> **来源：[研报客](https://pc.yanbaoke.cn)** # WAPI Alliance 产业|联|盟 # WAPI 市场应用洞察报告 AS在WAPI三元对等架构中的核心地位与行业合规部署 [2025年12月版] # 编制说明 《WAPI市场应用洞察报告》是WAPI产业联盟的系列出版物，目标是指导安全无线局域网（WAPI）产业市场高质量发展。我们非常高兴地和业界分享这些重要信息，以帮助制定有关WAPI的决策，并为广大用户提供最佳体验。 《报告》每个专题均揭示了联盟在WAPI市场应用中的关键发现，所有观点均基于长期的产业市场洞察、广泛的调查、与业内专家充分的讨论以及严格的产品和系统测试。 鉴于技术标准持续演进和产业市场持续发展，每个专题都可能衍生出多个版本。详情咨询或获取本文件授权等事宜，敬请联系WAPI产业联盟秘书处。 联系方式 地址：北京市海淀区知春路27号量子芯座1608室 电话：010-82351181 邮箱：staff@wapia.org 网站：www.wapia.org.cn # 本期洞察对象与结论 随着WAPI（无线局域网鉴别与保密基础结构）在工业、政务、国防等高安全需求领域的规模化部署，三元对等架构作为WAPI的核心，其工程化实现与部署合理性成为产业界关注焦点。本期《洞察报告》以能源电力行业WAPI试点项目和在建项目为洞察样本，聚焦鉴别服务器（AS）的功能定位、部署策略演进，结合高安全场景的实践验证，形成核心结论如下： 1. 信任根基不可动摇：AS是WAPI三元对等安全体系的信任根基，任何削弱或绕过AS核心功能的实现方案，均背离WAPI架构的设计原则，引入系统性安全风险。 2. 部署策略需适配安全需求：AS部署必须以信息系统安全策略为核心导向，高安全、高可靠场景下（如电力调度、工业控制），需优先考虑热备、灾备、本地化等保障方案，严禁将“绕过AS”作为应急处置手段。 3. 双线演进成为明确趋势：未来AS部署将呈现两大方向：一是大型中心化网络中，结合高可靠有线骨干网和WAPI综合网管，向“高并发+虚拟化+云化”AS服务平台演进；二是需要数据本地化处理和低时延的场景中（如工业互联网、车联网），AS与CIS功能分离，以“轻量化+一体化”形态下沉，部分场景可与AC功能融合。 # 1. 架构本质：三元对等的安全逻辑 WAPI区于传统Wi-Fi安全协议的核心优势，源于终端（STA）-接入点（AP）-鉴别服务器（AS）[1]构成的三元对等架构： - 赋予AP独立身份标识，打破传统二元架构中AP“无独立身份”的设计缺陷。 • 实现终端与AP的双向对等的身份鉴别，从根源上抵御“伪基站”、“钓鱼AP”等中间人攻击。 # 2.鉴别机制：基于数字证书的可信验证 WAPI采用基于在线可信第三方（AS）的数字证书双向鉴别机制，核心实现“网络-用户”双向身份验证：一方面验证接入终端（STA）的合法性，另一方面为终端验证接入点（AP）及网络的可信性，从双向维度阻断非法接入与网络伪造风险。 数字证书（也称公钥证书）是由证书签发机构（WAPI体系中即AS）签名的标准化数据结构，核心包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息等关键要素。WAPI系统中所使用的用户证书为数字证书，通过AS对用户证书进行鉴别，可以唯一确定WAPI用户的身份及其合法性。鉴别过程采用椭圆曲线签名算法，并使用安全的消息杂凑算法实现消息的完整性，攻击者难以对进行鉴别信息进行篡改和伪造，安全强度高。 [1] 严格意义上的 AS，仅包含证书鉴别功能；证书颁发功能属于证书签发服务器 (CIS)。当前产业市场的现状是为了方便部署和管理，通常将 CIS 功能包含在 AS 内。