技術新知-WAPI

中國大陸在去年五月提出一項無線網路安全標準—WAPI，這項標準是針對現有WEP與WPA可能造成的安全防護漏洞所提出的自有標準，分為WAI（WLAN Authentication Infrastructure）與WPI（WLAN Privacy Infrastructure）兩部分組成，可以提供用戶端認證及傳輸加密兩項主要功能。

WAI使用公開密鑰的方式認證無線網路環境中的各用戶及基地臺，與WEP及WPA不同，WAI的定義中有一項稱為ASU?（認證服務單元）的設備，是用來管理訊息交換中各方所需要使用的憑證，從憑證的生成、發送、取消及更新都是經由ASU進行的。

每個用戶端連線到基地臺之後，就開始認證對方的身分是否正確，先由用戶端發送憑證給基地臺，然後由基地臺處理之後，連同自己的憑證發送到ASU處，由ASU確認之後再發回給基地臺，並繼續連線。

我們可以發現過去無線網路中時常出現的Man-In-Middle攻擊，在這種雙向的驗證過程就明顯的受到阻撓，提升了無線網路的安全性。這部分與WPA所規定的802.1x身分認證機制有些許雷同，但不同的是802.1x驗證的是使用者身分，而WAI則是採用雙向驗證硬體設備的身分，在安全性上可說是各有優劣，但就防禦強度而言，明顯是WAI略勝一籌。

而WPI則是提供了另一種加密演算機制，連線雙方先決定要用何種密碼演算法，接著各自產生隨機亂數，用私人密鑰加密後傳送給對方，解密後，這兩組數字計算之後的結果，就是正式通訊時所用的加密參數，並且在經過一段時間或交換到一定數量之後，就會捨棄原有加密值，並重新議定新的參數。因為真正的溝通密鑰並沒有在無線網路中傳遞因此加強了安全性，並且固定更換密碼，讓監聽者無法得知正確的密碼。

就技術層面而言，WAPI針對現有加密機制作了相當多的加強，使用多重認證及避免密碼在網路傳輸，而不是如同WPA加強密碼本身的強度，不過推出時間尚短，還需要一番考驗才能證實安全性。文⊙羅健豪