无线局域网安全原理(d1上)(修订版)

无线局域网安全原理概述无线传输与接入事业部大纲802.11标准简介WLAN安全概述WLAN安全漏洞分析WLAN常用技术WLAN的其它安全手段常用密码算法简介1.802.11标准简介802.11标准简介802.11为IEEE（电机电子工程师协会，TheInstituteofElectricalandElectronicsEngineers）于1997年公告的无线区域网路标准，适用于有线站台与无线用户或无线用户之间的沟通连结。802.11标准简介IEEE标准标准描述802.111997年制定的第一份WLANPHY标准，制定了MAC及直接序列展频技术(DSSS)和跳频展频技术(DFSS)802.11a1999年制定的PHY标准，确定了最大速率54Mbps及运行在5.8GHz的频率之上,确定了使用正交频分复用(OFDM)技术802.11b1999年制定的PHY标准，确定最大速率11Mbps及运行在2.4GHz的频率之上TGc负责更正802.11a编码规范的任务组。802.11d扩展调频的功能，使之能在不同的管治区域中使用TGe为MAC提供QOS扩展功能，在形成802.11e之前，先形成WMM的过渡版本。802.11f改善接入点之间漫游功能的内部协议。802.11g2003年制定的PHY标准，确定了最大速率54Mbps及运行在2.4GHz的频率之上。802.11h使802.11a符合欧洲的无线电标准。802.11标准简介IEEE标准标准描述802.11i链路层的安全标准。802.11j使802.11a符合日本无线电管制的标准TGk改善客户端与网络间的通信，使无线电资源的管理和利用更有效。TGm负责将802.11a,802.11b,802.11d及TGc的变动整合进802.11主规范中。802.11n2009年制定的标准，制定了最大600Mbps,可运行于2.4GHz和5.8GHz,采用多进多出技术(MIMO)智能天线技术及OFDM的先进无线标准。TGp负责让802.11适用汽车行业的任务组。TGr加强漫游的性能TGs负责让802.11成为网状网络技术（MESH）的任务组TGt负责为802.11设计测试与测量标准的任务组。TGu负责让802.11与其他不同网络技术互通的任务组2.WLAN安全概述WLAN安全概述无线局域网（WLAN）具有安装便捷、使用灵活、经济节约、易于扩展等有线网络无法比拟的优点，因此无线局域网得到越来越广泛的使用。但是由于无线局域网信道开放的特点，使得攻击者能够很容易的进行窃听，恶意修改并转发，因此安全性成为阻碍无线局域网发展的最重要因素。虽然一方面对无线局域网需求不断增长，但同时也让许多潜在的用户对不能够得到可靠的安全保护而对最终是否采用无线局域网系统犹豫不决。为了有效的对WLAN的安全进行保护，先后出现了多种技术或机制。它们可以单独使用，也可以结合起来使用。目前仍在使用的WLAN安全技术有：物理地址（MAC）过滤；服务区标识符(SSID)匹配；有线对等保密（WEP）；端口访问控制技术（IEEE802.1x）；WPA(Wi-FiProtectedAccess)；IEEE802.11i；WAPI等。WLAN安全概述可以将这些技术手段整合起来，在不同的场景使用不同级别的安全策略，例如：安全级别典型场合使用技术初级安全小型企业，家庭用户等WPA-PSK+隐藏SSID+MAC地址绑定中级安全仓库物流、医院、学校、餐饮娱乐IEEE802.1x认证+TKIP加密专业级安全各类公共场合及网络运营商、大中型企业、金融机构用户隔离技术＋IEEE802.11i＋Radius认证和计费+PORTAL页面推送（对运营商）WLAN安全概述3.WLAN安全漏洞分析WLAN安全漏洞分析WLAN的安全威胁WLAN的安全威胁主要来自于以下几个部分：未经授权的接入；MAC地址欺骗；无线窃听；企业级入侵未经授权的接入:

指的是在开放式的WLAN系统中，非指定用户也可以接入AP，导致合法用户可用的带宽减少，并对合法用户的安全产生威胁。WLAN安全漏洞分析MAC地址欺骗:

对于使用了MAC地址过滤的AP,也可以通过抓取无线包，来获取合法用户的MAC地址，从而通过AP的验证，来非法获取资源。WLAN安全漏洞分析无线窃听:对于WLAN来说，所有的数据都是可以监听到的，无线窃听不仅可以窃听到AP和STA的MAC，而且可以在网络间伪装一个AP，来获取STA的身份验证信息。WLAN安全漏洞分析企业级入侵：

