本文系统梳理公共 Wi‑Fi 网络常见的四类认证模式，逐一说明开放系统、门户认证、预共享密钥与 802.1x 的安全特性，并列出典型攻击面，供网络运维在部署与审计时参考。
认证模式分类
公共 Wi‑Fi 通常采用以下四种认证方式：开放系统认证（无任何加密）；开放系统配合门户页面，要求用户在登录页输入凭据；配置加密标准的接入点，包括 WEP、WPAv1 或 WPAv2 PSK；基于 IEEE 802.1x 的端口认证，后端接入认证服务器存储用户名/密码，且需先完成开放系统认证才能建立 RSN；以及结合 IEEE 802.11u Hotspot 2.0 的 802.1x，支持跨运营商漫游协议。
主要风险点
开放系统认证不提供任何保护，所有无线帧均可被抓包分析，且易受邪恶双子、中间人、蜜罐、点对点及去认证攻击；门户页面若使用 HTTP 而非 HTTPS，登录凭据在空中明文传输，MAC 地址校验可被伪造或通过更换网卡绕过；酒店常用姓名与房间号验证，易遭冒充与肩窥攻击，凭据仍常以 HTTP 发送；采用 802.1x 并配合强 EAP 方法可获得更强的认证与加密框架，但具体强度取决于所选 EAP 类型。
工程建议
在部署时应优先启用 802.1x 并选择抗重放、支持证书的 EAP 方法；门户页面必须强制 HTTPS 并校验服务器证书；禁用纯开放系统认证，或在其之上叠加强制加密；监控 MAC 地址异常变更，限制同一 MAC 的并发会话；对酒店等场景推行基于证书或一次性密码的认证，减少明文凭据暴露；若需漫游，采用 Hotspot 2.0 配合运营商协议可简化用户接入并保持安全基线。
掌握上述认证差异与攻击面，有助于运维人员在公共热点的规划、审计与应急响应中快速定位薄弱环节，降低用户数据泄露风险。
原文: APNIC Blog（2017-03-15）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog