中图分类号：O152.2 文献标识码：A 文章编号：1009-914X（2013）33-0104-01
软交换网络一个很大的优势就是具有开放性的平台和接口，这样可以方便的进行业务扩展，这样各种第三方的业务以及网络都可以方便的和电信网络实现无缝连接。这就导致电信网络的规模以及业务类型十分的反正，传统互联网所面临的病毒、黑客等危险也随之蔓延到电信网络上，从而给运营商的服务造成巨大的威胁。因此，对于软交换来说，能否做好安全保障工作是一个非常重要的环节。随着软交换技术的使用以及推广，这就导致软交换面临着传统的网络安全问题。同时，软交换网络和传统网络相比还有自身的一些特点，因此其安全问题也具有自身的一些特点。在进行软交换安全防护的过程当中一般都是从软交换设备本身以及网络这两个大的方面为切入点来进行的。首先应该确保软交换的相关设备自身在设置上的安全，并且做好相应的硬件和软件防护工作，从而使软交换设备自身具有一定的安全防护能力。而对于网络的安全，则是对于软交换的承载网络安全采取相应的措施，建立健全完善的保护机制，防止通过网络对软交换设备造成的攻击。
在软交换网络建设过程当中一定要同时抓好软交换设备安全以及网络安全，两者相辅相成，缺一不可。运营商首先要在思想上引起足够的重视，做好相应的软交换安全保障工作。
1 软交换面临的主要安全隐患
软交换所面临的安全问题十分多样，种类层出不穷，但是大体可以分为以下几个方面：第一，网络安全，主要是软交换网络自身的安全；第二，终端安全，终端主要是指用户侧的终端设备。当前对于用户终端的病毒以及攻击十分常见，由于软交换网络无法对其进行有效的防范，因此往往利用终端对网络发起攻击，进而对软交换的设备产生影响；第三，设备安全，主要是指各种软交换的承载设备自身的安全，这种安全隐患大多都是由于设备运行不规范或者是外部对其进行攻击。
2 软交换安全服务措施
由于软交换所面临的安全隐患十分繁多，因此必须做好相应的防范工作，为用户提供安全的服务，可以通过以下几个方面的措施来实现。
2.1 保密性
应该采取相应的手段对软交换网络中传递的数据进行相应的加密，从而防止没有经过授权的用户非法截留数据。这样讲数据以加密的形式传递，即使数据被截留，那么也没法进行解读。除此之外，应该做好相应的数据传输端口的防护工作，防止非法对相应的端口进行监听，保护数据的安全性。
2.2 认证
建立严密的身份认证程序，防止用户合法身份被盗用，而对资源进行窃取。对于数据传输之前双方的身份以及数据来源进行认证，从而保证通信双方都具有相应的合法身份和对应的权限。将业务和实体身份进行捆绑，防止身份被盗用或者是伪装欺骗。
2.3 完整性
为了防止未经授权的用户对数据继续非法修改，可以利用VPN技术进行通信。为了防止数据受到损坏，可以积极采用数字签名以及其它的完整性检测技术地数据完整性进行检测。
2.4 访问控制
通过完善的授权机制对于网络中的关键部分提供保护，对于相应的访问者进行等级划分，具备相应的等级才能够访问相应的资源，防止对于没有权限的资源进行使用。建立完善的数据库，用于存储安全认证信息，用户进行认证时需要将信息进行严格的比对。对于认证信息数据库也应该设立较高的等级，防止数据库被非法篡改。
2.5 安全协议
目前应用较多的是IPSEC，SSL/TLS。至于MPLS， 严格地说它并不是一种安全协议， 其主要用途是兼容和并存目前各种IP路由和ATM交换技术， 提供一种更加具有弹性和扩充性的、效率更高的交换路由技术， 它对网络安全贡献应主要在于流量方面。
3 软交换安全方案
软交换网络安全的实现， 有多种方案可供选择，下面介绍的IPSEC（ESP遂道模式）+SSL/TLS+认证服务器/策略服务器+FW/NAT是一种可运营解决方案。IPSec 体系提供标准的、安全的、普遍的机制。可以保护主机之间、网关之间和主机与网关之间的数据包安全。由于涉及的算法为标准算法，可以保证互通性，并且可以提供嵌套安全服务。另外对IPV6 而言它是一个强制标准，是今后发展的一个趋势。
IPSec协议主要由AH （认证头）协议， ESP（封装安全载荷）协议和负责密钥管理的IKE（因特网密钥交换） 协议三个协议组成。认证头（AH）协议对在媒体网关/终端设备和软交换设备之间传送的消息提供数据源认证，无连接完整性保护和防重放攻击保护。ESP协议除了提供数据完整性校验、身份认证和防重放保护外， 同时提供加密。ESP 的加密和认证是可选的， 要求支持这两种算法中的至少一种算法， 但不能同时置为空。根据要求， ESP 协议必须支持下列算法： 第一，使用CBC 模式的DES算法。第二，使用MD5的HMAC算法。第三，使用SHA-1的HMAC算法。第四，空认证算法。第五，空加密算法。数据完整性可以通过校验码（MD5） 来保证；数据身份认证通过在待认证数据中加入一个共享密钥来实现；报头中的序列号可以防止重放攻击。IKE协议主要在通信双方建立连接时规定使用的IPSec协议类型、加密算法、加密和认证密钥等属性，并负责维护。IKE采用自动模式进行管理， IKE的实现可支持协商虚拟专业网（VPN），也可从用于在事先并不知道的远程访问接入方式。
认证系统和策略系统对商用软交换系统而言是必不可少的。它们在管理层面上实施访问控制、信息验证、信息保密性等措施，可以为网络提供安全保证。同时， 认证服务可以提计费的准确性，保证网络的商业运营。
防火墙/NAT 是保证网络安全必不可少的一部分。防火墙种类繁多，它在较交换中的窍越问题可以通过两种方法实现：一是使用TCP；二是用短于关闭墙口时长为周期，不断发送消息，维持端口开启
4 结束语
基于软交换的NGN 网络所存在的安全问题一直以来受到大家的关注。而作为数据网络上的一种新兴的应用，以IP作为承载媒体的软交换所面临的一些安全隐患， 实际是目前IP 网络上存在的若干问题的延续。只有很好地解决了网络的安全问题，同时配合产品本身的一些安全认证机制，软交换才能够在新的电信网中持久稳定的发挥作用，并成为解决话音、数据、视频多媒体通信需求的有效解决方法， 并最终完成“三网合一”。
网络安全工作是一个以管理为主的系统工程， 靠的是“三分技术，七分管理”， 因此必须制定一系列的安全管理制度、安全评估和风险处置手段、应急预案等， 这些措施应覆盖网络安全的各个方面，达到能够解决的安全问题及时解决，可以减轻的安全问题进行加固，不能解决的问题编制应急预案减少安全威胁。与此同时，需要强有力的管理来保障这些制度和手段落到实处。
在三网融合的情况下，广电的相关运营商为了进一步提高客户的ARPU值，开始进行各种例如互动电视、宽带上网等多项常识的增值业务。广电网络已经开始在传统的广电网络转变为一项综合信息网络，NGB也会作为三网融合下的广电网络的承载平台。因为各项相关增值业务都一定要建立于双向网络的条件下，广电网络也会有原本的封闭的网络转变为开放式的网络，这些转变无疑又给了网络安全更大的挑战，所以广电实际运营商能不能在它的网络里面建设起相对可靠的安全网络体系对于保障广电的生存和发展都有着非常重要的作用。
一、现在广电双向相关网络所面临的安全问题
网络安全囊括了内容层面的相关安全以及接入层面的相关安全，现今广电的双向HFC网络作为一个广播型的相关网络，不管是应用EPON还是OMTS方案，进行网络传输的相关数据都非常容易被一些黑客所截获，所以接入终端的相关设备相关合法性以及传输数据的实际保密性都显得尤为重要。
接入层的相关安全是对于接入终端相关设备的实际合法性的保证，禁止有关非法设备进行网络接入。现今广电运营商对于终端设备的相关认证都采取MAC相关设备的认证方式。这种认证方式对于客户的相关操作没有过多的要求，对用户很友好。但是接入的MAC设备地址是可以进行修改的，有关黑客会运用多种途径进行MAC的实际地址修改，从而假冒实际的用户入侵网络。所以只是通过相关MAC的设备进行认证接入有着很大的网络安全隐患，尤其是在电视支付等相关增值业务来说。由此可见，进行可靠安全的认证接入服务，有效保证用户的可溯源和合法性的相关研究和探讨对于广电实际运营商的增值业务发展十分有必要。
二、PKI相关技术
对于网络安全问题进行多年的研究，已经有着一套相对完整的解决网络安全的方案，也就是公钥基础设施简称PKI。PKI是建立在非对称性的密钥技术上的安全体系，它通过数字证书来进行公钥管理，从而有效的了解密钥的管理和分发问题，为客户提供可靠安全的接入认证服务，有效的确保信息传输的不可都任性、真实性、完整性和保密性。
三、广电双向网络的实际安全方案
1.接入层的相关安全
接入层的相关安全需要对于局端设备具有对接入相关终端设备自身进行认证的作用，有效的防止有关非法用户进行网络接入，OKI技术能够提供可靠安全的身份认证的服务。以下进行PKI的相关认证身份方案的一些简单介绍。