相比传统的有现网络，WLAN更容易成为入侵内网的入口。大多数企业的防火墙都在WLAN系统前方，如果黑客成功的攻破了WLAN系统，则基本认为成功的进入了企业的内网，而有线网络黑客往往找不到合适的接入点，只有从外网进行入侵。WLAN安全漏洞分析WLAN系统的安全要求基于以上的针对WLAN系统的安全威胁，WLAN系统的安全系统应满足以下的要求:机密性：这是安全系统的最基本要求，它可以提供数据、语音、地址等的保密性，不同的用户，不同的业务和数据，有不同的安全级别要求；合法性：只有被确定合法并给予授权的用户才能得到相应的服务。这需要用户识别（Identify）和身份验证(Authenticate)；数据完整性：协议应保证用户数据的完整并鉴定数据来源；不可否认性：数据的发送方不能否认它发送过的信息，否则认为不合法；WLAN安全漏洞分析WLAN系统的安全要求访问控制:应在接入端对STA的IP,MAC等进行维护,控制其接入；可用性:WLAN应该具有一些对用户接入、流量控制等一系列措施，使所有合法接入者得到较好的用户体验；健壮性:一个WLAN系统应该不容易崩溃,具有较好的容错性及恢复机制。WLAN安全漏洞分析4.WLAN常用安全技术WLAN常用安全技术在802.11中，有如下几种常用安全认证方式，它们是人们常见的形式，并且不一定是独立存在的，可能存在一些重叠或包含关系：WEPWPA802.11i802.1x

WEP：WiredEquivalentPrivacy有线等效保密算法

WEP(有线等效加密)是当初1999年通过的802.11标准的一部分,当初是为了使WLAN的网络达到和有线网络一致的机密性而就此命名的。

WEP使用RC4（RivestCipher）串流加密算法达到机密性，并由CRC32验证数据完整性。WLAN常用安全技术

WEP被用来提供和有线LAN同级的安全性。LAN天生比WLAN安全，因为LAN的物理结构对其有所保护，部分或全部网络埋在建筑物里面也可以防止未授权的访问。经由无线电波的WLAN没有同样的物理结构，因此容易受到攻击、干扰。WEP的目标就是通过对无线电波里的数据加密提供安全性，如同端-端发送一样。WLAN常用安全技术标准的64比特WEP使用40比特的钥匙接上24比特的初向量(initializationvector，IV)成为RC4用的钥匙。在起草原始的WEP标准的时候，美国政府在加密技术的输出限制中限制了钥匙的长度，一旦这个限制放宽之后，所有的主要业者都用104比特的钥匙实作了128比特的WEP延伸协定。用户输入WEP共享密码可以用ASCII和HEX两种方式来输入，其中ASCII为字符模式，既输入5（64bit模式）个或13（128bit模式）字符；HEX模式为十六进制模式，既输入10个（64bit模式）或26个（128bit模式）从0-9及A-F之间的字符。WLAN常用安全技术64bitWEP密钥构成WLAN常用安全技术128bitWEP密钥构成WLAN常用安全技术WEP有两种方式：开放式系统（OpenSystem）共享密钥（SharedKey）WLAN常用安全技术WEP报文加密过程WLAN常用安全技术WEPSharedKey验证机制STAWTP身份认证请求发送随机数用密文响应确认成功生成随机数发送到客户端解密收到的相应结果，并与原发送的随机数进行比较，如果相同则认为成功RC4加密随机数WLAN常用安全技术

WPA：WI-FIProtectedAccess

WI-FI访问保护由于WEP无法为WLAN的安全性做出有效的保障,在802.11i出台之前,WIFI联盟设计了一套用来完全取代WEP的方案,即WPA(WI-FIProtectedAccess). WPA主要包含以下的内容: 1.WPA-PSK（Pre-SharedKey）

2.802.1x这一节讲述WPA主要针对WPA-PSK，802.1x后面有专门的章节讲述。WLAN常用安全技术

WPA-PSK采用的是一种叫做TKIP（TemporalKeyIntegrityProtocol，临时密钥集成协议）的协议，它的设计完全是在WEP的基础上升级而来，一般都能适用于早期使用WEP的设备。它对比WEP，做出的改进主要有：

