发布日期： 2005冯柯的个人资料年05月06日 | 更新日期： 2005年06月15日
作者：网络专家
有关所有“网络专家”专栏的列表和其它信息，请单击此处。
本页内容
简介 | |
WPA2 安全功能 | |
其它用于实现快速漫游的 WPA2 功能 | |
同时支持 WPA2、WPA 和 WEP 无线客户端 | |
支持 WPA2 所需执行的更改 | |
更多信息 | |
和平精英武器排名简介
最早的 IEEE 802.11 标准提供了下列这组安全功能，用以保护无线 LAN 通信：
• | 两种不同的身份验证方法：开放式系统和共享密钥 |
• | 有线对等保密 (WEP) 加密算法 |
• | 完整性检查值 (ICV)（采用 WEP 加密，可提供数据完整性） |
随着时间的推移，这些安全功能经证明无法对一般情况下的无线 LAN 通信，提供充分的保护。为了解决最早的 IEEE 802.11 标准的安全问题，运用了以下这些技术：
• | 基于 IEEE 802.1X 端口的网络访问控制标准是一种可用于执行 802.11 无线客户端身份验证的方法。 IEEE 802.1X 提供了每用户的身份识别和验证、扩展的身份验证方法以及（依据具体的身份验证方法）加密密钥管理——动态的每工作站、每会议密钥决定和密钥重新生成。 |
• | Wi-Fi 泰山介绍保护访问 (WPA™) 是Wi-Fi 联盟 所采用的一种过渡标准，用于在 IEEE 802.11i 标准得到批准后，提供更安全的加密和数据完整性。WPA 支持通过 802.1X（称作 WPA Enterprise）或结合预共享密钥（称作 WPA Personal）的身份验证、一种称为临时密钥完整性协议 (TKIP) 的新型加密算法、以及一种称为 Michael 的新型完整性算法。WPA 属于 802.11i 规范的一部分。 |
IEEE 802.11i 标准已正式取代了有线对等保密 (WEP) 及最早的 IEEE 802.11 标准的其它一些安全功能。WPA2™ 是一种由 Wi-Fi 联盟授予的产品认证。Wi-Fi 联盟专门对无线设备与 802.11i 标准的兼容性进行认证。WPA2 认证旨在支持 802.11i 标准的其它尚未包含在支持 WPA 的产品中的强制性安全功能。与 WPA 一样，WPA2 也提供了“Enterprise”（企业）和“Personal”（个人）这两种操作模式。
Microsoft 已经发布了用于 Windows XP Service Pack 2 的 Wi-Fi 保护访问 2 (WPA2)/无线配置服务信息元素 (WPS IE) 更新。该更新程序可免费下载，用于更新 Windows XP Service Pack 2 中的无线客户端组件，以支持 WPA2。本文介绍了 WPA2 安全功能以及用于 Windows XP Service Pack 2 的 WPA2/WPS IE 更新所提供的 WPA2 支持。
返回页首
WPA2 安全功能
用于 Windows XP Service Pack 2 的 WPA2/WPS IE 更新支持以下 WPA2 安全功能：
• | WPA2 身份验证 对于 WPA2 Enterprise，WPA2 要求执行两个阶段的身份验证：第一个阶段是开放式系统身份验证，第二个阶段则采用可扩展的身份验证协议 (EAP) 身份验证方法。对于没有远程身份验证拨入用户服务 (RADIUS) 基础结构的环境（比如：小型办公/家庭办公 [SOHO] 网络，WPA2 Personal 支持使用预共享密钥 (PSK)。 |
• | WPA2 密钥管理 与 WPA 一样，WPA2 要求根据 EAP 中考志愿填报或 PSK 身份验证过程，确定相互的成对主密钥 (PMK)，并通过四次握手 (4-Way Handshake)过程，计算成对的临时密钥。 有关详细信息，请参见 Wi-Fi 保护访问数据加密与完整性。 |
舒畅不带罩的照片• | 高级加密标准 WPA2 要求支持使用 Counter Mode-Cipher Block Chaining (CBC)-Message Authentication Code (MAC) Protocol (CCMP)（计数器模式和密码块链消息身份验证代码协议）的高级加密标准 (AES)。AES 计数器模式一种块密码，可使用 128 位加密密钥，一次对多个 128 位数据块进行加密。CBC-MAC 算法可生成一个消息完整性代码 (MIC)，为无线帧提供数据来源验证和数据完整性。包含在 WPA2 保护的无线帧并合并到加密和 MIC 计算中的一个 Packet Number 字段，提供了重播保护。AES 加密符合联邦信息处理标准 (FIPS) 140-2 的要求。 |
返回页首
其它用于实现快速漫游的 WPA2 功能
当无线客户端使用 802.1X 执行身份验证时，会有一系列消息在无线客户端和无线访问点 (AP) 之间传送 ，以交换凭据。此消息交换会给连接过程造成延迟。当无线客户端从一个无线访问点漫游到另一个访问点时，延迟执行 802.1X 身份验证会导致产生明显的网络连接中断的情况，而与时间相关的流量（语音或视频数据流）的情况尤其严重。为了最小化因在无线访问点间漫游而导致的延迟时间，WPA2 无线设备能够有选择地支持 PMK 缓存和预身份验证。
PMK 缓存
从一个无线访问点漫游到另一个访问点时，无线客户端必须与每个无线访问点一起执行完整的 802.1X 身份验证。WPA2 允许无线客户端和无线访问点缓存完整的 802.1X 身份验证的结果，这样当客户端漫游回已执行过身份验证的无线访问点时，就只需执行四次握手过程，并确定新的成对的临时密钥了。无线客户端在 Association Request 帧中包含了一个
PMK 标识符。该标识符是在最初的身份验证期间确定的，并与无线客户端和无线访问点的 PMK 缓存项目一起保存。PMK 缓存项目的保存时间有限，具体时间长度可在无线客户端和无线访问点上进行配置。
为了让使用单台交换机（充当 802.1X 身份验证器）的无线网络基础结构实现更快的转换速度，用于 Windows XP Service Pack 2 的 WPA2/WPS IE 更新会计算 PMK 标识符值，从而在连接到交换机的无线访问点间漫游时，可以重复使用同该交换机的 802.1X 身份验证所确定的 PMK。该方法称为 机会性的 PMK 缓存。
有关使用注册表值控制 PMK 缓存行为的信息，请参阅用于 Windows XP Service Pack 2 的 WPA2/WPS IE 更新。
预身份验证
通过预身份验证，WPA2 无线客户端在与当前的无线访问点连接的同时，可以有选择地同其有效连接范围内的其它无线访问点，执行 802.1X 身份验证。无线客户端会通过现有的无线连接，向其它无线访问点发送预身份验证流量。与无线访问点进行了预身份验证，并
将 PMK 及其相关的信息保存在 PMK 缓存中之后，无线客户端在连接到已经与之进行过预身份验证的无线访问点时，仅需执行四次握手过程。
发布评论