本文讨论的 AS，如无特别说明，指的是包含 CIS 功能的 AS。 WAPI证书鉴别前STA和AP必须预先安装各自的证书，然后通过AS对双方的身份进行鉴别，根据双方产生的临时公钥和临时私钥生成基密钥，并为随后的密钥协商做好准备。证书鉴别的过程如下图所示。 图：WAPI证书鉴别过程 在WAPI证书鉴别的基础上，STA和AP安全协商出席会议密钥（避免了传输密钥带来的风险），用于后续数据通信的完整性和机密性保护。 AS的不可替代性源于其在信任体系、身份鉴别、网络运维三大维度的基础性作用，三者形成“信任-鉴别-管控”的闭环支撑： # 维度一：信任体系的根基 AS是整个WAPI安全体系的信任锚点（Trust Anchor），承担合法STA/AP的证书鉴别与管理职责： ·采用“星型信任模型”，将STA与AP间的网状信任关系简化为“双方向AS信任”，使大规模网络（如含10万+终端的电力物联网）的信任管理复杂度大幅度降低。 - 红线原则：任何在AS之外建立次级信任中心的行为（如将部分鉴别功能迁移至AC），均会破坏信任体系的唯一性，经安全测试验证，此类改造会使网络遭受攻击的风险大幅提升。 # 维度二：双向鉴别的核心仲裁者： WAPI与传统Wi-Fi安全协议的关键差异的在于AS的仲裁角色： - Wi-Fi安全协议：AP仅作为RADIUS代理，仅实现对STA的单向鉴别。 - WAPI安全协议：要求STA和AP进行直接的双向对等身份鉴别。AS作为共同信任的第三方，同时验证STA与AP的证书合法性，独立判定身份有效性并反馈结果，确保STA接入的是经可信鉴别的合法AP，从理论上彻底杜绝“钓鱼AP”攻击，其过程也确保了鉴别结果的客观性与权威性。 ·风险警示：绕过AS由AC/AP自行完成鉴别的方案，实质是赋予设备“非法信任权限”。任何试图绕过AS的行为都会破坏这一对等仲裁流程，给“钓鱼AP”创造机会。 # 维度三：网络安全管理策略执行中心 AS的集中化部署架构，为网络运营者提供全局性的安全可视化能力与精细化策略管控能力。作为动态信任构建流程的核心枢纽，AS全程参与身份鉴别、密钥协商的关键环节，承担实时验证、双向协调、操作留痕的核心职能，确保每一次接入行为都处于可控、可追溯的安全框架内。 所有终端的入网身份标识、接入时间、关联AP物理位置（含设备ID）、鉴别成功/失败、密钥协商过程等关键安全日志，均以不可篡改的形式集中沉淀于AS。这为安全审计、攻击溯源、合规性核查提供权威、完整的一手数据源。 同时，AS是执行最高层级安全策略的天然载体，具备策略统一下发、强制落地的核心能力：一方面支持证书注销列表（CRL）的实时生效与在线查询，确保已注销证书的终端无法接入网络；另一方面可基于终端角色（如巡检机器人、运维终端）、证书属性（如权限等级、所属区域）实现精细化访问控制与分组管理，例如限制某类终端仅能接入特定AP分组、访问指定业务网段，确保安全策略在全网范围内的一致性与强制性，避免“策略孤岛”问题。 综上，AS在信任体系、身份鉴别、网络运维三大核心维度形成“信任基石-鉴别仲裁-管控中枢”的有机闭环：以“唯一信任锚点”为安全基石，通过“双向对等鉴别”实现终端与网络的可信接入，最终以“全局策略管控”完成安全能力的落地闭环，三者层层递进、不可分割，共同构成WAPI三元对等架构的安全核心。任何在产品工程化实现或部署过程中，对这三大维度的功能削弱、流程简化或架构扭曲（如绕过AS鉴别、弱化管控能力），都将直接突破WAPI的安全设计底线，动摇三元对等架构的根本逻辑。产业实践中的多次攻防测试与项目复盘已充分验证：坚守AS的核心地位、保障其功能完整性与部署合规性，是WAPI网络实现高安全目标的唯一必由之路，也是高安全场景规模化落地的关键前提。 