Wi-Fi技术——网络安全

一、数据帧的安全

1、无线网络安全的发展

理论上无线电波范围内的任何一个站点都可以监听并登录无线网络，所有发送或接收的数据，都有可能被截取，因此无线网络安全十分重要。

原始802.11的安全策略为WEP，其存在根本性的漏洞：

  • 静态密钥：所有用户共享一个长期不变的密钥。
  • 弱加密算法：使用容易被破解的RC4流密码。
  • 无消息完整性校验：数据包容易被篡改和重放。

因此，IEEE在2004年推出一个修正案802.11i，以解决上述的问题。

802.11i 定义了一个完整的、健壮的安全架构（Robust Security Network, RSN），为无线局域网（WLAN）提供强有力的安全保障。其安全体系建立于三个基础之上：

  • 身份验证（Authentication）：用户或设备是否有权接入网络
    • 个人模式 (Personal Mode)：使用预共享密钥PSK，即WiFi密码，通过一个“四次握手”过程来相互认证并生成加密密钥
    • 企业模式 (Enterprise Mode)：使用 IEEE 802.1X 端口访问控制框架和 EAP（可扩展认证协议）。需要第三方认证服务器（通常为RADIUS服务器）参与
  • 秘钥管理（Key Management）：如何生成、分发和更新用于加密数据的密钥。最大进步之一。
    • 使用 四次握手 (4-Way Handshake)：协商生成加密单播的PTK（Pairwise Transient Key）和加密组播/广播的GTK（Group Temporal Key）
    • 具备动态密钥和向前保密的优势
  • 数据加密（Data Encryption）：使用强加密算法对空中传输的数据进行编码，并确保数据在传输过程中未被篡改
    • 核心为CCMP加密协议：基于AES (Advanced Encryption Standard) 块加密算法

当前的安全策略主要包括：WEP、WPA、WPA2、WAP3等，每个安全策略包括身份接入认证方式和数据加密方式。

2、身份认证方式

用于验证设备是否被允许接入网络的机制

1.1 PSK预共享密钥

PSK（Pre-Shared Key）：预共享密钥

  • 所有用户使用同一个密码。
  • 通过“四次握手”过程，基于这个公共密码派生出用于加密数据的临时密钥（PTK）。

1.2 SAE对等同时认证

SAE（Simultaneous Authentication of Equals）：对等同时认证

  • 通过一种密码学上的“ Dragonfly 握手”协议，直接在客户端和接入点之间建立共享密钥，而无需传输密码本身
  • 可以从根本上抵抗离线暴力破解（即使用户密码简单）并提供前向保密
  • 在WPA3的个人模式中用于取代PSK

1.3 802.1X/EAP

EAP（Extensible Authentication Protocol）：可扩展认证协议

  • 一个框架而非具体方法，允许使用多种不同的方法来进行身份验证，例如用户名/密码、数字证书、智能卡等
  • 需要一台中央RADIUS认证服务器。
  • 当设备（Supplicant）连接AP时，AP会将其认证信息（如用户名/密码、数字证书）转发给RADIUS服务器进行验证，由RADIUS服务器完成验证并返回结果
  • 为每个用户提供独立身份凭证，支持像数字证书这样非常强壮的认证方式，安全性极高
  • 管理性强，可以轻松地添加、删除用户或更改某个用户的权限

3、数据加密方式

在认证通过后，对空中传输的数据进行加密保护的方法

2.1 RC4

  • 一种流密码。
  • 主要是WEP使用，但因其初始向量（IV）太短且管理方式有误，导致极易被破解

2.2 TKIP

TKIP（Temporal Key Integrity Protocol）：临时密钥完整性协议

  • WPA所使用的临时解决方案
  • 于RC4，但增加了每包密钥、消息完整性检查（MIC）等机制来修补WEP的漏洞。
  • 但后来自身也被攻破

2.3 CCMP

CCMP（Counter Mode with Cipher Block Chaining Message Authentication Code Protocol）：计数器模式密码块链消息认证码协议

