1. 背景与发展
定义：WAPI（Wireless LAN Authentication and Privacy Infrastructure，无线局域网鉴别与保密基础结构）是中国自主提出的无线局域网安全标准，旨在解决传统Wi-Fi（如WEP、WPA）的安全漏洞。
起源：2003年由中国国家标准化管理委员会发布（GB 15629.11系列），推动原因包括安全可控、减少对国外技术依赖，以及自主知识产权需求。
国际化尝试：曾申请成为IEEE 802.11国际标准，但因政治与技术争议未果，主要在中国应用。
2. 技术特点
双向认证：终端（MT）与接入点（AP）需双向验证身份，采用数字证书（X.509格式），避免中间人攻击。
国密算法：
加密：SM4分组密码（原称SMS4），128位密钥，符合中国商用密码标准。
完整性：基于椭圆曲线密码（ECC）的签名算法。
分层密钥管理：
基础密钥（BK）：基于证书协商生成，长期有效。
单播会话密钥（UK）：动态生成，保护单播通信。
组播密钥（MK）：用于组播/广播数据加密。
3. 网络架构
核心组件：
移动终端（MT）：用户设备，内置WAPI模块及证书。
接入点（AP）：支持WAPI的无线热点，负责终端认证。
鉴别服务器（AS）：验证终端与AP的证书，存储证书吊销列表（CRL）。
证书颁发机构（CA）：签发和管理数字证书。
协议分层：
鉴别层：处理证书交换与身份验证。
密钥管理层：生成和管理会话密钥。
数据传输层：使用SM4加密数据。
4. 工作流程
关联请求：MT向AP发送关联请求，触发认证流程。
证书鉴别：
MT与AP交换证书，AS验证证书有效性（包括CRL检查）。
使用ECC算法验证签名，确保双向合法性。
密钥协商：
基于证书生成BK，通过密钥派生函数生成UK和MK。
采用前向保密机制，防止密钥泄露影响历史数据。
安全通信：数据经SM4加密传输，定期更新UK/MK以增强安全性。
5. 安全性优势
抗攻击能力：抵御中间人攻击、重放攻击及字典攻击（证书替代预共享密钥）。
合规性：符合中国密码法规，适用于政府、金融等敏感领域。
动态密钥：会话密钥定期更新，降低长期密钥被破解风险。
6. 应用现状
领域：中国政府部门、军队、公共交通（如地铁Wi-Fi）、高端制造业。
设备支持：华为、小米等国产品牌手机/笔记本普遍支持；部分国际厂商（如苹果）在中国市场设备兼容WAPI。
标准演进：2022年更新至GB 15629.11-2022，支持Wi-Fi 6并增强多场景适应性。
7. 争议与挑战
国际兼容性：与IEEE 802.11i（WPA2/WPA3）不兼容，导致全球推广困难。
政治因素：2004-2006年中美贸易谈判后，中国暂缓强制实施，改为与WPA2共存。
技术竞争：WPA3的SAE机制提升了传统Wi-Fi安全性，可能挤压WAPI的国际空间。
8. 未来展望
国内深化：在关键基础设施中持续推广，结合国产操作系统（如统信UOS）形成生态闭环。
技术融合：探索与5G、物联网安全协议的整合，扩展应用场景。
国际突破：通过“一带一路”等合作输出标准，寻求区域性采纳。
总结：WAPI作为中国自主网络安全标杆，在特定领域展现了高安全性，但受限于国际生态，其发展依赖于国内政策支持与技术进步。随着全球安全需求提升，WAPI的架构理念可能影响未来无线安全标准设计。