1.加入了密钥管理；

2.每帧生成密钥；

3.序列号计数器；

4.非线形的消息完整性检验。WLAN常用安全技术TKIP加密过程WLAN常用安全技术TKIP密钥混合过程WLAN常用安全技术TKIP封装格式WLAN常用安全技术TKIP接收解密过程WLAN常用安全技术TKIP完整封包过程WLAN常用安全技术TKIP加密的802.11帧WLAN常用安全技术802.11i802.11链路安全标准WLAN常用安全技术802.11i的来历和组成部分为了进一步加强无线网络的安全性和保证不同厂家之间无线安全技术的兼容，IEEE802.11工作组开发了作为新的安全标准的IEEE802.11i，并且致力于从长远角度考虑解决IEEE802.11无线局域网的安全问题。IEEE802.11i标准中主要包含加密技术：TKIP(TemporalKeyIntegrityProtocol)AES（AdvancedEncryptionStandard）IEEE802.1x。

IEEE802.11i标准已在2004年6月24美国新泽西的IEEE标准会议上正式获得批准。WLAN常用安全技术802.11i和WPA的关系

WPA、WPA2是WI-FI联盟推动的对802.11安全标准的升级，它们在802.11i还未出台前就市场化了。可以说WPA就是802.11i的子集，在市场的一些WLAN设备上常见一些叫法：WPA个人版：即802.11iTKIPWPA企业版：即802.1xWPA2个人版：加入了CCMPWPA2企业版：即802.1xWLAN常用安全技术CCMP加密

CCMP主要是两个算法所组合而成的，分别是CTRmode以及CBC-MACmode。CTRmode为加密算法，CBC-MAC用于讯息完整性的运算。在IEEE802.11i规格书中，CCMP为defaultmode，在所谓的RSNnetwork中，扮演相当重要的角色。以下将分别简介CTRmode以及CBC-MAC。RSN:802.11规范的健壮安全网络(RobustSecurityNetwork)WLAN常用安全技术CTRMode

全名是AdvancedEncryptionStandard(AES)inCounterMode，在CCMP使用的AES是basedonRijndaelAlgorithm所发展出的算法，主要是经过NIST(NationalInstituteofStandardsandTechnology)修改并且认证，不再有TKIPprotocol支持WEP系统的既有攻击，所以在安全强度上，有一定的水平。WLAN常用安全技术CTRModeWLAN常用安全技术CBC-MAC

全名是CipherBlockChainingMessageAuthenticationCode，就如同其名，主要是针对messageblock作运算，最后输出messageauthenticationcode，达到验证message的效果(因为CTR并没有提供authentication的机制)。

CBC-MAC加解密过程主要是把Messageblock经由blockcipheralgorithm加密后，再把输出给下一个block当input使用。一开始第一个block没有input所以IV用0代入。在CCMP里会把低位的64-bit无条件的去掉，只取高位64-bit当做MIC。WLAN常用安全技术AES-CCM加密过程WLAN常用安全技术AES-CCM加密过程分解（1）

AES-CCM要求发射机生成惟一的随机值Nonce，每个分组进行加密时使用的随机值各不相同。第0～4B是由GMH的前5B构成的。第5-8B是预留段，全部设置为0。第9-12B是分组序号(PacketNumber，PN)。PN与安全关联(SA)对应，当安全关联建立和新TEK安装完毕后，PN设置为1。由于Nonce值取决于GMH，因而接收机能够检测到GMH的变化。WLAN常用安全技术AES-CCM加密过程分解（1）

