WLAN的安全问题日趋复杂，已成为制约其发展的重要因素。大多数安全问题源于设备本身的漏洞、网络协议的缺陷以及用户管理不善等方面。WLAN接入设备的安全性得到越来越多的关注，不论是网络运营者还是设备厂商都迫切希望对WLAN接入设备进行较为全面的安全等级分析，以评估设备的安全性能。

通用准则(common criteria，CC)是当前国际上广泛使用的信息技术产品安全评估标准，通过一系列安全功能要求评估产品的安全能力，广泛用于信息系统、智能卡、网络设备、安全防护系统等多种信息技术产品的安全评估，我国已引用发布为GB/T 18336系列标准。通用漏洞评分系统(common vulnerability scoring system，CVSS)将漏洞分为4个等级，依据漏洞的主要特征指标生成反映其严重程度的分值，以衡量漏洞处理的优先级。基于CVSS的漏洞评分使用权威的指标和量化结果，极大地避免了主观经验的影响，且评分过程简单，受到广泛认可。

本文在研究现有安全评估方法的基础上，融合安全功能评估和漏洞评估，提出了一种结合半定量和定量分析方法的无线局域网接入设备安全等级评估框架，并以此为依据设计实现了WLAN接入设备安全性能评估系统。

1 相关工作

国内外对WLAN安全的研究主要集中在以下3类：网络安全检测防护、攻击效能评估以及安全风险评估。检测防护技术一般从伪AP识别^[1-2]、网络安全检测^[3-4]和常见攻击行为分析^[5-6]入手，往往针对性较强，适用范围有限。攻击效能评估^[7-9]以常见攻击为手段，对WLAN遭受攻击后的表现进行衡量，从而为安全防御提供依据，然而评估结果只针对特定目标网络。安全风险评估^[10]通常会设计一个评估模型，基于网络中的漏洞和威胁量化WLAN所面临的安全风险，便于用户选择性地修复和防御。通常会采用模糊测试和黑盒测试对WLAN设备驱动的漏洞进行挖掘^[11-13]，这类研究的对象都是客户端设备。上述研究均以网络系统作为评估对象，受应用环境、拓扑结构以及资产价值等因素影响，相同的安全问题在不同的网络系统环境下研究结论存在不一致的情况，因此并不适用于接入设备的安全性能评估。当前对接入设备的安全研究相对较少，大多是分析安全威胁后提出安全性优化的对策，设计使用更安全的网络架构^[14-16]。概括地讲，针对WLAN接入设备目前还没有完备的安全评估方法。

2 WLAN接入设备安全等级评估框架 2.1 评估框架概述

本文提出了一种结合安全功能评估和漏洞等级评估的框架。该框架先对评估对象分别进行安全功能评估和漏洞评估，得到安全功能等级和漏洞等级，再利用二者进行综合评级，最终得到设备的安全等级。评估系统包含4个模块：功能评估模块、漏洞评估模块、系统评级模块和结果处理模块，整体框架如图 1所示。

功能评估模块由用户对评估对象的安全功能进行评价；漏洞评估模块包括模糊测试和漏洞扫描，评估结果对功能评估得到的安全等级进行修正；系统评级模块对功能评估模块和漏洞评估模块的结果进行评价，给出评估对象最终的安全等级；为了将评估结果更加清晰地展示给用户，系统包含了一个评估结果处理模块。

2.2 基于满足度的安全功能评估

依据CC将接入设备划分为4个安全等级，并使用安全保障能力和推荐场景描述2个要素描述了各个等级的划分标准，如表 1所示。

表 1的重要作用是为设备选定一个评估等级。安全保障能力用于决定评估对象的安全等级，所包含的要素描述了设备安全功能的强度，依据“木桶原理”，此要素级别由等级最低的指标决定。推荐场景重点描述不同等级设备对应的适用场景，主要作用是提供参考应用场景。在评估框架中，场景指标还有一个非常重要的作用，即为漏洞评分提供准确的环境指标赋值。