  • WPA2的强制加密标准
  • 基于AES（Advanced Encryption Standard）这一强壮的块加密算法，提供高度的机密性和完整性保护

2.4 GCMP

GCMP（Galois/Counter Mode Protocol）：伽罗瓦/计数器模式协议

  • WPA3使用的更高效、更安全的加密模式
  • 基于AES，但比CCMP更高效
  • WPA3-Enterprise要求使用GCMP-256（密钥长度256位），比WPA2的CCMP-128（128位）更强

4、安全策略

将身份认证机制与数据加密算法结合起来，形成一个完整的安全方案。

分为Person模式和Enterprise模式，通过定义不同的“模式”来整合认证机制和加密算法

1.WEP

WEP（Wired Equivalent Privacy）：有线等效保密，1999年制定的第一个无线安全协议。

  • 身份认证：使用共享密钥RC4加密算法，有64位和128位两种加密方式
    • 密钥长度最初40位（5个字符），后来增加到104位（13个字符），有些设备可以支持152位加密，创建一个IV与密钥共同加密数据包
  • 使用RC4 流密码进行数据加密
  • 有多个安全弱点，使用静态密钥，非常容易受到攻击。现在只需几分钟就能用常见工具破解
  • 与现代无线路由设备的技术标准不兼容，‌影响了传输速率

已在2003年被WPA淘汰。

2.WPA

WPA（WiFi Protected Access）：WiFi 访问保护，802.11i 的“预览版”或子集，一个过渡方案

  • 身份认证：使用PSK或EAP进行身份认证
  • 数据加密：引入了临时密钥完整性协议（TKIP）进行数据加密，在 WEP 的基础上增加了密钥混合功能、消息完整性检查（MIC）等机制
    • TKIP仍用RC4加密算法，但是每个包的RC4 key不同

WPA-PSK
WPA-EAP

3.WPA2

802.11i 的完整官方认证

  • 身份认证：使用PSK或EAP进行身份认证
    • 个人版WPA2-PSK，企业版WPA2-EAP
  • 数据加密：强制使用CCMP（基于AES）加密算法。
    • 同时保留了TKIP以提供向后兼容性（但开启TKIP会降低安全性）
  • WPA2的主要弱点在于“KRACK”（Key Reinstallation Attacks）攻击，即针对四次握手过程的漏洞。

目前的主流安全策略，基本安全。

4.WPA3

802.11i 的增强演进

  • 身份认证：使用SAE或EAP
    • 个人版WPA3-SAE，企业版WPA3-EAP
  • 数据加密：使用GCMP-256 (更强AES模式) 和 CCMP-128 (向后兼容)

当前最强的安全策略

5、总结

安全协议策略推出时间身份认证方式 (Authentication)数据加密方式 (Encryption)安全性评价
Open (无加密)-无无极不安全
WEP1999基于RC4算法的共享密钥认证RC4 流密码已淘汰，极不安全：设计存在根本性缺陷，可在几分钟内被破解
WPA2003PSK (预共享密钥) 或 802.1X/EAP (企业认证)TKIP (基于RC4，带有修补机制)已过时，不安全：TKIP已被破解
WPA22004PSK (预共享密钥) 或 802.1X/EAP (企业认证)CCMP (基于 AES 块密码的强加密模式)目前主流，基本安全：AES加密非常强大。
WPA32018SAE (对等同时认证，取代PSK) 或 802.1X/EAP (企业认证，更强)GCMP-256 (更强AES模式) 和 CCMP-128 (向后兼容)现代最强，推荐使用： forward secrecy，抗暴力破解。

二、管理帧的安全

1、必要性

管理帧负责维护基站（AP）和客户端（如手机、电脑）之间的连接关系，例如：

  • 认证（Authentication） / 解除认证（Deauthentication）
  • 关联（Association） / 解除关联（Disassociation）
  • 信标（Beacon）

