WEP,CCKM,AES,TKIP,CCMP 其中WEP和TKIP都是基于RC4加密算法

WEP--Wired Equivalent Privacy

CCKM-- Centralized Key Management

AES--Advanced Encryption Standard

TKIP--Temporal Key Integrity Protocol

CCMP--Protocol

wpa实在wep之后发展起来的，相比wpa优点在于：1.使用了混合型临时密钥而不像wep使用静态永久密钥，2.采用每帧序列计数器（per frame sequence counters）

wpa是在8.2.11i标准下开发出来的，其身份认证方式分两种：一是使用802.11x协议认证，另一是使用预共享密钥（PSK）

WEP

　　WEP--Wired Equivalent Privacy加密技术，WEP安全技术源自于名为RC4的RSA数据加密技术，以满足用户更高层次的网络安全需求。 
 
WEP是Wired Equivalent Privacy的简称，有线等效保密（WEP）协议是对在两台设备间无线传输的数据进行加密的方式，用以防止非法用户窃听或侵入无线网络。不过密码分析学家已经找出 WEP 好几个弱点，因此在2003年被 Wi-Fi Protected Access (WPA) 淘汰，又在2004年由完整的 IEEE 802.11i 标准（又称为 WPA2）所取代。WEP 虽然有些弱点，但也足以吓阻非专业人士的窥探了。
 
802.11b标准里定义的一个用于无线局域网(WLAN)的安全性协议。WEP被用来提供和有线lan同级的安全性。LAN天生比WLAN安全，因为LAN的物理结构对其有所保护，部分或全部网络埋在建筑物里面也可以防止未授权的访问。
 

　　经由无线电波的WLAN没有同样的物理结构，因此容易受到***、干扰。WEP的目标就是通过对无线电波里的数据加密提供安全性，如同端-端发送一样。 WEP特性里使用了rsa数据安全性公司开发的rc4 ping算法。如果你的无线基站支持MAC过滤，推荐你连同WEP一起使用这个特性(MAC过滤比加密安全得多)。

细节　　WEP 是1999年9月通过的 IEEE 802.11 标准的一部分，使用 RC4(Rivest Cipher) 串流加密技术达到机密性，并使用 CRC-32 验和达到资料正确性。

 
标准的64比特WEP使用40比特的钥匙接上24比特的初向量(initialization vector，IV) 成为 RC4 用的钥匙。在起草原始的 WEP 标准的时候，美国政府在加密技术的输出限制中限制了钥匙的长度，一旦这个限制放宽之后，所有的主要业者都用 104 比特的钥匙实作了 128 比特的 WEP 延伸协定。用户输入 128 比特的 WEP 钥匙的方法一般都是用含有 26 个十六进制数 (0-9 和 A-F)的字串来表示，每个字符代表钥匙中的 4 个比特， 4 * 26 = 104 比特，再加上 24 比特的 IV 就成了所谓的 "128 比特 WEP 钥匙"。有些厂商还提供 256 比特的 WEP 系统，就像上面讲的，24 比特是 IV，实际上剩下 232 比特作为保护之用，典型的作法是用 58 个十六进制数来输入，(58 * 4 = 232 比特) + 24 个 IV 比特 = 256 个 WEP 比特。
 
钥匙长度不是 WEP 安全性的主要因素，破解较长的钥匙需要拦截较多的封包，但是有某些主动式的***可以激发所需的流量。WEP 还有其他的弱点，包括 IV 雷同的可能性和变造的封包，这些用长一点的钥匙根本没有用。

瑕疵

因为 RC4 是 stream cipher 的一种，同一个钥匙绝不能使用二次，所以使用（虽然是用明文传送的） IV 的目的就是要避免重复；然而 24 比特的 IV 并没有长到足以担保在忙碌的网络上不会重复，而且 IV 的使用方式也使其可能遭受到关连式钥匙***。
 
许多 WEP 系统要求钥匙得用十六进制格式指定，有些用户会选择在有限的 0-9 A-F 的十六进制字符集中可以拼成英文词的钥匙，如 C0DE C0DE C0DE C0DE，这种钥匙很容易被猜出来。
 
在 2001年8月，Fluhrer et al. 发表了针对 WEP 的密码分析，利用 RC4 加解密和 IV 的使用方式的特性，结果在网络上偷听几个小时之后，就可以把 RC4的钥匙破解出来。这个***方式很快就实作出来了，而自动化的工具也释出了，只要用个人电脑、卖场架上的硬件和免费可得的软件就能进行这种***。
 
Cam-Winget et al.(2003) 审查了 WEP 的各种短处，他们写下“在实际场所实验的结果显示，只要有合适的仪器，就可以在一英哩之外或更远的地方偷听由WEP 保护的网络。”他们也报告了两个一般的弱点：
 
*WEP 不是强制使用的，使得许多设施根本就没有启动 WEP；以及
 
*WEP 并不包含钥匙管理协定，郤依赖在用户间共享一个秘密钥匙。
 
在2005年，美国联邦调查局的一组人展示了用公开可得的工具可以在三分钟内破解一个用 WEP 保护的网络。

亡羊补牢

　　对 WEP 安全问题最广为推荐的解法是换到 WPA 或 WPA2，不论哪个都比 WEP 安全。有些古老的 WiFi 取用点(access point)可能需要汰换或是把它们内存中的操作系统升级才行，不过替换费用相对而言并不贵。另一种方案是用某种穿隧协定，如IPsec。

CCKM is a term used in wireless networks. It stands for Cisco Centralized Key Management, which is a form of . When a  is configured for fast reconnection, a  enabled  device can roam from one to another without involving the main . Using  Centralized Key Management (CCKM), an access point configured to provide  (WDS) takes the place of the  server and authenticates the client without perceptible delay in voice or other time-sensitive applications.