尽管WAPI标准体系对AS的角色有明确定义，但在实际的产业化和工程化过程中，由于对三元对等架构理解不透彻，或受传统网络建设思维惯性影响，仍存在以下问题与风险： # 问题1：为降低切换时延，屏蔽AS鉴别功能 在实际应用中，有些业务如巡检机器人、无人机等需要STA可以在不同AP间快速切换，实现高清视频不卡顿。 经调研发现，个别产品实现这种快速切换能力是以牺牲安全性为代价的，具体做法是：STA与AP1完成WAPI的鉴别及密钥协商流程，AP1会将协商产生密钥通过AC“分发”给附近的AP2/AP3/……，当STA移动到AP2覆盖范围内并尝试与AP2进行WAPI连接时，就可以跳过WAPI身份鉴别过程直接使用密钥通信，从而达到快速切换。但是这种做法有严重的安全风险，将密钥在AP/AC之间的网络中传输，一旦密钥泄露，非法STA就可以绕过WAPI的身份鉴别机制，直接入侵到WAPI网络中。 正确的做法是：快速切换功能应在保证安全的前提下实现。STA无论切换到哪个AP上，都要完整进行WAPI身份鉴别流程，快速切换功能可以通过诸如“双发选收”等工程化实现手段实现。 # 问题2：AS不可用时，采用“代位鉴别”等应急方案 在WAPI规模部署实践中，“AP本地部署、AS远端集中”是当前常见架构，但在实际应用中会有一些偶发因素造成AP与AS之间的网络不通或延迟过大，一旦发生这种“AS丢失”的应急情况，本地所有STA都将无法成功接入WAPI网络。以电力输电线应用场景为例，铁塔间通过WAPI无线级联组网，若AS在远端，一旦某个铁塔上的设备故障，可能会导致整条输电线路STA掉线。 经调研发现，个别产品以“私自改动WAPI协议”为代价来解决“AS丢失”的应急情况，在没有AS参与的情况下，通过AP“代位鉴别”或其他“变通”方式完成WAPI身份鉴别流程。这严重影响了安全性，甚至严格意义上已经不属于WAPI产品了。众所周知，WAPI的“三元对等”安全架构中，AS是不可或缺的一元，任何没有AS参与的WAPI身份鉴别流程都不可能完整，都无法保障安全性。 正确的做法是：通过备份部署和本地化部署提升AS可用性。例如在电力输电线应用场景中，可以将将AS的发证和鉴别功能分离，将CIS（发证）集中部署，将AS（鉴别）下沉到本地部署，从而实现“集中管理、本地鉴别”，保障AS可用性。 # 1. 当前核心挑战 · 技术标准支撑不足：AS技术、产品、测试已有成熟标准，但部署规范、风险防控缺乏统一指引，导致行业实践参差不齐。 · 认知偏差：部分企业受传统（如：运营商时代）网络建设思维影响，过度追求部署便利性而牺牲安全性，需通过标准宣贯与案例警示纠正。 # 2. 标准化推进行动 近期立项的两项团体标准正在填补空白，为产业和市场用户提供通用的“部署说明书”和“运维指导手册”： ·《安全无线局域网综合管理系统通用技术要求》：明确 AS 集中云化部署的安全基线与运维规范。 ·《基于终端预置工程证书的WAPI证书在线管理方案指南和示例》：提炼电力等重点行业最佳实践，形成可复用的部署模板。 # 3. AS部署方式演进趋势 AS（鉴别）是一种高频、实时、在线的业务，适合本地/分布式部署；CIS（发证）是一种低频、非实时、在线/离线均可的业务，适合集中部署，根据需要二者功能可以分离。 未来AS部署将呈现两大方向：一是大型中心化网络中，结合高可靠有线骨干网和WAPI综合网管，向“高并发+虚拟化+云化”AS服务平台演进；二是需要数据本地化处理和低时延的场景中（如工业互联网、车联网），AS与CIS功能分离，以“轻量化+一体化”形态下沉，部分场景可与AC功能融合。 Email Address staff@wapia.org Phone Number 010-82351181 Website www.wapia.org.cn