单位无线网络可以避免涉密信息失控吗

去年某市一家军工研究所的单位行政人员用手机连上单位WiFi，随手把一份标着"内部"的无线网络会议纪要传到了微信文件传输助手。三天后，可避控国家安全部门找上门来。免涉密信调查发现，息失这份文件虽然没标"机密"，单位但内容涉及某型号装备的无线网络交付时间节点，属于敏感信息。可避控问题出在哪？免涉密信单位无线网络本身并不涉密，但它成了涉密信息流出的息失通道。

很多人以为，单位只要不连外网、无线网络不插U盘，可避控涉密信息就锁在保险柜里。免涉密信现实是息失，无线网络把物理隔离那堵墙凿出了裂缝。有线网络时代，涉密计算机不连网线，泄密风险主要来自人员主动拷贝。无线信号一开，情况变了——只要设备能搜到SSID，就有连接的可能。更麻烦的是，很多单位的WiFi密码常年不换，或者用"单位名称+123"这种弱口令，保洁阿姨的手机都能自动连上。

我见过一家设计院的无线网络配置。他们用企业级AP，做了MAC地址白名单，看起来挺规范。但白名单里混进了十几台离职员工的设备，还有三台是访客手机。管理员说"忘了删"。这种"忘了"在涉密单位就是定时炸弹。无线信号覆盖范围往往超出办公区域，楼下停车场、隔壁咖啡厅都能收到。攻击者不需要进大门，坐在车里用定向天线就能尝试接入。

无线网络还有一个隐蔽问题：它让"涉密"和"非涉密"的边界模糊了。有线时代，涉密机和非涉密机用不同颜色标签区分，物理隔离清清楚楚。无线网络里，同一台笔记本可能上午连内网WiFi处理公文，下午连手机热点传照片。中间没有切换开关，全靠人的自觉。人是最不可靠的环节。某次检查中，技术人员在办公区扫到23个WiFi热点，其中7个是员工私接的便携路由器。这些"影子网络"根本不经过单位安全设备，数据直接走4G回传。

那单位无线网络到底能不能用？能用，但得把它当"半开放区域"管。涉密信息不上无线，这是铁律。可现实里，很多单位把"不上无线"理解成"不用无线传文件"，却忽略了无线网络本身可以成为攻击跳板。攻击者接入WiFi后，可以扫描内网其他设备，可以ARP欺骗，可以伪造门户页面钓鱼。无线网络成了进入内网的"软通道"。

有个案例很典型。某研究所的无线网络用Portal认证，员工连上后弹网页输入工号和密码。攻击者搭了个假Portal，界面一模一样，连SSL证书都仿了。三天内钓到47组账号密码。这些账号能登录OA系统，OA里存着课题申报书和验收报告。无线网络没直接泄密，但它把钥匙递了出去。

要避免失控，得做几件不讨喜的事。关闭WiFi自动连接功能，这是最基本的。单位AP要定期清理白名单，离职人员设备当天移除。私接路由器发现一个拆一个，别讲情面。Portal认证必须用HTTPS，证书要内部CA签发，别图省事用自签证书。最关键的，涉密区域做无线信号屏蔽，用频谱仪测，别凭感觉。有些单位说"我们涉密区没WiFi"，一测发现隔壁会议室的AP信号穿墙过来了。

无线网络不是洪水猛兽，但它改变了涉密信息管理的逻辑。以前管住人、管住U盘就行，现在还得管住空中的电磁波。那些看不见的信号，比看得见的网线更难防。单位无线网络可以避免涉密信息失控吗？能，前提是你把它当成涉密通道来管，而不是当成员工福利来装。

很赞哦!（46）