WPA3-Personal 与 SAE
WPA3-Personal 的核心是 SAE（对等实体同时认证），它用类似密钥交换的方式替代了 WPA2 的四次握手口令验证：双方在交换中同时证明自己持有口令，但交换内容无法被离线验证。这堵住了 WPA2 最实用的攻击路径——抓一次握手，回去慢慢猜口令。SAE 还提供前向保密，即使口令事后泄露，此前抓到的流量也无法解密。它随 WPA3 在 2018 年推出，并成为 6GHz 频段的强制安全模式。
基本信息
| 认证 | SAE，基于 Dragonfly 握手 |
|---|---|
| 抗离线攻击 | 握手内容无法离线验证口令 |
| 前向保密 | 支持，历史流量不因口令泄露而解密 |
| 群组 | 常用 ECC 群组 19/20/21，对应不同强度的椭圆曲线 |
| PMF | WPA3 强制启用管理帧保护 |
| 频段约束 | 6GHz 仅允许 WPA3 |
WPA2 与 WPA3 对照
| 维度 | WPA2-Personal | WPA3-Personal |
|---|---|---|
| 口令验证 | 四次握手，抓包可离线穷举 | SAE 交换，无法离线验证 |
| 前向保密 | 不支持 | 支持 |
| PMF 管理帧保护 | 可选 | 强制 |
| 弱口令 | 无额外防护 | 在线猜测有速率限制机制 |
| 终端兼容 | 几乎全部支持 | 需较新终端与驱动 |
配置要点
配置要点
新设备为主：WPA3-Personal（WPA3-only）
存量兼容：WPA2/WPA3 混合模式，并开启 PMF 强制
6GHz：只能 WPA3，无过渡选项
# 混合模式下老终端仍走四次握手，口令强度要求不降低典型使用场景
- 新建网络：终端较新时直接上 WPA3-only
- 高安全要求：避免抓包离线猜口令的风险
- 6GHz 组网：安全模式必须为 WPA3
- 存量过渡：混合模式先兼容，再分阶段收窄
- 访客网络：用独立 SAE 口令并启用客户端隔离
过渡期怎么做
现实网络里总有一批只支持 WPA2 的终端，直接切到 WPA3-only 会导致这些设备无法接入。稳妥的做法是分三步：第一步开启 WPA2/WPA3 混合模式并启用 PMF 可选，观察兼容性问题；第二步把已知的老终端清单整理出来，单独规划一个 2.4G 的 WPA2 兼容 SSID；第三步在新终端比例足够高后，把主 SSID 收窄到 WPA3-only。整个过程要有终端清单与验收记录，否则很难判断什么时候可以收窄。
SAE 并不豁免口令强度：弱口令仍可能被在线猜测，长随机口令依然重要。
部分早期固件的 SAE 实现存在实现缺陷，遇到接入异常先查厂商安全公告与固件版本。