WPA2-Personal 是什么
WPA2-Personal 用预共享密钥（PSK）加 AES-CCMP 加密，是目前存量网络最普遍的安全模式。终端与 AP 各自用口令与 SSID 推导出同一个 PMK，再通过四次握手派生会话密钥，之后所有数据帧都用 CCMP 加密并做完整性校验。加密强度本身没有已知的实用攻击手段，真实风险集中在口令上：任何人抓到一次完整握手，就能离线反复尝试猜测口令，且不需要再次接触该网络。
基本信息
| 加密 | AES-CCMP，128 位密钥 |
|---|---|
| 认证 | PSK 预共享密钥，8~63 个字符 |
| 握手 | 四次握手派生 PTK，组播用 GTK |
| 现状 | 存量网络主流基线 |
| 配套建议 | 关闭 WPS，按需开启 PMF 强制 |
| 适用场景 | 家庭、小型办公、访客网络 |
口令建议
口令建议
至少 12 位，混合大小写字母、数字与符号
避免公司名加年份之类的可猜测组合
避免与其他系统复用同一口令
定期更换，并在人员变动后及时更新
# 关闭 WPS 的 PIN 方式，避免绕过口令的捷径风险点与对策
| 风险点 | 说明 | 对策 |
|---|---|---|
| 弱口令 | 抓包后可离线穷举，工具化程度高 | 使用长随机口令并定期更换 |
| WPS PIN | 存在绕过口令的暴力尝试路径 | 关闭 WPS 或仅保留按钮方式 |
| PMF 未启用 | 伪造管理帧可强制终端掉线 | 在支持的前提下设为强制 |
| 口令扩散 | 多人共用同一口令，泄露后无法定位来源 | 按用途拆分 SSID 与口令 |
| 访客与内网同网段 | 访客设备可直接访问内部资源 | 访客网络启用隔离与独立策略 |
典型使用场景
- 家庭与小型办公：终端数量少，口令管理成本低
- 访客网络：独立口令加隔离，与内网分开
- IoT 网络：为智能设备单独规划 SSID 与口令
- 临时活动网络：活动结束后更换口令
- 存量兼容：作为 WPA3 过渡期的兜底模式
为什么口令比算法更重要
WPA2 的加密算法至今没有被实用破解，攻击者更愿意从口令入手。抓包得到四次握手后，攻击者在本地用字典与规则组合反复计算 PMK，尝试速度只受自己的硬件限制，不需要保持在线。这意味着口令一旦不够随机，被抓包只是时间问题。实践中还有第二条捷径是 WPS：若开放 PIN 方式，攻击路径会绕过口令强度，因此应关闭或只保留按钮配对。剩下能做的就是减少暴露面，例如降低信号泄漏到室外、定期更换口令、按用途拆分网络。
PSK 强度足够时 WPA2 仍然可靠；风险主要来自弱口令与 WPS 滥用。
WPA2 与 WPA3 混合模式可以同时兼容新旧终端，但混合模式下老终端仍走四次握手，口令强度要求并不会降低。