我一直想試著在飛機(jī)上用一用互聯(lián)網(wǎng)，倒不是因?yàn)楣嫘枰?，而是就是想體驗(yàn)一下。不過，即便有幾回這樣的機(jī)會(huì)確實(shí)擺在面前，我也不相信這種系統(tǒng)會(huì)安全地處理我的信用卡資料。這只是一種直覺。

幾天前，我搭乘維珍美國航空公司配備Gogo服務(wù)的航班時(shí)，決定探究一下安全性?，F(xiàn)在回想起來，我之前的猶豫似乎有其道理。

我先從一款安卓設(shè)備上的WiFi Analyzer應(yīng)用程序開始入手，檢查可用網(wǎng)絡(luò)。兩個(gè)網(wǎng)絡(luò)被隱藏了起來，這給我的第一印象并不好，因?yàn)殡[藏網(wǎng)絡(luò)提供不了多少安全性。

其中一個(gè)隱藏的網(wǎng)絡(luò)使用WEP安全機(jī)制，我關(guān)閉了設(shè)備，以免接入該網(wǎng)絡(luò)。

安裝網(wǎng)絡(luò)的技術(shù)人員允許在飛機(jī)上使用像WEP這么不安全的技術(shù)，這表明了什么?沒什么好東西。這也許是個(gè)蜜罐?

另一個(gè)隱藏的網(wǎng)絡(luò)用WPA2 PSK保護(hù)起來。它有七個(gè)接入點(diǎn)，幾個(gè)使用2.4GHz波段，還有幾個(gè)使用5GHz波段。

據(jù)WiFi Analyzer顯示，所有網(wǎng)絡(luò)使用思科硬件作為接入點(diǎn)。也就是說，除了一個(gè)以外。還有一個(gè)由iPhone建立的網(wǎng)絡(luò)，這給我的感覺是很糟糕。準(zhǔn)是某個(gè)蘋果用戶不知道如何在飛機(jī)上關(guān)閉熱點(diǎn)功能。

至于乘客應(yīng)該可以使用的主網(wǎng)絡(luò)，它完全大門敞開著。也就是說，根本沒有什么WEP、WPA或WPA2加密技術(shù)。換句話說，它是最危險(xiǎn)的一種無線網(wǎng)絡(luò)，這種網(wǎng)絡(luò)讓壞人輕而易舉就能窺視你在網(wǎng)上的一舉一動(dòng)。

想應(yīng)對(duì)敞開網(wǎng)絡(luò)的危險(xiǎn)，標(biāo)準(zhǔn)的建議就是使用虛擬專用網(wǎng)(VPN)。換句話說，引入你自己的加密技術(shù)。我對(duì)許多航班乘客會(huì)這么做持懷疑態(tài)度。

關(guān)閉加密以獲得易用性實(shí)在太司空見慣了。那樣，最終用戶不僅沒必要輸入密碼，他們也沒必要了解密碼是什么。

但這是宣傳教育上的失敗。只要稍微花點(diǎn)力氣，就能大大加強(qiáng)無線網(wǎng)絡(luò)的安全。我在BSides安全大會(huì)上剛看到了這樣一個(gè)例子。

安全大會(huì)使用網(wǎng)絡(luò)名稱告知用戶密碼。

大會(huì)的公共無線網(wǎng)絡(luò)用WPA2-PSK-CCMP保護(hù)起來，網(wǎng)絡(luò)名稱(SSID)是BSidesPublicPassord:BSidesLV。誠然，這個(gè)名稱有點(diǎn)長，“密碼是123rabbit”之類的網(wǎng)絡(luò)名稱會(huì)一樣好。即便整個(gè)飛機(jī)都使用一個(gè)密碼(盡管遠(yuǎn)遠(yuǎn)稱不上理想)也是在安全方面向前邁出了一步。

我想，航空公司和Gogo渴望從無線服務(wù)中獲得利潤，害怕提高準(zhǔn)入門檻。密碼很麻煩。但是加強(qiáng)安全性會(huì)鼓勵(lì)更多的用戶使用無線網(wǎng)絡(luò)。我迫不及待地想看到哪架航空公司率先宣傳其無線網(wǎng)絡(luò)的安全性多高，而不是宣傳網(wǎng)速多快。

主網(wǎng)絡(luò)的名稱是“gogoinfight”。有兩個(gè)接入點(diǎn)使用2.4GHz，兩個(gè)接入點(diǎn)使用5GHz波段。在2.4GHz波段上，它使用信道1和信道11，這很好。

我從安卓4.4設(shè)備一連上去，系統(tǒng)就提醒：我需要登入到網(wǎng)絡(luò)。這是安卓系統(tǒng)以自己的方式表明網(wǎng)絡(luò)使用強(qiáng)制網(wǎng)絡(luò)門戶(captive portal)，你要做的頭一件事情就是運(yùn)行Web瀏覽器。實(shí)際上不需要登入到任何系統(tǒng)。與許多公共的強(qiáng)制網(wǎng)絡(luò)門戶一樣，新用戶完全要同意服務(wù)條款。

一旦進(jìn)入，我看了一下費(fèi)用。在飛機(jī)上，最便宜的一種服務(wù)是30分鐘互聯(lián)網(wǎng)接入。我之前在地面上查看時(shí)，最便宜的一種服務(wù)是1小時(shí)互聯(lián)網(wǎng)接入。

