自无线局域网（WLAN）技术一经推出，给人们的工作和生活带来极大的改变，然而，众所周知，无线局域网（WLAN）的安全问题，长期以来一直困扰着WLAN技术的普及应用。
欲更多了解WLAN介绍的请进入。
为此，为了解决WLAN的安全问题，人们在一直的不断努力以寻求获得更加安全的机制，多年来，人们开发了不少的方法，但这些方法难尽人意，从已经过时的基于SSID的接入控制和基于MAC过滤的接入控制；到802.11使用的基于OSA认证和基于共享密匙认证，再到后来802.11i使用的基于RADIUS的认证。直到2003年我国的技术人员研究开发出WAPI（WLAN Authentication and Privacy Infrastructure）技术后使之获得了极大的突破，使WLAN的安全机制得到了空前的提高。下面对WLAN的安全机制的各种技术作以简单介绍。
1、基于业务集标识符（SSID）的接入控制：
使用为无线接入点（AP，Access Point）设置业务集标识（SSID，Service Set Identifier），强迫无线终端接入固定SSID的AP来实现接入控制。无线终端必需出示正确的SSID才能访问无线接入点AP，利用SSID，可以很好地进行用户群体分组，避免任意漫游带来的安全和访问性能的问题，因此可以认为SSID是一个简单的口令，从而为无线局域网提供一定的安全性。然而AP会不加密地广播包含SSID的信标帧（beacon），非法用户很容易获得AP的SSID，从而能方便地通过AP接入网络。另外，一般情况下，用户自己配置客户端系统，所以很多人都知道该SSID，很容易共享给非法用户；而且许多WLAN的终端上只要将SSID设为“ANY”，就可接入任何一个有效的无线接入点。SSID是唯一的标识网络的字符串，但它对于网络上的所有用户都是相同的字符串，SSID根本没有带来安全性方面的好处。
2、基于MAC地址过滤的接入控制：
即AP只允许有合法MAC地址的无线终端接入。每个无线客户端网卡都由惟一的物理地址标识，因此可以在AP中手工维护一组允许访问的MAC地址列表，实现物理地址过滤。物理地址过滤属于硬件认证，而不是用户认证。这种方式要求AP中的MAC地址列表必需随时更新，目前都是手工操作，这种方法的效率会随着终端数目的增加而降低；如果用户增加，则扩展能力很差，因此只适合于小型网络规模。而且非法用户通过网络侦听（sniffer）就可获得合法的MAC地址表，而实际中的许多PCMCIA网卡和操作系统（如Windwos NT、Linux等）都可方便地更改网卡的MAC地址，因而非法用户完全可以盗用合法用户的MAC地址来非法接入。
3、开放系统认证（OSA）：
无线网络在缺省情况下都运行开放系统认证（Open System Authentication），即连接到无线网络的任何人都被授予访问权。这主要是用在大学和机场，在那里，最终用户是临时的，而且管理加密密钥是不可行的，只要用在公共场合，就不会使用数据加密的形式。实质上为一种空认证算法，几乎无任何安全可言。
4、共享密钥认证（SKA）：
共享密钥认证（SKA，Shared Key Authentication）方法要求在无线终端和接入点上都使用有线对等保密（WEP，Wired Equivalent Privacy）算法。如果用户有正确的共享密钥，那么就授予对WLAN的访问权。WEP虽然通过加密提供网络的安全性，但WEP技术本身存在许多缺陷：如缺少密钥管理、ICV算法不合适、RC4算法存在弱点等，具体解释详见下表4中。
表4：WEP技术本身存在的缺陷
因此利用认证与加密的安全漏洞，在短至几分钟的时间内，WEP密钥即可被破解。最初制定的标准使用40位密钥，而新的版本使用 128 位（实际上是 104 位）密钥。而这些安全漏洞和WEP对加密算法的使用机制有关，即使增加密钥长度也不可能增加安全性。
5、基于端口的网络访问控制：
