無線網路安全性直接關係資料隱私與頻寬安全。了解 WEP、WPA、WPA2、WPA3 及 802.1X 的差異，才能為家用/企業無線網路選擇最適當的加密方式。本文詳細比較各標準原理、強度與適用場景。

一、 WEP (Wired Equivalent Privacy) —— 已淘汰，極不安全

• 推出：1997 年 (802.11 原始標準)。
• 加密：RC4 流式加密，金鑰 40/104 位元 (常稱 64/128-bit)。
• 弱點：IV (初始化向量) 空間小 (24-bit)、金鑰重複使用、無完整性檢查、認證機制脆弱。
• 破解：Aircrack-ng 等工具可在分鐘內破解 (收集 ~40,000 個 IV)。
• 現狀：2004 年 Wi-Fi 聯盟宣佈淘汰，**嚴禁新部署使用**。僅相容極舊舊設備 (如 2003 年前印表機/掃描器)。

二、 WPA (Wi-Fi Protected Access) —— 過渡方案，TKIP 加密

• 推出：2003 年，針對 WEP 弱點的暫時修補。
• 加密：TKIP (Temporal Key Integrity Protocol)，動態金鑰、訊息完整性檢查 (MIC)、重播保護。
• 相容：透過韌體升級即可在大多數 WEP 設備上運行。
• 弱點：TKIP 仍基於 RC4，存在 Beck-Tews 攻擊、Ohigashi-Morii 攻擊，可解密/偽造封包。
• 現狀：2012 年起新設備不再強制支援，**不建議新部署**。

三、 WPA2 (Wi-Fi Protected Access II) —— 當前主流標準，AES-CCMP

• 推出：2004 年 (802.11i 標準)，Wi-Fi 聯盟強制認證。
• 加密：AES-CCMP (Counter Mode CBC-MAC Protocol)，128-bit 金鑰，軍用級加密強度。
• 認證模式：
  • WPA2-Personal (WPA2-PSK)：預共享金鑰 (密碼 8~63 字元)，適合家庭/小型辦公室。
  • WPA2-Enterprise (WPA2-802.1X)：RADIUS 認證伺服器，每用戶唯一金鑰，適合企業/校園。
• 破解難度：演算法本身無已知可行攻擊，僅能透過離線字典暴力破解 PSK 密碼 (需弱密碼)。強密碼 (12+ 字元、大小寫數字符號混合) 實質無法破解。
• 現狀：**目前最普遍部署、相容性最佳、安全性足夠**的標準。

四、 WPA3 (Wi-Fi Protected Access 3) —— 新一代標準 (2018)

• 核心改進：SAE (Simultaneous Authentication of Equals) 取代 PSK，防禦離線字典攻擊；前向保密性；192-bit 加密套件 (Enterprise)；Easy Connect (QR Code/NFC 配對)。
• 模式：WPA3-Personal、WPA3-Enterprise、WPA3-Transition (混合 WPA2 相容)。
• 部署建議：新購路由器/AP/裝置優先支援 WPA3；現有裝置支援 Transition 模式可平滑遷移。

五、 802.1X 認證架構 (企業級)

• 非加密標準，而是**港口存取控制協定** (Port-based Network Access Control)。
• 三角色：Supplicant (客戶端/裝置) ↔ Authenticator (AP/交換機) ↔ Authentication Server (RADIUS)。
• EAP 方法：EAP-TLS (雙向憑證)、PEAP-MSCHAPv2 (帳號密碼+伺服器憑證)、EAP-TTLS、EAP-FAST 等。
• 優點：集中帳號管理、動態金鑰分發、支援 VLAN 指派、符合合規稽核。
• 適用：企業 Wi-Fi、有線 802.1X、VPN、Eduroam 校園漫遊。

六、 選擇建議速查表

場景	推薦加密	備註
家用/小辦公室 (新設備)	WPA3-Personal / WPA2-PSK (AES)	密碼 ≥12 字元複雜度
家用/小辦公室 (舊設備相容)	WPA2/WPA3 Transition	避免純 WPA/TKIP
企業/校園/醫療/金融	WPA2-Enterprise / WPA3-Enterprise (802.1X + RADIUS)	整合 AD/LDAP、憑證管理
物聯網/舊舊設備 (無 WPA2 支援)	隔離 VLAN + WPA2-PSK / 有線連接	勿混入主網段，定期輪換密鑰
公開熱點/咖啡廳	WPA3-Personal / Captive Portal + WPA2	隔離客戶端 (AP Isolation)

正確選擇並配置無線加密，是保護無線網路安全的第一道防線。定期更新路由器韌體、修改預設管理密碼、關閉 WPS、啟用 AP 隔離，構建纵深防禦。