WPA2 супраць WPA3: у чым розніца і які з іх варта выкарыстоўваць?

Вы адкрываеце налады маршрутызатара і бачыце новую опцыю: WPA3. Вы ўключаеце яго, і праз дзесяць хвілін разумная разетка ў гасцінай адключаецца ад сеткі. Падключаная дзіцячая цацка адмаўляецца завяршыць спалучэнне.

Нічога не парушана. Прылады проста не размаўляюць на мове бяспекі, на якой цяпер настойвае ваш маршрутызатар.

У гэтым кіраўніцтве тлумачыцца, што насамрэч робяць WPA2 і WPA3, чым яны адрозніваюцца і як выбраць адзін з іх, не блакуючы прылады, якімі вы валодаеце.

Асноўныя высновы

• WPA3 — гэта больш моцны стандарт. Ён абараняе ад падбору пароляў у аўтаномным рэжыме, абараняе мінулыя сесіі і шыфруе адкрытыя сеткі.
• WPA2 усё яшчэ прымальны, калі ўсталяваны толькі AES, абаронены доўгай паролем і абноўлены з дапамогай прашыўкі.
• WEP і арыгінальны WPA састарэлі і не павінны выкарыстоўвацца.
• Сумяшчальнасць, а не бяспека, з'яўляецца галоўнай перашкодай для пераходу. Многія прылады падтрымліваюць толькі WPA2.
• Змяшаны рэжым WPA2/WPA3 — гэта мост, а не абнаўленне бяспекі. Асобныя сеткі для старых і новых прылад больш бяспечныя.

Што такое WPA?

WPA (Wi-Fi Protected Access) — гэта сістэма бяспекі, якая шыфруе дадзеныя паміж вашымі прыладамі і маршрутызатарам і вырашае, хто можа падключацца да сеткі.Ён вызначаны і сертыфікаваны Wi-Fi Alliance.

Кожная ваша прылада Wi-Fi, у тым ліку тэлефоны, ноўтбукі, камеры, разеткі, цацкі і прынтары, залежыць ад яго. Гэтая сістэма прайшла праз некалькі пакаленняў, і кожнае з іх выпраўляла недахопы ў папярэднім.

WEP і WPA: чаму яны выйшлі на пенсію

WEP і арыгінальны WPA больш не бяспечныя для выкарыстання.WEP з'явіўся ў канцы 1990-х гадоў і можа быць узламаны за лічаныя хвіліны з-за недахопаў у яго канструкцыі са статычным ключом.

WPA з'явіўся ў 2003 годзе як хуткае замяненне WEP. Ён дадаў TKIP і праверкі цэласнасці, але гэта было толькі часовае рашэнне, і WPA2 неўзабаве замяніў яго.

WPA2: Доўгатэрміновы стандарт

WPA2 стаў стандартам бяспекі Wi-Fi па змаўчанні ў 2004 годзе і дагэтуль з'яўляецца найбольш распаўсюджаным.Яго ключавым паляпшэннем з'яўляецца шыфраванне AES з выкарыстаннем CCMP, якое значна мацнейшае за TKIP, які выкарыстоўваецца WPA.

WPA2 працуе ў двух рэжымах:

• Асабісты (PSK):адзін агульны пароль для ўсіх у сетцы.
• Прадпрыемства (802.1X):кожны карыстальнік або прылада мае свае ўласныя ўліковыя дадзеныя, якія правяраюцца серверам RADIUS.

WPA3: Што змянілася

WPA3, абвешчаны ў 2018 годзе, захоўвае тую ж базавую структуру, што і WPA2, але выпраўляе яго вядомыя слабыя бакі.З 2020 года падтрымка WPA3 абавязковая для новых сертыфікаваных прылад Wi-Fi.

