Die Vertraulichkeit, d. h. das Verhindern von unerlaubten Zugriffen auf die Inhalte einer Nachricht, wird durch Verschlüsselung erreicht. Die Verschlüsselung ist für das WLAN optional, denn ohne sie kann jedes kompatible Gerät in seiner Reichweite den Netzverkehr abhören.
Für das WLAN gibt es drei grundlegende Sicherheitsverfahren. Seit der zweiten Hälfte der neunziger Jahre haben Wi-Fi-Sicherheitsalgorithmen mehrere Upgrades erlebt, einschließlich der Entfernung älterer Algorithmen und Updates neuerer Algorithmen. In der chronologischen Reihenfolge handelt es sich um die folgenden Algorithmen:
WEP wurde als Sicherheitsstandard für Wi-Fi-Netze im September 1999 genehmigt. Die ersten WEP-Versionen waren nicht besonders stark, nicht einmal zu Zeiten ihrer Veröffentlichung, weil Ausfuhrbeschränkungen der USA seitens verschiedener Verschlüsselungstechnologien zu Herstellerbeschränkungen der Geräte auf max. 64-Bit-Verschlüsselung führten. Nachdem diese Beschränkungen aufgehoben wurden, stiegen die späteren Versionen auf 128 Bits. Trotz der Einführung der WEP-Verschlüsselung mit 256 Bits, sind 128 Bits eine der gängigsten Implementierungen.
Trotz der Überarbeitung des Algorithmus und Verlängerung der Schlüssel wurden im Laufe der Zeit viele Sicherheitsschwachstellen im WEP-Standard gefunden und mit der Steigung der Rechenleistung war es auch einfacher, diese Schwachstellen auszunutzen. Schon 2001 wurde das grundlegende Konzept in Frage gestellt und 2005 organisierte das FBI eine öffentliche Vorführung mit dem Ziel, ein Bewusstsein für die WEP-Schwächen zu schaffen. In dieser Vorführung wurden WEP-Passwörter in wenigen Minuten mittels frei verfügbarer Software geknackt.
Obwohl mehrere Verbesserungen, provisorische Lösungen und weitere Versuche zur Modernisierung des WEP-Verfahrens führten, war es immer noch sehr unsicher. Die Systeme, die auf dem WEP-Verfahren beruhen, sollten upgegradet werden oder, wenn Sicherheitsupgrades nicht möglich sind, ersetzt werden. Die Wi-Fi-Allianz zog WEP im Jahre 2004 zurück.
Um die Verwundbarkeit von WEP zu überwinden, wurde am Anfang 2003 die WPA-Gruppe im Rahmen der Wi-Fi-Allianz gegründet. Die übliche WPA-Konfiguration ist WPA-PSK (engl. Wi-Fi Protected Access Pre-Shared Key). Die Länge des von WPA verwendeten Schlüssels beträgt 256 Bits, was eine erhebliche Erhöhung gegenüber 64 Bits und 128 Bits bei WEP darstellt.
Eine der bedeutendsten, in WPA eingeführten Änderungen sind die Integritätsprüfung der Nachrichten (zur Feststellung, ob ein Angreifer die Pakete zwischen dem Zugriffspunkt AP und Klienten abgefangen und geändert hat) und das TKIP-Protokoll (engl. Temporal Key Integrity Protocol). TKIP verwendet ein Schlüsselsystem für jedes übertragene Paket, das viel sicherer als ein Festschlüssel im WEP-System ist. TKIP wurde später vom AES-Standard (engl. Advanced Encryption Standard) ersetzt.
Trotz einer erheblichen Verbesserung des WPA im Vergleich mit dem WEP konkurriert WEP immer noch mit WPA. TKIP, die grundlegende Komponente des WPA, wurde so entworfen, dass es einfach mittels Firmwareupgrades in bestehende WEP-Geräte eingeführt werden kann. Als solches werden einige Elemente wiederverwendet, was dann auch zu einer Ausnutzung von Schwachstellen geführt hat.
Bei WPA, wie bei seinem Vorgänger WEP, wurde sowohl mit einem Machbarkeitsnachweis als auch mit einer öffentlichen Vorführung gezeigt, dass ihre Integrität von Angreifern erfolgreich verletzt werden kann. Es ist interessant, dass der Prozess, bei dem WPA üblicherweise angegriffen wird, kein direkter Angriff auf den WPA-Algorithmus ist (obwohl diese Angriffe auch erfolgreich getestet wurden), sondern es handelt sich um Angriffe auf ein zusätzliches System des WPS (engl. Wi-Fi Protected Setup), das mit WPA zusammenarbeitet und das so entworfen wurde, dass Geräte an modernen Zugriffspunkten AP einfach angeschlossen werden können.
WPA wurde seit 2006 offiziell durch WPA2 ersetzt. Eine der bedeutendsten Änderungen im Vergleich zu WPA war der obligatorische Einsatz von AES und dem CCMP-Protokoll (engl. Counter Cipher Mode with Block Chaining Message Authentication Code Protocol) als Ersatz für das TKIP (es wurde in WPA2 als Reservesystem und zur Interoperabilität mit WPA erhalten).
Zurzeit wird die primäre Sicherheitsverletzbarkeit des aktuellen WPA2 als unbedeutend betrachtet (der Angreifer muss dabei schon einen Zugriff zu einem gesicherten Wi-Fi-Netz haben, um den Zugriff auf Sicherheitsschlüssel zu erlangen und dann weitere Geräte im Netz anzugreifen). So werden die Sicherheitsimplikationen der bekannten Verletzbarkeit von WPA2 fast ausschließlich auf Unternehmensnetzwerke begrenzt und haben keine praktische Bedeutung für kleine Haushaltsnetze.
Leider blieb das größte Sicherheitsloch bei WPA auch bei modernen WPA2-Zugriffspunkten bestehen: Vektorangriff über WPS. Obwohl Einbrechen in ein mit WPA/WPA2 gesichertes Netz durch Überwindung des WPS 2-14 Stunden mit einem modernen Computer dauern kann, handelt es sich immer noch um ein seriöses Sicherheitsrisiko und WPS sollte deaktiviert werden. Gleichzeitig sollte die Firmware der Zugangsknoten auf die Version wechseln, die WPS nicht unterstützt, so dass dieses Risiko nicht mehr besteht.
Nachfolgend eine Auflistung der aktuellen Sicherheitsverfahren von Wi-Fi-Netzen von den besten bis zu den schlechtesten:
Im Idealfall wird WPS deaktiviert und das Sicherungsniveau auf WPA2 + AES eingestellt. Alle weitere Kombinationen in der Auflistung stellen eine wesentliche Verschlechterung dar.