WPA2 vs WPA3: Aký je rozdiel a ktorý by ste mali použiť?

Otvoríte nastavenia routera a uvidíte novú možnosť: WPA3. Zapnete ho a o desať minút neskôr sa inteligentná zásuvka v obývačke odpojí od siete. Pripojená detská hračka odmieta dokončiť párovanie.

Nič nie je pokazené. Zariadenia jednoducho nehovoria bezpečnostným jazykom, na ktorom teraz trvá váš smerovač.

Táto príručka vysvetľuje, čo WPA2 a WPA3 v skutočnosti robia, kde sa líšia a ako si medzi nimi vybrať bez toho, aby ste museli uzamknúť zariadenia, ktoré vlastníte.

Kľúčové poznatky

• WPA3 je silnejší štandard. Odoláva hádaniu hesla offline, chráni predchádzajúce relácie a šifruje otvorené siete.
• WPA2 je stále prijateľné, aj keď je nastavené iba na AES, chránené dlhou prístupovou frázou a aktualizované firmvérom.
• WEP a pôvodné WPA sú zastarané a nemali by sa používať.
• Hlavnou prekážkou prechodu je kompatibilita, nie bezpečnosť. Mnoho zariadení podporuje iba WPA2.
• Zmiešaný režim WPA2/WPA3 je most, nie bezpečnostná aktualizácia. Samostatné siete pre staré a nové zariadenia sú bezpečnejšie.

Čo je WPA?

WPA (Wi-Fi Protected Access) je bezpečnostný rámec, ktorý šifruje dáta medzi vašimi zariadeniami a smerovačom a rozhoduje o tom, kto sa môže pripojiť k sieti.Je definovaný a certifikovaný organizáciou Wi-Fi Alliance.

Každé Wi-Fi zariadenie, ktoré vlastníte, sa naň spolieha, vrátane telefónov, notebookov, fotoaparátov, zásuviek, hračiek a tlačiarní. Tento systém prešiel niekoľkými generáciami a každá z nich v poslednej odstránila svoje slabé stránky.

WEP a WPA: Prečo sú zastarané

Používanie protokolov WEP a pôvodného WPA už nie je bezpečné.WEP pochádza z konca 90. rokov a kvôli slabinám v jeho dizajne so statickým kľúčom ho možno prelomiť v priebehu niekoľkých minút.

WPA sa objavilo v roku 2003 ako rýchla záplata pre WEP. Pridalo TKIP a kontroly integrity, ale malo to byť len dočasné riešenie a WPA2 ho čoskoro nato nahradilo.

WPA2: Dlhodobo fungujúci štandard

WPA2 sa stal predvoleným bezpečnostným štandardom Wi-Fi v roku 2004 a stále je najrozšírenejším.Jeho kľúčovým vylepšením je šifrovanie AES pomocou CCMP, ktoré je oveľa silnejšie ako TKIP používaný protokolom WPA.

WPA2 sa dodáva v dvoch režimoch:

• Osobné (PSK):jedno zdieľané heslo pre všetkých v sieti.
• Podnik (802.1X):Každý používateľ alebo zariadenie má svoje vlastné prihlasovacie údaje, ktoré overuje server RADIUS.

WPA3: Čo sa zmenilo

WPA3, oznámené v roku 2018, si zachováva rovnakú základnú štruktúru ako WPA2, ale opravuje jeho známe slabé stránky.Od roku 2020 je podpora WPA3 povinná pre novo certifikované zariadenia Wi-Fi.

Jeho hlavné črty sú:

• SAE(Simultánne overovanie rovných), ktoré nahrádza handshake s predzdieľaným kľúčom WPA2.
• Dopredné utajenie, ktorý chráni predtým zachytenú prevádzku.
• OWE(Opportunistic Wireless Encryption, predávané ako Wi-Fi Enhanced Open), ktoré šifruje otvorené siete.
• Voliteľný 192-bitový bezpečnostný režimpre WPA3-Enterprise.

Čo je WPA?

WPA (Wi-Fi Protected Access) je bezpečnostný rámec, ktorý šifruje dáta medzi vašimi zariadeniami a smerovačom a rozhoduje o tom, kto sa môže pripojiť k sieti.Je definovaný a certifikovaný organizáciou Wi-Fi Alliance.

