为什么我们有多种无线安全类型？如今，WiFi网络要么在没有保护的情况下开放，要么受到四种安全类型之一的保护：WEP、WPA、WPA2或WPA3。这些安全类型代表了在实施改进的WiFi安全性以响应已识别的漏洞和漏洞的演变。

WEP（有线等效协议）于 1997 年在最初的 IEEE 802.11 规范中定义。几年后，大约在 2001 年发现了第一个漏洞。这些漏洞非常严重，以至于许多组织停止部署WiFi网络。为了解决 WEP 的弱点，RSN（强大的安全网络）被添加到 802.11 规范中。

RSN最初包括两个机密性和完整性协议：TKIP，可以作为现有WiFi产品的固件升级来实现，以及CCMP，需要新的硬件，需要一到两年的时间才能广泛使用。TKIP有一些已知的弱点，不如CCMP安全，但具有上市时间优势。

2003年，WiFi联盟发布了WPA（WiFi保护访问）规范，支持TKIP的部署。一年后，他们发布了支持CCMP的WPA2。

自 20 年前定义 WPA2 以来，802.11 规范中添加了一些与安全相关的增强功能。WPA3 是最新的 WiFi 联盟规范，鼓励部署这些较新的安全功能。

WEP、WPA、WPA2 和 WPA3 之间的技术区别是什么？WEP、WPA、WPA2 和 WPA3 之间的技术差异涉及三种基本安全机制：

加密，用于保护通过WiFi网络传输的消息的机密性。

消息完整性，确保通过无线方式发送的消息未被篡改。

身份验证，用于确定用户是否有权访问 WiFi 网络。

有哪些不同的WiFi加密选项？最初的 802.11 规范包括加密、消息完整性和身份验证。这些机制统称为WEP（有线等效隐私）。WEP 支持 128 位的密钥长度，并使用 RSA 加密算法。WEP 使用 24 位初始化向量作为输入来生成 WEP 加密密钥。

不幸的是，黑客可能会在通过无线方式收集大约 300,000 个加密数据包后暴露 WEP 加密密钥。WEP 使用相同的密钥进行加密和身份验证。一旦黑客破解了加密密钥，他们不仅可以解密无线流量，还可以访问网络。目前，WEP 已被弃用。但是，您仍然会发现一些遗留的 WEP 部署，尤其是在学术界和医院中。如果禁止组织更换其支持 WEP 的设备，则必须对流量进行分段，并且无法到达主企业网络。为了解决 WEP 的问题，IEEE 802.11 工作组将 RSN（稳健安全网络）定义为 WEP 的替代方案。WiFi 联盟制定了 WPA 认证规范，以测试和鼓励实施 RSN 功能的子集。

水 渍 险。解决 WEP 问题的一套临时措施，例如，将初始化向量扩展到 48 位。但是，WPA 支持 RSA 加密算法。由于 WPA 是一种短期解决方案，因此您不会期望在当今的企业网络中找到 WPA。

WPA2 中。使用 AES 作为流密码定义了 CTR（计数器）模式。AES 密码支持更长的密钥，并且可以抵御暴力攻击。WPA2 支持使用 128 位密钥进行加密。

WPA3的。添加 GCM（伽罗瓦计数器模式）以使用相同的 AES 密码和 192 位加密密钥进行加密。后者是美国一些军事部署的要求。

有哪些WiFi消息完整性选择？消息完整性通常使用哈希算法和密钥来实现，以生成固定长度的消息摘要，该摘要在传输之前附加到消息中。如果接收设备生成相同的消息摘要，则表示消息未被篡改。WEP 使用校验和生成固定长度的字符串。消息和固定长度字符串之间的确定性关系使其容易受到位翻转攻击。

由 802.11 工作组定义的 RSN 引入了新的消息完整性机制，WiFi 联盟认证再次鼓励实施这些改进的功能。

水 渍 险。作为一项短期措施，WPA 引入了 Michael 哈希函数。尽管 Michael 已知弱点，但它比 WEP 校验和 CRC32 有了显着改进。

WPA2 中。定义用于消息身份验证和完整性的密码块链接消息身份验证代码 （CBC-MAC）。CBC-MAC使用AES分组密码和共享密钥生成固定长度的消息认证代码。

WPA3的。添加 GMAC（Galois 消息身份验证代码）以实现消息身份验证和完整性。CBC-MAC和GMAC都使用相同的AES分组密码。但是，GMAC 速度更快，因为它并行处理数据块，而 CBC-MAC 按顺序处理每个块。您可能熟悉首字母缩略词 CCMP 和 GCMP。CCMP是CTR模式，用于使用CBC-MAC进行加密，以确保消息完整性。GCMP 是用于加密的 GCM，GMAC 用于消息完整性。

有哪些不同的WiFi身份验证方法？最初的 802.11 规范定义了开放系统和共享密钥身份验证。开放系统身份验证允许任何人进行连接。共享密钥身份验证使多个用户能够使用相同的密钥连接到网络。用于 WEP 身份验证的共享密钥是 WEP 加密密钥。RSN 增加了对几种新身份验证机制的支持，包括：

预共享密钥 （PSK） 身份验证。预共享密钥在用户连接到 WiFi 网络之前与用户共享。与所有用户都使用相同密钥的 WEP 不同，PSK 允许每个用户拥有唯一的密钥。

等价同步身份验证 （SAE） 是一种基于密码的身份验证方法，它使用密钥协议机制生成密钥。通过生成强密钥，SAE 可以保护创建弱密码的用户免受暴力攻击。

基于端口的 802.1X 身份验证。在完成 802.11X 身份验证过程之前，将阻止常规流量。WPA 定义了两种模式：WPA 个人版和 WPA 企业版。

WPA 和 WPA2 个人使用 PSK。

WPA3 人员将 PSK 替换为 SAE。WPA、WPA2 和 WPA3 Enterprise 使用基于 802.1X 端口的身份验证。

什么是受保护的管理框架 （PMF）？通过 WiFi 网络发送三种消息类型：数据帧、管理和控制帧。管理框架包括身份验证和关联消息。从历史上看，这些帧没有受到保护，这使得WiFi网络容易受到DoS攻击。PMF 添加了加密和消息完整性以保护特定的管理帧。

虽然PMF是在2009年定义的，但它并没有被业界广泛采用。为了便于采用，WiFi联盟将PMF作为WPA3认证的强制性功能。

你现在应该怎么做？表 1 总结了本博客中讨论的 802.11 安全功能。下一步是评估您使用的WiFi网络。回答以下问题：

此网络上使用了哪些安全机制？

哪些数据会通过这个网络？

我们需要加强这个网络的安全性吗？

表 1：比较 WPA 版本中的 WiFi 功能

原文链接：http://www.langkun.com/zsk/info_35.aspx?itemid=600