每一条安全功能要求可以拆分为基本功能模块和安全操作，为了能更加灵活细致地评估接入设备的安全保障能力，定义了以下3种满足度：

1) 满足。对于某一安全功能要求，评估对象可以完全满足对应评估等级的要求，记为2。

2) 不满足但可控。对于某一安全功能要求，评估对象虽然不满足评估等级的要求，但配有对应的功能组件，用户可以通过采取有意识的安全配置，实现完整的安全功能要求，或将此功能对应的安全事件的可能性降低到可接受的水平，记为1。

3) 不满足。对于某一安全功能要求，评估对象不仅未达到评估等级的要求，甚至没有安全要求中涉及的功能模块，记为0。

本文设计了一种半定量方法计算安全功能评估的分值，具体流程如下。

1) 功能评估完成后，会得到一组关于安全功能要求的定性评估结果，将其记为E_user，

$ \boldsymbol{E}_{\text {user }}=\left(f_{1}, f_{2}, \cdots, f_{n}\right) $

(1)

其中，n是安全功能要求的数量，f_n表示第n个要求的满足度。

2) 计算每个安全功能要求的归一化权重w_i。评估框架不需要计算精确风险值，因此权重只和安全功能对应的漏洞有关。用L_i表示某个安全功能，则其可能的值共有4个，归一化权重表示某个安全功能要求在所有安全功能要求中的重要性，公式如下：

$ w_{i}=\frac{5-L_{i}}{\sum\limits_{i=1}^{n}\left(5-L_{i}\right)} $

(2)

用5减去L_i的作用是增大高安全等级中新增安全功能的比重。

3) 功能评估的总分用S_f表示，

$ S_{f}=\sum\limits_{i=1}^{n} f_{i} \times w_{i} $

(3)

4) 判断安全功能评估的安全等级，用L_func表示安全功能等级，L_E表示评估等级。S_f表示设备当前安全功能的可控程度，大于等于1说明评估对象安全功能总体达到评估等级要求，否则为未达到当前等级：

$ L_{\text {func }}=\left\{\begin{array}{ll} L_{\mathrm{E}}, & S_{\mathrm{f}} \geqslant 1 \\ 0, & S_{\mathrm{f}}<1 \end{array}\right. $

(4)

经过上述流程得到的L_func即为通过安全功能评估所得到的评估对象安全等级。

2.3 基于模糊测试的漏洞挖掘

1) 模糊测试的总体思路。

基于模糊测试的WLAN接入设备漏洞挖掘框架如图 2所示，包括测试子模块和漏洞分析子模块。

测试子模块负责对评估对象的测试和状态监视。通过手动配置控制测试用例的范围、注入速度等，发送测试用例给评估对象；基于监视器的反馈控制测试流程，监视器采用多种方式监视评估对象状态，包括主动发送监视命令和被动接收目标响应及广播数据，一旦发现评估对象状态异常则进行记录和分析。

漏洞分析子模块记录评估对象状态的异常及对应的测试用例，以进一步验证和分析漏洞。漏洞验证的过程是半自动化的，重发测试用例触发异常以验证异常与用例的对应关系。漏洞分析需要人工完成，包括漏洞类型、危害程度、触发条件等。

本文对管理帧中由STA发往AP的Probe request、Authentication、Association request、Deauthentication和Disassociation等帧建模后生成模糊测试用例。

2) 基于生成与变异相结合的测试用例生成。

在对802.11协议帧建模的基础上，模糊测试器构造测试用例帧，在帧的不同位置进行变化，达到全面性的模糊测试。能否构造高质量且高效的测试用例很大程度上决定了模糊测试的有效性。高质量测试用例的特征是能够准确发现目标存在的漏洞，高效测试用例是指要包含尽量少的无效用例，以提高测试的效率。

生成测试用例的策略有2种：基于变异和基于生成。基于变异的方式是在一个有效的合法数据包的基础上，进行数值变异以生成用例，构造速度很快，但是测试效果很不理想，最大的问题是很难通过分析找到引起异常的具体原因；基于生成的方式是在充分熟悉数据包的格式、规范基础上，针对某些关键位置构造测试用例，这种方法可以提高测试的覆盖率和效率，缺陷就是会耗费较多的时间和精力。

