无线安全 Wi-Fi 认证模式

本章将简要介绍无线部署中使用的可能的认证方案。它们是：开放式认证和基于预共享密钥 (PSK) 的认证。前者基于 EAP 帧来派生动态密钥。

开放式认证

"开放式认证"这个术语本身就非常具有误导性。它暗示某种认证机制已到位，但实际上，此方案中的认证过程更像是一个形式步骤，而不是认证机制。该过程如下所示：

简单来说，这种交换表明，在认证请求中，无线客户端（Supplicant）表示“你好，AP，我想进行认证”，而 AP 的认证响应表示“好的，给你”。你看到这种设置中有什么安全性吗？我也没有……

因此，决不应该使用开放式认证，因为它允许任何客户端在没有正确的安全检查的情况下进行网络认证。

基于 EAP 的四路握手（使用 WPA/WPA2）

当无线客户端向 AP 进行身份验证时，两者都会经历一个称为**四路握手**的四步身份验证过程。在这些消息交换过程中，共享密码是在 AP 和无线客户端之间生成的，而不会在任何这些 EAP 消息中传输。

成对主密钥 (PMK) 是黑客想要收集的东西，以便破坏网络加密方案。PMK 只有 Supplicant 和 Authenticator 才知道，但在传输过程中不会共享。

然而，会话密钥是，它们是 ANonce、SNonce、PMK、Supplicant 和 Authenticator 的 MAC 地址的组合。我们可以将其关系写成数学公式：

会话密钥 = f(ANonce, SNonce, PMK, A_MAC, S_MAC).

为了从此等式中推导出 PMK，必须破解 AES/RC4（取决于使用 WPA2 还是 WPA）。这并不容易，因为唯一可行的方法是执行暴力破解或字典攻击（假设你有一个非常好的字典）。

这绝对是一种推荐使用的身份验证方法，并且肯定比使用开放式认证更安全。

Wi-Fi 粉笔标记

Wi-Fi 粉笔标记是无线局域网历史上非常有趣的一个概念，主要在美国使用。其主要思想是标记那些实施了开放式认证或具有弱认证的 WLAN 的场所。这样，任何人在墙上或地上发现这个用粉笔写的标志，他就可以无需身份验证即可登录 Wi-Fi 系统。聪明吧？

你可能会问自己——为什么是粉笔而不是某种标记笔、喷雾剂或其他更永久的标记方式？答案很简单，来自刑法——用粉笔书写不被视为破坏行为。