WPA（TKIP）是什么
WPA 是 WEP 与 WPA2 之间的过渡方案：它保留 RC4 加密算法，用 TKIP 做每包动态密钥、用 Michael MIC 做完整性校验，并支持密钥定期更新。在当时让大量只支持 WEP 硬件的设备获得了可用的安全性，但 TKIP 的 MIC 机制存在已知弱点且容易受降级影响，如今只适合作为极少数老设备的兼容手段。
基本信息
| 加密算法 | RC4 + TKIP（每包动态密钥） |
|---|---|
| 完整性校验 | Michael MIC |
| 已知弱点 | MIC 相关攻击、易受降级影响 |
| 与 11n 的关系 | HT 速率要求不使用 TKIP，混用会限制速率 |
| 当前定位 | 过渡机制，不建议在新部署中启用 |
识别与处置
识别与处置
# 1) 抓包查看密钥套件标志位与信标中的安全能力位
# 2) 检查 AC 上是否存在「WPA/WPA2 混合」并保留了 TKIP
# 3) 混合模式只应在老设备存量期短期启用，并登记禁用计划
# 4) 关闭 TKIP 前确认现场已无仅支持 TKIP 的终端典型使用场景
- 老设备存量期：仅支持 TKIP 的工业终端与老 PDA 临时兼容
- 存量网络整改：识别并逐步关闭仍协商 TKIP 的 SSID
- 安全审计：作为不合规项被列出并要求制定整改计划
- 新网络设计：直接采用 WPA3 或 WPA2-CCMP，不引入 TKIP
- 排障参考：遇到速率上不去时核查是否协商到了 TKIP
套件对比
| 套件 | 加密与校验 | 现状 |
|---|---|---|
| WEP | RC4 静态密钥 | 已不安全，不应使用 |
| WPA/TKIP | RC4 + TKIP + Michael MIC | 过渡方案，存在已知弱点 |
| WPA2/CCMP | AES-CCMP | 目前主流可用 |
| WPA3/GCMP | AES-GCM 系列 | 新部署优先，强制 PMF |
TKIP 与 802.11n 的 HT 速率不兼容：网络中只要保留 TKIP，相关链路就会限制在较低速率，表现为「明明是新 AP 但速度上不去」。
安全审计中被判定为不合规的往往不是协议名称，而是「在网络中仍允许协商 TKIP」这一事实，整改动作是关闭套件而不是更换设备。