一、项目背景
无线局域网技术于90年代逐步成熟并投入商用，随着智能终端的普及，无线网络接入需求日益旺盛。有数据分析认为，银行营业网点部署无线上网系统，可分流20%客户通过手机网上银行办理业务，平均节省30%的等候时间。当客户在等候时，使用WIFI免费上网可分散注意力，从而减少客户抱怨，提升客户满意度。银行营业网点无线网络覆盖产品是指利用无线网络技术实现银行营业网点的全信息化覆盖，优化网点网络环境，使得等候区的储户能够方便高效地使用WIFI网络，提升储户服务体验。《互联网安全保护技术措施规定》（公安部令第82号）要求，提供互联网接入服务的单位使用内部网络地址与互联网网络地址转换方式为用户提供接入服务的，需要记录并留存用户使用的互联网网络地址和内部网络地址对应关系以及网络运行状态，监测、记录网络安全事件等安全审计功能，记录留存应当保存六十天。但通过调查发现，90%的用户不清楚网络的法律法规，67%的人都没听说过网络违规违法。个体通过组织网络发生的网络违规违法行为，若因为组织没有采取相关的防御措施，违法事件发生后不能通过技术手段查出当事人，那么只能由组织为此违规违法事件承担相应的责任。因此，如何利用技术手段保障公共区域无线网络使用的安全性是银行必须考虑的问题。
二、解决方案
（一）系统架构
省中心集中部署PortalServer服务器、认证服务器、短信网关各一台，部署一台用户上网行为管理软件，统实现用户的集中管理、集中认证。各营业网点AP通过广域网链路与AC/无线控制器连接。银行网点访客可通过选择网点内部提供的无线SSID登录页，用户在登录页面上输入自己的手机号并获取动态密码完成认证。通过配置无线控制器的Portal+Radius认证，与中心化部署DKEYWMS无线认证软件互操作，实现对银行多个网点的无线接入实现集中式认证，并能够根据不同网点实现统一或个性化的宣传页。通过设计多种认证方式及账号管理策略，最终实现企业对访客、员工、临时工安全接入无线网络，并能够对违规上网可追溯，加强无线网络安全，节约无线管理成本。
（二）安全保障
营业网点无线主要服务于储户，是规模的公众型网络，此时网络安全问题在建网时必须考虑问题，安全方式主要侧重几个方面：用户安全、网络安全，这样无线网络中着重考虑使用无线网络的空口信息的安全机制，同时也要考虑与无线相关的有线网络的安全问题。第一，MAC地址过滤。通过MAC地址的过滤，限制具有某种类型的MAC地址特征的终端才能进入网络中。第二，SSID管理。将网络进行一个逻辑化标识，对终端上发的报文都要求进行上带SSID，如果没有SSID标识则不能进入网络。第三，WEP加密。WEP加密是一种静态加密的机制，通信双方具有一个共同的密钥，终端发送的空口信息报文必须使用共同的密钥进行加密。第四，AES加密。AES安全机制是一种动态密钥管理机制，同时密钥生成也基于不对称密钥机制来实现的，同时密钥的管理也定期更新，具有体的时间由系统可以设定，一般情况都设定为5分钟左右，这样非法用户要想在5分钟之内进行获取足够数量的报文进行匹配出密钥出来，从无线空口的流量来看，基本上是不可能的。
（三）用户上网流程
第一，储户通过手机登录无线网络，手机终端通过DHCP获取IP地址和网关后，打开浏览器时，会强制弹出如下提示界面，提示用户输入手机号。第二，用户输入手机号并点击获取认证码后，日志审计设备随机生成一个验证码，通过短信猫将短信发到用户手机上，短信中会告之用户此次验证操作不产生任何费用。第三，用户输入手机上收到的验证码后即可正常上网，用户所有上网记录都归到收取验证码的手机号上。
（四）用户验证流程
第一，上网设备与AP进行无线连接。第二，打开浏览器输入任意网址，AC通过隧道控制AP将用户强制指向portal页面。第三，在portal页面填写手机号码，点击或许密码，portalserver将此请求发送至无线认证服务。第四，无线认证服务创建以手机号码为用户名的账户，并产生动态密码。第五，无线认证服务将该用户信息同时同步给AC和短信网关。第六，短信网关将生成的动态密码已短信的形式发送至该用户填写的手机号码。第七，用户手机收到密码后，在portal页面填写密码，点击登陆。如果用户填写的手机号码（用户名）与密码如果与认证服务器创建的用户名密码一致，则验证通过。
三、小结
通过银行营业网点的无线网络覆盖，有效改善了储户的服务体验，提升了银行的服务水平。同时可以通过Portal认真页面对银行业务进行主动推送，实现个性化营销需求，为储户体验提供优质、全方位、多层次的一揽子金融服务，带动银行自身业务的增长。对于运营商而言，利用银行网点生产网空余纤芯提供增值服务，有效提高了客户价值，形成了多方共赢的局面。目前无线网络覆盖已经在越来越多的银行网点进行了推广应用。
作者：贾卫平 朱艳 单位：陕西广电网络传媒股份有限公司