（1）用户端的相关设备把自己所在ID传送给了局端认证相关服务器进行接入申请，局端认证的相关服务器在接收到用户传送的ID之后，就要对相关用户的实际管理系统进行确认，了解该用户的所在ID是否是合法用户，如果是就可以给用户发送一个用他ID关联的一个随机数值N给相关用户端，若不是就可以直接拒接相关接入。
（2）用户端在接收到相关随机数值N之后，要根据自己的实际私钥对于N进行加密，之后再将加墨过的随机数值传送给相关局端认证的实际服务器。
（3）局端认证的相关服务器在接收到已经进行加密的数值之后，在利用该用户的相关公钥进行解密，再与原有的随机数值N进行相关对比，如果一直就确认该用户是合法用户，就可以允许其终端相关设备能够通过相关认证并且接入网路。否则就对于相关终端设备进行尽职接入网络。
现在有很多的广电运营商都在进行相关数字电视的转换是都会对于用户实行实名登记，并进行智能卡的配发，在智能卡中有相关用户的私钥存入，所以在进行双向的相关增值业务的时候能够利用相关智能卡的实际ID以及用户的私钥来进行终端设备的相关接入认证，从而有效保证网络接入层的实际安全。
2.内容层的相关安全方案
内容曾的相关安全是为了对于所传输的相关数据进行安全保障。因为广电的网络HFC经常在网络上进行数据传输的时候遭到相关黑客的接货，所以广电实际运营商在进行电视支付等相关广电增值业务的时候必须要确保其信息能够进行安全传输。PKI中的数字信封、数字传输等相关技术就是确保传输信息的不可否认性、真实性、完整性、保密性。
数字签名的实际作用类似于现实中的相关个人印章或者个人签名，用来进行签署人的实际发生信息的相关认可，利用相关数字签名来对于信息安全进行保护的基本方案则如图1所示。
数字信封是保证那些仅仅特定接受方能够进行信息读取的相关安全技术，它对于非对称的相关密钥的实际加密时间以及对称密钥的实际分发困难问题有着有效的解决。其基本的信息安全保护的方案实施如下：
（1）发送方将需要发送的信息通过对称密钥进行加密，之后在用相关接收方得公钥进行加密从而形成一个数字信封。并且将其同经过加密的相关信息一起发送给相关接收方。
（2）接收方使用自己的相关私钥来解开设定的对称密钥，之后在利用对称密钥来将经过加密的相关信息解开。
现今数字电视的相关条件接收系统也就是运用了类似于相关数字信封的方式，由于目前的节目流的相关诗句非常大，所以通过对称密钥来进行加密之后再使用非对称的相关密钥来对于经对称密钥进行相关加密，之后再将其与加密的相关节目一起发送给实际的用户端，相关用户端就能够先通过私钥解开相关数字信封来得到控制字CW，之后再利用控制字对于实际节目流进行解扰。
3.数字证书的相关安全方案
通过上述分析表明，不管是内容层还是接入层的相关安全方案都需要对于公钥以及用户的实际用户信息保证其一致，也就是要保证公钥和其实际拥有者的实际信息不会被篡改和盗取，PKI技术中的相关数字证书就是将公钥以及其实际拥有者的相关身份信息有效绑定的一个机制。
数字证书同我们现实生活中使用的身份证类似，广电运营商在进行电视支付等相关增值业务的开展时，为了保证网上的交易实体的相关身份信息的实际真实性，确保其公钥属于其实际拥有者，就可以建立起自己的数字证书库和认证机构CA，为相关服务提供商和用户提供管理和签发数字证书，也就是网上的相关实体的身份信息同其自身的公钥进行绑定从而形成数字证书，确保相关数字证书不会遭到篡改。广电实际运营商可以运用自己的实际私钥来对于这项证书进行相关数字签名之后在将其存入到数字证书的相关管理库，这样就使得每一个在网上的实体都能够借由广电运营商的相关数字证书的自身管理库来进行交易双方真实身份信息的验证，并且还能够得到真实的公钥，对于相关信息进行加密、解密等相关安全应用，有效的确保各项相关业务的安全进行。
四、PKI技术采用的安全性
PKI技术所使用的公钥技术的相关加密算法的相关安全性主要是建立在一些大数离散、分解对数等相对比较难解的一些数学问题上的，现今公约技术的算法其安全性还是比较高的。但是伴随着信息技术和计算机能力的不断提高，其相关算法的实际安全性必然会遭到威胁。再就是用户私钥的实际保存上也存在着安全威胁，不管是在内容层还是接入层，对于用户的四月保护都是安全体系整个运营中的关键点所在。保护用户私钥目前有两种相关方式：一是将用户的私钥和起进行加密的相关算法固化在配发的智能卡内部的IC芯片里面，在加密解密的整个过程都是在IC芯片内部进行和完成。在一个就是将加密算法和私钥存在通过Ukey所谓相关代表的小型设备存储器里面.Ukey它所使用的是EPROM的相关CPU进行芯片级别的相关操作系统，加解密的所有相关运算都会在芯片里面进行和完成。不管是应用Ukey或者智能卡作为实际的私钥载体，都会与相关用户端进行同村，这进行通讯的时候其内容很有可能被截获，并且在私钥载体内部的IC芯片也有被复制和破解的可能性，所以人们必须要对于IC芯片的防盗技术和生产工艺进行不断的改进，并对于终端设备与私钥载体之间的通讯实行加密保护。
五、总结
三网融合又给了广电运营商新的发展机遇，使得广电运营商实际承载的相关内容更为丰富，并且其网络的实际安全性也带来更大的挑战。广电相关运营商在通过对于双向网络改造的推进、增值业务的开展等的同时，还应该在网络中进行网络安全保护体系的建立，从而有效的保障网络运营商、服务提供商以及用户三方面的利益。
参考文献
[1]余汉江，幸伍洲.“三屏互动”――广电网络的理想与彼岸[J].中国数字电视，2011（11）.
[2]BOSS助力贵州广电网络飞跃发展 贵州广电网络业务运营支撑系统（BOSS）应用案例[J].中国数字电视，2011（6）.
[3]山东广电网络：与浪潮签订战略合作协议[J].中国数字电视，2012（1）.
中图分类号：TN92 文献标识码：A
1 无线网络安全概述
计算机网络安全是指利用网络管理控制技术措施，保证在一个网络环境里，信息数据的机密性、完整性及可使用性受到保护。无线网络是一种利用无线电波在自由空间的传播实现终端间通信的网络。随着无线网络在各领域的广泛应用和不断发展，无线网络的安全问题受到人们的普遍关注。无线网络其信号的辐射四周使得面临着较大的安全风险；由于无线终端在性能上不足使得某些加密算法无法适用于无线环境；不同类型和用途的无线网络对其对安全性及其实现的相关技术有着不同的要求。由于无线网络的结构不稳定性，许多在有线网络中实施很好的安全方案和技术并不能直接用于无线网络，同时由于无线网络环境具有复杂性和不稳定性，使得实现安全目标有一定的困难。
2 无线网络的安全特性
无线网络的应用解决了终端的移动通信问题，它具有安装便捷，网络结构动态变化灵活，不需要铺设线缆具有一定经济性，同时提供无线覆盖范围内的漫游等优势。无线网络的开放性带来两个安全问题一是接入控制，二是数据加密。无线网络在信息安全方面表现在以下几个方面：
（1） 无线网络的开放性使得网络更容易受到恶意攻击；在无线通信中，任何处于信号传播范围内的接收设备都能接收到发射装置所发射的电磁波信号，容易受到从被动窃听到主动干扰的各种攻击。在有线网络中，有固定的拓扑结构，并且具有确定的边界，攻击者必须通过物理接入网络或经过几道防线，如路由器或网关和防火墙，才能进入内部网络中。在固定的位置通过接入端口的管理控制能够有效阻断恶意攻击者。
（2）无线网络通信存在鲁棒性问题。在路由方面，普遍采用多路径路由方式，数据沿着多条路径同时传输时虽然在一定程度上提高了数据传输的可靠性，对一些扰动因素的变化比如节点失效等具有一定的鲁棒性。有线网络的传输信号稳定；无线信号传输信道特性是变化的，会受到衰落、干扰、多径、多普勒频移等许多方面的影响，信号波动很大，甚至无法通信。
（3）无线网络安全方案部署困难。在有固定边界的有线网络中，通常拓扑结构固定，安全技术方案部署容易。无线网络环境中动态变化的拓扑结构，缺乏一定的集中管理机制，安全部署较为复杂。在无线网络中网络安全必须依赖所有节点的共同参与和协作。
（4）无线网络在安全管理方面具有一定难度。有线网络的用户终端过普通线缆与接入设备之间相连，并固定在一定范围内，容易管理。而无线终端在大范围内移动，可以跨区域漫游。恶意攻击者在任何位置实施攻击，要想确定并跟踪一个特定的移动节点很难；无线网络移动终端的管理由于其移动性而带来了新的安全管理问题。
3 无线网络安全机制
无线网络存在众多的安全隐患和安全漏洞，其不得不采取一定的安全机制，一般采用加密认证机制，其中常见加密方式有WEP加密、WPA加密，认证包括IEEE802.1X验证等、以及IEEE80211I标准、WPAI等。
传统意义上无线网络使用的安全机制主要包括SSID和MAC两种。SSID（Service Set Identifier）即服务设置标识，也称ESSID，表示的是无线AP或无线路由器的标识字符，无线客户端只有输入正确的SSID才能访问该无线AP或无线路由器。通过SSID技术可以区分不同的无线局域网。它相当于一个简单的口令，保证无线局域网的安全。MAC即媒体访问控制，一般称为物理地址过滤。通过MAC技术可以在无线局域网中为无线AP或无线路由器设置一个许可接入的用户的MAC地址表，如果接入的无线网卡的MAC地址不在该列表中，无线AP或无线路由器将拒绝其接入，以实现物理地址过滤，并保证无线局域网的安全，在无线局域网中，MAC地址过滤属于硬件认证，而不是用户认证。
随着无线局域网IEEE802.11标准的风行，IEEE802.11系列标准采用的安全技术也被大家所熟知，其中主要包括用户认证、加密等几种技术。在无线网络环境中，要保证网络的安全，必须对用户的身份进行验证。IEEE802.11系列标准中，对用户进行认证的技术包括3中；开放系统认证（Open System Authentication）该认证是IEEE802.11默认认证，也是最简单的认证算法，即不认证，允许任何用户接入到无线网络中去，实际上根本没有提供对数据的保护。封闭系统认证（Closed System Authentication），该认证与开放系统认证相反，通过网络设置可以保证无线网络的安全，例如，关闭SSID广播等。共享密钥认证（Shared Key Authentication），该认证是基于wep的共享密钥认证，它事先假定一个站点通过一个独立于802.11网络的安全信道，已经接收到目标站点的一个WEP加密的认证帧，然后该站点将该帧通过WEP加密向目标站点发送。目标站点接收到之后，利用相同的WEP密钥进行解密，然后进行认证。在早期IEEE802.11标准中，主要使用的加密技术就是WEP（Wired Equivalent Protocol，有线等效协议）。WEP属于IEEE802.11b标准的一部分，它是一种对称加密加密盒解密的密钥以及算法相同，采用RC4加密算法，24位初始化向量。在一定程度上通过WEP加密可以保证传输的数据的安全性，由于其是对称加密算法加密强度不大，随着机器性能的提升容易破解。为了弥补无线局域网自身存在的缺陷，IEEE标准委员会正式批准了新一代的IEEE 802.11i标准即WI-FI，它结合认证和加密，在认证方面采用IEEE802.1X认证，而在数据加密方面，提出了TKIP、CCMP和WRAP三种加密机制。
由于802.11i并不是WLAN的终极，针对其不完善之处，例如缺少对WLAN设备身份的安全认证，我国在无线局域网国家标准中提出了安全等级更高的WAPI；WPAI由WAI和WPI两个部分组成， WAPI采用了基于公钥密码体制的椭圆曲线密码算法和对称密码体制的分组密码算法，通过数字证书和传输数据的加解密，实现设备的身份鉴别、访问控制和用户信息的加密保护。WAPI安全系统采用公钥密码技术，鉴权服务器AS负责证书的颁发、验证与吊销等，无线客户端与无线接入点AP上都安装有AS颁发的公钥证书，作为自己的数字身份凭证。当无线客户端登录至无线接入点AP时，在访问网络之前必须通过鉴别服务器AS对双方进行身份验证。根据验证的结果，持有合法证书的移动终端才能接入持有合法证书的无线接入点AP。
4 结论
无线攻击从单纯的WEP及WPA连接密码破解外，还有无线D.O.S、无线欺骗/伪造基站攻击、无线设备溢出、数据拦截与还原、认证体系攻击等等。除此之外，还有针对蓝牙、GSM、CDMA、3G等攻击、欺骗或伪造的技术。在组建无线网络的时候，千万要牢记网络的不安全因素，要对设备进行一定的安全配置，同时个人移动端接入时也要考虑自身的安全性。考虑网络的安全时不仅要采用一定的加密认证等机制，而且还需要采用入侵检测、防火墙等技术的配合来共同保障，因此部署无线局域网的安全需要从多层次来考虑，利用各种技术来实现。
参考文献
高效无线网络校园是现在很多高校建设的目标，因此，高校在为用户提供基本的互联网上网服务外，还需要为用户提供安全可靠的网络服务，用户可以在校内或者校外访问相应的资源。网络安全设计实现对内外接入时避免面临网络安全的问题，保证网络资源及网络设备的安全是校园无线网络建设所面临的一个严峻问题。
1 无线网络安全面临的主要问题
1.1 访问权限的控制
学校一般拥有大量的外网地址，但是对外提供服务的只是其中的一部分或者少数几个地址，因此需要在出口设备上严格限制外网对内的访问权限，只有允许的地址或者允许地址的特定端口才是可以被访问的，其它地址一律禁止外网发起的主动访问。
1.2 攻击主机的主动识别和防护
动态监测外网主机对资源平台的访问，当外部主机发起非法攻击或者大量合法请求时，网关设备会主动将非法主机进行隔离，从而保证资源平台的安全性；
2 无线网络安全主要的设计内容
基于“接入安全”的理念，将学院园区无线网络认证过程设置到离学生客户端最近的网络边界处，通过启用Web认证模式，无线控制器和学校目前采用的AAA认证系统的协同工作，当学生在接入无线网络的时候，网络无线控制器和ZZ-OS认证网关进行对接，通过portal的方式将认证页面推送到客户端，然后将学生认证所需要的用户名和密码上传到无线控制器，无线控制器通过与ZZ-OS认证系统的对接，获取学生相关的认证信息，如果认证通过，则无线控制器将通知无线AP接入点，允许该学生访问相关的资源，学生使用浏览器即可完成认证过程，不仅保证了接入学生的学生合法性，而且学生能快捷便利的使用无线网络，极大的提高了学生的体验感。
2.1 学生数据加密安全
无线AP通过WEP、TKIP和AES加密技术，为接入学生提供完整的数据安全保障机制，确保无线网络的数据传输安全。
2.2 虚拟无线分组技术
通过虚拟无线接入点（Virtual AP）技术，整机可最大提供16个ESSID，支持16个802.1QVLAN，网管人员可以对使用相同SSID的子网或VLAN单独实施加密和隔离，并可针对每个SSID配置单独的认证方式、加密机制等。
2.3 标准CAPWAP加密隧道确保传输安全
无线AP接入点与网络无线控制器以国际标准的CAPWAP加密隧道模式通信，确保了数据传输过程中的内容安全。
3 安全准入设计
无线网络为开放式的网络环境，基于端口的有线网络管理方式已经无法满足无线用户接入管理的需求。为了解决接入用户管理的问题一般高校都会部署AAA服务器，通过AAA服务器实现无线用户身份认证。
通过引入AAA服务器虽然解决了“谁”可以连接无线网络的问题，但是如何进行用户身份的认证呢？无线网络部署的初期一般采用SU的方式。SU方式需要无线用户在无线终端设备上安装特定的客户端，通过该客户端完成用户身份的校验。但是随着智能终端的出现，接入无线网络的终端不仅仅是笔记本电脑，平板电脑、手机等智能终端也需要接入无线网络，而SU模式并不适合安装在智能终端上。为了解决智能终端接入无线网络的问题很多设备厂商推出了Web认证，智能终端不再需要安装客户端，只需要通过浏览器就可完成身份认证。针对智能终端Web似乎是一种比较完美的身份认证方式。随着互联网应用的迅速崛起，用户希望在物理位置移动的同时可以使用微信、微博等互联网应用。如果依然采用Web方式进行身份认证，用户将会感觉很麻烦，影响用户对无线网络的体验，为了解决认证方式繁琐的问题，无感知认证应用而生，无感知身份认证只需要用户首次进行终端相关用户信息配设置后续终端接入无需用户干预自动完成。
4 安全审计设计
无线网络为了给用户提供良好的上网体验，一般终端接入网络时采用动态地址分配方式，同时公有地址不足是所有国内高校面临的一个问题，为了解决地址不足的问题一般校内采用私有地址，出口网络设备进行NAT转化。在私有地址环境中采用动态地址分配方式，管理员将会面临一个问题：当发生安全事件时，网监部门只能为管理提供一个具体的外网地址和访问的时间点，仅有的信息中要准确定位问题的具体负责人。
传统的日志计平台只记录了出口设备的NAT日志，可以通过公网地址和具体的时间找到对应的私网地址，但是由于地址采用动态分配的方式，能难确定该时间段对应的地址是哪个用户在使用或者说需要查询多个系统才能确认最终的用户，如果多个系统中有一个系统时钟不一致，可能造成最终信息的错误。为了加强出口行为管理和日志记录，解决安全审计方面的问题，安全方案采用elog应用日志及流量管理系统。elog配合出口网关可有效记录NAT日志、流日志、URL日志、会话日志等，并可存储3个月以上，满足公安部82号令相关要求，学校也可对相关安全事件有效溯源。
日志对于网络安全的分析和安全设备的管理非常重要，网关设备采用统一格式记录各种网络攻击和安全威胁，支持本地查看的同时，还能够通过统一的输出接口将日志发送到日志服务器，为用户事后分析、审计提供重要信息。
NAT日志查询（如图1所示）。
在充分考虑校园无线网络安全设计的前提下，对网络自身的数据加密、信息泄露以及网络攻击进行严密防控的同时，提升用户信息安全意识，从用户自身入手防止出现简单密码、默认密码和用户主机杀毒等问题。做到“防范为主、有据可查、追本溯源”，才能更好的应对网络安全问题，提高校园信息的安全性，为师生提供安全可靠的无线网络服务。
参考文献
[1]吴林刚.无线网络的安全隐患及防护对策[J].科技信息，2011（25）.
