CCMP é o protocolo usado pelo WPA2 para encriptação das mensagens transmitidas. Ele é totalmente independente do funcionamento do WEP, diferentemente do WPA, pelo fato de não usar o algoritmo RC4. Ao invés disto, a mensagem é codificada antes de ser transmitida com o uso do AES. Porém, o conceito de chaves temporárias e código de integridade de mensagem introduzido pelo WPA continuou a ser usado, só que funcionando de maneira diferente. Além disto, a parte de autenticação é bem semelhante à do último e, portanto, será omitida.
Por fim, chegamos à parte em que as chaves são realmente usadas para fornecer segurança. Dois protocolos podem ser usados no 802.11i para fornecer confidencialidade, integridade e autenticação da mensagem. Assim como WPA, um dos protocolos, chamado TKIP (Temporary Key Integrity Protocol), foi uma solução temporária. Ele foi criado para melhorar a segurança em placas 802.11 antigas e lentas, de modo que pelo menos alguma segurança melhor que o WEP pudesse ser implementada como um upgrade no firmware. Contudo, ele também foi quebrado, e por isso é melhor ficar com o outro protocolo recomendado, o CCMP. O que significa CCMP? Essa é uma abreviação para o nome espetacular ‘Counter mode with Cipher block chaining Message authentication code Protocol’ (protocolo de código de autenticação de mensagem de modo contador com encadeamento de blocos de cifras). Vamos chamá-lo simplesmente de CCMP. Você pode chamá-lo como quiser. O CCMP funciona de uma maneira relativamente simples. Ele usa a codificação AES com uma chave e um tamanho de bloco de 128 bits. A chave vem da chave de sessão. Para fornecer confidencialidade, as mensagens são codificadas com AES no modo contador. Lembre-se de que discutimos sobre os modos de cifras na Seção 8.2.3. Esses modos são o que impede que a mesma mensagem seja codificada para o mesmo conjunto de bits todas as vezes. O modo contador insere um contador junto com a codificação. Para oferecer integridade, a mensagem, incluindo os campos de cabeçalho, é codificada com o modo de encadeamento de blocos de cifras e o último bloco de 128 bits é mantido como o MIC. Em seguida, tanto a mensagem (codificada com o modo contador) como o MIC são enviados. O cliente e o AP podem realizar essa codificação individualmente, ou então verificar essa codificação quando um pacote for recebido pela rede sem fios. Para o broadcast ou multicast de mensagens, o mesmo procedimento é usado com a chave de grupo.
Livro do TANEMBAUM