| 加密 | AES-CCMP（128 位） |
|---|---|
| 认证 | PSK（预共享密钥，8~63 字符） |
| 握手 | 四次握手派生 PTK |
| 现状 | 存量网络主流基线 |
口令建议
口令建议
至少 12 位、混合大小写数字符号
避免公司名+年份等可猜测组合
定期更换并避免多场景复用PSK 强度足够时 WPA2 仍然可靠；风险主要来自弱口令与 WPS 滥用。
本包目录（397 条）
无线基础与标准67 条信道与干扰优化49 条
加密与接入认证65 条
- WPA2-Personal（CCMP/AES）
- WPA3-Personal（SAE）
- 无线安全机制演进总览
- PMF 管理帧保护（802.11w）
- PEAP + MSCHAPv2：企业常见组合
- WPA2-Enterprise（802.1X）
- 四次握手与密钥派生
- RADIUS 服务器基础（端口与共享密钥）
- Deauth 泛洪与掉线原因码
- EAP-TLS：双向证书认证
- 802.1X 认证流程与三个角色
- 访客网络与客户端隔离
- WPA3 过渡模式（混合模式）
- 服务器证书校验：不可省略的一步
- WPA3-Enterprise（企业版）
- WPS 快速配置与安全风险
- 仿冒热点（Evil Twin）与识别
- EAP 方法选择对照
- Windows 客户端 802.1X 配置要点
- OWE 机会无线加密
- Wi-Fi 口令（PSK）强度与策略
- PSK 与 802.1X 的选择
- 开放网络（无加密）的风险与用途
- TKIP / CCMP / GCMP 加密算法对比
- PMK / PTK / GTK 密钥体系
- 动态 VLAN 下发（Tunnel-Private-Group-ID）
- Portal 认证（Captive Portal）要点
- PEAP 认证失败的常见原因
- CCMP：AES 计数器模式加密
- 非法 AP（Rogue AP）检测与处置
- EAP-TTLS：隧道 + 内层认证
- DPSK / iPSK：每设备独立预共享密钥
- 无线安全自查清单
- WEP 加密及其淘汰原因
- KRACK：WPA2 握手重装攻击（已修复）
- WIDS / WIPS 无线入侵检测与防御
- RADIUS 计费与上网审计
- 常见 RADIUS 服务器软件选型
- RADIUS 认证日志定位方法
- EAPOL 报文的角色
- PSK 离线字典风险的原理与对策
- RADIUS 证书的名称与 SAN 要求
- 隐匿 SSID：安全价值有限
- radtest：RADIUS 认证快速验证
- EAP-TLS 部署检查清单
- 6GHz 的强制安全要求
- WPA（TKIP）过渡机制
- GCMP-256 与 192 位安全套件
- RADIUS CoA 动态授权变更
- MAC 地址过滤的局限与用法
- 证书轮换与到期管理
- MAC 认证旁路（MAB）
- Dragonblood：WPA3 SAE 侧信道问题（已缓解）
- 其它 EAP 方法：FAST / TEAP / LEAP
- 会话时长与重认证（Session-Timeout）
- WPA2/WPA3 混合模式的兼容问题
- SAE 哈希到元素（H2E）
- FragAttacks：帧聚合与分片设计缺陷（已修复）
- RADIUS Filter-Id 与 ACL 下发
- RadSec：RADIUS over TLS
- Wi-Fi Easy Connect（DPP）免配置入网
- PSK 定期更换的实践
- SAE 群组与合规要求
- EAP-PWD：口令型 EAP 方法
- EAP-SIM / EAP-AKA 与运营商 Wi-Fi
WPA2-Personal（CCMP/AES）
当前最普遍的安全基线：AES-CCMP 加密 + PSK 认证，抗离线穷举能力取决于口令强度。
易错点
- 弱口令被抓包后可离线穷举，因此口令强度比加密算法本身更关键
- 同一楼层多 SSID 共用一个 PSK 会放大泄露风险，可按用途拆分
数据来源与参考
- IEEE 802.11i-2004（CCMP）
- NIST SP 800-97