上述2种策略中，基于变异的策略类似于数据包的重放，只是在重放前进行了变异，这种方法在不清楚协议格式以及不需要校验的情况下可行，然而802.11要求对每个数据包进行校验，变异生成的测试用例大多无法通过校验而被丢弃。基于生成的策略则不会遇到此类问题，加之可以执行更具侧重点的测试，对分析漏洞非常有利。

本文结合基于生成和变异策略的优势，依据对802.11帧的分析构造多个模糊测试用例生成模板，利用启发式和随机变异的方式构造测试用例，对不同子类型的帧执行模糊测试。

使用穷举方法产生测试用例会耗费巨大的计算资源，测试非常低效。选择代表性的、存在潜在威胁的字符串和数据进行测试，称为启发式的模糊测试^[17]，在分析协议格式的基础上，对每种帧生成一个描述格式的生成模板，只对待测字段进行启发式模糊测试。本文构建启发式测试用例库的步骤如下：

1) 为每个待测字段构建启发式试探值列表。值为字符串时，可以用长字符串和包含符号的字符串代替正常值；数字值则可以取一些特殊的位置，如最大、最小值及它们的两侧，同时将每个字段的正常值也加入列表。

2) 生成一个启发式测试用例。从每个字段的试探值列表中取值，将生成模板的对应字段替换后构成一个测试用例，如图 3所示。由于列表中包含正常值，测试用例可以覆盖从一维到多维测试的全部组合。

3) 生成启发式测试用例库。生成模板确定后，只要试探值列表不再更改，启发式测试用例的数量就确定了，可以将所有用例保存以便快速复用，节约资源，直到修改生成模板或试探值列表。

为了获得全部的测试用例，可以将图 3转化为一个有向无环图，并基于改进的深度优先搜索(depth first search, DFS)查找有向无环图(directed acyclic graph, DAG)中的所有路径，不需要维护已访问点的列表，只需要对顶点所指向的所有相邻顶点进行简单的循环，就可以逐条生成路径并保存。

2.4 基于公开漏洞库的漏洞扫描

本文在进行漏洞评估时均采用CVSS评分系统，公开漏洞库则使用与之匹配的通用漏洞披露(common vnlnerabilities and exposures, CVE)。为最大程度地保持自动化，漏洞扫描的检测遵循如下流程：

1) 自动化搜索是否存在漏洞；

2) 若存在，直接假设仍可利用，使用CVSS基础分值进行下一步评估；

3) 进行漏洞等级评估，并评定评估对象安全等级；

4) 若需要人工验证，首先验证是否仍存在漏洞，如存在且可利用，重新执行步骤3)。

2.5 基于AHP和概率模型的漏洞评估

首先利用层次分析法(analytic hierarchy process, AHP)为模糊测试和漏洞扫描分配权重，之后使用概率模型将所有检测发现的漏洞量化，加权平均后可得到相应的漏洞评估等级。

2.5.1 基于AHP的漏洞权重分配

本文采用AHP完成对模糊测试和漏洞扫描的权重赋值，依据CVSS指标体系，漏洞评估可以从可利用性、影响性、时间指标和安全需求等4个准则进行评分比较。使用AHP从上述4个准则对模糊测试和漏洞扫描进行对比，建立如图 4所示的层次体系，最终综合判断二者的权重。

2.5.2 基于概率模型的漏洞量化

对存在多个漏洞的系统，本文改进了基于概率模型的量化方法^[18]进行漏洞的综合评估。

1) 单个漏洞的概率化。

首先将漏洞的CVSS分值概率化：

$ P_{i}=\left\{\begin{array}{ll} \frac{2^{S_{P_{i}}}}{1\;024}, & S_{P_{i}} \leqslant 9 \\ 0.8, & S_{P_{i}}=10 \end{array}\right. $

(5)

