23、下一代Wi-Fi、证书安全与中间人攻击防范

下一代Wi-Fi、证书安全与中间人攻击防范

一、下一代Wi-Fi安全

在办公室等场所，无线网络密码常常张贴在墙上、菜单里，或者可以从前台接待处获取，这仅仅是一种表面的安全措施。预共享密钥（PSK）用于基本的四次握手，每个人都知道这个密钥，攻击者可以借此计算出客户端和接入点（AP）使用的加密密钥。虽然有安全的解决办法，比如使用虚拟专用网络（VPN）服务，但大多数人由于设置复杂、每月有重复成本，或者不了解在开放Wi-Fi通道或PSK公开的网络上传输数据所面临的风险，而没有使用这些方法。

（一）机会性无线加密（OWE）

就像浏览器让用户在使用HTTPS时感觉不到安全（TLS）隧道的存在一样，安全技术专家们一直在努力推进机会性无线加密（OWE）技术。OWE可以自动进行加密，无需用户干预，能在开放的公共网络中提供不错的传输层数据安全，为用户提供基本的保护，防止数据包被嗅探。

OWE基于始终尽力提供保护的前提工作。从名称就可以看出，该协议基于机会性加密原则设计，可以在有认证和无认证的情况下工作，因此能够在互联网和企业内部网中广泛应用。

发现支持OWE的AP有两种技术：
1. AP使用“信标”进行广告宣传 ：AP通过信标共享正在使用的安全策略、支持的对称密码或QoS信息等。
2. 客户端主动发现 ：客户端发出常规的探测请求，并监听响应，这些响应携带的信息与信标相同。

OWE通过在802.11关联的认证阶段执行Diffie - Hellman（DH）密钥交换，然后利用得到的密钥进行四次握手来实现加密。它支持椭圆曲线密码学（ECC）和有限域