[WAPI]

WAPI定义

WAPI是WLAN Authentication and Privacy Infrastructure（无线局域网鉴别与保密基础结构）的简称，是中国提出的、以802.11无线协议为基础的无线安全标准。WAPI协议由以下两部分构成：

WAI：是WLAN Authentication Infrastructure（无线局域网鉴别基础结构）的简称，是用于无线局域网中身份鉴别和密钥管理的安全方案；

WPI：是WLAN Privacy Infrastructure（无线局域网保密基础结构）的简称，是用于无线局域网中数据传输保护的安全方案，包括数据加密、数据鉴别和重放保护等功能

协议：GB 15629.11

WAPI鉴别方式

WAPI支持如下两种鉴别方式：证书鉴别方式和预共享密钥鉴别方式
1.证书鉴别
鉴别前STA和AP必须预先拥有各自的证书，然后通过AS对双方的身份进行鉴别，根据双方产生的临时公钥和临时私钥生成BK。

2.预共享密钥鉴别PSK

STA和AP必须预先配置有相同的密钥，即预共享密钥，将预共享密钥转换为BK。
然后进行单播密钥协商和组播密钥通告

密钥管理

单播密钥和组播密钥协商:
STA与AP之间交互的单播数据利用单播密钥协商过程所协商出的单播加密密钥和单播完整性校验密钥进行保护;
AP利用自己通告的、由组播主密钥导出的组播加密密钥和组播完整性校验密钥对其发送的广播/组播数据进行保护，而STA则采用AP通告的、由组播主密钥导出的组播加密密钥和组播完整性校验密钥对收到的广播/组播数据进行解密

PSK认证

关联

1.1 关联请求（Association Request）

方向：STA → AP
作用：STA声明支持WAPI认证，请求关联。
关键字段：
在信标帧、关联请求帧、重新关联请求帧和探询请求帧中携带WAPI信息元素

密钥协商

单播密钥协商请求（Unicast Key Negotiation Request）
方向：AP → STA
作用：AP发起密钥生成请求。

单播密钥协商响应（Unicast Key Negotiation Response）
STA->AP

单播密钥协商确认（Unicast Key Negotiation Confirmation）
AP->STA

组播密钥协商

AP->STA
Multicast key/STAKey announcement

STA->AP
Multicast key/STAKey announcement response

加密数据

加密数据帧头包括“MAC头 + 加密头”

WAPI加密头

WAPI加密数据包头格式：
802.11 MAC头 | WAPI头 (8字节) | 加密载荷 | ICV (4字节) | FCS

WEP加密头

WEP加密数据包头格式：
802.11 MAC头 (24+字节) | WEP头 (4字节) | 加密载荷 | ICV (4字节) | FCS (4字节)

CCMP加密头

CCMP加密数据包头格式：
802.11 MAC头 | CCMP头 (8字节) | 加密载荷 | MIC (8字节) | FCS

TKIP加密头