为了产生消息认证码(MessageAuthenticationCode，MAC)，AES-CCM使用的是CBC模式的一种变形。AES-CCM不使用Ⅳ，而是在对消息进行加密之前，将CBC分组添加到消息的开头。初始CBC分组是由一个标记、分组Nonce值和载荷长度构成的。WLAN常用安全技术AES-CCM加密过程分解（1）为了对载荷和消息认证码进行加密，AES-CCM采用了计数器(CTR)模式。使用这种模式，可生成n个计数器分组，其中n是与消息长度和消息认证码的一个分组长度(AES使用128bit分组)之和相匹配的分组数。第1个分组用于对消息认证码进行加密，其余分组用于对载荷进行加密。计数器分组是由标识、分组Nonce、分组序号i(o≤i≤n)组成的。WLAN常用安全技术AES-CCM加密过程分解（1）WLAN常用安全技术AES-CCM加密过程分解（1）消息认证码是通过对初始CBC分组和明文载荷进行加密得到的，消息认证码生成和消息认证码的加密过程如图7-9所示。产生消息认证码的第1步是从PDU中提取明文载荷，并将初始CBC分组添加到明文载荷的起始位置；然后，使用AES-CBC和来自连接SA的TEK对消息进行加密，并选择加密后输出结果的最后128bit(AES分组的大小)来表示消息认证码。发送者执行此过程，然后对消息和消息认证码进行加密。接收者对消息和消息认证码进行解密，然后对消息执行相同的过程。然后，接收者将生成的消息认证码与接收到的消息认证码进行比较。如果两者相同，则消息通过认证，否则丢弃该消息。WLAN常用安全技术AES-CCM加密过程分解（2）WLAN常用安全技术AES-CCM加密过程分解（2）对消息认证码的加密，是通过使用AES-CTR模式和来自于SA的TEK对计数器分组0进行加密来实现的。加密后的分组与消息认证码进行异或运算，来生成加密的消息认证码版本。对载荷的加密，是通过使用AES-CTR模式和用于加密消息认证码的同一TEK对1～n的计数器分组进行加密得到的。然后，从PDU中提取出明文载荷，并与加密后的计数器分组进行异或运算，从而生成密文载荷。然后，将分组序号到密文载荷前，将消息认证码添加到密文载荷的后面，这样这组数据就代替了明文载荷。将GMH中的EC位设置为1，表示加密后的载荷，同时对EKS进行设置，以表示用来加密载荷的TEK。对于新的密文载荷，如果包含了CRC，则需要对其进行更新。WLAN常用安全技术802.1x端口访问控制WLAN常用安全技术802.1x简介

802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口(accessport)访问LAN/WLAN。在获得交换机或LAN提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许EAPoL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。

802.1x的核心是EAP协议（ExtensibleAuthenticationProtocol）。WLAN常用安全技术802.1x体系结构在802.1x协议中，只有具备了以下三个元素才能够完成基于端口的访问控制的用户认证和授权。客户端：一般安装在用户的工作站上，当用户有上网需求时，激活客户端程序，输入必要的用户名和口令，客户端程序将会送出连接请求。认证系统：在无线网络中就是无线接入点AP或者具有无线接入点AP功能的通信设备。其主要作用是完成用户认证信息的上传、下达工作，并根据认证的结果打开或关闭端口。认证服务器：通过检验客户端发送来的身份标识（用户名和口令）来判别用户是否有权使用网络系统提供的服务，并根据认证结果向认证系统发出打开或保持端口关闭的状态。WLAN常用安全技术802.1x体系结构WLAN常用安全技术802.1x体系结构

EAP是802.1x的核心，从客户端到验证端通过EAPOL协议传送，从验证断到验证服务器端是通过EAPoverRadius协议传送。WLAN常用安全技术EAP的扩展与组成WLAN常用安全技术EAPOL在以太网帧中的位置同步头7字节起始帧1字节目的地址6字节源地址6字节长度/类型2字节数据46~1500字节CRC4字节PAE的以太网类型2字节协议版本1字节数据帧类型1字节数据帧长度2字节数据N字节以太网帧EAPOL帧0x888E0x01数据帧类型值EAP-Packet0x00EAPOL-Start0x01EAPOL-Logoff0x02EAPOL-Key0x03EAPOL-Encapsulated-ASF-Alert0x04WLAN常用安全技术典型的STA-AP-RADIUS认证过程WLAN常用安全技术PORTALWEB认证技术WLAN常用安全技术PORTAL概述PORTAL在英语中是入口的意思。PORTAL认证通常也称为WEB认证，一般将PORTAL认证网站称为门户网站。未认证用户上网时，设备强制用户登录到特定站点，用户可以免费访问其中的服务。当用户需要使用互联网中的其它信息时，必须在门户网站进行认证，只有认证通过后才可以使用互联网资源。用户可以主动访问已知的PORTAL认证网站，输入用户名和密码进行认证，这种开始PORTAL认证的方式称作主动认证。反之，如果用户试图通过HTTP访问其他外网，将被强制访问PORTAL认证网站，从而开始PORTAL认证过程，这种方式称作强制认证。