Actually, the WDS (which can be run as a service on a Cisco Access Point or on various router modules) caches the user credentials after the initial log-on. The user must authenticate with the Radius server the first time - then he can roam between access points using cached credentials. This saves time in the roaming process, especially valuable for IP Telephones.

The current implementation of CCKM requires Cisco compatible hardware and either LEAP, EAP-FAST (CCXv3) or PEAP-GTC, PEAP-MSCHAP, EAP-TLS (CCXv4).

aes

　　 
 
AES，Advanced Encryption Standard
 
高级加密标准　密码学中的高级加密标准（Advanced Encryption Standard，AES），又称Rijndael加密法，是美国联邦政府采用的一种区块加密标准。这个标准用来替代原先的DES，已经被多方分析且广为全世界所使用。经过五年的甄选流程，高级加密标准由美国国家标准与技术研究院 （NIST）于2001年11月26日发布于FIPS PUB 197，并在2002年5月26日成为有效的标准。2006年，高级加密标准已然成为对称密钥加密中最流行的算法之一。
 

　　该算法为比利时密码学家Joan Daemen和Vincent Rijmen所设计，结合两位作者的名字，以Rijndael之命名之，投稿高级加密标准的甄选流程。（Rijdael的发音近于 "Rhine doll"。）

TKIP

　　在IEEE 802.11i规范中，TKIP: Temporal Key Integrity Protocol（暂时密钥集成协议）负责处理无线安全问题的加密部分。TKIP在设计时考虑了当时非常苛刻的限制因素：必须在现有硬件上运行，因此不能使用计算先进的加密算法。
 
TKIP是包裹在已有WEP密码外围的一层“外壳”。TKIP由WEP使用的同样的加密引擎和RC4算法组成。不过，TKIP中密码使用的密钥长度为128位。这解决了WEP的第一个问题：过短的密钥长度。 
 
TKIP的一个重要特性，是它变化每个数据包所使用的密钥。这就是它名称中“动态”的出处。密钥通过将多种因素混合在一起生成，包括基本密钥（即TKIP中所谓的成对瞬时密钥）、发射站的MAC地址以及数据包的序列号。混合操作在设计上将对无线站和接入点的要求减少到最低程度，但仍具有足够的密码强度，使它不能被轻易破译。 
 
利用TKIP传送的每一个数据包都具有独有的48位序列号，这个序列号在每次传送新数据包时递增，并被用作初始化向量和密钥的一部分。将序列号加到密钥中，确保了每个数据包使用不同的密钥。这解决了WEP的另一个问题，即所谓的“碰撞***”。这种***发生在两个不同数据包使用同样的密钥时。在使用不同的密钥时，不会出现碰撞。 
 
以数据包序列号作为初始化向量，还解决了另一个WEP问题，即所谓的“重放***（replay attacks）”。由于48位序列号需要数千年时间才会出现重复，因此没有人可以重放来自无线连接的老数据包：由于序列号不正确，这些数据包将作为失序包被检测出来。 
 

　　被混合到TKIP密钥中的最重要因素是基本密钥。如果没有一种生成独特的基本密钥的方法，TKIP尽管可以解决许多WEP存在的问题，但却不能解决最糟糕的问题：所有人都在无线局域网上不断重复使用一个众所周知的密钥。为了解决这个问题，TKIP生成混合到每个包密钥中的基本密钥。无线站每次与接入点建立联系时，就生成一个新基本密钥。这个基本密钥通过将特定的会话内容与用接入点和无线站生成的一些随机数以及接入点和无线站的MAC地址进行散列处理来产生。由于采用802.1x认证，这个会话内容是特定的，而且由认证服务器安全地传送给无线站。

CCMP ( Protocol) is an encryption  created to replace both , the mandatory protocol in WPA, and , the earlier, insecure protocol. CCMP is a mandatory part of the  standard, an optional part of the  standard, and a required option for Robust Security Network (RSN) Compliant networks. CCMP is also used in the   home and business networking standard.

CCMP, part of the 802.11i standard, uses the  (AES) algorithm. Unlike in ,  and  is handled by a single component built around AES using a 128-bit key, a 128-bit block, and 10 rounds of encoding per the  standard.

CCMP uses  with the following parameters:

  • M = 8 - indicating that the MIC is 8 octets,
  • L = 2 - indicating that the Length field is 2 octets.

A CCMP Medium Access Control Protocol Data Unit (MPDU) comprises five sections: 1) MAC header, 2) CCMP header, 3) Data unit, 4) Message integrity code (MIC), and 5) Frame check sequence (FCS). Of these, only the data unit and MIC are encrypted.

The CCMP header is 8 octets and consists of the following fields:

  • Packet Number (code sequence) (PN)
  • Ext IV
  • Key ID

The PN is a 48-bit number stored across 6 octets. The PN codes are the first two, and last four octets of the CCMP header and are incremented for each subsequent packet. Between the PN codes are a reserved octet, and a Key ID octet. The Key ID octet contains the Ext IV (bit 5), Key ID (bits 6-7), and a reserved subfields (bits 0-4).

CCMP uses these values to encrypt the data unit and the MIC. It combines the MPDU Address 2 and priority field, and the PN to create a nonce for the CCM algorithm. It then feeds the temporal key, the constructed nonce, certain header information, and the data unit, to the CCM originator. The CCM originator returns this encrypted data, and an MIC, which is combined with the unencrypted CCMP and MAC headers, and sequence check for transmission.

 

 

该文章转自：