部署一套网络WiFi认证系统，技术方案选对了、架构搭好了，这只是过了第一关。真正让运维负责人半夜惊醒的，不是系统崩了用户上不了网，而是监管部门一通电话："你们这边的WiFi实名数据上传中断了三天，过来说明一下情况。"安全合规不是附加题，而是必答题。答错了不是扣分，是直接判负。

网络安全法第二十四条写得很明确：网络运营者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。公共WiFi属于提供互联网接入服务，适用这条规定。一家商场、一个酒店、一个咖啡馆，只要提供了WiFi给顾客使用，就必须落实实名认证。没有落实的，主管部门可以责令改正，拒不改正的最高罚款五十万元。这些年各地公安网安部门对公共WiFi实名登记的检查频次越来越高，移动执法终端走到店里一扫，发现没有实名认证或者数据没有上传，当场就可以开罚单。

实名只是第一层。个人信息保护法对认证系统采集的用户数据提出了更严格的要求。用户在WiFi认证页面输入的手机号属于个人信息，认证系统后台存储的上网日志、访问记录同样属于个人信息。采集这些信息需要明确告知用户用途，获得用户同意，不能默认勾选、不能藏在十几页的用户协议里。存储这些信息需要加密，不能明文丢在数据库里，一旦发生数据泄露，运营者需要在七十二小时内上报监管部门，而且要逐一通知受影响的用户。对一台每天处理几万条认证记录的认证系统来说，七十二小时内排查出泄漏范围并逐一通知，实际操作难度极大。所以更务实的做法是把安全做在前面：数据库字段级加密，日志访问权限最小化，管理员操作全量审计，让数据泄露的可能性降到最低。

等保2.0把信息安全等级保护的要求细化到了具体的控制点。对于网络WiFi认证系统，二级等保的要求包括：具备身份鉴别功能，支持用户名密码或手机验证码等至少一种认证方式；具备访问控制功能，能够基于用户身份限制网络访问范围；具备安全审计功能，认证日志、操作日志、错误日志必须完整记录，留存时间不少于六个月。三级等保的要求更高：身份鉴别必须采用两种以上的组合方式，比如密码加短信验证码，或者证书加生物识别；需要具备入侵防范能力，能够检测并阻断暴力破解、SQL注入等攻击行为；需要有恶意代码防范机制，定期对系统文件和上传内容做病毒扫描；关键数据和系统配置需要异地备份，备份数据同样需要加密保护。

等保测评不是走过场。测评机构会现场检查认证系统的配置、抽查日志的完整性、测试安全防护功能是否真实有效。很多系统在自评的时候觉得没问题，等保测评老师一来，从日志里翻出一条六个月前的记录发现缺少操作人信息，直接判定审计功能不完整，整个测评就卡住了。网络WiFi认证系统在等保测评中常见的扣分点有三处：一是日志字段不完整，只记录了谁在什么时间认证通过，没有记录认证失败的尝试，导致无法追溯暴力破解行为；二是管理员操作没有审计，谁在后台改了一个用户的带宽策略根本查不出来；三是备份机制形同虚设，虽然配置了备份任务，但备份文件从来没做过恢复演练，真出了事发现备份文件已经损坏。

安全风险不仅来自合规检查，更来自真实的攻击行为。中间人攻击是WiFi认证场景的经典威胁。攻击者在公共场所部署一个伪造的WiFi热点，SSID设成和商场WiFi一样的名称，信号强度调得比商场AP还高，用户的手机自动连接到伪造热点后，攻击者推送一个仿冒的Portal认证页面，用户在页面上输入的手机号和验证码就直接落入了攻击者手中。防中间人攻击的核心手段是Portal页面必须启用HTTPS加密传输，同时部署有效的SSL证书，浏览器地址栏显示绿色锁标志，用户才能确认这个页面是真实的。此外AC侧需要开启HSTS强制安全传输，防止攻击者将HTTPS降级为HTTP。

暴力破解是另一个高频威胁。攻击者对认证系统发起大量登录尝试，用常见密码字典逐个测试用户账号，一旦试出弱密码就可以盗用账号上网甚至进一步渗透内网。网络WiFi认证系统需要在前端和后端同时做防护：前端限制单个IP的请求频率，每分钟不超过十次；后端对连续认证失败的账号做临时锁定，五次失败后锁定账号十五分钟。这两层限制配合使用，可以在不误伤正常用户的前提下有效阻断暴力破解。

MAC地址伪造是MAC认证方案的固有缺陷。攻击者用抓包工具嗅探到合法设备的MAC地址后，修改自己网卡的MAC地址即可冒用身份接入。防御手段包括启用MAC地址加Portal二次校验，即使用户通过了MAC认证，每隔一段时间要求用户输入一次手机验证码确认身份；或者结合设备指纹技术，不只校验MAC地址，还校验设备的浏览器指纹、操作系统版本、安装的字体列表等多个维度，提高伪造门槛。

日志安全很容易被忽视。认证系统每天产生大量日志，包含了用户的手机号、MAC地址、上网时间、访问的网站域名等信息。如果这些日志以明文形式存储在服务器上，一旦服务器被攻破，攻击者拿到的就是一个完整的用户行为数据库。日志需要采用加密存储，访问日志的操作需要单独审计，谁在什么时间查询了哪个用户的日志都有记录。同时要设置日志自动清理策略，超过法定保存期限的日志自动删除，减少数据暴露面。

网络WiFi认证系统的安全合规不是一次性的整改项目，而是一套需要持续运转的管理体系。实名上传的通道要每天巡检，SSL证书要提前一个月准备续期，日志备份要定期做恢复演练，等保测评的整改项要逐条闭环。把这些事情做扎实了，等到监管部门上门的时候，才不用翻箱倒柜找材料。