Яго галоўныя асаблівасці:

• SAE(Адначасовая аўтэнтыфікацыя роўных), якая замяняе папярэдняе падключэнне ключа WPA2.
• Сакрэтнасць наперад, які абараняе раней перахоплены трафік.
• OWE(Апартуністычнае бесправадное шыфраванне, якое прадаецца як Wi-Fi Enhanced Open), якое шыфруе адкрытыя сеткі.
• Дадатковы 192-бітны рэжым бяспекідля WPA3-Enterprise.

Што такое WPA?

WPA (Wi-Fi Protected Access) — гэта сістэма бяспекі, якая шыфруе дадзеныя паміж вашымі прыладамі і маршрутызатарам і вырашае, хто можа падключацца да сеткі.Ён вызначаны і сертыфікаваны Wi-Fi Alliance.

Кожная ваша прылада Wi-Fi, у тым ліку тэлефоны, ноўтбукі, камеры, разеткі, цацкі і прынтары, залежыць ад яго. Гэтая сістэма прайшла праз некалькі пакаленняў, і кожнае з іх выпраўляла недахопы ў папярэднім.

WEP і WPA: чаму яны выйшлі на пенсію

WEP і арыгінальны WPA больш не бяспечныя для выкарыстання.WEP з'явіўся ў канцы 1990-х гадоў і можа быць узламаны за лічаныя хвіліны з-за недахопаў у яго канструкцыі са статычным ключом.

WPA з'явіўся ў 2003 годзе як хуткае замяненне WEP. Ён дадаў TKIP і праверкі цэласнасці, але гэта было толькі часовае рашэнне, і WPA2 неўзабаве замяніў яго.

WPA2: Доўгатэрміновы стандарт

WPA2 стаў стандартам бяспекі Wi-Fi па змаўчанні ў 2004 годзе і дагэтуль з'яўляецца найбольш распаўсюджаным.Яго ключавым паляпшэннем з'яўляецца шыфраванне AES з выкарыстаннем CCMP, якое значна мацнейшае за TKIP, які выкарыстоўваецца WPA.

WPA2 працуе ў двух рэжымах:

• Асабісты (PSK):адзін агульны пароль для ўсіх у сетцы.
• Прадпрыемства (802.1X):кожны карыстальнік або прылада мае свае ўласныя ўліковыя дадзеныя, якія правяраюцца серверам RADIUS.

WPA3: Што змянілася

WPA3, абвешчаны ў 2018 годзе, захоўвае тую ж базавую структуру, што і WPA2, але выпраўляе яго вядомыя слабыя бакі.З 2020 года падтрымка WPA3 абавязковая для новых сертыфікаваных прылад Wi-Fi.

Яго галоўныя асаблівасці:

• SAE(Адначасовая аўтэнтыфікацыя роўных), якая замяняе папярэдняе падключэнне ключа WPA2.
• Сакрэтнасць наперад, які абараняе раней перахоплены трафік.
• OWE(Апартуністычнае бесправадное шыфраванне, якое прадаецца як Wi-Fi Enhanced Open), якое шыфруе адкрытыя сеткі.
• Дадатковы 192-бітны рэжым бяспекідля WPA3-Enterprise.

WPA2 супраць WPA3: ключавыя адрозненні

WPA3 замяняе тэхналогію перадачы пароляў WPA2 на SAE, дадае сакрэтнасць прамой сувязі і шыфруе адкрытыя сеткі; абодва стандарты па-ранейшаму выкарыстоўваюць шыфраванне на аснове AES для вашых дадзеных.У табліцы ніжэй падсумаваны адрозненні.

Абарона паролем: PSK супраць SAE

SAE значна ўскладняе падбор пароляў, бо кожная спроба патрабуе жывога ўзаемадзеяння з сеткай.Тут дапаможа аналогія.

З дапамогай WPA2-Personal зламыснік, які зафіксаваў адзін поціск рукі, можа забраць яго дадому і праверыць мільёны пароляў у аўтаномным рэжыме, напрыклад, сфатаграфаваць замок і спрабаваць ключы ўсю ноч. З WPA3-Personal кожная здагадка павінна быць зроблена ля дзвярэй, таму зламыснік запавольваецца і яго можна выявіць.

