Windows XP 無線網絡安全深度配置指南

一、 無線網絡面臨的四大風險

• 服務盜用（蹭網）
• 數據竊取（嗅探明文傳輸）
• 數據破壞/篡改
• 干擾正常服務（DoS）

二、 XP「無線零配置」帶來的隱患與初級防護

XP 自動掃描、自動連接最近 AP、自動使用廠商默認 SSID（半 MAC 地址），極易被駭客識別並接入。

三大初級對策（必要但不充分）：

1. 關閉 SSID 廣播： AP 設置啟用「不廣播 SSID」，客戶端需手動輸入精確 SSID 才能連接。
2. 修改默認 SSID： 使用無規律、無敏感信息的名稱，防猜測。
3. 啟用 MAC 地址過濾： AP 僅允許白名單 MAC 連接，提高門檻。

局限： 駭客仍可用工具（NetStumbler、Kismet）抓包分析獲取真實 SSID 與合法 MAC，繞過上述防護。

三、 核心加密：WEP 配置與局限

WEP 提供數據機密性、完整性、源認證，但密鑰易被破解。微軟補丁 KB826942 緩解但無法根治。

XP 下啟用 WEP 步驟：

1. 網絡連接 → 無線網卡屬性 → 「無線網絡配置」頁籤。
2. 「首選網絡」中選中/添加條目 → 屬性。
3. 修改「網絡名 (SSID)」；勾選「數據加密 (WEP)」；勾選「網絡驗證」。
4. 按 AP 設置選擇「密鑰格式」(ASCII/Hex) 與「密鑰長度」(40/104 位)；輸入正確「網絡密鑰」；取消勾選「自動提供密鑰」。
5. 保存關閉。

四、 進階防護體系構建

1. 部署認證服務器 (RADIUS/802.1X)： 所有連接請求經認證服務器驗證，大幅提升安全性。
2. 定期更換 WEP 密鑰： 建議每月輪換，降低密鑰破解風險。
3. 有線/無線網絡物理隔離或防火牆隔離： 避免無線端滲透波及有線核心網。
4. 引入 VPN 閘道： AP 後串接 VPN Server，駭客即便關聯 AP 也無法進入內網，形成「死蟹」狀態。
5. 定期維護審計：
   • 掃描工具：NetStumbler、Kismet。
   • 日誌審計重點：賬戶登錄事件、異常關聯嘗試。

五、 Ed Bott 無線安全檢查清單（部署驗收標準）

1. AP 設置強密碼。
2. 禁用 AP 遠程管理。
3. AP 固件升級至最新。
4. 修改默認 SSID。
5. 啟用 MAC 過濾。
6. 啟用 WEP 並設置強密鑰。