CCMP 是怎么加密的
CCMP 是 WPA2 的核心加密机制，基于 AES-128 的计数器模式与密文分组链接消息认证码（CCM），一次完成加密与完整性校验，并为每个数据帧维护独立的计数器以防重放。它取代了 WEP 与 TKIP 的弱设计，是当前企业无线在 WPA3 之外的主流选择，算法本身经过长期验证。
基本信息
| 加密基础 | AES-128，使用 CCM 组合模式 |
|---|---|
| 密钥来源 | 四次握手派生的成对临时密钥 |
| 防护能力 | 防篡改、防重放，逐帧独立计数器 |
| 所属标准 | 802.11i 与 WPA2，WPA3 沿用其加密内核 |
| 强度依赖 | 口令强度与握手过程，而非算法本身 |
典型使用场景
- 企业网络基线：加密模式统一为 WPA2-CCMP 或 WPA3
- 老网改造：把 TKIP 与 WEP 从现网中清除
- 合规审计：确认加密方式满足等保与行业要求
- 连接故障排查：用握手抓包区分认证与加密阶段问题
- 终端兼容评估：确认老设备是否支持 CCMP
- 安全加固：配合 802.1X 提升整体接入安全
- 设备替换评估：确认老旧终端能否迁移到 CCMP 加密
排查用途
排查用途
# 空口抓包中的 CCMP 数据帧为加密流量，需在终端侧解密才能看业务
# 连接失败现场先保存四次握手报文
# 握手失败指向认证与密钥协商；握手成功但无数据指向数据面
# 记录终端型号与加密模式，便于判断是否为兼容性问题加密机制对照
| 机制 | 算法 | 现状 |
|---|---|---|
| WEP | RC4 与短初始化向量 | 已淘汰，可被快速破解 |
| TKIP | RC4 改进版 | 已弃用，仅作兼容过渡 |
| CCMP | AES-128 与 CCM | WPA2 主力，广泛部署 |
| GCMP | AES-128 或 256 | WPA3 与高速率场景 |
CCMP 本身不弱，实际风险多来自口令、握手实现与配置管理。评估无线安全时，加密算法、密钥管理与认证方式要一起看，而不是只看用了哪种加密。为兼容老终端而长期保留 TKIP 会拉低整网加密强度并限制高速率档位，应制定明确的淘汰时间表。