Každé Wi-Fi zariadenie, ktoré vlastníte, sa naň spolieha, vrátane telefónov, notebookov, fotoaparátov, zásuviek, hračiek a tlačiarní. Tento systém prešiel niekoľkými generáciami a každá z nich v poslednej odstránila svoje slabé stránky.

WEP a WPA: Prečo sú zastarané

Používanie protokolov WEP a pôvodného WPA už nie je bezpečné.WEP pochádza z konca 90. rokov a kvôli slabinám v jeho dizajne so statickým kľúčom ho možno prelomiť v priebehu niekoľkých minút.

WPA sa objavilo v roku 2003 ako rýchla záplata pre WEP. Pridalo TKIP a kontroly integrity, ale malo to byť len dočasné riešenie a WPA2 ho čoskoro nato nahradilo.

WPA2: Dlhodobo fungujúci štandard

WPA2 sa stal predvoleným bezpečnostným štandardom Wi-Fi v roku 2004 a stále je najrozšírenejším.Jeho kľúčovým vylepšením je šifrovanie AES pomocou CCMP, ktoré je oveľa silnejšie ako TKIP používaný protokolom WPA.

WPA2 sa dodáva v dvoch režimoch:

• Osobné (PSK):jedno zdieľané heslo pre všetkých v sieti.
• Podnik (802.1X):Každý používateľ alebo zariadenie má svoje vlastné prihlasovacie údaje, ktoré overuje server RADIUS.

WPA3: Čo sa zmenilo

WPA3, oznámené v roku 2018, si zachováva rovnakú základnú štruktúru ako WPA2, ale opravuje jeho známe slabé stránky.Od roku 2020 je podpora WPA3 povinná pre novo certifikované zariadenia Wi-Fi.

Jeho hlavné črty sú:

• SAE(Simultánne overovanie rovných), ktoré nahrádza handshake s predzdieľaným kľúčom WPA2.
• Dopredné utajenie, ktorý chráni predtým zachytenú prevádzku.
• OWE(Opportunistic Wireless Encryption, predávané ako Wi-Fi Enhanced Open), ktoré šifruje otvorené siete.
• Voliteľný 192-bitový bezpečnostný režimpre WPA3-Enterprise.

WPA2 vs. WPA3: Kľúčové rozdiely

WPA3 nahrádza handshake hesla z WPA2 štandardom SAE, pridáva utajenie dopredu a šifruje otvorené siete; oba štandardy sa stále spoliehajú na šifrovanie údajov založené na AES.V nasledujúcej tabuľke sú zhrnuté rozdiely.

Ochrana heslom: PSK vs. SAE

SAE značne sťažuje hádanie hesla, pretože každé hádanie vyžaduje živú interakciu so sieťou.Tu pomôže analógia.

Vďaka zabezpečeniu WPA2-Personal si útočník, ktorý zachytí jedno podanie ruky, môže toto podanie vziať domov a otestovať milióny hesiel offline, napríklad odfotiť zámok a celú noc skúšať kľúče. Vďaka zabezpečeniu WPA3-Personal sa každé hádanie musí vykonať pri dverách, takže útočník je spomalený a dá sa odhaliť.

Slabá alebo opakovane použitá prístupová fráza preto predstavuje oveľa väčšie riziko pri WPA2 ako pri WPA3.

Forward Secrecy: Prečo stará prevádzka zostáva bezpečná

Dopredné utajenie znamená, že kompromitované heslo nemožno použiť na dešifrovanie skôr zaznamenanej prevádzky.WPA3 generuje nové kľúče relácie pre každé pripojenie.

Pri použití WPA2 môže útočník, ktorý dnes zaznamená prevádzku a heslo zistí neskôr, dešifrovať uložené údaje. Toto sa často nazýva útok „ukradni teraz, dešifruj neskôr“ a WPA3 je navrhnuté tak, aby ho porazilo.

Otvorené siete a OWE

OWE poskytuje každému používateľovi v otvorenej sieti vlastný šifrovací kľúč bez nutnosti zadávania hesla.Predstavte si kaviareň, kde má každý hosť súkromnú telefónnu búdku namiesto kriku cez celú zdieľanú miestnosť.

