Zabezpečení Wi-Fi

Zabezpečení

Wi-Fi je sada protokolů, které chrání provoz bezdrátové sítě před odposloucháváním a neoprávněným přístupem. Protože Wi-Fi vysílá rádiové signály všem v dosahu, je šifrování provozu a ověřování uživatelů zásadní. Bylo dodáno několik generací protokolů:

Generace zabezpečení Wi-Fi

• WEP (Wired Equivalent Privacy) – původní šifrování Wi-Fi z roku 1997. Rozbité téměř okamžitě; obnovitelné klíče s několika minutami zachycení provozu. Nikdy by se nemělo používat.
• WPA (Wi-Fi Protected Access) — oprava výpadku z roku 2003, zatímco byl dokončen WPA2. Používá míchání klíčů TKIP na stávajícím hardwaru WEP. Lepší než WEP, ale také nefunkční.
• WPA2 — 2004, používá šifrování AES-CCMP. Běžný standard po dobu ~15 let. Stále považováno za bezpečné pro většinu modelů hrozeb při použití se silnou přístupovou frází.
• WPA3 — 2018, řeší několik slabých stránek WPA2, zejména proti offline slovníkovým útokům na slabá přístupová fráze. Povinné na zařízení s certifikací Wi-Fi-6 od roku 2020.

Jak funguje WPA2 (široký tvar)

Pro domácí síť:

1. Směrovač a zařízení sdílejí přístupové heslo ("Z92Z2 klíč PSK," aPLXX předběžně pro zařízení). spojení, obě strany odvozují hlavní klíč z přístupové fráze přes PBKDF2 (10 000 iterací SHA-1, osoleného SSID).
2. A 4cestný handshake vytvoří klíče relace odvozené z hlavního klíče plus náhodné nonces.
3. Z toho se pak střídají klíče AESMP, rámce pravidelně.

Co WPA2 nechrání před

• Offline slovníkovými útoky. Pokud útočník zachytí 4cestný handshake, může jej přepnout do režimu offline a hrubě vynutit přístupovou frázi. Slabá přístupová fráze (méně než 12 znaků, slova ze slovníku) je obnovitelná za několik hodin; silný (dlouhý náhodný) je výpočetně neproveditelný.
• Ostatní uživatelé ve stejné síti. Klíč relace je odvozen pro každé zařízení, ale hlavní klíč je sdílen. Uživatel, který zná přístupovou frázi, může odvodit klíče relace ostatních uživatelů z pozorovaných handshakeů.
• KRACK útok (2017). Opětovné použití nonces ve 4cestném handshake umožnilo v některých konfiguracích dešifrování provozu. Opravený firmware klienta a AP; starší zařízení mohou být stále zranitelná.
• PMKID útok (2018). Aktivní zachycení prvního paketu souvisejícího s handshake v síti umožňuje prolomení offline bez čekání na připojení skutečného klienta.

Co WPA3 přidává

XPLZ5 vylepšení:

• SAE (Simultaneous Authentication of Equals) nahrazuje PSK výměnou Diffie-Hellman, která zabraňuje útokům offline slovníku. I slabá přístupová fráze vyžaduje k útoku online interakci, což dramaticky zpomaluje hrubou sílu.
• Forward secrecy — každá relace odvozuje nezávislé klíče. Kompromis hlavního klíče nedešifruje dříve zachycený provoz.
• Větší velikosti klíčů — 192bitová možnost v WPA3-Enterprise pro případy použití s vysokým zabezpečením.
• OWE (příležitostné) šifrování v bezdrátových sítích XPLZ57 přístupová fráze), takže Wi-Fi v kavárně je při přenosu stále šifrována, i když je síť „otevřená“.
• Easy Connect (DPP) – integrace založená na QR kódu pro zařízení internetu věcí, která nemají obrazovky.

Xersonals Enterprise v82 režimy

WPA2 i WPA3 mají dva režimy:

• Personal (PSK / SAE) — všichni používají stejnou přístupovou frázi. Standard pro domácí Wi-Fi.
• Enterprise (802.1X) — každý uživatel má jedinečné přihlašovací údaje, obvykle prostřednictvím ověřování RADIUS. Firemní síť Wi-Fi, do které se přihlásíte pomocí svých pracovních údajů. Režim

Enterprise poskytuje odpovědnost pro jednotlivé uživatele, odvození individuálního klíče (bez sdíleného hlavního klíče) a odvolání. Povinné pro jakoukoli síť větší než hrstka důvěryhodných uživatelů.

Skrytá slabina: WPS

Wi-Fi Protected Setup (WPS) – funkce „připojení stisknutím tlačítka“ – má zásadní chybu v mnoha implementacích: 8místný kód PIN lze hrubě vynutit během několika hodin. Vždy deaktivujte WPS na vašem routeru. Pohodlí nestojí za bezpečnostní zásah; Začlenění DPP do WPA3 na základě QR kódu je moderní náhrada.

Praktická doporučení

• Použijte WPA3, pokud je k dispozici, jinak WPA2. Z žádného důvodu nepoužívejte WPA ani WEP.
• Strong passphrase. 16+ náhodných znaků nebo 5+ náhodných slov. Přístupové fráze Wi-Fi jsou prolomeny offline útoky; délka je jediná smysluplná obrana.
• Zakázat WPS. Vždy.
• Otočit v případě potřeby. Změnit heslo, když oprávněný uživatel odejde; jinak pravidelně.
• Skryté SSID nejsou zabezpečení. SSID je vysíláno klienty, kteří se snaží připojit, i když AP nevysílá.
• Hostovská síť pro návštěvníky. Samostatné hlavní SSID izolované od vašeho LAN.
• Aktualizovat firmware routeru. Většina domácích routerů se dodává s chybami zabezpečení; aktualizace výrobce jsou zásadní.