無線安全基礎課：SSID 廣播、加密金鑰與隱藏網路的真相
無線路由器後台總有「SSID 廣播」與「網路金鑰」兩個選項，許多用戶一知半解：關閉 SSID 廣播真的安全嗎？WEP/WPA/WPA2/WPA3 該怎麼選？本文通過實測邏輯拆解核心機制，助你建立正確的無線安全觀念。
一、 SSID 是什麼？為什麼要修改預設值？
- 定義： SSID (Service Set Identifier) 是無線網路的「名字」，用於區分不同無線網路。
- 風險： 廠商出廠預設 SSID 常為品牌+型號（如
TP-LINK_XXXX, Xiaomi_XXXX），攻擊者可利用彩虹表、預設密碼字典、WPS PIN 碼等工具針對性破解。
- 建議： 設定唯一、無個人資訊的 SSID（如
Home_5G_888），避免使用中文、手機號、地址等敏感信息。
二、 禁用 SSID 廣播：安全增強還是偽安全？
運作機制
- 開啟廣播：路由器定期發送 Beacon 幀，裝置掃描即可見網路名稱。
- 關閉廣播：路由器不發送 Beacon，裝置掃描列表不顯示該 SSID，連線時需手動輸入完整 SSID 名稱。
實測結論：「隱藏 SSID ≠ 安全」，甚至可能降低體驗
- 極易被嗅探： 客戶端連線時會發送 Probe Request 封包，其中明文包含 SSID；攻擊者監聽空口封包即可獲取隱藏 SSID。
- 干擾漫遊與連線速度： 裝置無法被動發現網路，需主動廣播探測，增加延遲、降低漫遊效率、加劇電池消耗（特別是 IoT 設備）。
- Windows 等系統會不斷廣播探測隱藏 SSID，反而在公共場合洩露你常連的隱藏網路名稱。
- 兼容性問題： 部分舊設備、智能家居設備不支援連接隱藏 SSID。
建議： 保持 SSID 廣播開啟，安全防線應建立在強加密協議 + 複雜密碼 + MAC 過濾(輔助) 上，而非靠隱藏名稱。
三、 網路金鑰（加密協議）演進與選擇指南
| 協議 | 加密演算法 | 金鑰長度/特徵 | 安全性 | 建議 |
|---|
| WEP | RC4 | 64-bit (10 hex) / 128-bit (26 hex) | 極低（分鐘級破解） | 禁止使用 |
| WPA (TKIP) | TKIP/RC4 | PSK 8-63 字元 | 低（已知漏洞） | 淘汰中，僅相容極舊設備 |
| WPA2-PSK (AES) | CCMP/AES | PSK 8-63 字元 | 高（目前主流標準） | 推薦基準選項 |
| WPA2/WPA3 混合 | AES / SAE | SAE (Simultaneous Authentication of Equals) | 更高（抗離線字典攻擊、前向保密） | 首選（設備支援時） |
| WPA3-Personal | SAE / AES-128/256 | SAE，192-bit 加密套件(Enterprise) | 最高 | 新設備全支援時啟用 |
密碼設定黃金法則
- 長度 ≥ 12 字元（建議 16+），包含大小寫、數字、符號。
- 避免字典詞、生日、電話、鍵盤排列（如
12345678, qwertyuiop）。
- 使用密碼管理器生成並儲存隨機密碼。
- 定期更換（如半年一次），員工離職/租客退租必換。
四、 進階防蹭網組合拳（疊加防禦）
- 啟用 WPA2/WPA3 + AES 強密碼（核心）。
- 關閉 WPS (Wi-Fi Protected Setup) —— PIN 碼極易暴力破解，必關。
- 開啟客戶端隔離 (AP Isolation) —— 無線設備互不通訊，防橫向滲透。
- MAC 位址過濾（白名單） —— 輔助手段，MAC 可偽造，不可作為唯一依賴。
- 建立訪客網路 (Guest Network) —— 隔離訪客與主網路（NAS、智能家居、電腦）。
- 固件持續更新 —— 修補 KRACK、FragAttacks 等協議級漏洞。
- 降低發射功率 / 調整天線方向 —— 物理層面縮小覆蓋邊界。
總結： SSID 廣播開不開影響不大，加密協議與密碼強度才是核心。請立即檢查路由器：淘汰 WEP/WPA-TKIP，啟用 WPA2-AES 或 WPA3，設 16+ 位隨機密碼，關閉 WPS，開啟訪客網路，這才是防蹭網的正解。