無線安全標準，WPA是其子集。這種安全標準為增強WLAN的數據加密和認證性能，定義了RSN（Robust Security Network）的概念，並且針對WEP加密機制的各種缺陷做了多方面的改進。IEEE 802.11主要的標準範疇分為媒介層(MAC)與物理層(PHY)，套用過來，前者就是OSI的數據鏈路層中的媒體訪問控制子層，後者直接就對應OSI的物理層。我們耳熟能詳的IEEE 802.11a/b/g，主要是以PHY層的不同作為區分，所以它們的區別直接表現在工作頻段及數據傳輸率、最大傳輸距離這些指標上。而工作在媒介層的標準——IEEE 802.11e/f/i則被整個IEEE 802.11族所共用。
基本介紹
簡介,定義,安全標準,安全工作機制,
簡介
IEEE 802.11i規定使用802.1x認證和密鑰管理方式，在數據加密方面，定義了TKIP（Temporal Key Integrity Protocol）、CCMP（Counter-Mode/CBC-MAC Protocol）和WRAP（Wireless Robust Authenticated Protocol）三種加密機制。其中TKIP採用WEP機制里的RC4作為核心加密算法，可以通過在現有的設備上升級固件和驅動程式的方法達到提高WLAN安全的目的。
定義
CCMP機制基於AES（Advanced Encryption Standard）加密算法和CCM（Counter-Mode/CBC-MAC）認證方式，使得WLAN的安全程度大大提高，是實現RSN的強制性要求。由於AES對硬體要求比較高，因此CCMP無法通過在現有設備的基礎上進行升級實現。WRAP機制基於AES加密算法和OCB（Offset Codebook），是一種可選的加密機制。
安全標準
IEEE 802.11i是802.11工作組為新一代WLAN制定的安全標準，主要包括加密技術：TKIP（Temporal Key Integrity Protocol）、AES（Advanced Encryption Standard）以及認證協定IEEE802.1x。認證方面。IEEE 802.11i採用802.1x接入控制，實現無線區域網路的認證與密鑰管理，並通過EAP-Key的四向握手過程與組密鑰握手過程，創建、更新加密密鑰，實現802.11i中定義的魯棒安全網路（Robust Security Network，RSN）的要求。
數據加密方面，IEEE 802.11 i定義了TKIP（Temporal Key IntegrityProtocol）、CCMP（Counter-Mode/CBC-MAC Protocol）和WRAP（Wireless Robust Authenticated Protocol）三種加密機制。一方面，TKIP採用了擴展的48位IV和IV順序規則、密鑰混合函式（Key Mixing Function），重放保護機制和Michael訊息完整性代碼（安全的MIC碼）這4種有力的安全措施，解決了WEP中存在的安全漏洞，提高安全性。就目前已知的攻擊方法而言，TKIP是安全的。另一方面，TKIP不用修改WEP硬體模組，只需修改驅動程式，升級也具有很大的便利性。因此，採用TKIP代替WEP是合理的，但是TKIP是基於RC4的，RC4已被發現存在問題，可能今後還會被發現其他的問題。
另外，RC4一類的序列算法，其加解密操作只是簡單的異或運算，在無線環境下具有一定的局限性，因此TKIP只能作為一種短期的解決方案。此外，802.11中配合AES使用的加密模式CCM和OCB，並在這兩種模式的基礎上構造了CCMP和WRAP密碼協定。CCMP機制基於AES（Advanced Encryption Standard）加密算法和CCM（Counter-Mode/CBC-MAC）認證方式，使得WLAN安全程度大大提高，是實現RSN的強制性要求。由於AES對硬體要求比較高，CCMP無法通過在現有設備的基礎上升級實現。WRAP機制則是基於AES加密算法和OCB（Offset Code book）。
安全工作機制
802.11i定義的安全工作機制流程如圖1所示。
圖1 安全工作機制
（1）安全能力通告協商階段
安全能力通告發生在STA與AP之間建立802.11關聯階段，過程如下。
● AP的安全能力通告
AP為通告自身對WPA的支持，會對外傳送一個包含AP的安全配置信息（包括加密算法及認證方法等安全配置信息）的幀。
● STA同AP之間的鏈路認證
STA向AP傳送802.11X系統認證請求，AP回響認證結果。
● STA同AP建立802.11關聯
STA根據AP通告的IE信息選擇相應的安全配置，並將所選擇的安全配置信息傳送至AP。在該階段中，如果STA不支持AP所能支持的任何一種加密和認證方法，則AP可拒絕與之建立關聯；反過來，如果AP不支持STA支持任何一種加密和認證方法，則STA也可拒絕與AP建立關聯。
（2）安全接入認證階段
該階段主要進行用戶身份認證，並產生雙方的成對主密鑰PMK。PMK是所有密鑰數據的最終來源，可由STA和認證伺服器動態協商而成，或由配置的預共享密鑰（PSK）直接提供。對於802.1X認證方式：PMK是在認證過程中STA和認證伺服器動態協商生成（由認證方式協定中規定），這個過程對AP來說是透明的，AP主要完成用戶認證信息的上傳、下達工作，並根據認證結果打開或關閉連線埠。對於PSK認證：PSK認證沒有STA和認證伺服器協商PMK的過程，AP和STA把設定的預共享密鑰直接當作是PMK，只有接入認證成功，STA和認證伺服器（對於802.1X認證）才產生雙方的PMK。對於802.1X接入認證，在認證成功後，伺服器會將生成的PMK分發給AP。
（3）會話密鑰協商階段
