有两种（主要）模式可以运行 WPA2。您可以使用企业模式或预共享密钥 (PSK) 模式。

如果您在企业模式下运行，则需要设置身份验证 RADIUS 服务器，并在将连接到接入点的客户端上配置证书。此外，您需要配置 AP 将所有相关信息。这种努力程度远远超出了典型用户的能力。

WPA2-PSK 模式使用客户端和 AP 都知道的预共享密钥。这是密码，简单地使用密码在大多数用户的技术能力范围内。当客户端连接到 AP 时，从未实际交换过密码。相反，发生了四次握手。通过这个过程，客户端可以向 AP 证明它知道 PSK。

WPA2-PSK 并不是真的不安全。相反，我会说它容易受到暴力攻击。如果攻击者可以捕获 4 次握手（一项微不足道的任务），他们可以通过字典运行该握手以获取 PSK。这是关键部分。就像普通密码哈希一样长，复杂的密码是使暴力攻击变得不可行的关键。

最后一点：WPA2-PSK 网络使用 AP 的名称“加盐”。彩虹表存在为最常见的 AP 名称（想想“hilton-hhonors”、“starbucks”等）预先计算的哈希值。获得唯一盐（从而击败彩虹表）的一种方法是拥有唯一的 AP 名称。

编辑：如果您对“好的”密码长度感到好奇，那么您是否必须使用 PSK？根据IEEE 802.11i（详述 WPA2 的修订）

密码短语通常每个字符具有大约 2.5 位的安全性，因此密码短语映射将 n 八位字节密码转换为具有大约 2.5n + 12 位安全性的密钥。因此，它提供了相对较低级别的安全性，从短密码生成的密钥会受到字典攻击。仅在使用更强的用户身份验证形式不切实际时，才建议使用密钥散列。从少于大约 20 个字符的密码短语生成的密钥不太可能阻止攻击*。

*强调我的。但是请记住，802.11i 是在 2004 年发布的。此后计算能力发生了变化。我仍然同意，尽管 20 个字符非常好。

我知道 WPS 存在漏洞，即使在使用 WPA2 时也是如此，但除此之外，WPA2-PSK 真的安全吗？

定义安全。一般来说，如果您禁用了 WPS，使用长 PSK 并避免使用默认 SSID，您应该没问题。除非您有理由让拥有资源的实体针对您的网络来暴力破解您的网络，否则您可能会足够安全。

即将出现的一些事情有望增加一些安全选项。首先，Wi-Fi联盟提出WPA3作为认证赛道，对WPA2进行改进。虽然 WPA3 不是基于标准的（即它不是基于对 IEEE 802.11 的修订）并且有几个缺陷，但它表明在 WPA2 变得无关紧要之前提高无线安全性是有兴趣的。我希望它在被相关标准取代时加入 WPA 的历史书，但就像 WPA 一样，将其作为它的本来面目……即改进以前的无线安全标准的非标准尝试。

其次，顶级企业无线解决方案已经具备为每个设备定义 PSK 的能力。这不是标准化的，不同的供应商目前的做法不同，但这意味着破解 PSK 的破坏性较小，利用可能更明显（如果 PSK 绑定到 MAC 地址，则可以克隆 MAC，但通常会导致尝试使用 MAC 的两个设备的连接问题）。当许多供应商（在 IEEE 和 WFA 中投入巨资/参与其中）倾向于从此类功能中发现价值时，它通常会变得标准化，并且实施可以开始渗透到消费设备。

第三，一个简单的事实是，用户和媒体都对 WPA2 以及它是否安全进行了更多讨论。虽然 IEEE 目前没有负责安全修正的 802.11 工作组，但如果在未来一两年内启动一个工作组，我不会感到惊讶。

家庭用户如何保护他们的网络？

1. 禁用 WPS。家庭无线网络上的第一个安全漏洞是 WPS。
2. 使设备驱动程序和固件保持最新。这适用于 AP/网关设备和所有无线客户端。
3. 使用长 PSK。通常认为 20 多个字符就足够了，但大多数设备将接受长度不超过 63 个字符的 PSK。
4. 慎重选择您的 SSID 名称。
   • 您希望避免使用太常见的东西，因为它与您的 PSK 一起用于生成加密。常见的 SSID 可以有预先生成的哈希表进行比较。
   • 您要避免使用太不常见的 SSID。如果您的 SSID 太不寻常，它可能会被用作定位您家的一种方式。有许多公开可用的在线数据库包含可以查询的信息（通常包括坐标）。

我已经完成了无线渗透测试，我建议对 WPA2-PSK 使用强密码并不时更改它们。

强密码将在捕获 4 次握手后更难暴力破解密码。

您还应该作为家庭用户禁用 WPS，根据我看到的每个人都在使用它。

除非您拥有有效的服务器证书并将客户端设置为验证服务器证书，否则使用 WPA2-Enterprise 不会像人们想象的那么有用

您可以启用隐藏 SSID、MAC 过滤等功能，但这些功能也很容易获得和绕过。