其中，P_i表示第i个漏洞的概率值，S_pi等于CVSS分值的向下取整：

$ S_{p_{i}}={\rm Rounddown} \left(\text { Score }_{\text {cuss }}\right) $

(6)

此处Score_cvss是单个漏洞的CVSS分值。

漏洞的CVSS得分为10分时，P_i最大值不为1，可以避免将最终受破坏的概率量化为1，同时基于经验将其取为0.8，可以确保在以分值评估漏洞时，2个9分的漏洞量化值低于1个10分漏洞，3个9分的漏洞量化值高于1个10分漏洞。

2) 多个漏洞的量化。

评估对象存在n个漏洞时，计算公式如下：

$ S=\left[1-\prod\limits_{i=1}^{n}\left(1-P_{i}\right)\right] \times 100 $

(7)

3) 安全级别划分。

对多个漏洞的量化结果最终会是一个0~100的数字，采用非等间距量化方法，将量化值与CVSS分值相对应，如表 2所示。

利用表 2就可以将漏洞量化值对应为CVSS的评分等级。使用此方法量化漏洞时，若出现一个高级别漏洞，会直接将总量化值提高到相应等级，多个低级别漏洞经量化后其值也会相应地提升。

2.5.3 漏洞评估等级确定

分别计算模糊测试与漏洞扫描的量化值，得到S_hidden和S_public，配合二者的权向量，就可以计算总的漏洞量化值S_vul，

$ S_{\mathrm{vul}}=w_{\text {hidden }} S_{\text {hidden }}+w_{\text {public }} S_{\text {public }} $

(8)

在实际使用时，若未发现模糊测试，则w_hidden为0，w_public为1；反之，则w_hidden为1，w_public为0。将S_vul与表 2对照后，即可得到漏洞评估等级L_vul。

2.6 综合评级

L_func概括了评估对象的安全保障能力，L_vul则代表了漏洞被利用后导致安全性受到破坏的可能性。利用二者进行接入设备综合评级的思路就是比较L_func与L_vul，确保评估对象的漏洞等级不超过安全功能的控制能力，具体的判断逻辑如图 5所示，比较结果有2种情况：

1) 如果L_func≥L_vul，说明当前安全功能所提供的安全性足够应付漏洞被利用的可能性及可能产生的危害，则评估对象的安全等级与L_func相同。

2) 当L_func < L_vul时，漏洞的严重程度已经对安全等级产生较大影响，必须依靠人工分析判断安全等级。

3 系统实现与实验 3.1 评估系统实现

本文基于设计实现了评估系统原型，主要包括初始化模块、评估模块和综合评级模块，整体流程如图 6所示。

初始化模块负责评估准备工作，包括用户角色选择、评估流程控制、评估等级确定等环节；评估模块是系统核心，安全功能评估、模糊测试、漏洞扫描是相对独立的3个功能；综合评级模块接收评估模块的评估结论并进行处理，主要是记录日志和确定评估对象的安全等级。

1) 评估初始化。

作为评估的前提，用户必须选取角色及评估等级，此环节如图 7所示。

不同角色在评估流程上有所区别，主要体现在漏洞评估中，具体如图 8所示。流程控制功能的作用就是根据用户角色使用相应的评估流程。

2) 安全功能评估。

基于满足度的安全功能评估如图 9所示。其基本原理是：满足要求的功能可以提供符合当前等级需求的安全性，当安全功能存在缺陷时，可能会暴露出一定的漏洞，这些漏洞被利用后会对安全性造成影响。

3) 漏洞评估。

使用Python的Scapy库编写了针对WLAN接入设备的模糊测试器，生成5 268条可复用的启发式测试用例。同时基于cve-search工具^[19]执行漏洞扫描并对CVSS评分进行自动化处理，图 10展示了对特定设备的搜索结果。利用AHP分配模糊测试与漏洞扫描权重可得模糊测试权重为0.395，漏洞扫描权重为0.605。

3.2 实验环境搭建

评估系统的模块均是在Kali Linux环境下设计与实现的，代码使用Python编写。搭建评估环境时在宿主机Windows 10中安装了Kali虚拟机，无线网卡及以太网线缆均连接在虚拟机。为了避免受到网络环境变化的影响，整个系统均未连接互联网，且处于没有其他WLAN接入设备的环境中。

