演進脈絡
802.11 原始標準 → WEP（已淘汰） → WPA（過渡） → WPA2/802.11i（主流） → WPA3（新標） → WAPI（國標）。
1. WEP (Wired Equivalent Privacy) —— 僅供歷史參考
- 加密： RC4 流式加密，40/104-bit 靜態金鑰（IV 24-bit 明文傳輸）
- 致命缺陷：
- IV 空間小（24-bit），高流量下 5 小時必重複 → 密鑰重用
- RC4 弱金鑰攻擊 (FMS/KoreK/PTW)，分鐘級破解
- 無金鑰管理/自動換鑰機制
- 無完整性保護（CRC-32 線性可偽造）
- 結論： 「聊勝於無」，嚴禁生產環境使用。
2. WPA / WPA2 (Wi-Fi Protected Access) —— 企業/家庭主流
| 特性 | WPA (TKIP) | WPA2 (CCMP/AES) | WPA3 (SAE/GCMP) |
|---|
| 加密協定 | TKIP (RC4 基礎修補) | CCMP (AES-CTR + CBC-MAC) | GCMP-256 / CCMP-128 |
| 金鑰管理 | 每封包動態金鑰、Michael MIC | 4-way handshake + GMK/PTK/GTK 階層 | SAE (Simultaneous Authentication of Equals) 防離線字典攻擊 |
| 認證模式 | 802.1X (Enterprise) / PSK (Personal) | 同 WPA + SHA-256 KDF | SAE (Personal) / 192-bit Suite B (Enterprise) |
| 前向保密 | 無 | 無 | 有 (SAE) |
| 管理幀保護 | 無 | 802.11w (PMF) 選配 | 強制 PMF |
| 現狀 | 棄用 | 主流部署 | 新部署首選 |
企業級部署要點 (WPA2/3-Enterprise)
- RADIUS 伺服器 (FreeRADIUS/ISE/ClearPass) + EAP-TLS/PEAP-MSCHAPv2/EAP-TTLS
- 憑證基礎設施 (PKI) 發行用戶/伺服器憑證，驗證鏈完整
- 啟用 802.11w (PMF) 防去認證攻擊
- 動態 VLAN 指派、ACL 下發、姿態評估
家庭/小企業 (WPA2/3-Personal)
- 密碼長度 ≥ 20 字元，高熵值
- 關閉 WPS、UPnP、遠端管理
- 啟用 Guest Network 隔離 IoT/訪客
- 固件自動更新
3. WAPI (WLAN Authentication and Privacy Infrastructure) —— 中國國家標準
- 雙模加密： 非對稱 (SM2 橢圓曲線) 簽名/金鑰交換 + 對稱 (SM4 分組密碼) 數據加密
- 雙向認證： STA↔AP 相互驗證，並由 AS (Authentication Server) 統一管理憑證
- 優勢： 國家密碼演算法自主可控、支援嚴格訪問控制、降低終端功耗 (AS 代管驗證)
- 現狀： 通過 IEEE 802.11 國際標準投票（2011），國內政企/金融/軍工強制要求，商用終端晶片多雙模支援 WAPI+WPA2/3。
選型建議
- 新部署：WPA3-Personal/Enterprise（設備支援度許可）
- 現網升級：WPA2-AES + PMF 為基線，逐步換裝支援 WPA3 終端
- 合規項目：雙模 WAPI + WPA2/3 並行，滿足等保/密評要求
- 全面禁用：WEP、WPA-TKIP、WPS、舊版 EAP-MD5/LEAP