我開始購買服務(wù)，以檢查安全性。

我注意到的頭一件事就是，Gogo網(wǎng)站并不使用擴(kuò)展驗(yàn)證(EV)證書。這么做是毫無理由可言的。

EV證書向最終用戶表明了他們打交道的這家公司的名稱。相比之下，成本較低的域名驗(yàn)證(DV)證書只提供了加密功能，根本不提供驗(yàn)證功能。

為了表明這種區(qū)別，不妨想一想Gogo公司本身。很少有人知道其網(wǎng)站名稱。是gogo.com、gogo.net、gogoinflight.com、 gogointernet.com還是gogointheair.com?欺詐域名(比如gogoinflite.net)的所有者可以獲得DV證書。然而，只有貨真價(jià)實(shí)的Gogo公司才能獲得EV證書，因?yàn)閿U(kuò)展驗(yàn)證證實(shí)了這家公司確實(shí)就是它聲稱的那家公司。如果使用成本較低的DV證書，沒人能證實(shí)gogoinflite.net的所有者與Gogo有任何關(guān)系。

在網(wǎng)上銷售產(chǎn)品/服務(wù)的任何公司都應(yīng)該有EV證書。這筆經(jīng)營成本是少不了的。

Gogo尤其需要EV證書，因?yàn)樗褂貌粌H僅一個(gè)域名。在空中，它使用gogoinflight.com。在地面上，它又使用gogoair.com。

Gogo網(wǎng)站上缺少的另一項(xiàng)安全功能是完美向前保密(Perfect Forward Secrecy)。就一句話，要是沒有完美向前保密，可以說在線安全就是騙人的。

最后，我尋找另一項(xiàng)無線安全功能：隔離。

你通?？梢钥吹铰酚善鹘⒌脑L客網(wǎng)絡(luò)上提供的隔離功能。訪客網(wǎng)絡(luò)與飛機(jī)上的無線網(wǎng)絡(luò)有一個(gè)相似的目標(biāo)：它們希望用戶能夠訪問互聯(lián)網(wǎng)，但別的其他網(wǎng)絡(luò)訪問不了。也就是說，它們想把訪客網(wǎng)絡(luò)用戶與可能在網(wǎng)絡(luò)上的任何設(shè)備與其他任何人隔離開來。

TP-LINK Archer C8路由器建立的訪客網(wǎng)絡(luò)適用的配置選項(xiàng)就是這方面的一個(gè)典例，如下所示。

第一個(gè)選項(xiàng)確定了訪客用戶能否看到對(duì)方，第二個(gè)選項(xiàng)控制了他們能否看到本地網(wǎng)絡(luò)上的其他設(shè)備(比如網(wǎng)絡(luò)打印機(jī))。這很簡單，而且解釋清楚。

想測(cè)試運(yùn)行“gogoinfight”網(wǎng)絡(luò)的思科設(shè)備是否也在阻止客戶機(jī)看到對(duì)方，我在安卓設(shè)備上運(yùn)行了Fing LAN掃描工具(http://www.overlooksoft.com)。

Fing結(jié)果發(fā)現(xiàn)了另外22個(gè)無線網(wǎng)絡(luò)用戶。在30000英尺高空下，便宜的消費(fèi)級(jí)路由器Archer C8提供了比昂貴的思科設(shè)備還要好的隔離安全效果。

另一款安卓局域網(wǎng)掃描工具PingTools(https://play.google.com/store/apps/details?id=ua.com.streamsoft.pingtools&hl=en)擁有Bonjour瀏覽器。我對(duì)Bonjour不太熟悉，只知道它用在iOS和OS X上，用于發(fā)現(xiàn)網(wǎng)絡(luò)上的設(shè)備和服務(wù)。當(dāng)然了，Bonjour瀏覽器發(fā)現(xiàn)了網(wǎng)絡(luò)上的一個(gè)蘋果用戶。

很顯然，用戶彼此沒有隔離開來，這讓他們暴露在中間人攻擊面前。

使用ARP中毒(也就是ARP欺騙)，網(wǎng)絡(luò)上的壞人就能佯稱是思科接入點(diǎn)。受害者通常不知道發(fā)生了什么壞事，因?yàn)閴娜死^續(xù)提供在互聯(lián)網(wǎng)接入服務(wù)，但是流量都經(jīng)過他之手。也就是說，網(wǎng)絡(luò)上的壞人能看到從中招的無線設(shè)備進(jìn)進(jìn)出出的所有信息。更糟糕的是，壞人能夠在飛行中篡改數(shù)據(jù)。連通常很安全的HTTPS/SSL/TLS流量也會(huì)淪為中間人攻擊的受害者。

順便說一下，ARP中毒并不是無線網(wǎng)絡(luò)上才有的，它可以追溯到所有網(wǎng)絡(luò)都使用有線以太網(wǎng)的時(shí)期。

很顯然，Gogo在搭建互聯(lián)網(wǎng)接入服務(wù)時(shí)，安全并沒有引起它的注意。要做的防御性工作就是把飛機(jī)當(dāng)成是無線禁區(qū)。

英文：A look at the security of Wi-Fi on a plane