PORTAL业务可以为运营商提供方便的管理功能，门户网站可以开展广告、社区服务、个性化的业务等，使宽带运营商、设备提供商和内容服务提供商形成一个产业生态系统。WLAN常用安全技术PORTAL的系统组成主要系统组成AccessController：接入控制器。实现用户强制Portal、业务控制，接收PortalServer发起的认证请求，完成用户认证功能。PortalServer：门户网站。推送认证页面及用户使用状态页面，接收WLAN用户的认证信息，向AC发起用户认证请求以及用户下线通知。RadiusServer：中心认证服务器,和AC一同完成用户认证，并将用户使用网络信息提供后台计费系统。WLAN常用安全技术PORTAL的认证过程PORTAL认证分为两种模式,为:CHAP模式PAP模式其中CHAP模式是具有请求挑战字的模式，密码不以明文传输,较PAP的明文传输密码安全，所以是PORTAL认证的首选模式。WLAN常用安全技术CHAP认证过程WLAN常用安全技术CHAP认证过程用户访问网站，经过AC重定向到PortalServer；Portalserver推送统一的认证页面；用户填入用户名、密码，提交页面，向PortalServer发起连接请求；Portal向Radius发出用户信息查询请求，由Radius验证用户密码、查询用户信息，并向Portal返回查询结果及系统配置的单次连接最大时长、手机用户及卡用户的套餐剩余时长信息；如果查询失败，Portal结束认证流程，并直接返回提示信息给用户，指导用户开户及正确使用；如果查询成功，PortalServer向AC请求Challenge；AC分配Challenge给PortalServer；PortalServer向AC发起认证请求；而后AC进行RADIUS认证，获得RADIUS认证结果；AC向PortalServer送认证结果；PortalServer根据编码规则判断帐户的归属地，推送归属地定制的个性化页面，并将认证结果、系统配置的单次连接最大时长、套餐剩余时长、自服务选项填入页面，和门户网站一起推送给客户,同时启动正计时提醒；PortalServer回应确认收到认证结果的报文。WLAN常用安全技术PAP认证过程WLAN常用安全技术PAP认证过程用户访问网站，经过AC重定向到PortalServer；Portalserver推送统一的认证页面；用户填入用户名、密码，提交页面，向PortalServer发起连接请求；Portal向Radius发出用户信息查询请求，由Radius验证用户密码、查询用户信息，并向Portal返回查询结果及系统配置的单次连接最大时长、手机用户及卡用户的套餐剩余时长信息；如果查询失败，Portal直接返回提示信息给用户，指导用户开户及正确使用；如果查询成功，PortalServer向AC发起认证请求；而后AC进行RADIUS认证，获得RADIUS认证结果；AC向PortalServer送认证结果；PortalServer根据编码规则判断帐户的归属地，推送归属地定制的个性化页面，并将认证结果、系统配置的单次连接最大时长、套餐剩余时长、自服务选项填入页面，和门户网站一起推送给客户,同时启动正计时提醒；PortalServer回应确认收到认证结果的报文。WLAN常用安全技术PORTAL认证过程中的重定向

PORTAL认证的第一步也是最重要的一步就是让用户能看到PORTAL登录页面，其关键点就是能将用户的HTTP请求重定向到AC（直接让用户输入PORTAL的URL也可以，但是用户体验程度就比较低下了）。现在比较普遍的做法是，AC在集中转发模式下，收到未认证（AC中有用户状态可维护）用户的第一个HTTP请求，则发送一个HTTPRedirect报文（“302MovedTemporarily”或“301MovedPermanen”），其中包含URL如下：

http://xxx.xxx.xxx.xxx/?wlanuserip=xxx.xxx.xxx.xxx&wlanacip=xxx.xxx.xxx.xxx

其中：wlanuserip为请求用户的IP，wlanacip为ac的IP。WLAN常用安全技术中移动PORTAL标准报文格式WLAN常用安全技术中移动PORTAL标准报文格式Ver

Ver字段是协议的版本号，长度为1字节，目前定义的值为0x01。WLAN常用安全技术中移动PORTAL标准报文格式TypeType字段定义报文的类型，长度为1字节，目前其值的定义如下表Type值方向含义REQ_CHALLENGE0x01Client----->ServerPortalServer向AC设备发送的请求Challenge报文ACK_CHALLENGE0x02Client<-----ServerAC设备对PortalServer请求Challenge报文的响应报文REQ_AUTH0x03Client----->ServerPortalServer向AC设备发送的请求认证报文ACK_AUTH0x04Client<-----ServerAC设备对PortalServer请求认证报文的响应报文REQ_LOGOUT0x05Client----->Server若ErrCode字段值为0x00，表示此报文是PortalServer向AC设备发送的请求用户下线报文；若ErrCode字段值为0x01，表示该报文是PortalServer发送的超时报文，其原因是PortalServer发出的各种请求在规定时间内没有收到响应报文。ACK_LOGOUT0x06Client<-----ServerAC设备对PortalServer请求下线报文的响应报文AFF_ACK_AUTH0x07Client----->ServerPortalServer对收到的认证成功响应报文的确认报文；NTF_LOGOUT0x08Server-->Client用户被强制下线通知报文REQ_INFO0x09Client-->Server信息询问报文ACK_INFO0x0aServer-->Client信息询问的应答报文WLAN常用安全技术中移动PORTAL标准报文格式Pap/Chap

