网络

Wi-Fi安全协议介绍

在数字化时代，Wi-Fi安全协议扮演着至关重要的角色，它们是网络世界的守护者，保护着我们的隐私和数据免受未经授权的访问和窃听。WEP、WPA、WPA2以及最新推出的WPA3，这些名词在我们使用Wi-Fi的日常生活中频繁出现，但它们之间究竟有何不同？在这个信息爆炸的时代，了解它们的区别显得至关重要。本文将深入探讨这四种Wi-Fi安全协议的差异，帮助读者更好地理解并保护自己的网络安全。

WEP

WEP最早于1997年推出，是为了保护无线网络上的数据通信而设计的。当时，Wi-Fi技术还处于起步阶段，人们开始意识到需要一种安全协议来防止未经授权的访问和窃听。WEP被认为是一个里程碑，因为它是第一个为Wi-Fi网络提供安全保护的标准。

WEP的工作原理是利用加密算法对无线网络传输的数据进行加密。它使用64位和128位的密钥来加密数据，并通过这些密钥来验证和解密数据包。WEP采用静态密钥，这意味着同一网络上的所有设备都使用相同的密钥进行通信。虽然这种方法可以确保消息内容对未经授权的用户来说是隐藏的，但它也正是WEP安全性的一个致命弱点。

随着时间的推移，WEP的安全性漏洞逐渐暴露出来。其中最为严重的漏洞之一是WEP密钥的易受攻击性。由于WEP采用静态密钥，并且其加密算法存在弱点，黑客可以使用简单的工具和技术轻松地破解WEP加密，进而访问受保护的Wi-Fi网络。此外，WEP还存在重播攻击和字典攻击等漏洞，使得网络安全受到威胁。

由于WEP的安全性问题日益凸显，网络安全专家不再推荐使用WEP，而是提倡采用更加安全的替代方案，如Wi-Fi保护访问（WPA）和WPA2。WPA和WPA2采用更强大的加密算法，包括TKIP和CCMP，提供更高的安全性保护。最近推出的WPA3更进一步加强了Wi-Fi网络的安全性，采用了更为先进的加密算法，如Simultaneous Authentication of Equals（SAE）和Forward Secrecy，为用户提供了更加安全的无线连接。

WPA

WPA的发布是为了解决WEP存在的严重安全漏洞。WEP曾经是Wi-Fi网络最早采用的加密标准之一，但它的静态密钥和易受攻击的加密算法使得网络数据容易被窃取和篡改。WPA的问世填补了WEP的安全漏洞，并为无线网络提供了更可靠的保护。

WPA专业人士都称为其为：WEP 的临时增强

WPA引入了一系列新的安全功能，以加强无线网络的保护，其中包括：

  • 临时密钥完整性协议（TKIP）： WPA使用TKIP协议为每个传输的数据包生成一个新的密钥。与WEP使用相同的静态密钥不同，TKIP通过定期更改密钥减少了攻击者的可用信息，使得劫持数据包变得更加困难。
  • 消息完整性检查（MIC）： WPA包含了消息完整性检查，以确定是否有入侵者拦截并更改了数据包。这一功能有助于防止中间人攻击和数据篡改。
  • 128位加密密钥： WPA使用128位的加密密钥，比WEP更加安全可靠。

WPA的重要性不言而喻，它为无线网络提供了可靠的安全保障，保护用户的隐私和数据不受未经授权的访问。通过采用WPA，用户可以放心地在无线网络上进行在线交易、传输敏感信息和访问个人账户，而不必担心数据泄露和攻击风险。对于企业来说，WPA也是确保网络安全和保护商业机密的关键工具。

WPA2

WPA2是一种无线安全协议，是WPA（Wi-Fi Protected Access）协议的升级版本。它于2004年推出，旨在提供更加安全的无线网络连接。WPA2采用了先进的加密标准和身份验证机制，以确保Wi-Fi网络的安全性和保密性。

WPA2的主要特点

  • 强大的加密

WPA2采用了高级加密标准（AES），相比于早期的WEP和TKIP加密算法更为安全可靠。AES算法使用128位或256位密钥长度，提供了更高级别的加密保护，有效防止了针对Wi-Fi网络的各种攻击。

  • 强大的身份验证

WPA2支持两种身份验证模式：个人模式和企业模式。在个人模式中，通常使用预共享密钥（PSK），即Wi-Fi网络的密码由接入点和连接设备共享。而企业模式则使用更为复杂的可扩展身份验证协议（EAP），通过独立的身份验证服务器为每个用户或设备提供单独的凭据。

WPA2的工作原理

WPA2通过加密和身份验证机制来保护Wi-Fi网络的安全。当设备连接到受保护的Wi-Fi网络时，首先进行身份验证，确保只有授权用户才能访问网络。随后，数据通过AES加密算法进行加密，保证传输过程中的数据安全性。同时，WPA2还使用密码块链消息验证代码协议（CCMP）的计数器模式来验证数据的完整性，防止数据被篡改或损坏。

