目前，随着宽带的普及和无线路由器的广泛使用，家庭、单位的WiFi覆盖了大部分白领人群。而很多地方的政府还推行“无线城市”，让无线WiFi的覆盖更扩大的公共区域。
在越来越多的开放WiFi面前，我们的信息安全是如何保障的呢？本文就带您进入无线安全的世界。
无线网络使用开放的电磁波作为载体来传输的数据信号，理论上说，任何具备对应频率收发能力的设备都可以截取和修改无线发射的数据，数据传输存在极大的不安全性。因此，IEEE802.11b从1999年开始就考虑了安全。
最早的无线加密初衷是为了创造一个和有线网络安全性类似的环境，WEP（Wired Equivalent Privacy，有线等效加密）。WEP被用来提供和有线局域网同级的安全性，它的目标是成为无线局域网必要的安全防护层，使其在传输链路上具备有线网络那样的端到端特性。
WEP使用RC4加密算法对无线数据进行加密，加密系统使用一个随机产生的密钥来加密传输数据。但用来产生这些密钥的方法具有可预测性，因此目前最容易受破解的就是WEP加密。
2003年推出了WEP的升级版本WPA(Wi-FiProct ed Access)。WPA是一个软件升级方案，它依然使用WEP采用的RC4加密算法，但改善了密钥的产生机制，修复了WEP对密钥管理过于简单、易于破解以及其他几个安全问题。原有无线路由器或者AP只需通过软件升级的方法即可提高网络的安全性。
随后推出的WPA2（WPA第二版）在2005年应用，WPA2是一个全新设计的安全标准，它不仅增强了对密钥的管理，加入了更长的密钥支持，还将相对较为简单的RC4加密算法换成了安全性更高的AES算法，并对用户认证做了加强，从而令整个无线网络更为安全。
那么无线加密的工作流程是怎样的呢？无线网络加密其实包含两个过程：认证过程和数据加密过程。认证过程就是连接过程，只有经过授权的用户才能进入。包括链路认证和接入认证。
链路认证：属于IEEE802.11的一种低级的身份验证机制，提供开放系统身份认证（即无需网络密码，任何请求的用户都可接入网络）和共享密钥身份认证（客户端必须使用与无线路由器相同的密码才可接入）。这两种认证都属于WEP加密的一部分。
接入认证：这是WPA/WPA2使用的认证方式。它通过端口认证的方式进行，只有认证通过，无线接入点才为客户端打开对应的逻辑端口，否则不允许用户连接网络。接入认证也有两种验证机制，一种是家庭较为常见的PSK（Presharedkey，预共享密钥）验证，对应无线路由器设置中的PSK选项，无线路由器中会预先设定静态密钥，只有无线接入设备输入的密码与设置的静态密钥相同，才会通过认证；另一种认证方式主要应用于大型的网络中，称为802.1X接入认证，它需要一台专门的认证服务器，用户通过登录认证服务器进行身份认证。校园和机场等公共场所的无线网络一般使用这种认证方式，需要通过页面登录来完成。
认证流程完成后，无线路由器才会为数据传输建立加密通道。数据加密的目的是为了防止数据在无线传输过程中被第三方截取，以免造成数据泄密。同时也可防止被恶意修改，对无线网络形成攻击和威胁。数据加密涉及的主要内容是加密密钥的管理和加密算法。
目前应用有RC4加密算法和AES加密算法，加密算法是一种纯粹的数据方法，而加密中的密钥管理是最重要，只有加密依赖的密钥足够强大，才能保证加密数据的安全性，密钥管理就是常说的加密协议。理论上，加密技术和加密协议可以两两自由排列组合，形成多种组合加密方式。但由于加密技术需要硬件支撑，实际上，它们之间的组合是有一定限制的。为了看起来更清晰易懂，我们采用与无线路由器中对应的设置来进行阐述。
WEP加密密钥的长度一般有64位和128位两种。密钥的组成为：共享密钥+IV（Initia lization Vector，初始化向量），共享密钥即用户手动配置的密码，分别为40位（对应64位密钥）和104位（对应128位密钥）；IV部分由系统产生，占24位。整个密钥体系中，只有IV部分是可变化的，用户密码一经配置，除非重新设置，否则保持不变，加上RC4算法存在弱密钥缺陷，在24位的IV值中，有9000多个弱密钥。攻击者收集到足够的使用弱密钥的包后，就可以对它们进行分析，只需尝试很少的密钥就可以接入到网络中。
