WIFI无线网络之WPA3

Wi-Fi WPA3（Wi-Fi Protected Access 3）是 Wi-Fi 联盟于 2018 年推出的最新一代无线网络安全协议，旨在解决 WPA2 中存在的安全缺陷（如 KRACK 攻击、离线字典攻击等），并为不同使用场景提供更强的隐私保护和认证机制。

WPA3 分为两个主要版本，分别面向不同用户群体：

WPA3 的两大核心模式

1. WPA3-Personal（面向家庭/小型办公室）

• 替代：WPA2-Personal（即使用预共享密钥 PSK 的传统家庭 Wi-Fi）
• 核心机制：SAE（Simultaneous Authentication of Equals，对等实体同时认证）
• 目标：防止离线字典攻击、提升前向保密性

✅ 安全增强点：

• 抗暴力破解：即使攻击者捕获了完整的握手过程，也无法通过离线字典攻击快速破解密码（WPA2 的 4-Way Handshake 存在此漏洞）。
• 前向保密（Forward Secrecy）：每次连接生成唯一的加密密钥。即使未来密码泄露，历史通信仍无法解密。
• 双向认证：客户端和 AP 都验证对方是否知道密码，防止“伪 AP”欺骗（部分缓解）。

⚠️ 注意事项：

• 密码强度仍重要：虽然 SAE 抗暴力破解，但弱密码（如 “12345678”）仍可能被在线猜测。
• 兼容性问题：仅支持 WPA2 的旧设备无法连接纯 WPA3 网络。可启用 WPA3/WPA2 Transition Mode（过渡模式），但会降低安全性。

2. WPA3-Enterprise（面向企业/高安全需求场景）

• 替代：WPA2-Enterprise
• 核心机制：基于 802.1X/EAP 的认证 + 192 位安全套件
• 目标：满足政府、金融等高安全合规要求（如 CNSA 标准）

✅ 安全增强点：

• 强制使用 192 位加密套件：
  • 加密算法：GCMP-256（替代 CCMP-128）
  • 密钥交换：ECDH（椭圆曲线 Diffie-Hellman）使用 384 位曲线（P-384）
  • 完整性保护：SHA384（替代 SHA1/MD5）
• 统一安全策略：所有设备必须满足 CNSA（Commercial National Security Algorithm）标准。
• 更强的身份认证：支持证书、智能卡、RADIUS 服务器等。

📦 适用于：政府机构、军队、金融机构等对安全有强制合规要求的场景。

WPA3 新增的第三类：Enhanced Open（基于 OWE）

虽然不属于“WPA3-Personal/Enterprise”命名体系，但它是 WPA3 安全框架的重要组成部分。

Enhanced Open（增强型开放网络）

• 适用场景：公共 Wi-Fi（如机场、咖啡馆、酒店）
• 技术基础：OWE（Opportunistic Wireless Encryption）
• 目标：在无需密码的开放网络中实现个体加密

✅ 安全增强点：

• 每用户独立加密通道：即使在同一开放网络中，用户 A 无法嗅探用户 B 的流量。
• 无认证但有加密：使用 Diffie-Hellman（如 Curve25519）协商会话密钥。
• 无缝体验：用户仍像连接普通开放 Wi-Fi 一样，无需输入密码。

📦 这是对传统“开放 Wi-Fi = 明文传输”模式的重大改进。

WPA3 vs WPA2 关键对比

特性	WPA2	WPA3
个人网络认证	PSK + 4-Way Handshake	SAE（Dragonfly 协议）
企业网络加密强度	可选（通常 128 位）	强制 192 位套件（WPA3-Enterprise）
前向保密	❌ 无	✅ 有（SAE 和 OWE 均支持）
抗离线字典攻击	❌ 易受攻击	✅ SAE 有效防御
开放网络加密	❌ 明文传输	✅ OWE 提供个体加密
对 KRACK 攻击的防护	❌ 存在漏洞（需打补丁）	✅ 协议层修复
最小密码长度要求	8 字符	仍为 8 字符，但 SAE 使弱密码更难破解

两种关键认证与加密机制

OWE 和 SAE 是 Wi-Fi 联盟在 WPA3 安全协议中引入的两种关键认证与加密机制，用于提升无线网络的安全性，分别适用于不同场景：

1. OWE（Opportunistic Wireless Encryption，机会性无线加密）

• 适用场景：开放网络（如咖啡馆、机场等公共 Wi-Fi），即无需密码即可连接的网络。
• 目的：在不改变用户连接体验（无需输入密码）的前提下，为每个用户会话提供单独加密，防止“中间人攻击”和“流量嗅探”。
• 工作原理：
  • 使用 Diffie-Hellman 密钥交换（基于椭圆曲线，如 Curve25519）在客户端和 AP 之间协商一个唯一的会话密钥。
  • 每个用户拥有独立的加密通道，即使在同一开放网络中，也无法互相窃听。
• 认证方式：无认证（仍为开放网络），但有加密。
• Wi-Fi 联盟术语：在 WPA3 中称为 “OWE Transition Mode” 或 “Enhanced Open”。
• 兼容性：需要客户端和 AP 均支持 OWE（WPA3-Enterprise 或 WPA3-Personal 的一部分）。

✅ 优点：提升公共 Wi-Fi 安全，无需用户操作。
❌ 缺点：不提供身份认证，无法防止恶意 AP（如钓鱼热点）。

2. SAE（Simultaneous Authentication of Equals，对等实体同时认证）

• 适用场景：个人/家庭 Wi-Fi 网络（即传统 WPA2-Personal 使用预共享密钥 PSK 的场景）。
• 目的：替代 WPA2 中的 PSK（Pre-Shared Key） + 4-Way Handshake，解决离线字典攻击和 KRACK 攻击等问题。
• 工作原理：
  • 基于 Dragonfly 握手协议（RFC 7664），是一种抗离线暴力破解的密钥交换协议。
  • 即使攻击者捕获握手过程，也无法通过离线字典攻击轻易破解密码。
  • 每次连接生成唯一的会话密钥（前向保密）。
• 认证方式：双向认证（客户端和 AP 都验证对方知道预共享密码）。
• Wi-Fi 联盟术语：WPA3-Personal 的核心认证机制。
• 兼容性：需客户端和 AP 均支持 WPA3-Personal。

✅ 优点：强抗暴力破解、前向保密、双向认证。
❌ 缺点：旧设备（仅支持 WPA2）无法连接（除非启用过渡模式）。

OWE vs SAE：

特性	OWE（Enhanced Open）	SAE（WPA3-Personal）
网络类型	开放网络（无密码）	个人网络（有密码）
是否需要密码	否	是（预共享密钥）
加密	是（每用户独立）	是（更强加密 + 前向保密）
身份认证	无	有（双向认证）
抗离线字典攻击	不适用（无密码）	是
防止流量嗅探	是	是
Wi-Fi 联盟名称	Enhanced Open	WPA3-Personal

总结：

WPA3 不是一个单一技术，而是一套面向不同场景的安全升级方案：

• 家庭用户/小型办公室 → 用 WPA3-Personal（SAE），提高安全性。
• 公共场所 → 用 Enhanced Open（OWE），提升用户隐私。
• 企业/政府 → 用 WPA3-Enterprise（192-bit），满足高安全合规要求。
• 兼容旧设备→ 启用 WPA3/WPA2 过渡模式（Transition Mode），但会降低安全性（仍支持 WPA2 的 4-Way Handshake）。

它显著提升了 Wi-Fi 的隐私性、抗攻击能力和前向保密性，是当前最安全的 Wi-Fi 安全标准。