可以总结为四个过程：

身份验证（Authentication）：

  • 接入点认证：当设备尝试连接到一个受保护的Wi-Fi网络时，首先需要进行接入点的认证。接入点会向设备发送一个加密的挑战（challenge），设备需要用预共享密钥（PSK）或者EAP（Extensible Authentication Protocol，可扩展认证协议）进行加密，并将结果发送回接入点。
  • 设备认证：接入点验证收到的响应，确认设备是否有权限访问网络。如果认证成功，设备被授予访问网络的权限。

加密（Encryption）：

一旦设备成功通过身份验证，数据传输阶段就会开始。在WPA2中，数据传输是通过AES（Advanced Encryption Standard，高级加密标准）进行加密的。

  • 数据加密：发送和接收的数据包会使用AES算法进行加密。每个数据包都有一个独特的初始化向量（IV），以增加安全性。
  • 数据完整性检查：WPA2使用密码块链消息验证代码协议（CCMP）来验证数据的完整性。CCMP通过使用消息身份认证码（MIC）来确保数据包没有被篡改或损坏。

会话密钥管理（Session Key Management）：

WPA2使用四次握手协议来协商和生成用于加密和解密数据的临时会话密钥。

  • 四次握手：在连接建立阶段，客户端和接入点之间进行四次握手来协商会话密钥。这些握手过程包括传输预共享密钥（PSK）、生成临时密钥以及确认通信双方已准备好开始数据传输。

终端设备的认证和连接：

在WPA2-PSK模式下，终端设备需要使用预共享密钥来连接网络。而在WPA2-Enterprise模式下，终端设备需要通过EAP协议进行身份验证，并获得一个独立的身份凭据来连接网络。

WPA3

WPA3是Wi-Fi联盟于2018年发布的最新一代Wi-Fi安全协议。作为WPA2的后继者，WPA3旨在提供更强大的安全保护，解决WPA2中存在的一些安全漏洞和攻击手法，为个人和企业用户提供更安全的Wi-Fi连接。

WPA3的功能和优势

  • 更强的数据加密

WPA3采用了个性化数据加密机制，为每个数据传输提供独特的加密密钥。相比于WPA2，WPA3的加密密钥更长，个人模式使用192位密钥，企业模式使用256位密钥，大大增强了数据的安全性和隐私性。

  • 对等实体同时验证（SAE）协议

在WPA3中，AES加密算法是通过对等实体同时验证（SAE）协议实现的。SAE协议采用了更强大的加密算法和更安全的密钥交换方法，有效防止了脱机攻击和密码猜测尝试，提高了网络的安全性。

  • 改进的暴力攻击防护

WPA3具有改进的暴力攻击防护功能，可以有效保护用户免受字典攻击和暴力破解。通过限制尝试次数和使用更复杂的加密密钥，WPA3防止了黑客对Wi-Fi密码和凭据进行暴力破解。

  • 企业级安全保护

WPA3企业版在WPA2企业版的基础上进一步提升了安全性，引入了WPA3-Enterprise 192bit模式，采用192位的Suite-B安全套件，提升了密码防御强度。同时，WPA3企业版采用更加安全的HMAC-SHA-384算法进行密钥导出和确认，加强了数据的保护。

  • 开放网络保护

WPA3引入了增强型开放网络认证方式OWE（Opportunistic Wireless Encryption），为开放性网络的用户数据传输提供了更加安全的保护。OWE采用Diffie-Hellman密钥交换算法进行密钥交换，为用户数据传输进行加密，有效防止了非法攻击者的接入和数据窃取。

WPA3 主要形式

WPA3作为Wi-Fi网络的最新安全标准，为满足不同类别的Wi-Fi用户需求，提供了几种主要形式。

WPA3 个人版：

WPA3个人版适用于家庭用户，依赖于基于密码的身份验证。这种形式提供了熟悉的用户体验，但通过Simultaneous Authentication of Equals（SAE）协议提供了更高级的保护。SAE取代了WPA中使用的预共享密钥（PSK）身份验证方法，每次身份验证生成完全唯一的密钥。这使得攻击者无法通过捕获的数据包进行超尺寸攻击，同时网络成员也无法窥探其他成员的流量。

WPA3 企业版：

WPA3企业版通过强制在所有连接上使用受保护的管理框架（PMF）扩展了WPA2企业版的安全功能。此形式提供了坚实的安全基础，可防止蜜罐和窃听等危险攻击。为了更好地保护最敏感的数据，WPA3企业版还可以选择在特殊的192位模式下运行，提供更高级的保护。

