无线接入点（AP）与终端（STA）在连接过程中涉及多种加密算法，如CCMP、TKIP等，选择合适的加密组件对于保证网络安全和兼容性至关重要。本篇我们将分析Wi-Fi加密机制、Wi-Fi加密组件的选型要点、典型问题及解决方案，供大家参考。
1. Wi-Fi加密技术背景
1.1 WPA系列协议演进
- WPA/WPA2/WPA3
- 无线网络安全协议从WPA到WPA3经历了不断改进，其安全性和性能也随之提升。WPA2是目前最为广泛应用的协议，而WPA3在密钥协商、保护弱密码和抗离线攻击方面提供了更高的安全性。
- 对于WPA系列协议，启用时必须根据实际网络环境和终端能力来平衡安全性和兼容性
1.2 主流加密算法比较
- CCMP（Counter Mode with Cipher Block Chaining Message Authentication Code Protocol）
- 基于AES算法，能够提供较高的安全性，被用于保护PTK（成对瞬时密钥）以及GTK（组临时密钥）。
- TKIP（Temporal Key Integrity Protocol）
- 作为WPA早期使用的加密方式，虽然兼容性较好，但安全性相比CCMP较弱，已逐步被淘汰。
2. Qualcomm Wi-Fi加密组件的设计考虑
在Wi-Fi加密组件的设计中，充分考虑了以下几点：
2.1 多模式兼容性
在实际部署中，AP可能同时使能多种加密方式（例如同时支持CCMP和TKIP）。如果STA仅支持CCMP，则在连接过程中可能会出现由于加密方式不匹配而导致无法接入的情况。例如，当AP同时启用CCMP和TKIP，而STA仅允许CCMP时，可能会因协商失败而无法建立稳定连接。
2.2 关键密钥协商机制
在Wi-Fi连接过程中，关键协商日志（如“WPA: Key negotiation completed with ...”）显示出：
- 当AP使用[PTK=CCMP GTK=TKIP]时，意味着加密链路中PTK采用了更为安全的CCMP，而GTK则选择了TKIP。
- 当两者均为CCMP时，则实现了全链路高安全加密。这要求在网络规划时，考虑AP和STA的能力一致性，从而避免因混用不同加密模式导致的兼容问题。
2.2.1 AP支持CCMP/TKIP加密方式
<3>CTRL-EVENT-SCAN-STARTED<3>CTRL-EVENT-SCAN-RESULTS<3>WPS-AP-AVAILABLE<3>Trying to associate with SSID 'ASUS_C0_5G'<3>Associated with 04:d9:f5:fb:02:c4<3>CTRL-EVENT-SUBNET-STATUS-UPDATE status=0<3>WPA: Key negotiation completed with 04:d9:f5:fb:02:c4 [PTK=CCMP GTK=TKIP] // CCMP将用于PTK，TKIP将用于GTK<3>CTRL-EVENT-CONNECTED - Connection to 04:d9:f5:fb:02:c4 completed [id=1 id_str=]
2.2.2 SAP仅支持CCMP加密方式
<3>CTRL-EVENT-SCAN-STARTED<3>CTRL-EVENT-SCAN-RESULTS<3>WPS-AP-AVAILABLE<3>Trying to associate with SSID 'ASUS_C0_5G'<3>Associated with 04:d9:f5:fb:02:c4<3>CTRL-EVENT-SUBNET-STATUS-UPDATE status=0<3>WPA: Key negotiation completed with 04:d9:f5:fb:02:c4 [PTK=CCMP GTK=CCMP] // CCMP将用于PTK，GTK<3>CTRL-EVENT-CONNECTED - Connection to 04:d9:f5:fb:02:c4 completed [id=1 id_str=]
2.2.3 Form CWAP document
关于Wi-Fi连接过程中的加密协商，在CWAP中有如下描述：
3. 常见问题分析及解决方案
3.1 多加密模式混用引发的连接问题
问题描述：
在AP同时支持CCMP和TKIP加密方式的情况下，若STA仅限制为使用CCMP，则可能无法成功连接。
原因分析：
在连接协商阶段，AP与STA必须就加密算法达成一致。如果AP提供两种加密模式，而STA仅允许使用CCMP，双方可能在选择加密模式时出现冲突，导致最终无法匹配成功。
解决方案：
- 统一加密策略：确保AP与STA在配置上保持一致，尽可能统一为CCMP加密。
4. 常用缩略词
- PTK(Pairwise Transient Key, 成对瞬时密钥)
- GTK(Group Temporal Key, 组临时密钥)