OWE chráni pred pasívnym odpočúvaním verejných Wi-Fi sietí na miestach, ako sú hotely, letiská a kaviarne. WPA2 nemá ekvivalent, takže otvorené siete z éry WPA2 odosielajú dáta v otvorenej podobe.

Podnikový režim a voliteľný 192-bitový balík

WPA3-Enterprise pridáva voliteľný 192-bitový režim zosúladený so sadou CNSA, určený pre vysoko citlivé prostredia.Na stanovenie kľúča používa GCMP-256, HMAC-SHA384 a 384-bitovú eliptickú krivku.

Tento režim je relevantný najmä pre vládu, obranu, financie a zdravotníctvo. Nemá prechodný režim, takže ho musí pred zapnutím podporovať každý klient v danej sieti.

Je WPA2 stále bezpečné?

Áno, WPA2 je stále primerane bezpečné, ak je správne nakonfigurované a aktualizované.Protokol má známe slabé stránky, ale tie sú zvládnuteľné vo väčšine domácich a malých podnikových prostredí.

Najdôležitejšie sú dve riziká:

• Útoky na offline heslá:Zachytený handshake je možné otestovať oproti slabým alebo opakovane použitým prístupovým frázam.
• Útoky v štýle KRACK:ako bolo odhalené v roku 2017, zneužívajú handshake na vynútenie opätovného použitia kľúča. Záplaty dodávateľov ich opravujú, ale záplaty musia byť nainštalované na routeri aj klientovi.

Ak chcete posilniť sieť WPA2:

• Používajte iba WPA2 s AES (CCMP) a vypnite záložné šifrovanie WEP, WPA a TKIP.
• Vypnite WPS (chránené nastavenie Wi-Fi).
• Vyberte si dlhú, jedinečnú prístupovú frázu, ktorú inde znova nepoužívate.
• Pravidelne aktualizujte firmvér smerovača a zariadenia.
• Umiestnite hostí a inteligentné zariadenia na samostatné SSID alebo VLAN.

Skutočná výzva: Kompatibilita

Hlavným dôvodom, prečo ľudia zostávajú pri WPA2, nie je bezpečnosť; je to preto, že niektoré z ich zariadení sa nemôžu pripojiť k ničomu inému.Router nastavený iba na WPA3 jednoducho odmietne zariadenie s iba WPA2.

Pochopenie dôvodov, prečo sa to deje, značne uľahčuje výber.

Prečo niektoré zariadenia nepodporujú WPA3

Mnohé zariadenia boli navrhnuté ešte pred existenciou WPA3 a ich hardvér alebo firmvér nie je možné aktualizovať tak, aby ho podporovali.Toto je obzvlášť bežné pri lacných produktoch pre inteligentné domácnosti, starších fotoaparátoch, tlačiarňach, ručných skeneroch a pokladničných termináloch.

Niektorým chýba pamäť alebo výpočtový výkon. Iné používajú čipy a softvér zo staršej generácie. Dokonca aj výrobca, ktorý chce pridať WPA3, nemusí mať k dispozícii aktualizačnú cestu pre zariadenia, ktoré sú už v prevádzke.

Zmiešaný režim WPA2/WPA3: Čo rieši a čo nie

Zmiešaný režim umožňuje zariadeniam s WPA3 a WPA2 zdieľať jeden názov siete, ale sieť je zabezpečená len tak, ako WPA2.Nové zariadenia sa pripájajú pomocou WPA3 a staršie sa vracajú k WPA2.

Rieši to skutočný problém: môžete migrovať bez toho, aby ste museli naraz nahradiť všetko. Nerieši to bezpečnostnú medzeru, pretože útočník sa môže zamerať na slabšiu cestu WPA2. Z tohto dôvodu sú samostatné SSID pre zariadenia s WPA2 a WPA3 zvyčajne silnejšou možnosťou.

Prečo sa zariadenie nemusí pripojiť po prepnutí

Ak sa zariadenie po zmene nepodarí pripojiť, príčinou je takmer vždy nesúlad medzi jeho podporovaným režimom a nastavením vášho smerovača.Medzi bežné príčiny patria:

• Router je nastavený iba na WPA3, ale zariadenie podporuje iba WPA2.
• Zariadenie v nastaveniach uvádza podporu WPA2/WPA3, ale má chybu so zmiešaným režimom. Niektoré staršie tablety sa správajú týmto spôsobom.
• Zariadenie funguje iba na frekvencii 2,4 GHz a názov siete alebo riadenie pásma ruší.
• Router v skutočnosti nepoužil nový režim, takže zariadenie sa pripája s inými nastaveniami, než očakávate.

Prepnutie smerovača do zmiešaného režimu WPA2/WPA3 alebo presunutie zariadenia do samostatnej siete WPA2 vyrieši väčšinu týchto prípadov.

Ktorý z nich by ste mali použiť?

Používajte WPA3 všade tam, kde ho každé zariadenie podporuje, a na všetko, kde ho nepodporuje, použite zosilnené WPA2.Správna odpoveď závisí od zariadení vo vašej sieti a od toho, aké citlivé sú vaše údaje.

Domáce siete

Pre väčšinu domácností je WPA3 alebo zmiešaný režim tou správnou voľbou, ak ho router podporuje.Skontrolujte, či sa vaše telefóny, notebooky a inteligentné zariadenia po prepnutí stále pripájajú.

Ak zlyhá niekoľko zariadení, ponechajte ich v sieti WPA2, namiesto toho, aby ste oslabovali celú domácu sieť.

Malé podniky a komerčné lokality

Malé podniky by mali oddeliť prevádzku zamestnancov, hostí a zariadení skôr, ako sa budú obávať verzie protokolu.Segmentácia obmedzuje poškodenie, ak je napadnuté ktorékoľvek zariadenie.

Ak je to možné, používajte pre zariadenia zamestnancov ochranu WPA3 a staršie zariadenia uchovávajte v obmedzenej sieti WPA2 s prístupom iba k tomu, čo potrebujú.

Hosťovské a verejné siete

Hosťovské siete profitujú z OWE najviac, pretože šifruje prevádzku bez toho, aby sa od návštevníkov vyžadovalo zadanie hesla.Toto je jasné zlepšenie súkromia oproti obyčajnej otvorenej sieti.

Ak OWE nie je k dispozícii, jednoduché heslo WPA2 alebo WPA3 zdieľané s návštevníkmi je stále lepšie ako nešifrovaná sieť.

Podnikové a regulované prostredie

Organizácie, ktoré pracujú s citlivými údajmi, by mali používať certifikát 802.1X s WPA3-Enterprise, ak ho ich klienti podporujú.Certifikáty úplne odstránia zdieľané heslá.

192-bitový režim sa oplatí zvážiť iba vtedy, ak ho podporuje každý klient, pretože sa nedá vrátiť späť k predchádzajúcemu režimu.

WPA2 a WPA3 v pripojených produktoch: Bežné scenáre

V pripojených produktoch musí zvolený bezpečnostný režim fungovať so zariadeniami, ktoré vaši zákazníci už vlastnia.Niekoľko scenárov sa opakuje.

Inteligentná domácnosť: Mnoho zariadení z rôznych rokov v jednej sieti

Typická inteligentná domácnosť má zariadenia zakúpené s odstupom rokov, takže WPA3-only zriedka funguje hneď na prvý deň.Zásuvky, vypínače, senzory a zámky sa často pripájajú cez 2,4 GHz s WPA2.

Samostatná sieť IoT alebo zmiešaný režim ako dočasné riešenie zabezpečuje funkčnosť všetkých zariadení, zatiaľ čo novšie zariadenia získavajú silnejšiu ochranu. Našeinteligentná domácnosťPráca pravidelne zahŕňa plánovanie presne na túto situáciu.

Pripojené hračky: Nastavenie rodičmi na domácich routeroch

Pripojené hračky si rodičia zvyčajne nastavujú na akomkoľvek routeri, ktorý už majú, takže párovanie musí fungovať v sieti tak, ako je.Zlyhanie párovania po zmene routera je jednou z najčastejších sťažností na podporu.

Jasné pokyny na nastavenie a poznámka o kompatibilite so sieťou ušetria rodinám a tímom podpory veľa frustrácie. Toto je praktické hľadisko v našomHračka s umelou inteligenciouprojekty.