Такім чынам, слабая або паўторна выкарыстаная парольная фраза ўяўляе значна большую рызыку для WPA2, чым для WPA3.

Прамая сакрэтнасць: чаму стары трафік застаецца бяспечным

Прамая сакрэтнасць азначае, што скампраметаваны пароль нельга выкарыстоўваць для расшыфроўкі трафіку, запісанага раней.WPA3 генеруе новыя ключы сесіі для кожнага падключэння.

У выпадку з WPA2 зламыснік, які запісвае трафік сёння і пазней даведваецца пароль, можа расшыфраваць захаваныя дадзеныя. Гэта часта называюць атакай «скрасці зараз, расшыфраваць пазней», і WPA3 прызначаны для таго, каб пераадолець яе.

Адкрытыя сеткі і OWE

OWE дае кожнаму карыстальніку ў адкрытай сетцы свой уласны ключ шыфравання, не патрабуючы пароля.Уявіце сабе кафэ, дзе кожны госць мае асобную тэлефонную будку, а не крычыць праз увесь агульны пакой.

OWE абараняе ад пасіўнага праслухоўвання публічных сетак Wi-Fi у такіх месцах, як гатэлі, аэрапорты і кафэ. WPA2 не мае эквівалента, таму адкрытыя сеткі эпохі WPA2 адпраўляюць дадзеныя ў непрыкметным выглядзе.

Рэжым прадпрыемства і дадатковы 192-бітны пакет

WPA3-Enterprise дадае дадатковы 192-бітны рэжым, адпавядае пакету CNSA, прызначаны для высокаадчувальных асяроддзяў.Ён выкарыстоўвае GCMP-256, HMAC-SHA384 і 384-бітную эліптычную крывую для ўстанаўлення ключоў.

Гэты рэжым у асноўным актуальны для ўрада, абароны, фінансаў і аховы здароўя. Ён не мае пераходнага рэжыму, таму кожны кліент у гэтай сетцы павінен падтрымліваць яго, перш чым яго ўключыць.

Ці бяспечны WPA2?

Так, WPA2 усё яшчэ дастаткова бяспечны, калі ён правільна настроены і пастаянна абнаўляецца.Пратакол мае вядомыя недахопы, але з імі можна справіцца ў большасці хатніх і малых бізнес-асяроддзяў.

Найбольш важныя дзве рызыкі:

• Атакі на паролі ў аўтаномным рэжыме:Захопленае поцісканне рукі можна праверыць на наяўнасць слабых або паўторна выкарыстаных пароляў.
• Атакі ў стылі KRACK:Як было раскрыта ў 2017 годзе, яны выкарыстоўваюць тэхналогію «рукапаціскання», каб прымусіць ключы паўторна выкарыстоўвацца. Патчы пастаўшчыкоў выпраўляюць іх, але патчы павінны быць усталяваны як на маршрутызатары, так і на кліенте.

Каб узмацніць сетку WPA2:

• Выкарыстоўвайце толькі WPA2 з AES (CCMP) і адключыце рэзервовыя пратаколы WEP, WPA і TKIP.
• Выключыце WPS (абароненая налада Wi-Fi).
• Выберыце доўгую, унікальную парольную фразу, якую вы не будзеце выкарыстоўваць паўторна ў іншым месцы.
• Рэгулярна абнаўляйце прашыўку маршрутызатара і прылады.
• Размясціце гасцей і разумныя прылады на асобным SSID або VLAN.

Сапраўдная праблема: сумяшчальнасць

Асноўная прычына, па якой людзі працягваюць выкарыстоўваць WPA2, — гэта не бяспека, а тое, што некаторыя з іх прылад не могуць падключыцца ні да чаго іншага.Маршрутызатар, настроены толькі на WPA3, проста адхіліць прыладу, якая падтрымлівае толькі WPA2.

