无线加密的多种方法及其区别（WEP WPA TKIP EAP）

Dear 丶 2022-06-02 02:12 833阅读 0赞

无线加密的多种方法及其区别（WEP WPA TKIP EAP）  
无线网络的安全性由认证和加密来保证。  
认证允许只有被许可的用户才能连接到无线网络；  
加密的目的是提供数据的保密性和完整性（数据在传输过程中不会被篡改）。  
802.11标准最初只定义了两种认证方法：  
  开放系统认证（Open System Authentication）  
  共享密钥认证（Shared Key Authentication）  
以及一种加密方法：  
  有线等效保密（Wired Equivalent Privacy – WEP）  
对于开放系统认证，在设置时也可以启用WEP，此时，WEP用于在传输数据时加密，对认证没有任何作用。  
对于共享密钥认证，必须启用WEP，WEP不仅用于认证，也用于在传输数据时加密。  
WEP使用对称加密算法（即发送方和接收方的密钥是一致的），WEP使用40位或104位密钥和24位初始化向量（Initialization Vector – IV，随机数）来加密数据。  
注：使用初始化变量（IV）的目的是避免在加密的信息中出现相同的数据。例如：在数据传输中，源地址总是相同的，如果只是单纯的加密（WEP使用静态密码），这样在加密的信息中会出现相同的数据，有可能被恶意地破解。由于初始化变量（IV）是随机数，可以避免这种情况的出现。  
在配置无线网络的安全性时，一般将40位/104位密钥写成密钥长度：64位（40+24）/128位（104+24）  
由于WEP有一些严重缺陷，如初始化向量的范围有限，而且是使用明文传送……，802.11使用802.1x来进行认证、授权和密钥管理，另外，IEEE开始制订802.11i标准，用于增强无线网络的安全性。  
同时，Wi-Fi联盟与IEEE一起开发了Wi-Fi受保护的访问（Wi-Fi Protected Access – WPA）以解决WEP的缺陷  
WPA  
WPA不同于WEP，WPA同时提供认证（基于802.1x可扩展认证协议 – Extensible Authentiation Protocl - EAP的认证）和加密（临时密钥完整性协议 – Temporal Key Integrity Protocol – TKIP）。  
WPA的认证 – 802.1x  
802.1x最初设计用于有线网络，但对无线网络也适用。802.1x使用认证服务器在无线网卡和无线访问点（AP）之间提供基于端口的访问控制和相互认证。  
802.1x体系结构包括下列3部分：  
（1）Supplicant：要访问网络的设备，通常是802.11客户端  
（2）Authenticator：客户端和认证服务器的中间设备，在客户端和认证服务器之间传递信息。对于无线网络来说通常为无线访问点（AP）。  
（3）Authentication Server（认证服务器）：对Supplicant进行实际身份验证的设备，通常是远程认证拨号用户服务（Remote Authentication Dial-In User Service - RADIUS）服务器  
韩梅梅预约好了去拜访某公司老总，李雷也要去。到了公司门口，保安要求两人出示身份证明，保安通过电话与老总联系后，老总确认后通知可以让韩梅梅进来，李雷不能进去。保安根据老总的指示，对韩梅梅放行，拒绝李雷进入。  
韩梅梅和李雷相当于802.1x体系中的supplicant，保安相当于authenticator，只起一个传送信息的作用，而不是进行实际的身份验证，老总相当于authentication server，进行实际的身份验证。  
Supplicant、authenticator、authentication server三者之间需要通信。  
Supplicant和authenticator之间使用EAPoL通信，authenticator将EAP封装在其他高层协议（如RADIUS）中与authentciation server通信或authenticator将EAPoL转换为其他认证协议（如RADIUS）传递给authentication server。  
EAP和EAPoL  
我对EAP和EAPoL的区别一直很模糊。这次好好看了些资料，总结如下：  
EAP  
可扩展认证协议（EAP）是一个认证框架，而不是一种特定的认证机制，EAP提供一些公共的功能，并且允许协商认证机制（EAP方法）。EAP规定如何传输和使用由EAP方法产生的密钥材料（如密钥、证书等等）和参数。  
无线网络中常用的EAP方法（认证机制）包括EAP-TLS、EAP-SIM、EAP-AKA、LEAP和EAP-TTLS。  
EAPoL（EAP over LAN）  
EAP只定义了消息格式，每种使用EAP的协议必须定义一种将EAP消息封装到该协议消息中的方法。  
802.1x中定义了将EAP消息封装到802中的方法，这种方法称为EAP over LAN – EAPoL。所以EAPoL实际上是一种传送机制。实际的认证方法是EAP方法来指定。  
802.1x认证的核心是authenticator上端口的打开与关闭。对于合法用户（认证通过的用户）接入时，端口打开，可以自由访问网络；对于没有用户接入或非法用户（认证未通过的用户）接入时，端口关闭，这样就不能访问网络。  
  