[2]冯博琴，陈主编，吕军，程向前，李波编.计算机网络简明教程[M].北京：高等教育出版2009.
[3]梁富强.高校校园计算机无线网络安全策略研究[J].河南科技，2014（02）：19-20.
作者简介
随着时代经济的飞速发展以及科学技术的日新月异，现代化无线网络和因特网应运而生，进而使得移动通信逐渐成为当前最有发展活力的产业之一。现如今，伴随着数据通信和多媒体业务需求的持续发展，第四代移动通信逐渐兴起，为人们的日常生活和工作学习带来了极大的便利。本文对4G无线网络安全接入技术进行探究分析。
一、 4G无线网络安全接入安全概述
4G无线网络接入的过程中，同样也面临着各种各样的安全威胁，一方面是其ME面临着一定的安全威胁，主要表现为IMSI被截获和UE潜形式的被跟踪，并对用户的信息进行暴露，难以从根本上保证用户信息的真实性。而无线接入网络中的安全威胁，同样也有移动性的管理和对其基站的攻击，这种攻击不仅仅将Dos攻击实现，同时也使得攻击者在安全性相对较弱的网络中对用户的通信加以截获，进而使得其受到更加严重的安全攻击。
二、4G无线网络安全接入技术的理论基础
1、自证实公钥系统。自证实公钥系统在实际的注册过程中，用户通过对自己的私钥加以选定，并对离散对数困难问题加以解决，系统中心在某种程度上难以从数据中心对用户的私钥进行接收，同时也不能对其签名进行冒充伪造，这种公钥系统往往有着相对较高的安全性。
2、安全协议。安全协议主要采取密码算法，并对其发送的消息进行高强度的加密，安全协议在将不可信网络通信参与方之间的安全通信实现的过程中，主要有建立于会话密钥的一种密钥交换协议和结合认证协议的一种认证密钥交换协议。而安全协议在实际的设计过程中，主要是对模型检测方法和其安全性协议分析方法加以采用，并将协议安全性的分析更加的具有规范化和科学化。4G无线网络安全接入技术在实际的应用过程中，主要借助于网络平台上的相关系统，并做好自证实公钥系统的控制，严格的遵守相关安全协议，进而实现数据加入和传输过程的安全性。
三、4G无线网络安全接入技术的认证新方案
现如今，基于移动网络的特殊需求和特点，4G无线网络安全接入技术更是本着适应终端移动性和漫游性的基本原则，对用户首次接入网络、再次接入网络以及漫游切换场景进行不同的验证，并借助于相关的技术，将其认证的效率显著提高。
3.1 参数的基本概述
出，并将其公钥发送给ME，ME受到公钥之后，并对等式YeME+DME+DHE=VME进行验证，一旦验证成功，其移动终端将会获得公钥YME和私钥XME。
3.2 首次接入认证和切换接入认证
4G无线网络安全接入中的首次接入认证和切换接入认证的过程中，其主要的认证过程图如1所示。
3.3 再次接入认证
对于移动通信环境而言，往往需要频繁的验证，将会带给系统相对较大的负担，一旦连接的用户数增多的过程中，系统运行的负荷相对较大，而再次接入认证场景的认证过程有着一定的简便性。再次接入场景下的认证过程中，首先对ME在首次切换接入认证之后，将会自动的再次将其接入统一网络，借助于临时身份TIDME对自己的TDME进行代替，并进行再次介入认证，对ME的身份隐私进行保护，经攻击者通过已经攻陷的会话密钥网络交互的风险降低。
四、结语
随着时代经济的飞速发展，现代化无线网络和通信技术的不断成熟发展，进而使得现代化移动网络的发展更加的具有 时代性，而4G无线网络接入的安全性始终是移动网络用户关注的焦点之一，而基于4G无线网络安全接入技术的应用，不仅仅对无线网络用户的身份进行隐藏和保护，同时也保证了4G无线网络安全接入过程中的安全性，在某种程度上将4G移动通信的安全性显著提高。
一、网络接入控制和认证现状
现今，随着计算机信息技术的发展，网络接入控制手段也变的多样化，而目前较常用的有：IEEE 802.1x、思科的 NAC 框架体系以及静态 IP+MAC绑定。对于终端的接入认证方式主要采用Web/Portal 认证以及 IEEE 802.1x+Radius 认证。这些接入控制和认证技术随被广泛运用，但其都存在着各自的优势和一些不足。
对于园区网管理方式来说，现今常用的网络接入控制和认证方法较少，其选择性较为单一。造成了我们在最大化运用技术手段优势的同时也将其不足无形的放大，例如在园区网中得到广泛应用的802.1x+Radius 认证方式，但Radius 认证服务器在使用过程中却成为了一个单点故障，如果认证服务器出现故障不能正常运行，需要人工去除接入层交换机端口的 802.1x 的配置选项，实施起来不仅工作量大还会影响园区网中部分重要终端的正常运行;Web/Portal 认证实施起来比较方便，但无法确保二层技术认证的安全；如二层技术得不到保障，直接使用七层技术进行认证又存在一定的风险。能否将多种接入控制和认证手段综合运用，充分发挥其各自优势，适应园区网复杂的应用环境，成为一个值得讨论研究的问题。
二、基于用户群的网络接入控制和认证策略
园区网用户群指的是：为了对网络进行有效的管理而人为地将园区用户进行的逻辑划分，在特定的网络环境中与用户的隶属关系、工作的地理位置存在着不同程度的相同之处，而对于一般的网络环境而言，它与传统的用户分组有所不同，它的定义和分类是基于图 1 中的因素而定的。
1. 用户的主要网络行为
用户的主要网络行为主要是指：用户终端的功能角色对网络状态的一种需求方式，可分为持续性和间断性两种不同的需求方式。例如，科研机构的某些专业专用的服务器，用户终端需要不断地发送和接收相关数据，所以要求相关服务必须持续且可利用，这种需求方式是持续性的。间断性的，例如部分的园区网办公终端、普通用户终端等，此类用户只在需要网络时才会对网络产生需求，一般而言他们对网络的使用时间相对比较集中。
2. 用户的计算机网络知识层次
用户对计算机技术的了解及网络技术应用的认识程度也一定程度上决定着网络接入控制和认证的策略。知识层次高的用户，对网络的使用需求就不仅仅是应用层面的，他们对网络的数据传输、网络的安全设置等都会有一定程度的了解和认识，他们会更改使用终端的网络参数，对某项攻击或不良软件的使用会相对灵活和熟练。知识层次相对低的用户，他们对网络的使用仅限于对网络的一般应用， 通常是基于网络的各种应用程序，不会对网络参数的设定进行更改。
三、基于用户群的网络接入控制和认证策略的优点
1．减轻设备压力，分流认证，防止单点故障。
Web/Portal认证需借助防火墙的触发进行认证，对于大型的园区网而言，Web/Portal认证会增加防火墙的压力，存在一定的安全隐患。单一的Radius认证又依赖于认证服务器的运行状态，多种认证方式的结合可以取长补短，有效的防止单点故障，较少网络运行存在的风险。
2. 操作便捷，使网络管理的难度和繁杂度大大降低。
在同一种网络环境中接入不同的控制和认证策略，表面上似乎是加大了网络管理维护的繁杂度，但实际是各种的控制和认证策略的接入分流了网络故障同时发生的可能性，在一定程度上减轻了网络管理和维护的负担。
3. 加强科学管理，提高网络管理质量
对用户进科学合理的划分，不仅可以有条理的面对网络管理中存在的问题，在问题出现的萌芽状态就可高效解决，提高了网络管理的主动性，从而网络管理质量也进一步有了提升。随着网络技术的普及和发展，网络的安全问题也越来越备受关注，基于用户群的网络接入和认证策略仅仅是网络安全管理的一种方式，只有不断的完善网络管理的方式，提高网络安全，形成一种网络安全防护体系，才能提高园区网的安全防护，才能给用户提供更好、更安全的网络。
引 言
电子商务逐渐成为21世纪经济生活的新领域，它可以大幅度地降低交易成本，增加贸易机会，简化贸易流程，改善物流系统，提高贸易效率，推动企业和国民经济结构的改革。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易过程中与传统交易方式一样地安全、可靠。从安全和信任的角度来看，传统交易方式的买卖双方是面对面的，因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，建立交易双方的安全和信任关系相当困难。如何解决电子商务中的信用及网络传输中的安全问题，如何判别网上交易对方的真实身份，如何固化并保存网上的交易内容并使之成为有效的法律证据，如何履行网络合同中最敏感的资金支付等一系列问题已构成了电子商务发展的障碍，建立完善的电子认证体系已成为电子商务发展的关键。
为解决Internet的信息安全，世界各国对其进行了多年的研究，初步形成了一套完整的解决方案，即目前被广泛采用的PKI（Public Key Infrastructure）技术，PKI技术采用证书管理公钥，通过第三方的可信任机构即认证中心CA（Certificate Authority），把用户的公钥和用户的其他标识信息如名称、身份证号等捆绑在一起，在Internet网上验证用户的身份。目前，通用的办法是采用建立在PKI基础之上的数字证书，通过把要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息在网络上的安全传输。
