如何確保您的 WiFi 安全：完整指南

對於現代企業、公共場所、醫療機構和教育機構而言，WiFi 已不再是次要的便利設施。它是員工、訪客、IoT 裝置和營運系統的主要連線基礎設施。然而，無線訊號是透過開放的電波傳輸數據，這使得未加密或配置不當的網路容易受到竊聽、封包攔截、憑證竊取和橫向網路入侵的威脅。

保護您的無線網路安全需要多層次的防禦策略。IT 主管必須從傳統的預先共用金鑰，過渡到以身分為導向的驗證、如 WPA3 等現代加密標準，以及嚴格的網路分段。實施企業級的安全控制措施，能確保每個實體營運據點的數據安全、符合法規遵循並維持業務連續性。

了解現代 WiFi 安全的基礎

無線安全協定會打亂空中傳輸的數據，以防止未經授權的攔截。早期的無線標準對於防範攻擊者攔截僅提供極低限度的保護。數十年的密碼學進步已將無線網路從開放式廣播轉變為加密、且經過驗證的安全通道。

每個安全的 WiFi 連線都仰賴兩個基本要素：加密與驗證。加密會將傳輸中的數據打亂，使外部人員無法讀取傳輸的封包。驗證則會在授予內部資源存取權限之前，核實連線使用者與裝置的身分。

從 WEP 到 WPA3 的演進

IEEE 802.11 工作小組於 1999 年推出了有線等效加密（WEP）。WEP 將較小的 24 位元初始化向量（IV）與 RC4 串流加密法搭配使用。密碼分析學家很快就證實，只要擷取適量的網路封包，就能在幾分鐘內破解靜態 WEP 金鑰。WEP 目前已完全淘汰。

WiFi Protected Access（WPA）於 2003 年取代了 WEP，作為使用暫時金鑰整合協定（TKIP）的臨時修補程式。2004 年，WPA2 確立了在計數器模式密碼區塊鏈結訊息鑑別碼協定（CCMP）下運作的高級加密標準（AES）作為全球標準。雖然 WPA2-Personal 多年來提供了可靠的保護，但 2017 年的金鑰重新安裝攻擊（KRACK）等漏洞突顯了在使用共享密碼時其四向握手協定的局限性。

WiFi 聯盟於 2018 年推出 WPA3，以解決這些密碼學上的弱點。WPA3 為個人與商業網路帶來了關鍵的升級：

• 對等實體同時驗證 (SAE)：以零知識證明機制 (Dragonfly 金鑰交換) 取代易受攻擊的 PSK 四向交握。攻擊者無法擷取交握數據來進行離線字典攻擊或暴力破解密碼。
• 受保護的管理訊框 (PMF)：在 WPA3 中為強制性要求，PMF 可保護控制與管理訊框免受去驗證和取消關聯的詐騙攻擊。
• 機會性無線加密 (OWE)：亦稱為 Enhanced Open，OWE 在開放式訪客網路上提供個別的未驗證加密，保護使用者流量免受被動竊聽，且無需共享密碼。
• WPA3-Enterprise 192 位元模式：使用 192 位元 AES-GCMP，為敏感的政府、金融和企業環境提供最高強度的加密保護。

超越共享密碼：802.1X 憑證式驗證

}

在商業環境中依賴單一的預共用金鑰會帶來重大的安全隱患。如果員工離職或公司筆記型電腦遺失，就必須在每台已連線的裝置上更新該共享密碼，才能維持安全性完整性。

企業級 WiFi 安全依賴於與集中式 RADIUS 伺服器整合的 IEEE 802.1X 驗證。每個裝置不再共享靜態密鑰，而是使用個別使用者憑證或由受信任的私鑰基礎架構（PKI）所核發的 EAP-TLS 數位憑證進行驗證。

當員工離職或裝置遺失時，IT 管理員只需在 Microsoft Entra ID、Okta 或 Google Workspace 中撤銷特定的憑證或使用者身分。存取權限將立即被取消，且不會影響網路上的任何其他使用者或裝置。歡迎在我們的技術剖析中，進一步了解 802.1X 驗證的優勢 。

解密首要無線威脅與攻擊媒介

瞭解無線安全需要分析惡意分子如何鎖定無線基礎架構。攻擊者會利用脆弱的驗證和未加密的通道來取得未授權的存取。

邪惡雙胞胎熱點與惡意存取點

「邪惡雙生仔」（Evil Twin）攻擊是指攻擊者部署惡意的冒牌存取點，並廣播與合法企業網路完全相同的 SSID。當附近的筆記型電腦或行動電話嘗試自動連線時，該惡意存取點就會攔截連線請求。

一旦連線到邪惡雙胞胎 (Evil Twin)，使用者流量就會直接通過攻擊者的設備。攻擊者可以擷取未加密的流量、執行工作階段劫持，或提示使用者安裝惡意軟體更新。實施具有伺服器憑證驗證的 802.1X EAP-TLS 可防止裝置與未授權的存取點進行驗證。

中間人（MitM）攻擊

在中間人攻擊（Man-in-the-Middle）的情境中，攻擊者會將自己置於無線用戶端與閘道路由器之間。在開放或配置不當的網路上，攻擊者會執行 ARP 毒化或 DNS 欺騙，將使用者請求重新導向至惡意的複製 Captive Portal ，藉此竊取登入憑證與敏感的財務數據。

密碼破解與字典攻擊

在 WPA2-Personal 網路上，攻擊者可以擷取四向交握（four-way handshake），並離線執行自動化字典指令碼。使用雲端代管的 GPU 叢集，可在數秒內破解簡單的複雜密碼。轉移至 WPA3-Personal 或 WPA3-Enterprise 則可完全杜絕離線交握字典攻擊。

企業級 WiFi 強化最佳實踐

要實現強固的無線安全，需要在您的網路架構中實施深度防禦原則：

• 網路分割：將企業資產、IoT 裝置與訪客流量隔離到獨立的虛擬區域網路 (VLAN) 中。在不同網段之間執行嚴格的防火牆規則，以防止橫向移動。如需完整的指南，請參閱我們的 企業 WiFi 安全指南 。
• 安全的訪客 WiFi 上網引導：要求訪客連線必須通過部署在隔離網段上的驗證 captive portal。請參閱我們的 captive portal 指南 以取得安全存取配置。
• 雲端 RADIUS 整合：部署 Cloud RADIUS ，在分散的分支機構中執行基於身分的存取控制，而無需維護昂貴的地端基礎架構。
• 持續性無線入侵防禦 (WIPS)：部署配有專用掃描無線電的 AP，以即時偵測惡意存取點、去驗證洪水攻擊以及異常的射頻干擾。