Inteligentné parkovanie: Spravované lokality so zmiešaným vybavením

Parkovacie miesta často kombinujú zariadenia nainštalované v rôznych rokoch, pričom sieťovú politiku stanovuje správca nehnuteľnosti alebo IT tím.Pivnice a vonkajšie pozemky prinášajú vlastné problémy s pripojením.

Včasná dohoda o bezpečnostnom režime s vlastníkom siete lokality predchádza prekvapeniam pri inštalácii. Je to súčasť nášho prístupu.inteligentné parkovanieprojekty.

Projekty IoT na mieru: Včasný výber prístupu k sieťovej bezpečnosti

Prístup k sieťovej bezpečnosti je jednoduchšie zvoliť vo fáze návrhu ako po nainštalovaní zariadení.Po odoslaní jednotiek môže byť zmena ich podpory náročná alebo nemožná.

V predstihu sa rozhodnite, s ktorými režimami musia vaše zariadenia pracovať, ako budú poskytované a ako budú prijímať aktualizácie.

Ako skontrolovať a zmeniť bezpečnostný režim smerovača

Aktuálny bezpečnostný režim si môžete overiť iba v nastaveniach smerovača, nie na zariadeniach.Zariadenie, ktoré podporuje WPA3, sa bude stále pripájať s WPA2, ak je na to nastavený router.

1. Otvorte prehliadač a zadajte IP adresu vášho smerovača.
2. Prihláste sa pomocou svojich administrátorských prihlasovacích údajov.
3. Prejdite do nastavení bezdrôtového pripojenia alebo zabezpečenia.
4. Nájdite možnosť režimu zabezpečenia alebo typu overenia.
5. Podľa potreby vyberte WPA3, zmiešaný režim WPA2/WPA3 alebo WPA2 (AES).
6. Uložte zmeny a znova pripojte zariadenia.

Ak toto nastavenie nemôžete nájsť, pokyny pre daný model nájdete v návode na obsluhu smerovača alebo na stránke podpory výrobcu.

Ako krok za krokom migrovať z WPA2 na WPA3

Najbezpečnejšia migrácia je postupná: najprv identifikujte svoje zariadenia a potom ich presúvajte v skupinách.Väčšinu výpadkov spôsobuje prepínanie všetkého naraz.

1. Inventarizujte svoje zariadenia.Vymenujte, ktoré podporujú WPA3 a ktoré iba WPA2.
2. Povoliť zmiešaný režim v jednej sieti.Sledujte, ktoré zariadenia sa pripájajú pomocou ktorého protokolu.
3. Oddeľte vzdorovitých.Pre zariadenia, ktoré nie je možné aktualizovať, vytvorte SSID alebo VLAN iba s protokolom WPA2.
4. Presuň citlivé siete iba na WPA3.Robte to pri aktualizácii alebo výmene zariadení.
5. Stanovte si dátum kontroly.Vyraďte sieť WPA2, pretože staršie zariadenia sa blížia ku koncu životnosti.

Ako krok za krokom migrovať z WPA2 na WPA3

Najbezpečnejšia migrácia je postupná: najprv identifikujte svoje zariadenia a potom ich presúvajte v skupinách.Väčšinu výpadkov spôsobuje prepínanie všetkého naraz.

1. Inventarizujte svoje zariadenia.Vymenujte, ktoré podporujú WPA3 a ktoré iba WPA2.
2. Povoliť zmiešaný režim v jednej sieti.Sledujte, ktoré zariadenia sa pripájajú pomocou ktorého protokolu.
3. Oddeľte vzdorovitých.Pre zariadenia, ktoré nie je možné aktualizovať, vytvorte SSID alebo VLAN iba s protokolom WPA2.
4. Presuň citlivé siete iba na WPA3.Robte to pri aktualizácii alebo výmene zariadení.
5. Stanovte si dátum kontroly.Vyraďte sieť WPA2, pretože staršie zariadenia sa blížia ku koncu životnosti.

Často kladené otázky

Záver

WPA3 je lepší štandard a WPA2 zostáva prijateľné aj po sprísnení. Správna voľba závisí od vašich zariadení, nie od najnovšej možnosti v ponuke.

Začnite tým, že zistíte, čo sa skutočne nachádza vo vašej sieti. Oddeľte staré zariadenia od nových a podľa možnosti prejdite na WPA3.