Разуменне таго, чаму гэта адбываецца, значна палягчае выбар.

Чаму некаторыя прылады не падтрымліваюць WPA3

Шмат якія прылады былі распрацаваны да з'яўлення WPA3, і іх абсталяванне або прашыўку нельга абнавіць для яго падтрымкі.Гэта асабліва часта сустракаецца з недарагімі прыладамі для разумнага дома, старымі камерамі, прынтарамі, партатыўнымі сканерамі і тэрміналамі продажаў.

Некаторым не хапае памяці або вылічальнай магутнасці. Іншыя выкарыстоўваюць чыпы і праграмнае забеспячэнне папярэдняга пакалення. Нават вытворца, які хоча дадаць WPA3, можа не мець шляху абнаўлення для прылад, якія ўжо выкарыстоўваюцца.

Змяшаны рэжым WPA2/WPA3: што ён вырашае, а што не

Змяшаны рэжым дазваляе прыладам WPA3 і WPA2 выкарыстоўваць адну назву сеткі, але сетка бяспечная толькі да WPA2.Новыя прылады падключаюцца з выкарыстаннем WPA3, а старыя — з выкарыстаннем WPA2.

Гэта вырашае рэальную праблему: вы можаце міграваць, не замяняючы ўсё адразу. Гэта не вырашае праблему бяспекі, бо зламыснік можа нацэліцца на больш слабы шлях WPA2. Па гэтай прычыне асобныя SSID для прылад WPA2 і WPA3 звычайна з'яўляюцца больш мацным варыянтам.

Чаму прылада можа не падключыцца пасля пераключэння

Калі прылада не падключаецца пасля змены, прычынай амаль заўсёды з'яўляецца неадпаведнасць паміж яе падтрымоўваным рэжымам і наладамі вашага маршрутызатара.Звычайныя прычыны ўключаюць:

• Маршрутызатар настроены толькі на WPA3, але прылада падтрымлівае толькі WPA2.
• У наладах прылады заяўлена падтрымка WPA2/WPA3, але ёсць памылка са змешаным рэжымам. Некаторыя старыя планшэты паводзяць сябе такім чынам.
• Прылада працуе толькі на частаце 2,4 ГГц, і імя сеткі або кіраванне дыяпазонам ствараюць перашкоды.
• Маршрутызатар насамрэч не ўжыў новы рэжым, таму прылада падключаецца з іншымі наладамі, чым вы чакалі.

Пераключэнне маршрутызатара ў змешаны рэжым WPA2/WPA3 або перанос прылады ў асобную сетку WPA2 вырашае большасць гэтых выпадкаў.

Які з іх варта выкарыстоўваць?

Выкарыстоўвайце WPA3 усюды, дзе яго падтрымліваюць усе прылады, і выкарыстоўвайце ўзмоцнены WPA2 для ўсяго, дзе яго не падтрымліваюць.Правільны адказ залежыць ад прылад у вашай сетцы і таго, наколькі канфідэнцыйныя вашы дадзеныя.

Хатнія сеткі

Для большасці дамоў WPA3 або змешаны рэжым з'яўляецца правільным выбарам, калі маршрутызатар падтрымлівае яго.Праверце, ці падключаюцца вашы тэлефоны, ноўтбукі і разумныя прылады пасля пераключэння.

Калі некалькі прылад выйдуць з ладу, падключыце іх да сеткі WPA2, а не аслабляйце ўсю хатнюю сетку.

Малы бізнес і камерцыйныя сайты

Малым прадпрыемствам варта раздзяляць трафік супрацоўнікаў, гасцей і прылад, перш чым турбавацца пра версію пратакола.Сегментацыя абмяжоўвае шкоду, калі ўзламаная адна прылада.

