無線網絡安全的第一道防線是加密認證。磊科NW605+等主流路由器提供WEP、WPA、WPA2三種加密模式，安全性天壤之別。本文深度解析三種模式的技術原理、參數配置、安全性優劣與最佳實踐建議。

一、WEP (Wired Equivalent Privacy) — 已淘汰，極不安全

定位：早期802.11標準(1997)定義，意圖提供有線等效隱私，但算法缺陷導致極易破解(幾分鐘破解)。現代網絡嚴禁使用。

關鍵參數：

• 輔助認證加密：
  • 開放系統 — 無認證，任何人可關聯(但需密鑰解密數據)。
  • 共享密鑰 — 挑戰/響應認證，但握手過程洩露密鑰特征，更易破解。
  • 自動選擇 — 設備協商。
• WEP長度/密鑰位數：
  • 64位(實際40位密鑰+24位IV) — 極弱。
  • 128位(實際104位密鑰+24位IV) — 弱，仍可在分鐘級破解。
  • 密鑰格式：16進制(0-9,A-F) 或 ASCII字符。
• WEP模式/密鑰格式：ASCII字符 或 十六進制數字。

安全性結論

❌ WEP已被廢棄：RC4流密鑰重用漏洞、IV空間小(24位)、無完整性檢查、無重放保護。任何支持WPA2的設備均不應使用WEP。

二、WPA (Wi-Fi Protected Access) — 過渡方案，已不推薦新部署

定位：為修補WEP漏洞臨時推出(2003)，核心改進：TKIP (Temporal Key Integrity Protocol) — 動態密鑰生成、消息完整性檢查(MIC)、重放計數器。

關鍵參數：

• 密鑰/預共享鑰(PSK)：8-63位ASCII字符(密碼)。路由器據此派生加密密鑰。
• 加密算法：TKIP (RC4基礎上修補)，仍有已知弱點(如Beck-Tews攻擊)。

安全性結論

⚠️ WPA-TKIP已棄用：IEEE 802.11-2012標準禁止新設備支持TKIP。僅用於不支持WPA2/AES的極舊設備(2003年前)兼容。新部署禁止使用。

三、WPA2 (Wi-Fi Protected Access 2) — 當前主流標準，強制推薦

定位：基於IEEE 802.11i標準(2004)，核心改進：AES-CCMP (Counter Mode CBC-MAC Protocol) — 基於AES分組密鑰的加密與認證，提供機密性、完整性、重放保護，政府/企業級安全標準。

關鍵參數：

• 認證模式：
  • WPA2-Personal (WPA2-PSK)：家庭/小辦公，預共享密鑰。
  • WPA2-Enterprise (WPA2-802.1X)：企業級，需RADIUS認證服務器，每用戶獨立憑證/賬號。
• 加密算法：AES (CCMP) — 唯一推薦選項。
  ⚠️ 部分路由器提供「WPA2-PSK (TKIP)」「WPA2-PSK (TKIP+AES)」選項 — 勿選，TKIP拖累安全性並強制降級速率至54Mbps(802.11g上限)。
• 密鑰/PSK密碼：8-63位ASCII。建議12位以上高熵值密碼，防暴力破解字典攻擊。

安全性結論

✅ WPA2-PSK (AES) 是當前家庭/小微企業的最佳選擇：算法無已知實用破解手段，性能損耗極低(硬件加速)，兼容性極佳(2006年後所有WiFi設備必支持)。

四、WPA3 (Wi-Fi Protected Access 3) — 新一代標準，逐步普及

• 核心改進：SAE (Simultaneous Authentication of Equals) 替換PSK，抗離線字典攻擊；前向保密性；192位加密套件 (企業級)；強制PMF (Protected Management Frames) 防去認證攻擊。
• 模式：WPA3-Personal / WPA3-Enterprise / WPA3-Transition (WPA2/WPA3混合)。
• 部署建議：路由器與終端均支持WPA3時，啟用 WPA3-Transition (WPA2/WPA3混合) 兼容舊設備；純WPA3環境可選WPA3-Personal。

五、最佳實踐配置清單

1. 加密模式：WPA2-PSK (AES) 或 WPA2/WPA3 混合 (Transition)。
2. 密碼：≥12位，大小寫+數字+符號，非字典詞，非個人信息，定期更換(半年/年)。
3. 關閉WPS：PIN碼暴力破解漏洞(CVE-2011-0923)，物理按鈕法(PBC)相對安全但建議關閉。
4. 關閉WEP/WPA-TKIP：路由器設置中禁用這兩種舊模式，避免降級攻擊。
5. 開啟PMF (802.11w)：若路由器/終端支持，開啟管理幀保護，防Deauth攻擊。
6. 隱藏SSID：可選，非核心安全措施，增加連接麻煩。
7. 訪客網絡隔離：開啟Guest Network，隔離訪客與主網絡設備/存儲/管理頁。

六、總結

無線加密演進史：WEP(破) → WPA-TKIP(補丁,棄) → WPA2-AES(標準,強推) → WPA3-SAE(未來,普及中)。當前最佳配置：WPA2-PSK (AES) + 強密碼 + 關閉WPS + 開啟PMF(支持時) + 訪客網絡隔離。磊科NW605+等路由器設置頁面直接選擇「WPA2-PSK」並確認加密為「AES」，即可獲得企業級無線安全防護。