WPA2 và WPA3 là hai chuẩn bảo mật WiFi phổ biến trên router hiện nay, trong đó WPA3 được phát triển để tăng khả năng bảo vệ trước các hình thức dò mật khẩu và tấn công vào quá trình xác thực. Trước WPA2 và WPA3 còn có WEP và WPA, nhưng hai chuẩn này đã bộc lộ nhiều hạn chế và không còn phù hợp với mạng WiFi hiện đại.
WEP, WPA, WPA2 và WPA3 là gì?
Các chuẩn bảo mật WiFi phát triển theo từng thế hệ nhằm khắc phục điểm yếu của phiên bản trước. Khác biệt không chỉ nằm ở thuật toán mã hóa mà còn ở cách xác thực thiết bị, quản lý khóa và bảo vệ quá trình kết nối.
WEP là gì?
WEP – Wired Equivalent Privacy là một trong những cơ chế bảo mật đầu tiên của WiFi. WEP sử dụng thuật toán RC4 để mã hóa dữ liệu và kết hợp khóa chia sẻ với Initialization Vector để tạo khóa dùng cho từng gói tin.
Điểm yếu nằm ở thiết kế quản lý khóa và IV, khiến WEP có thể bị khai thác sau khi thu thập đủ lưu lượng mạng.
Vì vậy, WEP hiện được xem là chuẩn bảo mật lỗi thời và không nên sử dụng cho mạng WiFi. TP-Link cũng khuyến nghị tránh hoàn toàn WEP do các điểm yếu đã được biết rõ.
WPA là gì?
WPA – Wi-Fi Protected Access được Wi-Fi Alliance đưa ra như giải pháp chuyển tiếp nhằm thay thế WEP trong khi WPA2 chưa hoàn thiện.
WPA sử dụng TKIP – Temporal Key Integrity Protocol để cải thiện việc quản lý khóa nhưng vẫn dựa trên nền tảng RC4. Mục tiêu quan trọng khi đó là cho phép nhiều thiết bị WEP có thể nâng cấp lên WPA thông qua firmware.
WPA an toàn hơn WEP nhưng hiện cũng đã lỗi thời. Router mới không nên sử dụng WPA/TKIP nếu còn lựa chọn WPA2 hoặc WPA3.
WPA2 là gì?
WPA2 – Wi-Fi Protected Access 2 là triển khai tương thích của Wi-Fi Alliance dựa trên IEEE 802.11i. WPA2 đưa AES và CCMP vào bảo mật WiFi, tạo bước tiến lớn so với WEP và WPA/TKIP.
Trong mạng gia đình, chế độ thường gặp là WPA2-Personal, còn gọi là WPA2-PSK. Các thiết bị dùng chung mật khẩu WiFi để tạo ra khóa phục vụ quá trình xác thực và mã hóa kết nối.
WPA2 vẫn được sử dụng rất rộng rãi. Khi kết hợp với mật khẩu mạnh, firmware router còn được cập nhật và AES/CCMP, WPA2 vẫn là lựa chọn thực tế đối với nhiều thiết bị chưa hỗ trợ WPA3.
WPA3 là gì?
WPA3 – Wi-Fi Protected Access 3 được Wi-Fi Alliance giới thiệu năm 2018 nhằm nâng cấp bảo mật WiFi so với WPA2.
Thay đổi quan trọng trên WPA3-Personal là sử dụng SAE – Simultaneous Authentication of Equals cho quá trình xác thực dựa trên mật khẩu.
SAE giúp tăng khả năng chống các cuộc tấn công dò mật khẩu offline và cung cấp forward secrecy. WPA3 cũng yêu cầu sử dụng Protected Management Frames – PMF để bảo vệ một số frame quản lý quan trọng của WiFi.
WPA2 và WPA3 khác nhau như thế nào?
WPA3 an toàn hơn WPA2, nhưng sự khác biệt lớn nhất không đơn giản nằm ở việc “mã hóa AES mạnh hơn”. Điểm cải tiến quan trọng nằm ở cơ chế xác thực, bảo vệ mật khẩu và management frame.
WPA2 dùng PSK, WPA3-Personal dùng SAE
Trong mạng WPA2-Personal, người dùng thường sử dụng Pre-Shared Key dựa trên mật khẩu WiFi.