Па магчымасці выкарыстоўвайце WPA3 для прылад супрацоўнікаў і захоўвайце старое абсталяванне ў абмежаванай сетцы WPA2 з доступам толькі да таго, што яму трэба.

Гасцявыя і публічныя сеткі

Гасцявыя сеткі атрымліваюць найбольшую карысць ад OWE, бо ён шыфруе трафік, не просячы наведвальнікаў уводзіць пароль.Гэта відавочнае паляпшэнне прыватнасці ў параўнанні са звычайнай адкрытай сеткай.

Калі OWE недаступны, просты пароль WPA2 або WPA3, якім падзяляюцца наведвальнікі, усё роўна лепшы, чым незашыфраваная сетка.

Прадпрыемства і рэгуляванае асяроддзе

Арганізацыям, якія апрацоўваюць канфідэнцыйныя дадзеныя, варта выкарыстоўваць сертыфікаваны 802.1X з WPA3-Enterprise, калі кліенты яго падтрымліваюць.Сертыфікаты цалкам выдаляюць агульныя паролі.

192-бітны рэжым варта разглядаць толькі ў тым выпадку, калі кожны кліент можа яго падтрымліваць, бо адмовіцца ад яго немагчыма.

WPA2 і WPA3 у падлучаных прыладах: распаўсюджаныя сцэнарыі

У падлучаных прадуктах абраны вамі рэжым бяспекі павінен працаваць з прыладамі, якімі ўжо валодаюць вашы кліенты.Некалькі сцэнарыяў узнікаюць неаднаразова.

Разумны дом: мноства прылад розных гадоў у адной сетцы

У тыповым разумным доме прылады купляюцца з розніцай у гады, таму абарона толькі WPA3 рэдка працуе ў першы ж дзень.Разеткі, выключальнікі, датчыкі і замкі часта падключаюцца да сеткі з выкарыстаннем WPA2 на частаце больш за 2,4 ГГц.

Асобная сетка Інтэрнэту рэчаў або змешаны рэжым у якасці часовага рэзерву забяспечвае працу ўсяго абсталявання, у той час як новыя прылады атрымліваюць больш моцную абарону. Нашыразумны домрэгулярная праца прадугледжвае планаванне менавіта такой сітуацыі.

Падключаныя цацкі: налада бацькамі хатніх маршрутызатараў

Падключаныя цацкі звычайна наладжваюцца бацькамі на тым маршрутызатары, які ў іх ужо ёсць, таму спалучэнне павінна працаваць у сетцы як ёсць.Памылка спалучэння пасля змены маршрутызатара — адна з найбольш распаўсюджаных скаргаў у службу падтрымкі.

Зразумелыя інструкцыі па ўсталёўцы і заўвага аб сумяшчальнасці з сеткай ратуюць сем'і і службы падтрымкі ад шматлікіх расчараванняў. Гэта практычны аспект у нашайцацка са штучным інтэлектампраекты.

Разумная паркоўка: кіраваныя пляцоўкі са змешаным абсталяваннем

На паркоўках часта спалучаецца абсталяванне, усталяванае ў розныя гады, а сеткавая палітыка ўстаноўлена кіраўніком маёмасці або ІТ-камандай.Падвалы і адкрытыя пляцоўкі ствараюць свае праблемы з падключэннем.

Загадзяшняе ўзгадненне рэжыму бяспекі з уладальнікам сеткі сайта дазваляе пазбегнуць нечаканасцяў пры ўсталёўцы. Гэта частка нашага падыходу.разумная паркоўкапраекты.

Карыстальніцкія праекты Інтэрнэту рэчаў: выбар падыходу да бяспекі сеткі на ранняй стадыі

Падыход да бяспекі сеткі лягчэй вызначыць на этапе праектавання, чым пасля таго, як прылады ўжо ўстаноўлены ў эксплуатацыю.Пасля адпраўкі адзінак змяніць тое, што яны падтрымліваюць, можа быць складана або немагчыма.

