WLAN 以高速率、彈性組網優勢普及，但無線電波無邊界特性帶來嚴峻安全挑戰：覆蓋範圍內任意裝置均可嘗試竊聽、入侵、竄改敏感資料。本文系統梳理核心防護機制、分級安全架構、WEP 缺陷與改良、五大綜合建議。
兩大核心防護手段
- 存取控制：確保僅授權裝置/用戶存取敏感資料
- 加密傳輸：確保唯有正確接收者能解讀資料內容
IEEE 802.11b 提供基礎機制：
- SSID：服務集識別碼，提供低等級存取控制
- WEP：有線等效保密，RC4 演算法，防止無金鑰裝置接入、保護資料機密性
兩種驗證模式：開放系統（預設，無金鑰也能關聯）、共用金鑰（需正確 WEP 金鑰才能關聯）。
2004 年 IEEE 通過 802.11i 標準，採用 SIM 卡驗證 + AES 加密，大幅提升安全基準。
三級安全防護架構 (Avaya 方案)
- 鏈路層安全：標準 WEP 加密
- 使用者驗證層：IEEE 802.1x (EAP/TLS/PEAP/TTLS) 實現港口存取控制
- 端到端 VPN 隧道：IPSec/SSL VPN，最高安全等級
實務上 WEP 仍最普及，但安全性最低。
WEP 固有缺陷與演進方案
- 缺陷：金鑰固定、初始向量 (IV) 僅 24-bit、RC4 強度不足 → 易遭 WEPCrack、AirSnort 等工具破解
- 核心問題：金鑰傳遞過程易被截獲 (Intel 趙偉明觀點)
改良方案
- WPA (Wi-Fi Protected Access)：事實標準，改變金鑰傳遞機制
- TKIP (臨時金鑰完整性協定)：仍基於 RC4，但提供快速金鑰更新、金鑰混合、訊息完整性檢查 (MIC)
- WPA 金鑰管理：採類 RSA 公開/私鑰機制分發金鑰
- 廠商實作：
- Cisco：RADIUS 雙向驗證 → 動態產生 Session Key → 加密 Broadcast Key 下發
- Avaya「WEP Plus」：隨機化 IV 阻擋 WEPCrack/AirSnort
- Enterasys：全線產品韌體升級支援 WPA
企業部署五大綜合建議
- AP 部署優化：天線置覆蓋區中心、遠離窗戶、降低功率限制訊號外洩
- 強制啟用加密：最低 WEP，建議 WPA/WPA2
- 停用 DHCP 與 SNMP：攻擊者需額外破解 IP/子網/閘道參數；SNMP 改預設社群字串
- 啟用存取控制列表 (ACL/MAC 過濾)：僅允許授權 MAC 位址關聯，支援 TFTP 定期更新列表
- 有線無線一體化安全策略：整合 AAA、VLAN、IDS/IPS、端點合規，構建纵深防禦