模糊测试模块由硬件和软件部分构成。硬件上需要能够实现802.11帧注入和监听功能的无线网卡，经过比较Kali支持的多个芯片组后，选用了基于Atheros AR9271芯片的TP-LINK TL-WN722N V1.0外接无线网卡，该网卡在Kali中可以免驱使用，且长时间使用时信号较为稳定。软件部分基于Scapy库开发了模糊测试模块，包括测试用例构造、测试用例发送、状态监视、数据包重放等功能。

目前市场上WLAN接入设备的产品类别划分大多是笼统地分为家用和企业，与本文有所区别。为了验证评估系统的适用范围，本文准备了多台市场定位为家用的设备作为评估对象，表 3列出了这些设备的信息。为了方便引用，在分析评估结果时将使用编号指代对应的评估对象，例如“1号对象”指代TP-LINK TL-WR841N设备。

3.3 实验结果

1) 对安全功能要求的验证。

图 11是评估等级分别设置为二级和三级时所有评估对象的安全功能评估结果，4号和7号评估对象的安全功能满足三级安全要求。各评估对象在二级和三级的评估分值没有规律，这是由于缺乏权威的安全标准，不同设备中实现的安全功能区别较大。如二级评估分值最高的1号和5号评估对象未达到三级的要求，而4号评估对象的二级分值并不是最高，当评估等级为三级时，它满足了多个相对于二级的增强型安全功能，因此其三级评估分值最高。

2) 模糊测试结果对比。

本文基于Scapy构造的模糊测试模块可由用户编写模糊值列表，更能体现对帧格式的研究成果，同时解决了测试用例灵活性和覆盖率的问题。但是由于WLAN的特殊性，所有工具的状态监视方法都只能依赖于评估对象发出的数据包。测试用例共45 268个，其中5 268个是启发式用例，其余为随机变异产生。表 4列出了各评估对象的模糊测试结果，对所有自动保存的测试用例进行重放，只有8号对象依旧会出现Beacon帧超时现象，可以进一步分析此异常状态。

3) 不同评估对象漏洞扫描评估。

按照各评估对象的硬件和软件版本，本文使用cve-search搜索漏洞，表 5列出了评估情况。初始量化值反映了评估对象所有漏洞扫描的量化结果。剩余漏洞指未发现修复方案，也未找到利用方法，无法验证其当前可利用性的漏洞。最终量化值是剩余漏洞考虑了CVSS时间和环境分值后的量化结果。

除1号评估对象，其他设备均未扫描到漏洞，量化值为0。1号对象可查询到4个漏洞，CVSS分值分别为7.8、4.3、4.3和7.5，量化后得到的漏洞评估等级为3级。经过人工分析，有1个漏洞仍存在，具体信息如表 6所示。该评估对象其他的硬件版本不受此漏洞影响，且在该目标之后的固件版本中已修复。

4) 评估结果分析。

以上3个核心评估流程结束后，判断各评估对象安全等级，评估结论如表 7所示，结果表明利用本文评估系统得到的各评估对象安全等级与其当前市场定位均是一致的，具备一定的可靠性。

评估系统的安全功能评估、漏洞扫描、模糊测试可分为独立的3个模块，各模块的实现使用松耦合的架构，不同模块间通过接口传输指令或数据，对任一模块内的功能进行更新均不会影响到其他模块。通过分析可知评估系统具有较为完备的可拓展性。

4 总结

本文提出了WLAN接入设备安全等级评估框架，并基于此框架实现了评估系统，将安全功能评估与漏洞评估相结合。同时提出了基于满足度的安全功能评估方法，将安全功能细化为基本功能及安全操作的评估。漏洞评估采用模糊测试和基于漏洞扫描库的方法，利用AHP和概率模型量化漏洞后获得对应的漏洞评估等级。利用评估系统进行评估实验，通过对多台不同品牌产品的评估验证了该系统的实用性。