WPA2 vs. WPA3: Jaký je rozdíl a který byste měli použít?

Otevřete nastavení routeru a uvidíte novou možnost: WPA3. Zapnete ho a o deset minut později se chytrá zásuvka v obývacím pokoji odpojí od sítě. Připojená dětská hračka odmítá dokončit párování.

Nic není poškozené. Zařízení jednoduše nemluví bezpečnostním jazykem, na kterém nyní trvá váš router.

Tato příručka vysvětluje, k čemu WPA2 a WPA3 ve skutečnosti slouží, kde se liší a jak si mezi nimi vybrat, aniž byste museli zablokovat zařízení, která vlastníte.

Klíčové poznatky

• WPA3 je silnější standard. Odolává hádání hesla offline, chrání minulé relace a šifruje otevřené sítě.
• WPA2 je stále přijatelné, i když je nastaveno pouze na AES, chráněno dlouhým heslem a aktualizováno firmwarem.
• WEP a původní WPA jsou zastaralé a neměly by se používat.
• Hlavní překážkou přechodu je kompatibilita, nikoli zabezpečení. Mnoho zařízení podporuje pouze WPA2.
• Smíšený režim WPA2/WPA3 je most, nikoli vylepšení zabezpečení. Samostatné sítě pro stará a nová zařízení jsou bezpečnější.

Co je WPA?

WPA (Wi-Fi Protected Access) je bezpečnostní rámec, který šifruje data mezi vašimi zařízeními a routerem a rozhoduje o tom, kdo se může k síti připojit.Je definován a certifikován organizací Wi-Fi Alliance.

Každé Wi-Fi zařízení, které vlastníte, se na něm spoléhá, ​​včetně telefonů, notebooků, fotoaparátů, zásuvek, hraček a tiskáren. Tento systém prošel několika generacemi a každá z nich v té poslední opravila slabiny.

WEP a WPA: Proč jsou vyřazeny z provozu

Použití protokolů WEP a původního WPA již není bezpečné.WEP pochází z konce 90. let a kvůli slabinám v jeho statickém klíči jej lze prolomit během několika minut.

WPA se objevilo v roce 2003 jako rychlá záplata pro WEP. Přidalo TKIP a kontroly integrity, ale mělo to být pouze dočasné řešení a WPA2 ho brzy poté nahradilo.

WPA2: Dlouhodobě fungující standard

WPA2 se stal výchozím bezpečnostním standardem Wi-Fi v roce 2004 a stále je nejrozšířenějším.Jeho klíčovým vylepšením je šifrování AES pomocí CCMP, které je mnohem silnější než TKIP používaný WPA.

WPA2 se dodává ve dvou režimech:

• Osobní (PSK):jedno sdílené heslo pro všechny v síti.
• Podnik (802.1X):Každý uživatel nebo zařízení má své vlastní přihlašovací údaje, které ověřuje server RADIUS.

WPA3: Co se změnilo

WPA3, oznámené v roce 2018, si zachovává stejnou základní strukturu jako WPA2, ale opravuje jeho známé slabiny.Od roku 2020 je podpora WPA3 povinná pro nově certifikovaná zařízení Wi-Fi.

Jeho hlavními rysy jsou:

• SAE(Simultánní ověřování rovných), které nahrazuje handshake s předsdíleným klíčem WPA2.
• Dopředné utajení, který chrání dříve zachycený provoz.
• OWE(Opportunistic Wireless Encryption, prodávané jako Wi-Fi Enhanced Open), které šifruje otevřené sítě.
• Volitelný 192bitový režim zabezpečenípro WPA3-Enterprise.

Co je WPA?

WPA (Wi-Fi Protected Access) je bezpečnostní rámec, který šifruje data mezi vašimi zařízeními a routerem a rozhoduje o tom, kdo se může k síti připojit.Je definován a certifikován organizací Wi-Fi Alliance.

Každé Wi-Fi zařízení, které vlastníte, se na něm spoléhá, ​​včetně telefonů, notebooků, fotoaparátů, zásuvek, hraček a tiskáren. Tento systém prošel několika generacemi a každá z nich v té poslední opravila slabiny.

WEP a WPA: Proč jsou vyřazeny z provozu

Použití protokolů WEP a původního WPA již není bezpečné.WEP pochází z konce 90. let a kvůli slabinám v jeho statickém klíči jej lze prolomit během několika minut.

WPA se objevilo v roce 2003 jako rychlá záplata pro WEP. Přidalo TKIP a kontroly integrity, ale mělo to být pouze dočasné řešení a WPA2 ho brzy poté nahradilo.

WPA2: Dlouhodobě fungující standard

WPA2 se stal výchozím bezpečnostním standardem Wi-Fi v roce 2004 a stále je nejrozšířenějším.Jeho klíčovým vylepšením je šifrování AES pomocí CCMP, které je mnohem silnější než TKIP používaný WPA.

