1. 无线安全基础：WiFi协议栈概述、无线通信原理、无线安全威胁模型
各位好，我是老周。在无线安全这行摸爬滚打了十几年，今天咱们聊聊WiFi安全最底层的那些事儿。很多人一上来就学加密算法、配WPA3，结果连无线帧长啥样都没见过——这不行。地基没打牢，楼盖得再高也得塌。
这一章，我带你从物理层走到应用层，把WiFi协议栈、通信原理和安全威胁模型串一遍。嗯，内容有点干，但都是硬货。
1.1 WiFi协议栈：从物理层到应用层
WiFi协议栈，说白了就是IEEE 802.11标准定义的一套分层模型。它跟OSI七层模型有点像，但做了简化。我个人习惯把WiFi协议栈分成三层来看：物理层（PHY）、介质访问控制层（MAC）和上层（LLC/网络层）。
| 层次 | 对应OSI层 | 核心功能 | 我踩过的坑 |
|---|---|---|---|
| 物理层（PHY） | 物理层 | 调制解调、编码、射频收发 | 信号干扰导致速率掉到1Mbps |
| MAC层 | 数据链路层 | 帧封装、CSMA/CA、确认重传 | 隐藏节点问题让AP死机 |
| 上层（LLC+网络层） | 网络层及以上 | IP封装、DHCP、DNS | MTU不匹配导致分片丢包 |
这里有个关键点：WiFi的MAC层跟以太网完全不同。以太网用CSMA/CD，WiFi用CSMA/CA——多了个"避免碰撞"的机制。为什么？因为无线环境里你没法像有线那样检测碰撞，只能靠"先听后说"加随机退避。
核心概念：WiFi MAC层帧有三种类型——管理帧（Beacon、Probe Request/Response）、控制帧（RTS/CTS、ACK）和数据帧。攻击者最喜欢伪造管理帧，因为很多设备不验证管理帧的合法性。我在一次红蓝对抗中，就靠伪造Deauth帧把对方整个WiFi网络打瘫了。
1.2 无线通信原理：信号、频段与调制
无线通信，说白了就是电磁波在空气中传播。WiFi主要工作在两个频段：2.4GHz和5GHz。现在WiFi 6E又加了6GHz频段。
你想想看，2.4GHz穿墙能力强，但干扰也大——微波炉、蓝牙、甚至无线鼠标都挤在这。5GHz带宽大、干扰少，但穿墙能力弱。我做过一个项目，客户非要全用2.4GHz，结果会议室一开微波炉，网络直接断流。后来我建议把关键业务切到5GHz，问题才解决。
调制方式这块，我简单列个表：
| 调制方式 | 数据率（单流） | 抗干扰能力 | 典型应用 |
|---|---|---|---|
| BPSK | 6-9 Mbps | 强 | 低速率、远距离 |
| QPSK | 12-18 Mbps | 中 | 一般覆盖 |
| 16-QAM | 24-36 Mbps | 弱 | 近距离高吞吐 |
| 64-QAM | 48-54 Mbps | 很弱 | 理想环境 |
| 256-QAM（WiFi 5/6） | 80-160 Mbps | 极弱 | 近距离、高信噪比 |
为什么会这样？因为高阶QAM把更多信息编码到相位和幅度上，对噪声更敏感。信号稍微差一点，误码率就飙升。我记得有一次在体育馆部署WiFi 6，调试时发现速率始终上不去，最后发现是天线安装角度不对，导致信号反射严重——这就是典型的多径效应。
避坑指南：我曾经在部署时忽略了路径损耗模型。自由空间损耗公式是：L = 20log10(d) + 20log10(f) + 32.44（d单位km，f单位MHz）。2.4GHz下，100米就有80dB损耗。你算算，AP发射功率20dBm，接收端灵敏度-75dBm，中间隔两堵墙——信号早没了。所以做覆盖规划时，别只看理论速率。
1.3 无线安全威胁模型：攻击者视角
搞安全，你得先知道敌人怎么想。无线安全威胁模型，我把它分成四类：窃听、篡改、伪造和拒绝服务。
下面这张图是我自己画的威胁模型框架，你看一眼就明白了：
咱们逐个说：
- 窃听：无线信号在空中广播，任何人都能抓包。WEP时代，抓够几万个IV就能破解。WPA2虽然强，但4次握手包被捕获后，字典攻击照样能破。我见过太多人用"password123"这种弱密码了。
- 篡改：攻击者截获帧后修改内容再转发。比如修改DNS响应，把用户导向钓鱼网站。WPA2的CCMP加密能防篡改，但前提是密钥没泄露。
- 伪造：最常见的是Rogue AP（邪恶双子攻击）。攻击者放一个跟公司SSID一样的AP，用户自动连上去，所有流量都被截获。我在一次渗透测试中，用一台树莓派加一个USB网卡，15分钟就拿到了30多个员工的LDAP凭证。
- 拒绝服务：Deauth攻击是最经典的。攻击者伪造AP发Deauth帧，客户端就被踢下线。WiFi标准里Deauth帧不加密，所以这招百试百灵。嗯，WiFi 6的Protected Management Frames（PMF）能缓解这个问题，但很多老旧设备不支持。
警告：别以为用了WPA2就万事大吉。KRACK攻击（2017年）直接攻破了WPA2协议本身，利用4次握手重装密钥的漏洞。我当时紧急给全公司几百个AP打补丁，忙了整整一个周末。所以记住：协议安全不等于实现安全，实现安全不等于部署安全。
1.4 安全协议演进：从WEP到WPA3
WiFi安全协议的发展史，就是一部攻防对抗史。我简单梳理一下：
| 协议 | 加密方式 | 认证方式 | 现状 |
|---|---|---|---|
| WEP | RC4（静态密钥） | 共享密钥 | 已废弃，几分钟可破解 |
| WPA | TKIP（RC4+动态密钥） | PSK/802.1X | 已废弃，有已知漏洞 |
| WPA2 | CCMP（AES） | PSK/802.1X | 仍广泛使用，但有KRACK漏洞 |
| WPA3 | GCMP（AES-256） | SAE/802.1X | 最新标准，推荐使用 |
WPA3最大的改进是用了SAE（Simultaneous Authentication of Equals）握手，替代了WPA2的4次握手。SAE能防离线字典攻击——即使攻击者抓到了握手包，也没法离线破解密码。不过WPA3也有自己的问题，比如Dragonblood漏洞（2019年），但整体上比WPA2安全得多。
我的建议：如果你现在还在用WPA2，尽快迁移到WPA3。如果设备不支持WPA3，至少开启PMF（802.11w）和禁用WPS。WPS的PIN码漏洞，我用Reaver工具破解过无数次，平均4小时就能拿到WPA2密码。
1.5 本章小结
这一章我们覆盖了三个核心基础：WiFi协议栈的分层结构、无线通信的物理原理、以及安全威胁模型。说白了，你要理解无线信号是怎么飞的，帧是怎么封装的，攻击者是怎么钻空子的。后面的章节，我们会深入每个安全协议的配置细节和实战适配。
记住一句话：无线安全不是配个密码就完事了。它是一个系统工程，从物理层到应用层，每一层都有坑。我这些年踩过的坑，后面会一一告诉你。