完整的PKI应包括认证政策的制定、遵循的认证规则技术标准、运作制度的制定、所涉及的各方法律关系以及技术的实现。笔者就网络电子认证体系采用网络公证从法律制度与安全技术相结合的角度做了探索性研究，并尝试对网络公证以解决网络中的信用安全给出了一整套解决方案。
国内CA的现状
互联网的开放性大大降低了网络环境的可信性。电子商务中的交易信任问题成为信息安全的主要问题和关键问题，而信任是交易的基础。为保证网上数字信息的传输安全，除了在通信传输中采用更强的加密算法等措施之外，还必须建立一种信任及信任验证机制，即参加电子商务的各方必须有一个可以被验证的标识，这就是数字证书。数字证书是各实体在网上信息交流及商务交易活动中的身份证明，该数字证书具有唯一性。它将实体的公开密钥同实体本身联系在一起，为实现这一目的，必须使数字证书符合国际标准，同时数字证书的来源必须是可靠的。这就意味着应有一个网上各方都信任的机构，专门负责数字证书的发放和管理，确保网上信息的安全，这个机构就是CA认证机构。各级CA认证机构的存在组成了整个电子商务的信任链。如果CA机构不安全或发放的数字证书不具有权威性、公正性和可信赖性，电子商务就根本无从谈起。
电子商务对网络安全的要求，不仅推动着Internet上交易秩序和交易环节，同时也带来了巨大的商业机会。自1998年国内第一家以实体形式运营的上海CA中心成立以来，全国各地、各行业纷纷上马建成了几十家不同类型的CA认证机构。如果从CA中心建设的背景来分，国内的CA中心大致可以分为三类：行业建立的CA，如CFCA，CTCA等；政府授权建立的CA，如上海CA，北京CA等；商业性CA。不难看出，行业性CA不但是数字认证的服务商，也是其他商品交易的服务商，他们不可避免的要在不同程度上参与交易过程，这与CA中心本身要求的“第三方”性质又有很大的不同。就应用的范围而言，行业性CA更倾向于在自己熟悉的领域内开展服务。例如，外经贸部的国富安CA认证中心适当完善之后将首先应用于外贸企业的进出口业务。政府授权建立的第三方认证系统属于地区性CA，除具有地域优势外，在推广应用和总体协调方面具有明显的优势，不过需要指出地区性CA离不开与银行、邮电等行业的合作。
国内CA存在的问题
在电子商务系统中，CA安全认证中心负责所有实体证书的签名和分发。CA安全认证体系由证书审批部门和证书操作部门组成。就目前的情况而言，CA的概念已经深入到电子商务的各个层面，但就其应用而言，还远远不够，都还存在一些问题。在技术层面上，由于受到美国出口限制的影响，国内的CA认证技术完全靠自己研发，由于参与部门很多，导致了标准不统一，既有国际上的通行标准，又有自主研发的标准，即便是同样的标准，其核心内容也有所偏差，这必将导致交叉认证过程中出现“公说公有理，婆说婆有理”的局面。在应用层面上，一些CA认证机构对证书的发放和审核不够严谨。目前国内相关的CA中心在颁发CA证书前虽然也竭力进行真实身份的审核，但由于进行相关审核的人员往往是CA中心自己的工作人员或其委托的其他人员，从法理上讲这些审核人员不具备法律上所要求的审核证明人资格，也无法承担相应的法律责任；另一方面现在的CA中心本身往往也是交易或合同的一方，难免存在不公正性。为了抢占市场，在没有进行严格的身分确认和验证就随意发放证书，难以确保认证的权威性和公证性。在分布格局上，很多CA认证机构还存在明显的地域性和行业性，无法满足充当面向全社会的第三方权威认证机构的基本要求，而就互联网而言，不应该也不可能存在地域限制。
电子商务认证的解决方案
在传统的商务贸易中，公证机构作为国家的证明机构，以交易信用的第三方中介行使国家证明权，其权威性与统一性历来为法律所确认。公证证明属国际惯例，中国加入WTO后，在与国际法律制度的接轨中，公证机构的证明效力日益显现出来。正因如此，将权威的国家证明权引入虚拟的网络世界，实行网络公证能够彻底填补网络世界的法律真空，解决目前国内CA认证的弊端，使现实世界的真实性向网络世界延伸。
网络公证方案首先从网络身份的真实性证明入手，在确认网络主体的真实身份的基础上，对网络交易内容以公正的第三方的角度加以证据保全，对交易履约中的资金支付采用公证行业特有的第三方安全支付加以解决，因此，笔者认为网络公证方案是电子商务安全与信用的一个整体解决方案。
网络中真实身份审核的解决
一个安全、完整的电子商务系统必须建立一个完整、合理的CA安全认证体系。以PKI技术为核心的CA证书能解决网络数据传输中的签名问题，日益显现出其确认网络主体身份的优越性。但是，在实际运作中，网络CA电子身份证书仍然为大家所怀疑。究其原因，关键在于网络中的CA证书持有人与现实世界中的真实身份是否一致并未得到彻底解决。如不解决这个前提，则用CA证书所做的任何签字将不产生任何法律效力，因为没有一个现实世界的主体与之相对应，并承担网上义务，而法庭更是无从受理。
纵观诸多国家的电子交易，数字证书的发放都不是依靠交易双方自己来完成，而是由一个具有权威性和公正性的第三方来完成，该第三方中介机构以提供公正交易环境为目的，应具有中立性。因此，银行所办的CA中心以及其他纯商业性的CA中心是不符合国际惯例的。
一个身份认证必须满足两种鉴别需要：当面鉴别和网上鉴别。当面鉴别以生物特征为主，网上鉴别则以逻辑特征为主。在CA证书的发放中，最关键的环节是RA（Registration Authority）证书离线面对面审核，交易当事人最关心的基本信息，如网上的对方究竟是谁，真实的身份与信用状况如何等。然而，目前相当多的CA公司在实际操作中或多或少地存在随意性，并未建立起严格的审核要求与流程。申请数字证书的用户只要在网上将相关的表格随意填写后，即可从CA公司那里获得个人CA证书。异地申请的企业只要将相关资料盖上公章邮寄过去，并交足相关费用即可获得CA证书。造成这种状况的一个重要原因是：要在全国建立几千个面对面的审核点具有很大的难度。因而建立严格的审核流程是十分困难的。然而网络公证可以彻底解决这一困惑。网络公证可以将传统的公证证明应用到 CA证书的身份审核上。其具体解决办法是：将遍布全国的数千家公证机构通过因特网联成一个统一中国公证网络，以实现将社会公众、公证客户、公证机构与公证相联结。也就是说，通过中国公证网，将遍布全国各地的公证机构有机地联在一起，彻底解决了异地审核的难度，并确保了网络身份的真实性。当用户需要申请CA证书时，即可到所在地的公证机构进行离线的面对面审核，也即RA审核。该审核严格按照公证机构的审核要求与流程进行，公证机构自然地对所审核的内容承担相应的法律责任，经过RA审核后的资料统一进入公证机构的中心数据库中进行安全存放。这样，经网络公证RA审核后所颁发的CA证书就自然地与其真实身份相对应，以后在电子商务交易中的网上签名行为即为其真实持有人所为。进行RA审核的人员不是普通公民，而是现行法律体系中承担法定审核工作的公证员，他们负有审核身份的法律责任，行使的是国家的证明权。由此可见，网络公证所构建的网络真实身份审核体系，可以与CA中心以及其他公司相配合，为其发放CA证书提供审核环节的服务，以解决其审核布点困难以及审核者身份不合法的问题。
就技术而言，CA在现阶段的应用已趋成熟，PKI公钥管理体系也很实用。它通过给个人、企事业单位及政府机构签发公用密钥与私人密钥组成的数字证书，来确认电子商务活动中交易各方的身份，并通过加解密方法来实现网络信息传输中的签名问题，以确保交易安全性。
保存网络中的数据，使之成为有效的法律证据
在确定网络身份后，交易双方就进入了实质谈判，以达成双方认可的条款。在传统交易中，协议的合同化过程是在书面合同上签字盖章，一旦交易双方日后在履约中出现争议，就可以以当初所签署的书面合同作为证据来解决存在的争议。与此对应，在虚拟的网络交易中，也必须能让虚拟的交易数据得以固化并在日后可能发生的纠纷中作为证据为法院所采证。网络公证方案可以采用的解决方法是提供第三方数据保管服务。当交易双方在网上达成协议后，各自用CA证书对合同进行加密签名，并将合同的电文数据内容提交到网络公证的数据保存中心。由于进行了加密签名，数据保存中心也无法打开并知悉当初的交易合同，这就真正确保了其安全性。事实上，由于第三方公正方的参与，使得电子商务交易得以在制度层面得到安全保障。交易双方一旦出现纠纷，通过解密打开的合同将由公证机构出具其保存的公证书证据。而公证文书在法庭上是可以作为证据直接被采纳的。
网上合同履行的提存服务