WPA2 se dodává ve dvou režimech:

• Osobní (PSK):jedno sdílené heslo pro všechny v síti.
• Podnik (802.1X):Každý uživatel nebo zařízení má své vlastní přihlašovací údaje, které ověřuje server RADIUS.

WPA3: Co se změnilo

WPA3, oznámené v roce 2018, si zachovává stejnou základní strukturu jako WPA2, ale opravuje jeho známé slabiny.Od roku 2020 je podpora WPA3 povinná pro nově certifikovaná zařízení Wi-Fi.

Jeho hlavními rysy jsou:

• SAE(Simultánní ověřování rovných), které nahrazuje handshake s předsdíleným klíčem WPA2.
• Dopředné utajení, který chrání dříve zachycený provoz.
• OWE(Opportunistic Wireless Encryption, prodávané jako Wi-Fi Enhanced Open), které šifruje otevřené sítě.
• Volitelný 192bitový režim zabezpečenípro WPA3-Enterprise.

WPA2 vs. WPA3: Klíčové rozdíly

WPA3 nahrazuje handshake hesla z WPA2 protokolem SAE, přidává utajení dopředu a šifruje otevřené sítě; oba standardy stále spoléhají na šifrování dat založené na AES.Níže uvedená tabulka shrnuje rozdíly.

Ochrana heslem: PSK vs. SAE

SAE značně ztěžuje hádání hesla, protože každé hádání vyžaduje živou interakci se sítí.Zde pomáhá analogie.

Díky WPA2-Personal si útočník, který zachytí jeden handshake, může vzít tento signál domů a otestovat miliony hesel offline, například vyfotografovat zámek a celou noc zkoušet klíče. S WPA3-Personal se každé hádání musí provést u dveří, takže je útočník zpomalen a lze jej odhalit.

Slabé nebo opakovaně použité heslo proto představuje u WPA2 mnohem větší riziko než u WPA3.

Forward Secrecy: Proč zůstává starý provoz v bezpečí

Dopředné utajení znamená, že kompromitované heslo nelze použít k dešifrování dříve zaznamenaného provozu.WPA3 generuje pro každé připojení nové klíče relace.

U WPA2 může útočník, který dnes zaznamenává provoz a heslo zjistí později, dešifrovat uložené údaje. Tomuto útoku se často říká „ukradení nyní, dešifrování později“ a WPA3 je navrženo tak, aby ho porazilo.

Otevřené sítě a OWE

OWE poskytuje každému uživateli v otevřené síti vlastní šifrovací klíč, aniž by vyžadoval heslo.Představte si kavárnu, kde má každý host soukromou telefonní budku, místo aby křičel přes sdílenou místnost.

OWE chrání před pasivním odposlechem na veřejných Wi-Fi sítích v místech, jako jsou hotely, letiště a kavárny. WPA2 nemá ekvivalent, takže otevřené sítě z éry WPA2 odesílají data v čísté podobě.

Podnikový režim a volitelná 192bitová sada

WPA3-Enterprise přidává volitelný 192bitový režim sladěný se sadou CNSA, určený pro vysoce citlivá prostředí.Pro stanovení klíčů používá GCMP-256, HMAC-SHA384 a 384bitovou eliptickou křivku.

Tento režim je relevantní zejména pro vládu, obranu, finance a zdravotnictví. Nemá žádný přechodový režim, takže jej musí před zapnutím podporovat každý klient v dané síti.

Je WPA2 stále bezpečné?

Ano, WPA2 je stále poměrně bezpečné, pokud je správně nakonfigurované a aktualizované.Protokol má známé slabiny, ale ty jsou zvládnutelné ve většině domácích a malých firemních prostředí.

Dvě rizika jsou nejdůležitější:

• Útoky na offline hesla:Zachycený handshake lze otestovat proti slabým nebo opakovaně použitým heslům.
• Útoky ve stylu KRACK:Jak bylo odhaleno v roce 2017, zneužívají handshake k vynucení opětovného použití klíče. Záplaty od dodavatelů je opravují, ale záplatu je nutné provést jak u routeru, tak u klienta.

Zpevnění sítě WPA2:

• Používejte pouze WPA2 s AES (CCMP) a deaktivujte záložní zabezpečení WEP, WPA a TKIP.
• Vypněte WPS (chráněné nastavení Wi-Fi).
• Zvolte dlouhé, jedinečné heslo, které jinde znovu nepoužíváte.
• Pravidelně aktualizujte firmware routeru a zařízení.
• Umístěte hosty a chytrá zařízení na samostatný SSID nebo VLAN.