Загадзя вызначцеся, у якіх рэжымах павінны працаваць вашы прылады, як яны будуць падрыхтаваны і як яны будуць атрымліваць абнаўленні.

Як праверыць і змяніць рэжым бяспекі маршрутызатара

Вы можаце пацвердзіць бягучы рэжым бяспекі толькі ў наладах маршрутызатара, а не на сваіх прыладах.Прылада, якая падтрымлівае WPA3, усё роўна будзе падключацца з WPA2, калі маршрутызатар настроены на гэты параметр.

1. Адкрыйце браўзер і ўвядзіце IP-адрас вашага маршрутызатара.
2. Увайдзіце, выкарыстоўваючы свае ўліковыя дадзеныя адміністратара.
3. Перайдзіце ў налады бесправадной сеткі або бяспекі.
4. Знайдзіце опцыю рэжыму бяспекі або тыпу аўтэнтыфікацыі.
5. Выберыце WPA3, змешаны рэжым WPA2/WPA3 або WPA2 (AES) у залежнасці ад сітуацыі.
6. Захавайце змены і зноў падключыце прылады.

Калі вы не можаце знайсці наладу, інструкцыі для канкрэтнай мадэлі будуць прыведзены ў кіраўніцтве да вашага маршрутызатара або на старонцы падтрымкі вытворцы.

Як перайсці з WPA2 на WPA3 крок за крокам

Найбольш бяспечная міграцыя — паступовая: спачатку вызначце свае прылады, а потым перамяшчайце іх групамі.Адначасовае пераключэнне ўсяго абсталявання — вось што выклікае большасць збояў.

1. Правядзіце інвентарызацыю сваіх прылад.Пералічыце, якія з іх падтрымліваюць WPA3, а якія — толькі WPA2.
2. Уключыць змешаны рэжым у адной сетцы.Сачыце за тым, якія прылады падключаюцца па якім пратаколе.
3. Раздзяліце тых, хто ўтрымаўся.Стварыце SSID або VLAN толькі з падтрымкай WPA2 для прылад, якія нельга абнавіць.
4. Перанясіце канфідэнцыйныя сеткі толькі на WPA3.Рабіце гэта па меры абнаўлення або замены прылад.
5. Устанавіць дату агляду.Спыніце падтрымку сеткі WPA2, калі тэрмін службы старых прылад скончыцца.

Як перайсці з WPA2 на WPA3 крок за крокам

Найбольш бяспечная міграцыя — паступовая: спачатку вызначце свае прылады, а потым перамяшчайце іх групамі.Адначасовае пераключэнне ўсяго абсталявання — вось што выклікае большасць збояў.

1. Правядзіце інвентарызацыю сваіх прылад.Пералічыце, якія з іх падтрымліваюць WPA3, а якія — толькі WPA2.
2. Уключыць змешаны рэжым у адной сетцы.Сачыце за тым, якія прылады падключаюцца па якім пратаколе.
3. Раздзяліце тых, хто ўтрымаўся.Стварыце SSID або VLAN толькі з падтрымкай WPA2 для прылад, якія нельга абнавіць.
4. Перанясіце канфідэнцыйныя сеткі толькі на WPA3.Рабіце гэта па меры абнаўлення або замены прылад.
5. Устанавіць дату агляду.Спыніце падтрымку сеткі WPA2, калі тэрмін службы старых прылад скончыцца.

Часта задаваныя пытанні

Выснова

WPA3 — лепшы стандарт, а WPA2 застаецца прымальным пры ўмацаванні. Правільны выбар залежыць ад вашых прылад, а не ад найноўшага параметра ў меню.

Пачніце з высвятлення таго, што насамрэч знаходзіцца ў вашай сетцы. Аддзяліце старыя прылады ад новых і перайдзіце на WPA3, калі дазваляе ваша абсталяванне.