TKIP（Temporal Key Integrity Protocol，暂时密钥集成协议）是Wi-Fi联盟为修复IEEE802.11的WEP加密机制而创建的一种临时的过渡方案。它虽然也和WEP加密机制一样使用的是RC4算法，但修订了对密钥的管理，将WEP的手动静态密钥换成了动态协议生成，这样每个传输的数据包都有一个与众不同的、不会重复的密钥；另外，TKIP还将密钥的长度由W EP的40位加长到128位，初始化向量IV的长度由24位加长到48位，提高了WEP加密的安全性；在防止信息传输过程中可能被篡改而用来攻击网络方面，TKIP将WEP的CRC信息完整性检测换成了MIC认证（Message Integrity Check，信息完整性校验），能更好地检测数据的真实性。TK IP的加密性能虽然比WEP高了很多，但由于使用的依然为RC4算法，所以依然存在弱密钥问题，只是弱密钥的数量少了很多，破解难度会更大。
AES-CCMP加密是WPA2中才支持的加密协议。AES-CCMP（Counter mode with CBC-MAC Protocol，计数器模式搭配CBC-M AC协议）是目前为止面向大众的最高级无线安全协议。CCMP使用128位AES （Advanced Encryption Standard，高级加密标准）加密算法实现机密性，使用CBC-MAC（区块密码锁链－信息真实性检查码协议）来保证数据的完整性和认证，密钥基于全协商的动态产生模式。AESCCMP可以为无线网络提供从认证、数据机密性、完整性和无线数据通道的重发保护。
目前为止共有WEP、WPA和WPA2三种无线加密方式，虽然中国也提出了在其上的WAPI，并强制在中国大陆上市的终端支持WAPI，但是由于接入点基本没有采用WAPI，因此几乎没有实际使用。
WEP实现
认证过程：（1）客户机首先向无线路由器、AP发送认证请求；（2）后者在收到请求后随机产生一个Challenge包（即一个字符串）发送给客户机；(3)客户机将接收到字符串用共享密钥加密后再发送给AP；（4）无线路由器、AP接收到该消息后，用密钥将该消息解密，然后将解密后的字符串和最初发给客户机的字符串进行对比，实现握手认证。如果选择的是开放系统，则无线路由器/AP不做认证，直接将客户机的M AC地址加入允许访问列表，并建立连接。
加密过程：（1）认证通过后，无线路由器/AP即利用共享密钥+初始化向量（IV）生成密钥；（2）将经过校验和计算的明文数据与密钥流进行按位异或运算得到加密后的信息；（3）将初始化向量和密文串接起来，得到要传输的加密数据帧，在无线链路上传输。注意：加密与认证没有直接关联，即便认证阶段选择的为开放系统，传输数据依然会被加密。
WPA/WPA2实现
WPA/WPA2的实现过程因为是动态密钥管理系统，WPA/WPA2在进行认证前需要先进行安全协商，以实现对加密算法和加密协商的相互确认。具体表现为：
安全协商：（1）在与客户机建立关联前，无线路由器/AP会间隔向外发送一个带有WPAIE（Information Element，信息元素）的广播帧，IE中包含了AP的安全配置信息（包括加密算法及认证方法等安全配置信息）；（2）客户机根据AP通告的I E信息来选择相应的安全配置，并将所选择的安全配置信息发送至AP。此阶段，只有双方对IE信息进行了认可，才允许客户机与之建立关联，并转入认证阶段。
认证过程：此过程与WEP类似，但增加了一个流程，就是AP需要与客户机
协商确定PMK（Pairwise Master Key，成对主密钥，申请者与认证者之间所有密钥数据的来源）。如果选择的是802.1X认证，则PMK由认证服务器产生；如果选择的是预共享认证（PSK），则PMK就是输入的预共享密码。
加密过程：（1）认证通过后，无线路由器/AP会与客户机进行数据密钥的协商，数据密钥基于PMK，通过一系列复杂的算法产生，这些密钥协商过程在每次数据传输时都会执行，以保证每一次数据传输都会生成不一样的密钥。与WEP不同，WPA/WPA2会有加密算法的选择，通常会提供TKIP和AES两种，TKIP其实就是RC4的变种。加密算法不对加密过程产生影响，仅仅决定密文的复杂度。
所有的加密技术都是基于时间尺度上的“安全”—如果在密钥的有效期内，加密系统是不可破解的，它就是安全的。
通常加密系统的弱点不在加密算法和加密体系，而在于用户所设置的接入密码。一个脆弱的密码不需要庞大的运算性能进行穷举或破解，只要借助密码词典进行有限次尝试或者单凭猜测就可突破。
本文地址:http://www.cnonline.org/2013/article/11869.html