这些管理帧本身是未经加密和完整性校验的，即使你使用了WPA2。攻击者可以非常容易地伪造并发送这些帧

经典攻击——解除认证攻击（Deauth Attack）：

  • 攻击者监听网络，获取你的AP和设备的MAC地址。
  • 攻击者伪造一个看起来像是从AP发往你设备的 “解除认证帧” 。
  • 你的设备收到这个伪造的帧后，信以为真，便会断开与WiFi的连接。
  • 这种攻击可以持续进行，导致你的设备无法正常联网，或者被迫重新连接，从而为更复杂的攻击（如窃取WPA四次握手包进行暴力破解）创造机会。

2、802.11w

802.11w旨在为WiFi网络中的管理帧（Management Frames）提供安全保护，防止针对这些帧的常见攻击，如“解除认证攻击”和“解除关联攻击”。

WPA3 将 802.11w 的管理帧保护（MFP）作为一项强制性要求，而WPA2对于支持802.11w则是可选的。

两种运行模式

  • capable模式：AP和客户端都支持802.11w功能，但它们之间的连接可以不使用MFP。这是一种协商和兼容状态。
  • enabled模式：AP要求必须使用管理帧保护。不支持802.11w的旧客户端将无法连接**到该网络。这是最安全的模式

保护机制

借鉴了WPA2（802.11i）保护数据帧的思路来保护管理帧

  • 单播管理帧保护：PTK->MIC
    • 使用在“四次握手”过程中生成的PTK（Pairwise Transient Key）来为单播管理帧（如解除关联、解除认证）计算一个消息完整性校验码（MIC）
    • 接收方（AP或客户端）会验证这个MIC。如果MIC校验失败，该帧会被直接丢弃
  • 组播管理帧保护：序列号+MIC
    • 使用**BIP（Broadcast/Multicast Integrity Protocol）**为广播/组播管理帧（如信标帧）提供保护和重放攻击防护
    • AP使用一个GTK（Group Temporal Key）的衍生密钥来为这些帧添加序列号和MIC
    • 客户端会检查序列号以确保没有收到过时的重复帧

优缺点

优点：

  • 拒绝服务（DoS）攻击：极大地增加了发起解除认证攻击的难度，提升了网络稳定性
  • 增强整体安全性：关闭了一个长期存在的安全漏洞，使攻击者更难将用户踢下线以窃听或进行中间人攻击
  • 保护隐私：某些管理帧可能包含信息元素（如网络名称、支持的速率），保护它们可以避免信息泄露

缺点：

  • 兼容性问题：非常古老的设备（2009年之前的设备可能普遍不支持）无法连接到要求强制启用MFP（ enabled模式）的网络
  • 并非万能：802.11w主要保护的是管理帧。它不加密管理帧的内容（例如，信标帧中的SSID仍然是明文），它只是防止篡改和伪造。数据帧的安全仍然由WPA2/WPA3负责
  • 不能完全杜绝所有DoS攻击：它主要防御基于管理帧的攻击，但还有其他方式的无线DoS攻击（如射频干扰）是它无法阻止的

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.pswp.cn/diannao/97656.shtml
繁体地址，请注明出处：http://hk.pswp.cn/diannao/97656.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Java提供高效后端支撑，Vue呈现直观交互界面，共同打造的MES管理系统，含完整可运行源码，实现生产计划、执行、追溯一站式管理，提升制造执行效率

Java提供高效后端支撑，Vue呈现直观交互界面，共同打造的MES管理系统，含完整可运行源码，实现生产计划、执行、追溯一站式管理，提升制造执行效率

前言在当今竞争激烈的制造业环境中，企业面临着提高生产效率、降低成本、保证产品质量以及快速响应市场变化等多重挑战。制造执行系统（MES，Manufacturing Execution System）作为连接企业上层计划管理系统（如ERP&#xf…
阅读更多...
【macOS】垃圾箱中文件无法清理的常规方法

【macOS】垃圾箱中文件无法清理的常规方法

【macOS】垃圾箱中文件无法清理的方法如果外接 SSD 移动盘上的垃圾文件无法删除， 可能是由于文件系统格式不兼容、文件被占用、权限不足等原因导致的， 以下是一些常见的解决方法：检查移动硬盘文件系统格式：如果移动硬盘是 NTFS 格…
阅读更多...
鸿蒙ArkTS 核心篇-15-条件渲染(组件)