Skutečná výzva: Kompatibilita

Hlavním důvodem, proč lidé zůstávají na WPA2, není bezpečnost; je to proto, že některá jejich zařízení se nemohou připojit k ničemu jinému.Router nastavený pouze na WPA3 jednoduše odmítne zařízení s WPA2.

Pochopení důvodů, proč se to děje, značně usnadní výběr.

Proč některá zařízení nepodporují WPA3

Mnoho zařízení bylo navrženo před existencí WPA3 a jejich hardware nebo firmware nelze upgradovat tak, aby jej podporoval.To je obzvláště běžné u levných produktů pro chytrou domácnost, starších fotoaparátů, tiskáren, ručních skenerů a pokladních terminálů.

Některým chybí paměť nebo výpočetní výkon. Jiné používají čipy a software z dřívější generace. Ani výrobce, který chce přidat WPA3, nemusí mít k dispozici aktualizační cestu pro zařízení, která jsou již v provozu.

Smíšený režim WPA2/WPA3: Co řeší a co ne

Smíšený režim umožňuje zařízením WPA3 a WPA2 sdílet jeden název sítě, ale síť je zabezpečená pouze do té míry, do jaké je zabezpečeno WPA2.Nová zařízení se připojují pomocí WPA3 a starší se vracejí k WPA2.

Řeší to skutečný problém: můžete migrovat, aniž byste museli najednou nahradit vše. Neřeší to však bezpečnostní mezeru, protože útočník se může zaměřit na slabší cestu WPA2. Z tohoto důvodu jsou samostatné SSID pro zařízení s WPA2 a WPA3 obvykle silnější možností.

Proč se zařízení po přepnutí nemusí připojit

Pokud se zařízení po změně nepodaří připojit, příčinou je téměř vždy nesoulad mezi jeho podporovaným režimem a nastavením vašeho routeru.Mezi běžné příčiny patří:

• Router je nastaven pouze na WPA3, ale zařízení podporuje pouze WPA2.
• Zařízení v nastavení uvádí podporu WPA2/WPA3, ale má chybu se smíšeným režimem. Některé starší tablety se chovají tímto způsobem.
• Zařízení funguje pouze na frekvenci 2,4 GHz a název sítě nebo řízení pásma ruší.
• Router ve skutečnosti nový režim neaplikoval, takže se zařízení připojuje s jiným nastavením, než očekáváte.

Většinu těchto případů vyřeší přepnutí routeru do smíšeného režimu WPA2/WPA3 nebo přesunutí zařízení do samostatné sítě WPA2.

Který z nich byste měli použít?

Používejte WPA3 všude, kde ho všechna zařízení podporují, a pro vše, co ho nepodporuje, používejte zesílené WPA2.Správná odpověď závisí na zařízeních ve vaší síti a na tom, jak citlivá jsou vaše data.

Domácí sítě

Pro většinu domácností je WPA3 nebo smíšený režim tou správnou volbou, pokud jej router podporuje.Zkontrolujte, zda se vaše telefony, notebooky a chytrá zařízení po přepnutí stále připojují.

Pokud selže několik zařízení, ponechte je v síti WPA2, než abyste oslabovali celou domácí síť.

Malé firmy a komerční weby

Malé firmy by měly oddělit provoz zaměstnanců, hostů a zařízení, než se začnou zabývat verzí protokolu.Segmentace omezuje poškození v případě ohrožení jakéhokoli jednotlivého zařízení.

Pokud je to možné, používejte pro zařízení zaměstnanců zabezpečení WPA3 a starší zařízení uchovávejte v omezené síti WPA2 s přístupem pouze k tomu, co potřebují.

Hostující a veřejné sítě

Hostující sítě těží z OWE nejvíce, protože šifruje provoz, aniž by návštěvníky vyžadovalo zadání hesla.Toto je jasné zlepšení soukromí oproti obyčejné otevřené síti.

Pokud OWE není k dispozici, je jednoduché heslo WPA2 nebo WPA3 sdílené s návštěvníky stále lepší než nešifrovaná síť.

Podnikové a regulované prostředí

Organizace nakládající s citlivými daty by měly používat certifikát 802.1X s WPA3-Enterprise, pokud jej jejich klienti podporují.Certifikáty zcela odstraňují sdílená hesla.

192bitový režim stojí za zvážení pouze tehdy, pokud jej podporuje každý klient, protože se nelze vrátit k předchozí verzi.

WPA2 a WPA3 v připojených produktech: Běžné scénáře

U připojených produktů musí zvolený režim zabezpečení fungovat se zařízeními, která vaši zákazníci již vlastní.Některé scénáře se opakují.

Chytrá domácnost: Mnoho zařízení z různých let v jedné síti

Typická chytrá domácnost má zařízení zakoupená s odstupem let, takže WPA3-only málokdy funguje hned první den.Zásuvky, vypínače, senzory a zámky se často připojují přes 2,4 GHz s WPA2.

