13、WLAN安全：AAA认证、授权与计费详解

WLAN安全：AAA认证、授权与计费详解

1. 认证（Authentication）

在技术层面上，为了证明想要访问宝贵WLAN及潜在所有安全数据的人员身份，我们可以利用多种方式。答案会因对网络访问及存储数据的关注程度而异。在为企业提供如何进行最佳认证的咨询时，理解这一概念从设计角度至关重要。

1.1 常见认证凭证

如今企业WLAN中常用的认证凭证如下：
- 用户名和密码
- 数字证书
- 动态/一次性密码（如RSA SecurID）
- 智能卡或存储在USB设备上的凭证
- 机器认证（基于嵌入式机器身份）
- 预共享密钥（PSK）

1.2 不同场景下的认证需求

处理每秒数十亿资金的银行系统与销售汽车轮胎的小公司，其安全关注点截然不同。虽然两者都认为自己的数据是安全的，但部署和运营更强的认证类型（如双因素和三因素认证）会带来额外的成本和/或复杂性。

双因素认证的示例就像在银行ATM使用借记卡（第一因素 = 你拥有的东西）并输入PIN码（第二因素 = 你知道的东西）。在WLAN安全中，使用属于Microsoft Active Directory（AD）的计算机，然后使用Windows AD用户账户从该计算机登录，就是双因素认证的具体例子。其目的是确保只有来自有效且当前的AD计算机和AD用户账户才能访问WLAN。例如，如果你从家里带来一台AD未知的笔记本电脑，即使你有有效的AD用户凭证，执行授权的实体也不会让你接入网络，因为你不是从有效的“企业资产”访问网络。

1.3 成本与安全的平衡

一家需要条形码系统（仅以电子