基于端口的网络访问控制的方法是由802.11i协议所规定的，它实际上是利用IEEE 802.1x协议，802.1x协议提供无线客户端与RADIUS服务器之间的认证，而不是客户端与无线接入点AP之间的认证；采用的用户认证信息仅仅是用户名与口令，在存储、使用和认证信息传递中存在很大安全隐患，如泄漏、丢失；无线接入点AP与RADIUS服务器之间基于共享密钥完成认证过程协商出的会话密钥的传递，该共享密钥为静态，人为手工管理，存在一定的安全隐患。这是因为802.1x并非专为WLAN设计，没有充分考虑WLAN的特点。首先，它只提供了端口的单向认证机制，只有认证者（authenticator，相当于AP）对申请者（supplicant, 相当于终端）的认证，这在有线环境下不成问题，但在WLAN中会招致中间人（man-in-middle）攻击；另外，802.11的认证、登录状态和802.1x间的认证状态不同步，会话可被很简单地截获。
在上述几种方法中都不同程度存在安全隐患。其中1、2种方法由于安全性太低已淘汰使用；第3种方法也仅用于公开场合，也无安全可言；第4、5种方法分别为IEEE 802.11协议和802.11i协议所使用。
6、基于对等访问控制的安全接入基础结构（WAPI）
该方法是由我国技术人员研究制定的，发布于GB 15629.11-2003标准中。实现了终端和网络接入节点（AP）之间的双向鉴别和保密、适用于当前和下一代主流网络物理拓扑形态的、支持IP接入网安全接入体系架构，普遍适用于有线和无线IP接入网络。该安全接入基础结构提出三元独立实体T-A-S（终端-接入点-服务器）安全模型，三实体以独立身份执行安全接入过程，终端和接入点以对等方式完成双向鉴别，并可直接进行密钥交换。与传统安全接入技术如IEEE 802.1x相比，该安全接入基础结构解除了接入点和鉴别服务器实体间的依赖关系，参与安全接入的各实体具备了身份可区分性，简化了网络实现，提高了密钥协商效率；更重要的是实现了终端和接入点之间的双向鉴别，为网络接入的安全性和应用的多样化奠定了基础。
无线局域网认证和保密结构（WAPI，WLAN Authentication and Privacy Infrastructure）安全机制由无线局域网认证基础结构（WAI，WLAN Authentication Infrastructure）和无线局域网保密基础结构（WPI，WLAN Privacy Infrastructure）两部分组成，WAI和WPI分别实现对用户身份的鉴别和对传输的数据加密。WAPI能为用户的WLAN系统提供全面的安全保护。
WAI采用公开密钥密码体制，涉及的密码算法按照1999年10月7日颁布的中华人民共和国国务院令第273号《商用密码管理条例》执行。WAI利用证书来对WLAN系统中的STA和AP进行认证。WAI定义了一种名为认证服务单元（ASU，Authentication Service Unit）的实体，用于管理参与信息交换各方所需要的证书（包括证书的产生、颁发、吊销和更新）。证书里面包含有证书颁发者（ASU）的公钥和签名以及证书持有者的公钥和签名（这里的签名采用的是WAPI特有的椭圆曲线数字签名算法），是网络设备的数字身份凭证。其双向鉴别过程简单描述详见下表6。
表6：WAI定义的STA和AP双向鉴别过程简述
从上面的描述我们可以看出，WAI中对STA和AP进行了双向认证，因此对于采用“假”AP的攻击方式具有很强的抵御能力。在STA和AP的证书都鉴别成功之后，双方将会进行密钥协商。首先双方进行密钥算法协商。随后，STA和AP各自会产生一个随机数，用自己的私钥加密之后传输给对方。最后通信的两端会采用对方的公钥将对方所产生的随机数还原，再将这两个随机数模2运算的结果作为会话密钥，并依据之前协商的算法采用这个密钥对通信的数据加密。由于会话密钥并没有在信道上进行传输，因此就增强了其安全性。为了进一步提高通信的保密性，WAPI还规定，在通信一段时间或者交换一定数量的数据之后，STA和AP之间可以重新协商会话密钥。
WPI采用对称密码算法实现对MAC层MSDU进行的加、解密操作。
在我国国家标准GB 15629-2003中对WAPI进行了详细的规范，尤其是WAI的鉴别过程，它定义基于端口的接入控制的受控端口和非受控端口。
欲详细了解国家标准GB 15629-2003具体内容的请进入。
欲进一步了解我国WLAN标准情况的请进入。