  
802.1x认证过程中还使用了动态密钥以加密数据。  
WPA的加密 – TKIP  
临时密钥完整性协议（Temporal Key Integrity Protocol – TKIP）也是对称加密方法，使用RC4算法，TKIP使用128位临时密钥和48位初始化向量（IV）  
总结  
WPA的优点：  
（1）WPA利用802.1x认证提供强力的访问控制；  
（2）TKIP使用动态密钥  
WPA缺点：  
（1）由于TKIP使用RC4算法，安全隐患  
（2）复杂的认证和加密导致性能降低  
WPA2  
WPA2是WPA的第二版本，WPA2的加密使用CCMP方法。  
802.11i  
802.11i的目的是解决WEP的缺陷。  
802.11i规定了认证和加密。  
802.11i使用802.1x认证。  
802.11i定义了临时密钥完整性协议（TKIP）、计数器模式密码块链消息认证码协议（Counter Mode with Cipher Block Chaining Message Authentication Code Protocol – CCMP）、Wireless Robust Authentication Protocol – WRAP三种加密方式。另外还有一种AES-CCMP加密方式，AES表示Advanced encryption standard（高级加密标准），使用AES加密算法代替过时的DES（Data Encryption Standard – 数据加密标准）加密算法能够提供更高的安全性，但由于AES-CCMP需要硬件，提高了成本。  
WAPI  
无线局域网认证和保密基础结构（WLAN Authentication and Privacy Infrastructure）是我国提出的无线局域网安全标准。WAPI包括无线局域网认证基础结构（WLAN Authentication Infrastructure - WAI）和无线局域网保密基础结构（WLAN Privacy Infrastructure - WPI）。WAI提供认证功能，WPI提供加密功能。  
总结  
WPA是一个中间过渡标准，最终的安全解决标准是802.11i，WAP的认证方式是802.1x；加密方法是WEP、TKIP；WAP2的认证方式是802.1x；加密方法是WEP、TKIP和CCMP。  
即  
WPA=802.11i草案3=802.1x/EAP+WEP(可选)/TKIP  
WPA2=802.11i=802.1x/EAP+WEP（可选）/TKIP/CCMP（AES-CCMP）  
WAPI是中国无线局域网强制性标准中的安全机制，已获得ISO认可，将成为国际标准。实际上WAPI和802.11i物理层是一样的，只是协议和MAC层不一样，因此很容易在一个芯片上支持两种标准。  
问题  
前面所述WPA、WPA2、802.11i的802.1x/EAP认证都要使用authentication server（认证服务器），对于大型企业环境来说，构建一台认证服务器没有问题，但对于家庭环境和小型办公室环境来说，构建一台认证服务器不太现实，那怎么办呢？难道不管家庭/小型办公室环境下的无线网络安全性了吗？  
为了解决这个问题，802.11i提供了一种简单的认证方法：  
**使用预共享密钥（Pres-shared key – PSK）**。  
预共享密钥（PSK）需要事先在无线访问点（AP）和所有要访问无线网络的电脑上手动输入一相同的passphrase（这个词我不知道如何翻译，有些地方翻译为密码/口令，我觉得不太恰当），使用一种算法将passphrase转换为认证时使用的Pairwise Master Key（PMK），另外，在验证过程中，还要产生用于加密的动态密钥。  
这种进行认证(不使用认证服务器)/加密的方法称为WPA/WPA2-Personal或WPA/WPA2 Pre-Shared Key或WPA/WPA2-PSK  
使用认证服务器进行认证/加密的方法称为WPA/WPA2-Enterprise。  
Passphrase和password的区别  
密码（password）是一组字母、数字、符号，表示用户的身份。密码一般比较短8/6/6字符，而且密码的复杂性有要求，如不能出现常见的字、词等等。  
Passphrase类似于密码（password），但passphrase并不是直接使用的，而是通过一定的算法将passphrase转换为用于加密的密钥。Passphrase可以很长，通常为20-30个字符，另外，由于不是直接使用passphrase，所以可以使用容易记忆的句子作为passphrase  
  