鸿蒙ArkTS 核心篇-15-条件渲染(组件)

目录 根据逻辑条件结果，渲染不同的 UI 内容 DevEco Studio代码实战 预览效果 总结 根据逻辑条件结果，渲染不同的 UI 内容 DevEco Studio代码实战 let num: number 20Entry Component struct Index {build() {Column() {if (num 1) {Text(文本 1)} …
阅读更多...
大模型微调显存内存节约方法

大模型微调显存内存节约方法

大模型微调时节约显存和内存是一个至关重要的话题，尤其是在消费级GPU（如RTX 3090/4090）或资源有限的云实例上。下面我将从显存（GPU Memory） 和内存（CPU Memory） 两个方面，为你系统地…
阅读更多...
Linux笔记12——shell编程基础-6

Linux笔记12——shell编程基础-6

字符截取命令一、cut命令功能：用于从文件或标准输入中提取指定字段或列语法：cut [选项] 文件名-f：列号，提取第几列，默认识别制表符分割出来的列（列号之间用,隔开）-d：分隔符&#xff…
阅读更多...
高效浏览器标签页管理：Chrome扩展开发完全指南

高效浏览器标签页管理：Chrome扩展开发完全指南

Hi，我是前端人类学（之前叫布兰妮甜）！ 在信息过载的时代，浏览器标签页管理已成为提高工作效率的关键技能。本文将介绍如何开发一个功能完整的Chrome扩展，帮助用户高效管理浏览器标签页，并探讨其实…
阅读更多...
从 WPF 到 Avalonia 的迁移系列实战篇3：ResourceDictionary资源与样式的差异与迁移技巧

从 WPF 到 Avalonia 的迁移系列实战篇3：ResourceDictionary资源与样式的差异与迁移技巧

从 WPF 到 Avalonia 的迁移系列实战篇3:ResourceDictionary资源与样式的差异与迁移技巧 我的GitHub仓库Avalonia学习项目包含完整的Avalonia实践案例与代码对比。 我的gitcode仓库是Avalonia学习项目。 文中主要示例代码均可在仓库中查看，涵盖核心功能实现与优化方案…
阅读更多...
基于Springboot的音乐媒体播放及周边产品运营平台（有报告）。Javaee项目，springboot项目。

基于Springboot的音乐媒体播放及周边产品运营平台（有报告）。Javaee项目，springboot项目。

演示视频： 基于Springboot的音乐媒体播放及周边产品运营平台（有报告）。Javaee项目，springboot项目。项目介绍： 采用M（model）V（view）C（controller&#xff09…
阅读更多...
【项目思维】嵌入式产业链与技术生态

【项目思维】嵌入式产业链与技术生态

这篇文章深入解析嵌入式产业链与技术生态上下游关系，辅助建立嵌入式工程师职业发展认知。嵌入式行业并不是“写单片机程序”那么简单，而是一个 从芯片设计到系统集成再到最终产品落地 的复杂生态链。理解上下游价值链，有助于你成为系统型工程…
阅读更多...
机器学习（讲解）

机器学习（讲解）

一、引言：什么是监督学习？监督学习（Supervised Learning）是机器学习中最基础且应用最广泛的范式之一。其核心思想是利用已标记的数据（即输入-输出对）训练模型，使其能够对新的、未标记的数据进行…
阅读更多...
使用 Bright Data Web Scraper API + Python 高效抓取 Glassdoor 数据：从配置到结构化输出全流程实战

使用 Bright Data Web Scraper API + Python 高效抓取 Glassdoor 数据：从配置到结构化输出全流程实战

使用 Bright Data Web Scraper API Python 高效抓取 Glassdoor 数据：从配置到结构化输出全流程实战 摘要 本文详细介绍了如何使用 Bright Data 的 Web Scraper API 搭配 Python，实现对 Glassdoor 平台信息的高效抓取。通过 API 请求构建器、反爬机制集成…
阅读更多...
Burgan Bank Türkiye 如何借助 Elastic 改造可观测性和安全性

