智能手机、平板与无线物联网设备的指数级增长推高了 Wi-Fi 基础设施需求，同时也放大了安全漏洞风险。文章聚焦住宅、家庭及 SOHO（小型办公/家庭办公）场景，指出 95% 的接入点（AP）最高仅支持 WPA2-PSK + CCMP/AES，却仍普遍存在开放认证、WEP、WPAv1 TKIP/RC4 等已被攻破的配置，并梳理了弱口令、ISP 默认算法、社会工程学等核心攻击面，给出加密升级、关闭 WPS、强化口令的防御建议。
**加密协议与速率的强绑定关系**
住宅与 SOHO 环境中，AP 通常由用户或 ISP 部署在有线调制解调器后端。原文统计显示，95% 的设备最高安全等级为 WPA2-PSK + CCMP/AES，即预共享密钥存储于 AP 本地。然而现网仍存量设备使用开放认证、共享密钥认证、WEP 或 WPAv1-PSK + TKIP/RC4。WEP 早已被破解，WPAv1 TKIP/RC4 存在同类弱点，且两者物理层速率上限锁定在 54 Mbps，无法利用 IEEE 802.11n 与 IEEE 802.11ac 的高吞吐特性。只有启用 WPA2（CCMP/AES）才能解锁 802.11n/ac 的高速模式。此外，Wi-Fi Protected Setup（WPS）支持按钮配对（PBC）、PIN 码、令牌卡或 NFC，但已被证实存在漏洞，构成 AP 侧的潜在后门，必须在管理界面彻底关闭。
**口令生成机制与社会工程学的双重隐患**
攻击面集中在预共享密钥的强度与分发环节。若口令或短语强度不足，攻击者可抓取握手包离线跑字典或常用口令库。更隐蔽的是，部分 ISP 将基于 MAC 地址的算法生成默认口令，并将该 MAC 编码进 SSID 广播，导致只要掌握算法即可反推口令。社会工程学则绕过技术手段，直接通过电话或邮件诱导用户泄露凭证。来访人员索要或共享密码进一步扩大了口令扩散半径。原文未给出具体字典攻击成功率、ISP 算法泄露案例数量或社会工程学攻击占比数据。
**运维落地：最小化攻击面的三步动作**
对运维与网络工程师而言，住宅与 SOHO 场景的加固动作明确且低成本：一、在所有 AP 强制启用 WPA2-PSK + CCMP/AES，淘汰 WEP、WPAv1 TKIP/RC4 与开放认证；二、登录管理界面关闭 WPS 功能，堵住 PIN 码与 PBC 破解路径；三、制定口令策略——长度不低于 12 位、混合大小写数字符号、定期轮换，并禁止在 SSID 暴露 MAC 衍生信息。若 ISP 提供的 CPE 设备锁死配置，建议桥接模式下挂自管 AP，将加密控制权收回自有设备。这些措施可同步消除速率瓶颈与已知协议漏洞，将攻击面压缩至口令强度单一维度。
原文: APNIC Blog（2017-03-14）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog