全漏洞和缺陷：

①802.11默認的是開放系統(tǒng)認證，這等于沒有認證，共享密鑰認證存在重大漏洞，認證形同虛設(shè);

②SSID幾乎不能保證安全

③MAC地址過濾只能提供最簡單的訪問控制;

④算法存在巨大的安全漏洞

因此，必須采用新的安全措施，或者在原有安全機制的基礎(chǔ)之上進行改進，才能確保WLAN的信息安全。目前，這方面的研究在國內(nèi)外已有不少報導(dǎo)，文獻[4~6]也做了介紹。下面介紹的是本課題組提出的一種新的安全防范補充措施： MAC、靜態(tài)IP與用戶口令的捆綁認證”(簡稱“捆綁認證”)。它基于上述原有的安全機制，能提高網(wǎng)絡(luò)的安全性能其方法是：

(1)按照802.11建立基本的MAC地址過濾表。首先把網(wǎng)絡(luò)中所有網(wǎng)絡(luò)適配器的MAC硬件地址，即固化地址(burnedin)收集起來，建立一張MAC地址明細表 注明每個MAC地址所在的AP位置。然后通過設(shè)備廠商所提供的管理軟件，在每一個AP的安全設(shè)置項中 建立合法用戶的可信MAC地址表。該表組成了802.11所要求的MAC地址過濾器，可以實現(xiàn)MAC地址過濾;

(2)設(shè)立無線靜態(tài)IP地址。WLAN利用了與以太網(wǎng)或令牌環(huán)訪問方法相同的TCP/IP棧，其無線部分屬于訪問結(jié)構(gòu)中的物理層和數(shù)據(jù)鏈路層。由于TCP/IP棧位于該結(jié)構(gòu)的頂端，并且允許無縫集成 有線局域網(wǎng)中。也就是說，無線的IP地址與有線的lP地址在一定程度上等效，有線網(wǎng)絡(luò)采用靜態(tài)IP地址的安全策略在WLAN中仍然有用 因此，WLAN完全可以效仿有線局域網(wǎng)的做法，對所有合法用戶建立一張IP地址表進行過濾。對WLAN不同的是，在該表中要注明每個IP地址所在的AP的位置以及每個IP指定其登陸口令;

(3)MAC地址、靜態(tài)IP地址、用戶口令的捆綁認證。首先在服務(wù)器中編寫一個用戶登陸認證程序。然后將上述建立的MAC地址過濾表、靜態(tài)IP地址以及用戶口令表在程序中分別建立對應(yīng)的關(guān)聯(lián)關(guān)系，將表中的MA C、IP、口令與其所在的AP的地址關(guān)聯(lián)起來。

當移動用戶請求登陸時，必須通過下面3個過程：

①用戶首先要通過它所在的AP的SSID認證、MAC地址過濾、WEP認證;

② 進入服務(wù)器的認證程序。服務(wù)器的認證程序先將請求者的口令、IP、MAC讀入寄存器，然后對IP、MAC所在AP，與其所在的AP地址進行比較，如果比較結(jié)果為“真”時，進入下一個認證步驟;

③ 只有當口令、IP和MAC三者與關(guān)聯(lián)表一致時，方可登陸。

7 結(jié)束語

WLAN+RFID的組合系統(tǒng)建立在無線局域網(wǎng)和無線射頻識別技術(shù)的基礎(chǔ)之上，充分發(fā)揮了WLAN的無線連接和移動性的特點，以及RFID非接觸式自動識別和多標簽同時識讀的特點，能為用戶提供更快捷、更靈活的識別服務(wù)，其應(yīng)用前景將十分寬廣 但是，在實際應(yīng)用中，組合系統(tǒng)還有許多技術(shù)問題有待今后更深入的研究和解決。