Burgan Bank Türkiye 如何借助 Elastic 改造可观测性和安全性

作者：来自 Elastic Jon Ashley, Ido Friedman, Burak Dz Burgan Bank Trkiye Burgan Bank K.P.S.C. 是科威特项目公司 (KIPCO) 集团的子公司，成立于 1977 年，是中东和北非 (MENA) 地区最大的控股集团和重要银行集团之一。 该银行作为客户的解…
阅读更多...
LeetCode 165. 比较版本号 - 优雅Java解决方案

LeetCode 165. 比较版本号 - 优雅Java解决方案

文章目录LeetCode 165. 比较版本号 - 优雅Java解决方案题目描述示例分析示例 1示例 2示例 3算法思路Java实现方案方案一：双指针法（推荐）方案二：优化的单次遍历法可视化执行过程示例：compareVersion("1.2", &…
阅读更多...
基于Kubernetes StatefulSet的有状态微服务部署与持久化存储实践经验分享

基于Kubernetes StatefulSet的有状态微服务部署与持久化存储实践经验分享

基于Kubernetes StatefulSet的有状态微服务部署与持久化存储实践经验分享 在传统微服务架构中，大多数服务都是无状态的（Stateless），可以通过 Deployment、ReplicaSet 等控制器实现水平自动扩缩容。但在生产环境中，仍有…
阅读更多...
MySQL编程开发

MySQL编程开发

变量系统变量：MySQL内置变量#查看所有系统变量show variables \G;#通过模糊查询筛选变量show variables like “%path%”;全局变量：在所有终端中都生效；会话变量：在当前会话（本次登录）；#可以通过…
阅读更多...
20250830_Oracle 19c CDB+PDB（QMS）默认表空间、临时表空间、归档日志、闪回恢复区巡检手册

20250830_Oracle 19c CDB+PDB（QMS）默认表空间、临时表空间、归档日志、闪回恢复区巡检手册

PDB 关业务，CDB 管底层；每天紧盯 PDB，必要时看 CDB。 一、CDB 与 PDB 的关系 Oracle 12c 以后引入 多租户架构（Multitenant），分成两类容器： 层级 名称 作用 存储内容 典型操作 CDB CDB$ROOT（容器数据库） 数据库实例的根容器 Oracle 元数据、系统表字典、公共用户、PDB…
阅读更多...
什么是MIPS架构？RISC-V架构？有什么区别？【超详细初学者教程】

什么是MIPS架构？RISC-V架构？有什么区别？【超详细初学者教程】

什么是MIPS架构？RISC-V架构？有什么区别？【超详细初学者教程】 关键词：MIPS架构，RISC-V架构，精简指令集RISC，嵌入式系统，CPU架构对比，指令集架构，开源处理器&…
阅读更多...
IDEA Spring属性注解依赖注入的警告 Field injection is not recommended 异常解决方案

IDEA Spring属性注解依赖注入的警告 Field injection is not recommended 异常解决方案

一、异常错误 在使用 IntelliJ IDEA 进行 Spring 开发时，当使用 Autowired 注解直接在字段上进行依赖注入时，IDE 会显示黄色警告： Field injection is not recommended这个警告出现在以下代码模式中： Service public class UserSe…
阅读更多...
智能核心：机器人芯片的科技革新与未来挑战

智能核心：机器人芯片的科技革新与未来挑战

在人工智能与机器人技术深度融合的今天，机器人芯片作为驱动智能机器的“大脑”，正成为科技竞争的战略制高点。这一微小却至关重要的硬件，决定了机器人的计算能力、响应速度与智能水平，是机器人从“自动化”迈向“自主化”的关键所…
阅读更多...
经典扫雷游戏实现：从零构建HTML5扫雷游戏

经典扫雷游戏实现：从零构建HTML5扫雷游戏

一、引言 扫雷是一款经典的单人益智游戏，起源于20世纪60年代，并在90年代随着Windows操作系统的普及而风靡全球。本文将详细介绍如何使用现代网页技术（HTML、CSS和JavaScript）从零开始构建一个功能完整的扫雷游戏。我们将涵盖游戏逻…
阅读更多...
最新文章

Copyright @ 2022~2023