無線加密向WPA2平滑過渡解析
無線加密—>WPA2之升級你的設備
WPA2(WPA第二版)是Wi-Fi聯盟對采用IEEE 802.11i安全增強功能的產品的認證計劃。WPA2認證的產品自從2004年9月以來就上市了。目前，大多數企業和許多新的住宅Wi-Fi產品都支持 WPA2。截止到2006年3月，WPA2已經成為一種強制性的標準。
要確定你的產品是否支持WPA2，可查詢Wi-Fi聯盟認證產品列表。如果你的設備是老式設備，不是WPA1認證產品，你就要淘汰這種產品。如果不是立即淘汰的話也要很快淘汰這種產品。要把其它設備升級到WPA2，請查看你的廠商的技術支持網站，查詢新的接入點硬件或者卡驅動程序。你需要出廠時間不超過兩年的硬件設備。WPA2需要采用高級加密標準(AES)的芯片組。如果你要購買新的接入點，一定保證這些產品有WPA2認證。
無線加密—>WPA2之升級你的軟件
WPA2有兩種風格：WPA2個人版和WPA2企業版。WPA2企業版需要一臺具有802.1X功能的RADIUS(遠程用戶撥號認證系統)服務器。沒有RADIUS服務器的SOHO用戶可以使用WPA2個人版，其口令長度為20個以上的隨機字符，或者使用McAfee無線安全或者 Witopia SecureMyWiFi等托管的RADIUS服務。
大多數企業喜歡使用自己內部的RADIUS服務器運行WPA2企業版。這類服務器包括思科ACS、FreeRADIUS、Funk Odyssey、Interlink RAD、Meetinghouse AEGIS、微軟IAS或者Open.com Radiator。WPA和WPA2企業版的主要差別對RADIUS服務器幾乎沒有影響。因此，如果你已經在運行WPA，你也許不需要為WPA2升級額外的RADIUS服務器。
要運行這兩個版本WPA2的任意一種版本，你還需要客戶端軟件。這種客戶端軟件也許包括操作系統補丁、一個802.1x申請或者新的無線網卡驅動程序。例如，Windows XP SP2已經支持WPA，但是，要使用WPA2，你還需要安裝一個XP WPA2補丁。
對于其它操作系統來說，你需要從你的無線設備廠商(如思科)或者第三方(如Funk、Meetinghouse、 wpa_supplicant、 Devicescape等公司)獲得支持WPA2的客戶端軟件。WPA2客戶端軟件或者驅動程序也許永遠不會出現在具有嵌入Wi-Fi功能的非典型設備中 (如WoWi-Fi手機和條形碼掃描器)或者不支持AES的老式接口中。
無線加密—>WPA2之實現共存
隨著你升級到WPA2，你要開始逐步淘汰老式的、不安全的設備。現實地說，你可能要在一段時間里要繼續支持WPA或者WEP。換句話說，你需要有一個你目前擁有的設備和WPA2設備之間共存的計劃。
一個策略是把WPA2當作一個新的overlay網絡。這就意味著與老式的接入點并排安裝新的接入點，使用不同的安全策略和名稱創建兩個獨立的無線局域網。這種方法代價昂貴，但是，如果你準備用下一代交換的無線局域網替代老式的無線局域網的時候，這樣做還是有意義的。
另一個策略是更新現有接入點的硬件或者更換接入點，逐步升級你的無線局域網基礎設施以支持WPA2。幸運的是WPA認證的產品必須要向下兼容正在使用之中的WPA產品。大多數企業級接入點都可以設置為同時支持新的和老的安全策略。過一段時間，隨著老式客戶端設備被淘汰或者升級，你可以撤銷老的安全策略。
無線加密—>WPA2之多策略無線局域網實現方法
如果你的無線局域網支持多個SSID，你可以為WPA2定義一個新的SSID，保留老的SSID和相關的安全策略。例如，當T-Mobile為其熱點增加WPA的時候，它創建了一個新的SSID。運行T-Mobile連接管理器的客戶現在通過與“tmobile1x”關聯使用WPA企業版，同時，非WPA客戶仍然能夠與老的“tmobile”關聯。在這種情況下，同一個物理接入點可能以多種虛擬接入點的方式出現，避免對老客戶產生任何影響。
如果你的接入點支持WPA2混合模式，你可以擴展目前的SSID以支持多個安全策略。使用這種Wi-Fi聯盟選擇，接入點能夠為播出幾種密碼 (如TKIP[WPA]、XXMP[WPA2])的一個SSID發送無線電信標。從接入點列表中選擇一種密碼取決于這個客戶端軟件。
當然，這個客戶端軟件必須能夠理解這個接入點的無線電信標。需要指出的是，由于TKIP是用于加密局域網廣播/多播出的，老的WEP客戶端軟件在混合模式下也許不能工作。一些接入點提供其它廠商專有的選擇，如思科的WPA過渡模式。如果你的無線局域網是相同性質的并且你的客戶端設備組合不能得到其它替代方法的支持，你可以考慮廠商專有的選擇。
無論你采取什么方法實現這個目標，WPA2與較弱的安全措施共存應該是一種臨時的步驟。在過渡期間，你也許要把WPA2和非WPA2通訊分開，使用不同的虛擬局域網標簽標記來自老的和新的SSID的通訊，然后根據這些不同的標簽來采用不同的通訊策略。為什么?攻擊者喜歡容易摘到的水果。你的比較老的接入點、SSID和密碼選擇更容易吸引這些黑客的注意。
無線加密—>客戶端設置
如果SOHO無線局域網向WPA2個人版過渡，客戶端設置需要一些努力。一旦你擁有了升級的客戶端軟件，從設置菜單中選擇“WPA2- PSK”，輸入一組口令字段，你就可以運行了。如果你用Windows XP使用一個具有WPA2功能的卡，但是沒有看到把“WPA2-PSK”當作一種設置選擇，那就是你也許沒有安裝XP WPA2補丁。
如果你已經安裝了這個補丁，但是，仍然沒有看到這個選擇，你可能是丟失了WPA2卡驅動程序。不要被使用AES支持WPA的產品所欺騙。那不是WPA2。要使用WPA2個人版，卡和接入點必須要選擇WPA2-PSK和AES。
無線局域網向WPA2企業版過渡的情況下，特別是大型的無線局域網，升級客戶端軟件是一項繁重的工作。除了升級客戶端軟件之外，你必須要選擇一種802.1X認證方式，發布(或者重新使用)客戶證書，把你的RADIUS服務器與一個用戶賬戶數據庫捆綁在一起。好消息是如果你使用WPA企業版，你就已經覆蓋了這些領域，不需要再做這些事情了。
【編輯推薦】
