服務集標識符

出自 MBA智库百科(https://wiki.mbalib.com/)

服務集標識符（Service Set Identifier; SSID）

　　服務集標識符是指為唯一命名無線區域網（WLAN）的一串字元。這個名字允許站點在多個獨立網路工作於同一物理區域時連接到需要網路。

　　各個直接互相通信的無線設備集稱基本服務集（BSS）。多個BSS可連接起來組成一個邏輯WLAN段，稱為擴展服務集（ESS）。一個服務集標識符（SSID）是各個ESS的字母數字的名字，長度為1到32位。

　　例如，一個部門的WLAN（ESS）可能包含所各訪問點（AP）以及幾十個工作站，它們都使用同樣的SSID。同一建築物內的另一組織可能運行它自己部門的WLAN，其AP以及工作站使用不同的SSID。SSID的目的在於幫助A部門的工作站查找並連接到A部門的AP，而忽略部門B的AP。

　　通過對多個無線接入點AP(Access Point)設置不同的SSID，並要求無線工作站出示正確的SSID才能訪問AP，這樣就可以允許不同群組的用戶接入，並對資源訪問的許可權進行區別限制。因此可以認為SSID是一個簡單的口令，從而提供一定的安全，但如果配置AP向外廣播其SSID，那麼安全程度還將下降。由於一般情況下，用戶自己配置客戶端系統，所以很多人都知道該SSID，很容易共用給非法用戶。目前有的廠家支持"任何(ANY)"SSID方式，只要無線工作站在任何AP範圍內，客戶端都會自動連接到AP，這將跳過SSID安全功能。 　

　　物理地址過濾(MAC)

　　由於每個無線工作站的網卡都有唯一的物理地址，因此可以在AP中手工維護一組允許訪問的MAC地址列表，實現物理地址過濾。這個方案要求AP 中的MAC地址列表必需隨時更新，可擴展性差;而且MAC地址在理論上可以偽造，因此這也是較低級別的授權認證。物理地址過濾屬於硬體認證，而不是用戶認證。這種方式要求AP中的MAC地址列表必需隨時更新，目前都是手工操作;如果用戶增加，則擴展能力很差，因此只適合於小型網路規模。

　　連線對等保密(WEP)

　　在鏈路層採用RC4對稱加密技術，用戶的加密密鑰必須與AP的密鑰相同時才能獲准存取網路的資源，從而防止非授權用戶的監聽以及非法用戶的訪問。WEP提供了40位(有時也稱為64位)和128位長度的密鑰機制，但是它仍然存在許多缺陷，例如一個服務區內的所有用戶都共用同一個密鑰，一個用戶丟失鑰匙將使整個網路不安全。而且40位的鑰匙在今天很容易被破解;鑰匙是靜態的，要手工維護，擴展能力差。目前為了提高安全性，建議採用128位加密鑰匙。

　　Wi-Fi保護接入(WPA)

　　WPA(Wi-Fi Protected Access)是繼承了WEP基本原理而又解決了WEP缺點的一種新技術。由於加強了生成加密密鑰的演算法，因此即便收集到分組信息並對其進行解析，也幾乎無法計算出通用密鑰。其原理為根據通用密鑰，配合表示電腦MAC地址和分組信息順序號的編號，分別為每個分組信息生成不同的密鑰。然後與WEP一樣將此密鑰用於RC4加密處理。通過這種處理，所有客戶端的所有分組信息所交換的數據將由各不相同的密鑰加密而成。無論收集到多少這樣的數據，要想破解出原始的通用密鑰幾乎是不可能的。WPA還追加了防止數據中途被篡改的功能和認證功能。由於具備這些功能，WEP中此前倍受指責的缺點得以全部解決。WPA不僅是一種比WEP更為強大的加密方法，而且有更為豐富的內涵。作為802.11i標準的子集，WPA包含了認證、加密和數據完整性校驗三個組成部分，是一個完整的安全性方案。

　　國家標準(WAPI)

　　WAPI(WLAN Authenticationand Privacy Infrastructure)，即無線區域網鑒別與保密基礎結構，它是針對IEEE802.11中WEP協議安全問題，在中國無線區域網國家標準 GB15629.11中提出的WLAN安全解決方案。同時本方案已由ISO/IEC授權的機構IEEE Registration Authority審查並獲得認可。它的主要特點是採用基於公鑰密碼體系的證書機制，真正實現了移動終端(MT)與無線接入點(AP)間雙向鑒別。用戶只要安裝一張證書就可在覆蓋WLAN的不同地區漫游，方便用戶使用。與現有計費技術兼容的服務，可實現按時計費、按流量計費、包月等多種計費方式。AP設置好證書後，無須再對後臺的AAA伺服器進行設置，安裝、組網便捷，易於擴展，可滿足家庭、企業、運營商等多種應用模式。

　　埠訪問控制技術(802.1x)

　　該技術也是用於無線區域網的一種增強性網路安全解決方案。當無線工作站STA與無線訪問點AP關聯後，是否可以使用AP的服務要取決於802.1x的認證結果。如果認證通過，則AP為STA打開這個邏輯埠，否則不允許用戶上網。802.1x要求無線工作站安裝802.1x客戶端軟體，無線訪問點要內嵌802.1x認證代理，同時它還作為Radius客戶端，將用戶的認證信息轉發給Radius伺服器。802.1x除提供埠訪問控制能力之外，還提供基於用戶的認證系統及計費，特別適合於公共無線接入解決方案。