Samostatná síť IoT nebo smíšený režim jako dočasné řešení zajišťuje funkčnost všech zařízení, zatímco novější zařízení získávají silnější ochranu. Našechytrá domácnostPráce pravidelně zahrnuje plánování přesně pro tuto situaci.

Připojené hračky: Nastavení domácích routerů rodiči

Propojené hračky si rodiče obvykle nastavují na routeru, který již mají, takže párování musí fungovat v síti tak, jak je.Selhání párování po změně routeru je jednou z nejčastějších stížností na podporu.

Jasné pokyny k nastavení a poznámka o kompatibilitě sítě ušetří rodinám a podpůrným týmům spoustu frustrace. Toto je v našem případě praktický aspekt.Hračka s umělou inteligencíprojekty.

Chytré parkování: Spravovaná místa se smíšeným vybavením

Parkovací místa často kombinují zařízení instalovaná v různých letech, přičemž síťovou politiku stanovuje správce nemovitosti nebo IT tým.Sklepy a venkovní pozemky přinášejí své vlastní problémy s konektivitou.

Včasná dohoda s vlastníkem sítě lokality na režimu zabezpečení předchází překvapením při instalaci. Je to součást našeho přístupu.chytré parkováníprojekty.

Zakázkové projekty IoT: Včasný výběr přístupu k síťové bezpečnosti

Přístup k zabezpečení sítě je snazší rozhodnout ve fázi návrhu než po instalaci zařízení v terénu.Jakmile jsou jednotky odeslány, může být změna jejich podpory obtížná nebo nemožná.

Včas se rozhodněte, ve kterých režimech musí vaše zařízení pracovat, jak budou zřizovány a jak budou přijímat aktualizace.

Jak zkontrolovat a změnit režim zabezpečení routeru

Aktuální režim zabezpečení si můžete ověřit pouze v nastavení routeru, nikoli na zařízeních.Zařízení, které podporuje WPA3, se bude stále připojovat s WPA2, pokud je na to router nastaven.

1. Otevřete prohlížeč a zadejte IP adresu vašeho routeru.
2. Přihlaste se pomocí svých administrátorských přihlašovacích údajů.
3. Přejděte do nastavení bezdrátového připojení nebo zabezpečení.
4. Vyhledejte možnost režimu zabezpečení nebo typu ověřování.
5. Podle potřeby vyberte WPA3, smíšený režim WPA2/WPA3 nebo WPA2 (AES).
6. Uložte změny a znovu připojte zařízení.

Pokud nastavení nemůžete najít, najdete kroky specifické pro daný model v manuálu k routeru nebo na stránce podpory výrobce.

Jak krok za krokem migrovat z WPA2 na WPA3

Nejbezpečnější migrace je postupná: nejprve identifikujte svá zařízení a poté je přesouvejte ve skupinách.Většinu výpadků způsobuje přepínání všeho najednou.

1. Proveďte inventuru svých zařízení.Uveďte, které podporují WPA3 a které pouze WPA2.
2. Povolte smíšený režim v jedné síti.Sledujte, která zařízení se připojují pomocí kterého protokolu.
3. Oddělte vzdorující.Pro zařízení, která nelze upgradovat, vytvořte SSID nebo VLAN pouze s WPA2.
4. Přesuňte citlivé sítě pouze na WPA3.Dělejte to při aktualizaci nebo výměně zařízení.
5. Stanovte datum kontroly.Vyřaďte síť WPA2, protože starší zařízení dosáhnou konce své životnosti.

Jak krok za krokem migrovat z WPA2 na WPA3

Nejbezpečnější migrace je postupná: nejprve identifikujte svá zařízení a poté je přesouvejte ve skupinách.Většinu výpadků způsobuje přepínání všeho najednou.

1. Proveďte inventuru svých zařízení.Uveďte, které podporují WPA3 a které pouze WPA2.
2. Povolte smíšený režim v jedné síti.Sledujte, která zařízení se připojují pomocí kterého protokolu.
3. Oddělte vzdorující.Pro zařízení, která nelze upgradovat, vytvořte SSID nebo VLAN pouze s WPA2.
4. Přesuňte citlivé sítě pouze na WPA3.Dělejte to při aktualizaci nebo výměně zařízení.
5. Stanovte datum kontroly.Vyřaďte síť WPA2, protože starší zařízení dosáhnou konce své životnosti.

Často kladené otázky

Závěr

WPA3 je lepší standard a WPA2 zůstává přijatelný i po posílení ochrany. Správná volba závisí na vašich zařízeních, nikoli na nejnovější možnosti v nabídce.

Začněte tím, že zjistíte, co se ve vaší síti skutečně nachází. Oddělte stará zařízení od nových a pokud to vaše zařízení umožňuje, přejděte na WPA3.