电子商务交易的信任危机除了主体身份确认危机、交易数据的证据危机外，网络交易履行中的支付信任更是阻碍网络交易发展的阻力。双方达成交易意向后，买家担心的是能否准确、及时地收到货物；卖家担心的是交了货后能否准确、快捷地收到货款。也就是说，网络交易双方共同关心着网络合同履行中的信用安全问题。网络公证可以依照传统的提存公证思路，结合网络技术展开网络提存业务。在网络电子商务交易中，买方不必将货款直接交付卖方，而是将货款提存到网络公证提存中心，在其收到货物并签署完相关单据后，提存中心再将货款支付给卖方。这样，网络公证提供的第三方提存服务彻底解决了网络交易双方对网上合同履行的困惑，尤其是支付的担忧。法律制度和传统贸易中早已有的公证提存方式对网络世界中的交易尤为适用。
可以预见，随着信息安全领域的标准化、法制化建设的日益完善，网络公证依托中国公证网络，运用公证的国家证明力所构建的第三方信用与安全服务以及网上合同履行的提存服务，彻底解决了网络交易主体对电子商务的信用问题，也必将极大地推动我国电子商务的发展。
1 通讯网络安全的重要性
所谓通讯网络安全是指信息在网络中被传递的时候，通讯网络自身需要具有以下特点：可靠性、生存性、可用性、可控性以及信息在传递过程中必须保证信息的完整性和机密性。通讯网络的安全主要包括两方面的安全，一方面是信息的安全，即信息的完整性和机密性得到保护；另一方面就是控制的安全，即身份认证、授权和访问控制等。通讯网络的普及和演进使人们的通讯方式发生了翻天覆地的变化，通讯网络是信息传递的一个重要载体，在推进信息化的过程中与社会生活的各个方面有很密切的联系。但是，也正是因为通讯网络与其他社会生活的各个方面有着重要的联系，因此，通讯网络也有着巨大的潜在的危险。如果说通讯网络出现了问题，那么就会对社会的经济发展带来巨大的负面影响。
2 保障通讯网络安全性的技术维护措施
通讯网络安全是十分重要的，因此，我们应该采取一系列措施来保证通讯网络的安全。我国的通讯网络安全措施一定要进行相应的调整，采取多种有效措施，促进通讯网络的快速健康发展。为了保障通讯网络安全我们应该采取以下技术维护措施：
2.1 防火墙技术
防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问政策、验证工具、包过滤和应用网关4个部分组成[1]。防火墙具有重要的功能。首先，防火墙可以充当网络安全的屏障，极大地提高内部网络的安全性，而且防火墙还可以通过过滤不安全的服务而降低风险。此外，因为只有经过精心选择的协议才能够顺利通过防火墙，所以网络环境相对于以前更为安全。其次，防火墙可以强化网络安全策略。在放火墙上可以配置许多安全软件，比如说身份认证、审计等。最后，防火墙可以防止内部信息外泄。内部网络最为关心的问题之一就是隐私问题，有些外部攻击者可能会根据内部网络中的某一个细节来获取一些隐私问题，这些细节还有可能暴漏内部网络的某些安全漏洞。
2.2 入侵检测技术
所谓的入侵检测是指“通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图”。入侵检测是检测和响应计算机误用的学科，其作用包括威慑、检测、响应、损失情况评估、攻击预测和支持。虽然防火墙技术对于提高网络的安全性起到了很大的作用，但是防火墙对内部网络的一些非法活动不能够做到及时的监测[2]。而解决内部网络监测问题，可以充分利用入侵监测技术。入侵监测技术可以对通讯网络进行实时保护，如可以防止内部攻击、外部攻击和误操作。入侵检测技术可以在网络系统受到危害之前就对危险物进行拦截，这样就极大提高了信息的安全性。
2.3 网络加密技术
信息的保密性是十分重要的，因此，网络加密成为网络安全的核心。网络加密技术的作用主要就是防止信息被拦截或窃取。我国的通讯网络安全措施一定要进行相应的调整，采取多种有效措施，促进通讯网络的快速健康发展。如果想要保证网络在公网上数据传递时具有极大的安全性或者想要解决远程用户的访问内网的安全性问题那么就要用到网络加密技术。主要方法就是对公网中传输的IP包进行加密和封装。
2.4 身份认证技术
身份认证系统是由令牌、身份认证软件和API接口三部分组成。身份认证技术具有很多的优点，比如说身份认证技术可以适应各种网络环境，同时也可以对信息资源进行深度的保护，还有身份认证技术可以通过提供令牌和认证服务器的物理安全保护，防止强行窃取相关信息。在各种认证机制中我们可以任意选择提供身份的认证。通过身份认证技术我们可以保障信息的完整性、可控性、机密性等安全问题。
2.5 虚拟专用网（VPN）技术
虚拟专用网（VPN）技术是通过一个公用网临时建立起一个相对安全的连接，这个连接是一条穿过很混乱的公用网络的隧道，而且这个隧道十分的安全、稳定。虚拟专用网（VPN）技术可以通过安全的数据通道将公司的内部网络连接起来，构成一个便捷的完整的公司企业网。在整个网络之中，各个主机都不会感觉到公共网络的存在，似乎全部的机器都存在于一个大的网络之中。
2.6 漏洞扫描技术
漏洞扫描技术和上面提到的防火墙技术等都是维护网络安全的技术。所谓的漏洞扫描就是对计算机系统或其他的网络设备进行安全性检测，找出存在的隐患和漏洞，然后进行修补。漏洞扫描技术的主要功能就是提高网络的抗攻击能力，主要工作流程就是先检查自身网络安全，然后发现问题和漏洞，再然后堵住漏洞。众所周知，网络是十分复杂且善变的，如果寻找网络安全漏洞、做出风险评估只依靠网络管理员这明显已经远远不够了，因此，针对此问题我们应该利用网络安全扫描工具，利用优化系统配置和打补丁等多种方式进行漏洞的扫描和修复。
3 结语
综上所述，通讯网络安全是十分重要的，对于社会经济的发展具有重要的作用。我国的通讯网络安全措施一定要进行相应的调整，采取多种有效措施，促进通讯网络的快速健康发展。因此我们对通讯网络的安全问题应该足够重视，采取众多新的科学技术来提高通讯网络的安全性。如上述所说的漏洞扫描技术、虚拟专用网（VPN）技术、身份认证技术、网络加密技术、入侵检测技术、防火墙技术等。
在传统网络中，网络采用层次化体系结构，主机之间的连接是准静态的，具有较为稳定的拓扑，可以提供多种服务来充分利用网络的现有资源，包括路由器服务、命名服务、目录服务等。目前已经提出了一系列针对这类环境的安全机制和策略，如加密、认证、访问控制和权限管理、防火墙等。Ad Hoc网络不依赖固定基础设施，具有灵活的自组织性和较强的健壮性。Ad Hoc网络中没有基站或中心节点，所有节点都可以移动、节点间通过无线信道建立临时松散的连接，网络的拓扑结构动态变化。Ad Hoc网络由节点自身充当路由器，也不存在命名服务器和目录服务器等网络设施。根据应用领域的不同，Ad Hoc网络在体系结构、设计目标、采用的协议和网络规模上都有很大差别。尽管基本的安全要求，如机密性和真实性，在Ad Hoc网络中仍然适用。但是Ad Hoc网络不能牺牲大量功率用于复杂的计算，并要考虑无线传输的能耗和稀少无线频谱资源。另外，节点的内存和CPU功率很小，强安全保护机制难以实现。这些约束在很大程度上限制了能够用于Ad Hoc网络的安全机制，因为安全级别和网络性能是相关的。因此，传统网络中的许多安全策略和机制不能直接用于Ad Hoc网络，需要对现有的安全方法加以改进，并采用新的安全策略和方法。
Ad Hoc网络的安全目标与传统网络中的安全目标基本上是一致的，包括:数据可用性、机密性、完整性、安全认证和抗抵赖性。但是两者却有着不同的内涵。
首先，可用性是指既使受到攻击，节点仍然能够在必要的时候提供有效的服务。可用性定义为与网络安全相关的一个关键特性。可用性保证网络服务操作正常并能容忍故障，即使存在拒绝服务共计的威胁。可用性涉及多层:在网络层，攻击者可以篡改路由协议，例如将流量转移到无效的地址或关闭网络;在会话安全管理层，攻击者可以删除会话级安全信道中的加密;在应用层，密钥管理服务也可能受到威胁等;其次，机密性是保证特定的信息不会泄露给未经授权的用户。军事情报或用户账号等安全敏感的信息在网络上传输时必须机密、可靠，否则这些信息被敌方或恶意用户捕获，后果将不堪设想。该问题的解决需要借助于认证和密钥管理机制;第三，完整性保证信息在发送过程中不会被中断，并且保证节点接收的信息应与发送的信息完全一样。如果没有完整性保护，网络中的恶意攻击或无线信道干扰都可能使信息遭受破坏，从而变得无效;第四，关于安全认证，每个节点需要能够确认与其通信的节点身份，同时要能够在没有全局认证机构的情况下实施对用户的鉴别。如果没有认证，攻击者很容易冒充某一节点，从而得以获取重要的资源和信息，并干扰其他节点的通信;第五，抗抵赖性用来确保一个节点不能否认它已经发出的信息。它对检查和孤立被占领节点具有特别重要的意义，当节点A接收到来自被占领节点B 的错误信息时，抗抵赖性保证节点A能够利用该信息告知其他节点B已被占领。此外，抗抵赖性对于商业应用中保证用户的利益至关重要。
Ad Hoc网络的安全策略和机制
传统的安全机制，例如认证协议、数字签名和加密，在实现Ad Hoc网络的安全目标时依然具有重要的作用。
1.防止信息窃取攻击
