三代加密算法
无线加密算法经历了三代：TKIP 基于 RC4，是为兼容早期硬件而设计的过渡方案，已被认为不安全；CCMP 基于 AES-128，是 WPA2 与 WPA3 的当前基线；GCMP 使用 AES-256，用于 WPA3 的 192 位模式与 11ad 场景，属于增强选项。选型上只有一个正确方向：只保留 CCMP 及以上，不要为了兼容而同时开启 TKIP。
基本信息
| TKIP | 基于 RC4，用于 WPA，已淘汰 |
|---|---|
| CCMP | 基于 AES-128，用于 WPA2 与 WPA3，当前基线 |
| GCMP-256 | 基于 AES-256，用于 WPA3 192 位模式与 11ad |
| 降级风险 | 同一 SSID 同时启用 TKIP 与 CCMP 会引入降级 |
| 整改动作 | 审计时优先确认 SSID 是否还挂着 TKIP |
典型使用场景
- 安全审计发现 SSID 仍启用 TKIP 套件
- 老终端只支持 TKIP 时的迁移评估
- 梳理 WPA2 与 WPA3 的加密套件差异
- 为高安全要求场景选择 GCMP-256
- 排查「同时开 TKIP 更兼容」这类误配置
检查要点
检查要点
# 在 SSID 安全配置中确认启用的加密套件
# 只保留 CCMP（或 CCMP 与 GCMP），不要勾选 TKIP
# 若必须兼容老终端，优先级是升级终端而非保留 TKIP
# 变更后抓包确认四次握手协商出的加密套件算法对比
| 算法 | 基础 | 适用 | 状态 |
|---|---|---|---|
| TKIP | RC4 | WPA | 已淘汰 |
| CCMP | AES-128 | WPA2 与 WPA3 | 当前基线 |
| GCMP-256 | AES-256 | WPA3 192 位与 11ad | 增强选项 |
| TKIP 加 CCMP | 混合 | 过渡兼容 | 不推荐 |
同一 SSID 上同时启用 TKIP 与 CCMP 会带来降级风险：协商可能落到较弱的套件上，规范建议只保留 CCMP 及以上。
审计整改时优先确认 SSID 是否还挂着 TKIP 加密套件，这是最容易被历史配置遗漏的一项。
「同时开 TKIP 更兼容」是常见误配置：会引入降级与性能双重问题，正确方向是升级那些只支持 TKIP 的老终端。
GCMP-256 需要终端支持 WPA3 的 192 位模式或 11ad 场景：普通终端协商时仍会落到 CCMP，这属于正常现象，不是配置未生效。
评估加密套件时也要看管理帧保护（PMF）：两者常一起配置，只开 PMF 或只换算法都可能留下短板。
确认协商结果最直接的办法是抓四次握手报文，看 AP 与终端最终选定的加密套件，而不是只看管理界面上勾选了哪些算法。