أمن الواي فاي

أمان

Wi-Fi هو مجموعة البروتوكولات التي تحمي حركة مرور الشبكة اللاسلكية من التنصت والوصول غير المصرح به. نظرًا لأن شبكة Wi-Fi تبث إشارات الراديو إلى كل شخص في النطاق، فإن تشفير حركة المرور والمصادقة على المستخدمين أمر أساسي. تم شحن عدة أجيال من البروتوكولات:

أجيال أمان Wi-Fi

• WEP (الخصوصية المكافئة السلكية) - تشفير Wi-Fi الأصلي لعام 1997. كسر على الفور تقريبا. مفاتيح قابلة للاسترداد مع بضع دقائق من التقاط حركة المرور. لا ينبغي استخدامه مطلقًا.
• WPA (الوصول المحمي بتقنية Wi-Fi) - تم إصلاح الفجوة المؤقتة في عام 2003 بينما تم الانتهاء من WPA2. يستخدم خلط مفاتيح TKIP على أجهزة WEP الموجودة. أفضل من WEP ولكنه معطل أيضًا.
• WPA2 - 2004، يستخدم تشفير AES-CCMP. المعيار السائد لمدة 15 عامًا تقريبًا. لا يزال يعتبر آمنًا لمعظم نماذج التهديد عند استخدامه مع عبارة مرور قوية. يعالج
• WPA3 - 2018 العديد من نقاط الضعف في WPA2، خاصة ضد هجمات القاموس غير المتصلة بالإنترنت على عبارات المرور الضعيفة. إلزامي على الأجهزة المعتمدة من Wi-Fi-6 منذ عام 2020.

كيفية عمل WPA2 (الشكل العريض)

للشبكة المنزلية:

1. يتشارك جهاز التوجيه والجهاز في عبارة مرور ("PSK"، المفتاح المشترك مسبقًا).
2. عندما يكون الجهاز يستمد كلا الجانبين مفتاحًا رئيسيًا من عبارة المرور عبر PBKDF2 (10000 تكرار لـ SHA-1، مملح باستخدام SSID).
3. A تنشئ المصافحة رباعية الاتجاهات مفاتيح الجلسة المشتقة من المفتاح الرئيسي بالإضافة إلى الحروف العشوائية.
4. من ذلك الحين، يتم تشفير الإطارات باستخدام AES-CCMP باستخدام مفاتيح الجلسة التي تدور بشكل دوري.

ما لا يحميه WPA2 ضد

• هجمات القاموس غير المتصل. إذا تمكن أحد المهاجمين من التقاط المصافحة رباعية الاتجاهات، فيمكنه إيقافها دون اتصال بالإنترنت والقوة الغاشمة على عبارة المرور. يمكن استرداد عبارة المرور الضعيفة (أقل من 12 حرفًا، كلمات القاموس) خلال ساعات؛ واحد قوي (عشوائي طويل) غير ممكن من الناحية الحسابية.
• المستخدمون الآخرون على نفس الشبكة. يتم اشتقاق مفتاح الجلسة لكل جهاز، ولكن يتم مشاركة المفتاح الرئيسي. يمكن للمستخدم الذي يعرف عبارة المرور استخلاص مفاتيح جلسة المستخدمين الآخرين من المصافحة التي تمت ملاحظتها. هجوم
• KRACK (2017). إعادة استخدام الحروف غير المتطابقة في المصافحة رباعية الاتجاهات سمحت بفك تشفير حركة المرور في بعض التكوينات. مصححة في البرامج الثابتة للعميل وAP؛ ربما لا تزال الأجهزة القديمة معرضة للخطر. هجوم
• PMKID (2018). يتيح الالتقاط النشط للحزمة الأولى المتعلقة بالمصافحة للشبكة إمكانية الاختراق دون اتصال دون انتظار انضمام عميل حقيقي.

ما يضيفه WPA3

الرئيسي التحسينات:

• SAE (المصادقة المتزامنة للمساواة) يستبدل PSK بتبادل Diffie-Hellman الذي يمنع هجمات القاموس غير المتصلة بالإنترنت. حتى عبارة المرور الضعيفة تتطلب تفاعلاً عبر الإنترنت للهجوم، مما يؤدي إلى إبطاء القوة الغاشمة بشكل كبير.
• Forward secrecy - تستمد كل جلسة مفاتيح مستقلة. لا يؤدي اختراق المفتاح الرئيسي إلى فك تشفير حركة المرور التي تم التقاطها مسبقًا.
• زيادة أحجام المفاتيح - خيار 192 بت في WPA3-Enterprise لحالات الاستخدام عالية الأمان.
• OWE (التشفير اللاسلكي الانتهازي) - يقوم بتشفير حركة المرور على الشبكات المفتوحة (لا عبارة المرور) لذلك تظل شبكة Wi-Fi في المقهى مشفرة أثناء النقل، حتى لو كانت الشبكة "مفتوحة".
• Easy Connect (DPP) - إعداد يعتمد على رمز QR لأجهزة إنترنت الأشياء التي لا تحتوي على شاشات.

أوضاع شخصية مقابل أوضاع مؤسسية

Both يحتوي WPA2 وWPA3 على وضعين:

• Personal (PSK / SAE) - يستخدم الجميع عبارة المرور نفسها. قياسي لشبكة Wi-Fi المنزلية.
• Enterprise (802.1X) — يتمتع كل مستخدم ببيانات اعتماد فريدة، عادةً عبر مصادقة RADIUS. شبكة Wi-Fi الخاصة بالشركة حيث تقوم بتسجيل الدخول باستخدام بيانات اعتماد العمل الخاصة بك. يوفر وضع

Enterprise المساءلة لكل مستخدم، واشتقاق المفتاح الفردي (لا يوجد مفتاح رئيسي مشترك)، والإلغاء. إلزامي لأي شبكة أكبر من عدد قليل من المستخدمين الموثوقين.

نقطة الضعف الخفية: WPS

Wi-Fi Protected Setup (WPS) - ميزة "اضغط على زر للاتصال" - بها عيب أساسي في العديد من التطبيقات: يمكن فرض رقم التعريف الشخصي المكون من 8 أرقام في غضون ساعات. قم دائمًا بتعطيل WPS على جهاز التوجيه الخاص بك. الراحة لا تستحق الضغط الأمني؛ يعد إعداد DPP المستند إلى رمز الاستجابة السريعة في WPA3 هو البديل الحديث.

توصيات عملية

• استخدم WPA3 إذا كان متاحًا، أو WPA2 بخلاف ذلك. لا تستخدم WPA أو WEP لأي سبب من الأسباب.
• عبارة مرور قوية. أكثر من 16 حرفًا عشوائيًا، أو أكثر من 5 كلمات عشوائية. يتم اختراق عبارات مرور Wi-Fi من خلال الهجمات غير المتصلة بالإنترنت؛ الطول هو الدفاع الوحيد ذو المعنى.
• Disable WPS. Always.
• Rotate عند الحاجة. قم بتغيير عبارة المرور عندما يغادر مستخدم معتمد؛ خلاف ذلك بشكل دوري.
• معرفات SSID المخفية ليست أمانًا. يتم بث SSID من قبل العملاء الذين يحاولون الاتصال، حتى لو لم يتم بث AP.
• Guest شبكة للزوار. SSID منفصل معزول عن جهازك الرئيسي LAN.
• تحديث البرامج الثابتة لجهاز التوجيه. تحتوي معظم أجهزة التوجيه المنزلية على ثغرات أمنية؛ تحديثات الشركة المصنعة ضرورية.