Pap/Chap字段定义此用户的认证方式，长度为1字节，只对Type值为0x03的认证请求报文有意义：Chap方式认证－－－值为0x00；Pap方式认证－－－值为0x01；Rsv

Rsv目前为保留字段，长度为1字节，在所有报文中值为0；WLAN常用安全技术中移动PORTAL标准报文格式SerialNo

SerialNo字段为报文的序列号，长度为2字节，由PortalServer随机生成，PortalServer必须尽量保证不同认证流程的SerialNo在一定时间内不得重复，在同一个认证流程中所有报文的SerialNo相同。ReqID

ReqID字段长度为2个字节，由AC设备随机生成，尽量使得在一定时间内ReqID不重复。标注每一次请求/应答的一对数据可以匹配。UserIP

UserIP字段为Portal用户的IP地址，长度为4字节，其值由PortalServer根据其获得的IP地址填写，在所有的报文中此字段都要有具体的值；UserPort

UserPort字段目前没有用到，长度为2字节，在所有报文中其值为0；ErrCode

ErrCode字段和Type字段一起表示一定的意义，长度为1字节，比如PORTAL请求CHALLENGE成功，ErrCode=0。WLAN常用安全技术中移动PORTAL标准报文格式AttrNumAttrNum字段表示其后边可变长度的属性字段属性的个数，长度为1字节（表示属性字段最多可有255个属性），其值在所有的报文中都要根据具体情况赋值；

TLV属性报文属性字段（Attr）的格式Attr字段（属性字段）是一个可变长字段，由多个属性依次链接而成，每个属性的格式为TLV格式，格式为：WLAN常用安全技术中移动PORTAL标准报文格式TLV属性如下列表Attr(属性字段)AttrType属性值长度属性含义UserName0x01<=253（可变）用户名PassWord0x02<=16（可变）用户提交的明文密码Challenge0x0316（固定）Chap方式加密的魔术字ChapPassWord0x0416（固定）经过Chap方式加密后的密码WLAN常用安全技术WAPI：WirelessLANAuthenticationandPrivacyInfrastructure无线局域网鉴别和保密基础结构WLAN常用安全技术WAPI(WLANAuthenticationandPrivacyInfrastructure)，即无线局域网鉴别与保密基础结构，它是针对IEEE802.11中WEP协议安全问题，在中国无线局域网国家标准GB15629.11中提出的WLAN安全解决方案。它的主要特点是采用基于公钥密码体系的证书机制，真正实现了移动终端(MT)与无线接入点(AP)间双向鉴别。2006年3月7日，WAPI产业联盟成立大会在北京召开，WAPI产业联盟正式成立。WAPI简介WLAN常用安全技术WAPI认证过程WLAN常用安全技术WAPI与802.11i的对比项目WEPWAPIIEEE802.11i鉴别鉴别机制单向鉴别（AP鉴别MT）双向鉴别（AP和MT通过AS实现相互的身份鉴别）单向和双向鉴别（MT和Radius之间），MT不能够鉴别AP的合法性鉴别方法开放式系统鉴别（或共享密钥鉴别）身份凭证为公钥数字证书；无线用户与无线接入点地位对等，实现无线接入点的接入控制；客户端支持多证书，方便用户多处使用用户身份通常为用户名和口令；AP后端的Radius服务器对用户进行认证；鉴别对象客户机用户用户密钥管理无全集中（局域网内统一由AS管理）AP和Radius服务器之间需手工设置共享密钥；AP和MT之间只定义了认证体系结构，不同厂商的具体设计可能不兼容；算法64bitRC4192位椭圆曲线算法（ECC192）与具体的协议有关安全漏洞鉴别易于伪造未查明用户身份凭证简单，被盗取后可任意使用；加密密钥静态动态动态算法64bitRC4128-bitSMS4128bitAES和128bitRC4WLAN常用安全技术5.WLAN的其他安全手段WLAN的其他安全手段除了以上讲述的几种常用的WLAN安全解决方法，随着技术的进步、WLAN与其他无线系统的学习和融合，还有一些多元化的选择：动态密钥（D-Key）；双因素身份认证（Two-factorAuthenti