WiFi增强开放：

WiFi增强开放解决了未加密的公共WiFi网络带来的巨大威胁问题。通过提供基于Opportunistic Wireless Encryption（OWE）的未经身份验证的数据加密，保护了公共WiFi网络的用户数据传输安全。未经身份验证的数据加密保留了公共WiFi网络的便利性，同时提高了安全性。

在选择WPA3个人版和WPA3企业版时，目标环境是最重要的考虑因素。虽然普通家庭用户理论上可以受益于WPA3企业版及其192位模式提供的高级保护，但增加的设置难度可能超过了好处。因此，用户应根据其网络环境和需求选择适合的WPA3形式，以确保最佳的安全性和便利性。

WPA3那么强大，有没有朋友在疑问，WPA3有没有缺点？

WPA3安全漏洞

  • Dragonfly握手漏洞： WPA3引入了Dragonfly握手协议来防止离线字典攻击，但研究人员发现在Dragonfly握手过程中存在漏洞，可能允许攻击者执行旁路攻击，从而获取有关所使用密码的信息。这种漏洞使得WPA3的安全性受到了挑战。
  • 降级攻击： 虽然WPA3设计更安全，但由于向后兼容性的考虑，网络通常同时支持WPA2和WPA3两种标准。攻击者可以利用这一点，迫使设备降级到使用较低安全性的WPA2协议进行连接，从而绕过WPA3的安全增强功能。
  • 实施缺陷： WPA3的安全性也取决于其实施方式。一些早期的WPA3实现存在缺陷，特别是在Dragonfly握手的实现上，容易受到各种攻击。这些问题可能导致攻击者绕过WPA3的安全机制，从而危及网络安全。
  • 有限的采用和兼容性问题： WPA3的安全改进受到其采用率和兼容性问题的限制。许多设备仍在使用较旧的Wi-Fi安全协议，因为硬件限制或缺乏固件更新。这种有限的采用率意味着许多网络仍然容易受到WPA3旨在缓解的攻击，从而限制了WPA3的实际效果。

WEP、WPA、WPA2、WPA3对比总结

Wi-Fi安全协议密钥管理方法加密长度使用的协议
WEP静态密钥64位或128位RC4（Rivest Cipher 4）
WPA动态密钥128位RC4（Rivest Cipher 4）
WPA2动态密钥128位或256位使用CCMP（Counter Mode with Cipher Block Chaining Message Authentication Code Protocol）的AES（高级加密标准）
WPA3动态密钥（唯一密钥，个性化数据加密）192位和256位使用SAE（同时身份验证）的GCM（Galois-Counter Mode）

WEP 是一种过时的 Wi-Fi 安全协议，应避免使用。WPA 是 WEP 的替代品，并使用更强大的加密。目前，WPA2 是主流的无线安全协议。大多数当前的设备，包括智能手机、笔记本电脑和无线路由器，都内置了对WPA2的支持。尽管WPA3是最先进的安全协议，但由于兼容性问题，其普及程度尚不及WPA2。

怎么选择

为您的网络选择适当的安全方法取决于您对安全性和兼容性的需求。对于最高级别的安全性，应选择WPA3 + AES-CCMP/AES-GCMP。对于较高级别的安全性和广泛的兼容性，WPA2 + AES是一个不错的选择。避免使用WEP和开放网络，因为它们不提供足够的安全保护，下面给您一个参考，按照从最佳到最差的顺序排列：

WPA3 + AES-CCMP/AES-GCMP：

  • WPA3是最新的Wi-Fi安全协议，提供了最高级别的安全性。
  • 使用AES-CCMP（Counter Mode with Cipher Block Chaining Message Authentication Code Protocol）或AES-GCMP（Galois/Counter Mode with AES-GMAC）作为加密方法。
  • WPA3通过使用唯一密钥和个性化数据加密来提供更强大的安全性。

WPA2 + AES：

  • WPA2是当前主流的Wi-Fi安全协议之一，提供了较高级别的安全性。
  • 使用AES（Advanced Encryption Standard）作为加密方法。

WPA + AES：

  • WPA是WEP的替代品，提供了更强大的安全性。
  • 使用AES作为加密方法。

WPA + TKIP/AES（TKIP作为备用方法）：

  • 在WPA网络中，TKIP（Temporal Key Integrity Protocol）通常用作备用加密方法，以提高兼容性。
  • AES也可用作加密方法，但TKIP作为备用方法。

WPA + TKIP：

  • WPA网络中使用TKIP作为唯一的加密方法，已被认为不安全，不建议使用。

WEP：

  • WEP（Wired Equivalent Privacy）是最早期的Wi-Fi安全协议之一，已经被证明存在严重的安全漏洞，不再安全，极易被攻击。

开放网络（完全无安全保护）：

  • 开放网络没有任何安全保护，所有通信都以明文形式传输，极易被攻击者窃听和篡改。