使用多跳的无线链路使Ad Hoc网络很容易受到诸如被动窃听、主动入侵、信息假冒等各种信息窃取攻击。被动窃听可能使敌方获取保密信息;主动窃取攻击中敌方可以删除有用信息、插入错误信息或修改信息，从而破坏了数据的可用性、完整性、安全认证和抗抵赖性。对付被动窃听攻击，可以根据实际情况采用IPSec中的安全套接字协议(SSL)或封装安全净荷(ESP)机制。封装安全净荷可以为不能支持加密的应用程序提供端到端的加密功能，它不仅可以对应用层数据和协议报头加密，还能对传输层报头加密，从而可以防止攻击者推测出运行的是那种应用，具有较好的安全特性。为对付主动攻击，可以采用带有认证的端到端加密的方法。
2.加强路由协议安全
多数MANET路由协议能够适应网络环境的快速变化。由于路由协议负责为节点指定和维护必要的路由结构，必须防止机密性、真实性、完整性、抗抵赖性和可用性的攻击。如果路由协议受到恶意攻击，整个Ad Hoc网络将无法正常工作。所以，必须提供相应的安全机制，以便保护Ad Hoc网络路由协议的正常工作。但是，目前已提出的用于Ad Hoc网络的路由协议大都没有考虑这个问题。在开放的环境中保护路由流量是非常重要的，以便通信各方的身份和位置不被未授权的实体所了解。路由信息必须防止认证和抗抵赖性攻击，以便验证数据的来源。
路由协议的安全威胁来自两个方向:一是网络外部的攻击者通过发送错误的路由信息、重放过期的路由信息、破坏路由信息等手段，来达到致使网络出现分割、产生无效的错误路由、分组无谓的重传，网络发生拥塞并最终导致网络崩溃的目的，攻击者还可以通过分析被路由业务流量来获取有用信息;二是网络内部的攻击者可以向网内其他节点错误的路由信息和丢弃有用的路由信息。两种攻击都能造成网络中合法节点得不到应有的服务，因此也可以看作为一种拒绝服务攻击。可以使用数据安全中的各种加密机制来解决第一种威胁，比如带有时间戳的数字签名。解决第二种威胁较为困难，对路由信息进行加密的机制不再可行，因为被占领的节点可以使用合法的私有密钥对路由信息进行签名。
3. 安全认证
不同的应用环境可以采用不同的认证机制。通过使用便携式电脑组建Ad Hoc网络来召开临时会议的应用环境中，与会者彼此之间通常比较熟悉并彼此信任，会议期间他们通过手提电脑通信和交换信息。与会者可能没有任何途径来识别和认证对方的身份，例如，他们既不共享任何密钥也没有任何可供认证的公共密钥。此时，攻击者可以窃听并修改在无线信道上传输的所有数据，还可能冒充其中的与会者。为此，可以采用由 Asokan等人提出的基于口令的认证协议(PBA)，它继承了加密密钥交换协议(Encrypted Key Exchange)的思想。在PBA中，所有的与会者都参与会话密钥的生成，从而保证了最终的密钥不是由极少数与会者产生的，攻击者的干扰无法阻止密钥的生成。同时，PBA还提供了一种完善的口令更新机制，与会者之间的安全通信可以基于动态改变的口令来建立。按照这种方式，即使攻击者知道了当前的口令，他也无法知道以前的和将来的口令，从而进一步减少了信息泄密的概率。
4.密钥管理
和任何其他分布式系统一样，正确的使用密钥管理系统对于Ad Hoc网络的安全性十分重要。需要一种与情景相关的高效的密钥管理系统。节点通过协商使用共享密钥或交换公钥来加密数据以防窃听。对于快速变化的Ad Hoc网络，密钥的交换可能需要按需进行而不能假设实现协商好的密钥。而对拓扑变化较慢的小型Ad Hoc网络，密钥可以进行协商或手工配置。如果采用公钥体系，整个保护机制依赖于私钥的安全性。由于节点的物理安全性较低，私钥必须秘密地存储在节点中，例如使用一个系统密钥加密。但是这并非一个动态的Ad Hoc网络希望的特征，因此需要正确的硬件保护(如智能卡)或者将密钥分布到多个节点。单独采用硬件保护也是不够的，集中式管理不可行，因此希望采用分布式密钥管理机制。
Ad Hoc网络中，数据的完整性和抗抵赖性一般也需要基于某种加密算法来实现。加密协议总体上可以分为两大类:私有密钥机制(如DES和IDEA)和公开密钥机制(如RSA)。但是面临的挑战是密钥的管理。如果采用私有密钥机制，则每个需要通信的节点之间都需要一个秘密密钥，所需管理的密钥数目为N(N-1)/2，其中N是节点数。对于规模较大的Ad Hoc网络而言，难以实施有效的密钥管理。因此通常采用公开密钥机制，但是由于没有中心节点和证书机构，密钥的管理仍很困难。一种解决密钥管理的方法是使用用户团体来代替证书权威机构，并在节点中分配证书目录。
5.访问控制
在Ad Hoc网络中同样存在控制对网络的访问以及控制访问网络提供的服务的需求。在网络层，路由协议必须保证不允许非授权节点加入网络，保证没有敌对节点加入和离开网络而不被检测到。在应用层，访问控制必须保证非授权用户不能访问服务。访问控制常与身份识别和认证相关联，确保合法用户有权访问服务。在一些系统中可能不需身份识别和认证，节点通过证书来访问服务。根据不同的网络结构和安全级别，访问控制的实现方式也不同。集中式的低安全级别网络，可以采用服务器控制的方式，用户ID加密码。
6. 信任问题
在对安全敏感的Ad Hoc网络应用环境中，由于节点容易受到攻击，被俘获的可能性也较大，因此必须要建立适当的信任机制。在Ad Hoc网络中，信任问题是中心问题，我们不能信任媒介，必须借助密钥。因此一个基本的问题是如何生成可信任的密钥而不依赖受信任的第三方。Ad Hoc网络是一个动态自组织临时网络，不能保证网络中各个节点持有被其他节点信任的公钥，并且它们也无法出示可以互相信任的证书，一种策略是允许节点之间委托信任，已经建立信任关系的节点能够向组中其他成员扩展这种信任。
7.网络操作和服务的安全性
中图分类号：TN918 文献标识码：A 文章编号：1671-7597（2014）12-0044-02
机载无线网络提供一种无线通信连接，此连接通过使用网际协议（IP）来提供泊机和地面IP网络基础设施之间的服务。这种无线通信连接（通常被称为Gatelink）为机场和机上网络提供了网络连接（如图1）。Gatelink使航空公司能够以一种安全的方式与飞机网络及其他设备进行通信。当飞机停泊以后可以自动建立起Gatelink连接，泊机通过无线链路上传下载数据。本文以机载无线网络安全为出发点，通过描述机载无线网络系统，对机载无线网络安全所面临的威胁进行了分析，研究机载无线网络的安全架构。
图1Gatelink连接
1机载无线网络系统
1.1 网络要素
图2机载无线网络系统架构
机载无线网络系统包括机场有线网络和Gatelink无线网络。图2阐述了针对机场到飞机的访问所需要的基本网络架构。终端无线局域网网络功能（TWLF）与路由功能、DHCP或一些网络安全功能结合在一起，称之为终端无线局域网单元（TWLU）。
地面网络包括了无线网络部件和形成机场无线局域网（WLAN）的路由器。此外，诸如DNS服务器、DHCP、AAA服务器等的设备也被包括在机场和（或）航空公司负责的地面网络中。机场和航空公司信息系统之间的网络基础构架同样在其中。
1.2 机场无线连接
当飞机处在机场AP范围之内时，TWLF客户端将根据为Gatelink功能设定的SSID来扫描可用的AP。如果有相同SSID存在且信号足够强，TWLF将自动与机场无线网络设备射频关联。如果没有扫描到，那么TWLF将不会关联。一旦射频关联完成，TWLF将会发起一个与机场AP基于已注册的TWLF AAA服务器设置的认证过程。服务器可放置在机场或航空公司。一旦认证过程完成，进行密钥交换，创建机场和飞机之间的无线网络会话。
2机载无线网络安全威胁
机载无线通信系统主要面临来自无线局域网技术及传统有线网络技术的安全威胁，要分析和设计一个通信系统的安全性，必须从攻防两个对立面入手。
2.1 被动攻击
被动攻击是指未经授权的实体简单地访问网络，但不修改其中内容的攻击方式，被动攻击一般是简单的窃听或流量分析。
2.2 主动攻击
主动攻击是指未经授权的实体接入网络，并修改信息、数据流或文件内容的一种攻击方式。可以利用完整性检验检测到这类攻击，但无法阻止这类攻击。
1）伪装攻击：攻击者可以通过伪装成合法的服务器或通信的一方来获取敏感数据。
2）篡改攻击：攻击者通过添加、删除、更改或重新组织来改变合法消息。
3）重放攻击：攻击者通过被动攻击检测传输的信息流，重传合法用户曾经过的信息。
4）拒绝服务：一方面，恶意用户可以通过AP接入网络后，向AP持续发送垃圾数据或利用协议漏洞造成接入设备工作变缓甚至因资源耗尽而崩溃，从而占用带宽影响正常通信数据流，最终导致拒绝服务。
5）另一方面，接入至外部网络后，接入设备的IP地址直接暴露在外部网络中，针对该IP的Dos/DDoS就会使接入设备不能正常工作，导致网络瘫痪。
针对机载无线通信系统存在的潜在危险，如何保证网络的安全成为无线网络应用于航空业首先要解决的问题。
2.3 无线技术是不可靠的