  
你肯定不会设计一个没有防火墙的互联网接入的网络。因此，你怎么会架设一个没有加密的无线网络?理解无线加密对于部署一个安全的无线网络是非常重要的。  
无线传输的安全类似于一个书面信息。有各种各样的方法来发送一个书面信息。每一种方法都提供一种增强水平的安全和保护这个信息的完整性。你可以发送一张明信片，这样，这个信息对于看到它的每一个人都是公开的。你可以把这个信息放在信封里，防止有人随意看到它。如果你确实要保证只有收件人能够看到这个信息，你就需要给这个信息加密并且保证收件人知道这个信息的解码方式。  
无线数据传输也是如此。没有加密的无线数据是在空中传输的，任何在附近的无线设备都有可能截获这些数据。  
使用有线等效协议(WEP)加密你的无线网络可提供最低限度的安全，因为这种加密是很容易破解的。如果你确实要保护你的无线数据，你需要使用WPA(Wi-Fi保护接入)等更安全的加密方式。为了帮助你了解这些选择，这里简要介绍一些现有的无线加密和安全技术：  
Open System: 完全不认证也不加密，任何拥有无线网卡的人都可以连到无线接入点。  
有线等效协议(WEP)  
有线等效协议是厂商作为一种伪标准匆忙推出的一种加密方式。厂商要在这个协议标准最后确定下来之前匆忙开始生产无线设备。因此，这个协议后来发现存在一些漏洞。甚至一个初入道的攻击者也能够利用这个协议中的安全漏洞。  
Wi-Fi保护接入(WPA)   
无线接入点设定有 WEP密钥(WEP Key)，无线网卡在要接入到无线网络是必须要设定相同的WEP Key，否则无法连接到无线网络。WEP可以用在认证或是加密，例如认证使用Open System，而加密使用WEP；或者认证和加密都使用WEP。WEP加密现在已经有软件可以轻易破解，因此不是很安全。  
临时密钥完整性协议(TKIP)  
TKIP是一种基础性的技术，允许WPA向下兼容WEP协议和现有的无线硬件。TKIP与WEP一起工作，组成了一个更长的128位密钥，并根据每个数据包变换密钥，使这个密钥比单独使用WEP协议安全许多倍。  
可扩展认证协议(EAP)  
有EAP的支持，WPA加密可提供与控制访问无线网络有关的更多的功能。其方法不是仅根据可能被捕捉或者假冒的MAC地址过滤来控制无线网络的访问，而是根据公共密钥基础设施(PKI)来控制无线网络的访问。  
虽然WPA协议给WEP协议带来了很大的改善，它比WEP协议安全许多倍，但是，任何加密都比一点都不加密好得多。如果WEP是你的无线设备上拥有的惟一的保护措施，这种保护措施仍然可以阻止随意地危害你的无线数据并且使大多数新入道的攻击者寻找没有保护的无线网络来利用。  
  
  
Wi-Fi (IEEE 802.11b, IEEE 802.11g, IEEE 802.11n)无线局域网的认证(Authentication)和加密(Encryption)方式有Open System, WEP, WPA, WPA2, MAC ACL, Web Redirection几种。  
Open System: 完全不认证也不加密，任何拥有无线网卡的人都可以连到无线接入点。  
WEP (Wired Equivalent Privacy): 有线等效保护协议。无线接入点设定有 WEP密钥(WEP Key)，无线网卡在要接入到无线网络是必须要设定相同的WEP Key，否则无法连接到无线网络。WEP可以用在认证或是加密，例如认证使用Open System，而加密使用WEP；或者认证和加密都使用WEP。WEP加密现在已经有软件可以轻易破解，因此不是很安全。  
WPA (Wi-Fi Protected Access): WPA的认证分为两种：第一种采用802.1x+EAP的方式，用户提供认证所需的凭证，如用户名密码，通过特定的用户认证服务器(一般是RADIUS服 务器)来实现。在大型企业网络中，通常采用这种方式。另外一种是相对简单的模式，它不需要专门的认证服务器，这种模式叫做WPA预共享密钥(WPA-PSK)，仅要求在每个WLAN节点(AP、无 线路由器、网卡等)预先输入一个密钥即可实现。只要密钥吻合，客户就可以获得WLAN的访问权。由于这个密钥仅仅用于认证过程，而不用于加密过程，因此不 会导致诸如使用WEP密钥来进行802.11共享认证那样严重的安全问题。  
WPA采用TKIP（Temporal Key Integrity Protocal）为加密引入了新的机制，它使用一种密钥构架和管理方法，通过由认证服务器动态生成分发的密钥来取代单个静态密钥、把密钥首部长度从24 位增加到48位等方法增强安全性。而且，TKIP利用了802.1x/EAP构架。认证服务器在接受了用户身份后，使用802.1x产生一个唯一的主密钥 处理会话。然后，TKIP把这个密钥通过安全通道分发到AP和客户端，并建立起一个密钥构架和管理系统，使用主密钥为用户会话动态产生一个唯一的数据加密密钥，来加密每一个无线通信数据报文。TKIP的密钥构架使WEP静态单一的密钥变成了500万亿可用密钥。虽然WPA采用的还是和WEP一样的RC4加 密算法，但其动态密钥的特性很难被攻破。  
WPA2: WPA2顾名思义就是WPA的加强版，也就是IEEE 802.11i的最终方案。同样有家用的PSK版本与企业的IEEE 802.1x版本。WPA2与WPA的差別在于，它使用更安全的加密技术AES (Advanced Encryption Standard)，因此比WPA更难被破解、更安全。

MAC ACL (Access Control List): MAC ACL只是一种认证方式。在无线AP輸入允许被连入的无线网卡MAC位址，不在此清单的无线网卡无法连入无线网络。

# WPA2-EAP的框图 #

![20150530032233925][]

简单的说，**PSK使用的是预先设置的密码进行验证，而EAP使用的是远程的服务器进行密码验证。**（个人总结，若描述错误请指正，谢谢！）

转自：

http://blog.csdn.net/neilengineer/article/details/46258715

https://wenku.baidu.com/view/cf93b8ede009581b6bd9ebd9.html

[20150530032233925]: /images/20220602/0131a64cc79c475487150edd939266c1.png