IEEE802.11b/g和IEEE802.11a是目前部署最广泛的无线技术。传统上，IEEE802.11安全保护包括使用开放式认证或共享密钥认证和使用静态的等效有线加密密钥（WEP）。这种结合提供了访问控制和加密的基本标准，但实际中是不可靠的。
1）认证。IEEE802.11支持三种认证方式：开放式认证，允许所有接入；共享密钥认证，明文的挑战文本以及被WEP密钥加密的相同挑战能够轻易的被破解；公钥认证：公共密钥认证使用一个与共享密钥类似的挑战系统，但是仅拥有挑战文本和WEP加密过的响应不足以解密出所使用的潜在的密钥。所以公钥（PKI）认证是首选的方法。
2）密钥管理。静态的WEP密钥由40或128位组成，这种密钥由AP的网络管理员和所有与AP通信的客户端静态定义。静态WEP密钥的设备丢失或者被盗，将会对网络带来极大的危险而且几乎无法被管理员察觉。在此之后网络管理员必须更改与被盗设备静态WEP密钥相同的所有设备上的WEP密钥。如果静态WEP密钥被类似于AirSnort的工具所破解，网管将无从得知密钥已被黑客危害。
3安全架构及关键技术
通过对机载无线通信系统安全威胁的分析并结合OSI模型，安全威胁主要源自于链路层MAC接入控制子层以上应用层之下的各层协议。针对这些威胁涉及到的协议，通过层次化的安全技术如接入控制验证技术、数据传输加密技术和防火墙技术等来解决，各安全技术在OSI模型中所处的位置见图3所示。以分层方式采取多种不同的安全策略来构建一个安全、保密的异构网络端到端数据传输通道。即应针对不同层次的安全需求采取相应措施来最大限度的保证机载无线网络通信的安全性。
图3安全技术与OSI模型对照关系
3.1 无线链路层安全技术
GateLink连接是实现机载网络与机场网络互通的桥梁，其开放性的特点是整个网路中安全性最薄弱的环节，机载网络端以TWLF作为无线通信的实体，机场网络端以AP作为无线接入设备，两者基于IEEE802.11协议实现无线连接。IEEE802.11i实现了增强的双向身份认证机制、层次密钥机制与密钥管理方法以及增强的加密算法等措施以增强无线网络的安全防护能力。
IEEE802.11i使用802.1X作为接入控制协议，IEEE802.1X是基于端口的身份认证与访问控制协议，是一种典型的C/S体系结构，整个系统分为客户端、认证者和认证服务器三个重要部分。IEEE802.1x在LAN设备的物理接入级对接入设备进行验证和控制，为点到点连接的LAN交换设备端口提供认证和授权服务。连接在该类端口上的用户设备如果能通过验证，就可以访问LAN内的资源；如果不能通过验证，端口接入将被阻塞，相当于物理上断开连接。
通过采用EAP-TLS提供动态会话密钥分发的双向认证机制。无线客户端和服务器需要标准的X.509证书并安装。对重放攻击免疫，在拓展为EAP-TLS后可以有效的防止拒绝服务式攻击。EAP-TLS认证在安全性方面有特有的优势，需要在客户机和认证服务器上使用证书，进行两次认证，尽管需要客户机、服务器之间繁琐的证书管理，但EAP-TLS实现方法比其他EAP更安全。本设计基于EAP-TLS的双向认证机制，保证TWLU和AP两端都是合法用户，避免重放攻击、DoS攻击。
3.2 网络层安全技术IPSec VPN
当在无线环境中部署IPSec时，IPSec客户端被置于机场网络出口的网关中，继而建立一个IPSec隧道发送所有相关的数据流到目标网络，并利用黑洞方法剔除到达VPN网关和DHCP/DNS服务器之外的任何目的地的数据包。这样IPSec VPN不但为IP数据包提供了机密性，并且具有认证和防止重放的功能。
IPSec协议工作在网络层，这使IPsec更加灵活，因为它可以用来保护基于TCP和UDP的应用层协议数据，但这增加了它的复杂度以及总的开销处理，因为它不能依靠TCP管理可靠度。当前IPSec多是被用于域（site）到域的安全可靠的连接协议，它并不用来保护特定应用或业务。因此可以使用SSL/TLS等传输层及其以上的（OSI模型的第4层至第7层）安全协议来完成针对特定应用安全的端到端数据传输通道。
3.3 端到端安全技术SSL VPN
SSL VPN是新兴的远程访问技术，通过Web浏览器或专用客户端提供与企业内部资源的安全连接。该技术位于OSI模型的传输层和应用层之间。SSL VPN可以根据不同的用户和安全属性授予用户不同的访问权限，这是SSL VPN与传统远程访问解决方案（如基于IPSec的远程访问VPN）的主要区别。这种方式优于传统的IPsec VPN方式的主要特点是不需要安装任何用户终端软件，用户终端只需要拥有一个支持SSL的浏览器即可。
本研究方案对IPSec VPN和SSL VPN两种安全技术都做了研究，根据航空应用场景和航空应用对安全性的要求，将两种VPN结合起来，充分发挥它们的优势，为飞机和航空公司之间的通信提供高信息安全保障。
4结论
机载网络与地面网络通过机场无线网络进行无缝连接的功能，改变了机载信息与地面网络信息相互交互的传输过程和方式，可以大幅度提升数据上传下载的效率，提升维护效率，降低维护成本，并及时预测故障的发生。本文参考ARINC822规范，基于OSI参考模型，提出一套解决航空无线网络应用安全性的方案，该方案在数据链路层采用EAP-TLS双向认证机制，用于解决机载无线设备与机场无线接入点之间的安全认证；在网络层使用IPSec VPN技术在机载网络、机场网络、公共网络及航空公司网络之间提供IPSec VPN通道，用于保证数据在不同网络中传输的安全性；在传输层与应用层之间采用SSL VPN技术，在机载应用与航空公司应用之间提供SSL VPN通道，用于保证不同安全等级的应用数据传输的安全性。通过以上策略确保机载设备与航空公司服务器之间端到端应用的安全性。
参考文献
[1]陈剑，李晓东.机载信息系统无线网络的安全设计[J].航空计算技术，2012，3（42）：130-134.
[2]AIRLINES ELECTRONIC ENGINEERING COMMITTEE.AIRCRAFT/GROUND IP COMMUNICATION[S].ARINC，2008.
[3]王曼珠，周亮.基于RADIUS／EAP的WLAN认证及其安全性分析[J].电子科技大学学报，2005，2（34）：168-171.
[4]曹利，黄海斌.基于802.11i的四次握手协议的攻击分析[j].计算机工程，2009，10（35）：145-146.
1、移动终端的安全通知问题。4G移动终端形式为了提高自身的多样化，加强了对多种系统的接入，通过4G移动终端的个性化服务，能够使得用户更好的接入到网络，能够具有视频通话和安全保障等方面的功能。但是为了保证上述功能的实现，需要保证4G移动终端的较高的宽带和速率的要求，并且需要物联网作用的充分发挥。并且随着用户数量的增多，需要保证用户和4G移动终端的紧密的联系，这就使得4G移动终端的存储计算能力得到相应的考验，经常会收到可执行的恶意程序，这些可执行的恶意程序对移动终端的抵抗力产生影响，出现了越来越多的安全隐患，不能充分的对无线网络的安全通信进行保证。
2、网络链路上的安全问题。基于4G通信技术的无线网络在应用的过程中需要发挥自身的全IP网络功能，需要保证各种通信系统的接入，但是因为4G系统和无线网络的发展过快，使得有限或者无线在链路上出现了安全问题。出现安全问题可能会使得链路上的数据被窃取、修改和删除等恶意操作，影响了网络的安全性。当前链路的容错率较低，经常会出现因为网络结构的不同而造成的数据的传输错误。通常情况下4G的无线终端会随机的出现在子网中，并且会不断的移动，网络链路也需要依靠网关或者路由器来保证网络的互通，但是随着用户数量的不断增多，会增加网络链路的负担，不能对网络连接的安全性进行充分的保证。
2、网络实体认证的安全问题。无论是在有线网络还是在无线网络中，都没有对网络实体认证给予相应的重视，这就会使得网络犯罪更加的容易，也会容易发生法律纠纷问题。当前4G网络实体认证因为收到了一些方面因素的影响而不能对4G无线网络的实体认证进行落实。出现这种情况的原因有很多方面，首先是因为互联网用户数量的剧增，使得网络实体认证的实施较为复杂，不能及时快速的完成所有的网络实体认证。我国当前无线网络在种类上较多，不能保证网络模式的固定，增加了网络实体认证的难度。
二、基于4G通信网络的无线网络安全通信措施
1、移动终端的防护。在4G移动终端的安全防护措施中，做好系统的硬件防护是防护措施之一。在系统的硬件防护保护措施中需要对4G网络操作系统进行加固，保证操作系统的可靠性，使得系统能够具有远程验证功能、地域隔离控制功能以及混合式访问控制功能等功能的支持。提高系统物理硬件的集成度也是很重要的，这样能够减少可能受到攻击的物理接口的数量。为了实现对物理攻击的防护，可以增加必要的电流检测电路和电压检测电路的防护。最后需要加强对存储保护、可信启动和完整性检验的保护。