Nếu kẻ tấn công thu được dữ liệu xác thực cần thiết, một mật khẩu yếu có thể trở thành mục tiêu của quá trình thử từ điển hoặc brute force offline.
WPA3-Personal thay cơ chế này bằng SAE.
Với SAE, mỗi lần thử mật khẩu yêu cầu tương tác với mạng thay vì cho phép kẻ tấn công thoải mái kiểm tra danh sách mật khẩu sau khi đã thu được handshake. Điều này làm cho tấn công từ điển offline khó thực hiện hơn.
WPA3 có Forward Secrecy
SAE còn mang lại forward secrecy.
Điều này có nghĩa nếu mật khẩu WiFi bị lộ sau này, kẻ tấn công không thể đơn giản dùng mật khẩu đó để giải mã toàn bộ các phiên truyền đã thu được từ trước theo cách tương tự mô hình PSK truyền thống.
Đây là một nâng cấp đáng chú ý của WPA3 so với WPA2-Personal.
WPA3 yêu cầu Protected Management Frames
Không phải tất cả dữ liệu WiFi đều là dữ liệu ứng dụng. Mạng còn sử dụng các management frame phục vụ những chức năng như xác thực và quản lý kết nối.
Protected Management Frames – PMF, hay 802.11w, giúp tăng khả năng bảo vệ các management frame quan trọng.
Aruba xác nhận WPA3 yêu cầu PMF, trong khi trên WPA2 tính năng này có thể chỉ là tùy chọn tùy cấu hình.
Vì vậy, WPA3 cải thiện cả quá trình xác thực lẫn lớp bảo vệ hoạt động quản lý WiFi.
WPA3-Personal không đơn giản là AES-256
Đây là điểm thường bị hiểu sai.
Không nên giải thích rằng WPA2 = AES-128 còn WPA3 = AES-256 trong mọi trường hợp.
WPA3-Personal vẫn có thể sử dụng mức bảo vệ dữ liệu AES/CCMP-128. Điểm cải tiến nổi bật của mạng Personal nằm ở SAE, PMF và quy trình xác thực an toàn hơn. WPA3-Enterprise mới có các chế độ dành cho môi trường yêu cầu mức bảo mật mật mã cao hơn.
WPA2 tương thích thiết bị cũ tốt hơn
WPA2 đã tồn tại lâu và được hỗ trợ trên lượng thiết bị rất lớn.
Ngược lại, để sử dụng WPA3 đầy đủ thì router và client đều phải hỗ trợ WPA3. Một điện thoại chỉ hỗ trợ WPA2 không thể kết nối vào mạng WPA3-only bằng WPA3.
Đây là lý do nhiều router cung cấp chế độ WPA2/WPA3 Mixed Mode hoặc Transition Mode.
Thiết bị mới có thể dùng WPA3, trong khi client cũ tiếp tục kết nối bằng WPA2.
Nên sử dụng WEP, WPA, WPA2 hay WPA3?
Với router hiện đại, thứ tự ưu tiên khá rõ ràng: WPA3 nếu toàn bộ hệ thống tương thích; WPA2/WPA3 khi cần hỗ trợ thiết bị cũ; WPA2-AES nếu client chưa dùng được WPA3. WEP và WPA không nên được lựa chọn cho mạng mới.
Không nên dùng WEP
WEP đã có các điểm yếu kỹ thuật nghiêm trọng và không đáp ứng yêu cầu bảo mật WiFi hiện nay.
Nếu router quá cũ chỉ cung cấp WEP hoặc WPA, nên xem xét thay router thay vì tiếp tục duy trì chuẩn bảo mật lỗi thời. NIST từ lâu đã khuyến nghị các hệ thống mới chuyển sang các giải pháp dựa trên WPA2 thay cho các chuẩn legacy.
Không nên dùng WPA/TKIP
WPA là bước cải thiện lớn so với WEP vào thời điểm ra đời nhưng chỉ mang tính chuyển tiếp.
TKIP và RC4 không còn phù hợp cho mạng WiFi hiện đại. Khi router cung cấp WPA2-AES hoặc WPA3, không có nhiều lý do để duy trì WPA/TKIP.
Dùng WPA2-AES khi thiết bị còn cũ
WPA2-Personal với AES/CCMP vẫn là lựa chọn phù hợp nếu trong mạng có camera, IoT, máy tính hoặc smartphone chưa hỗ trợ WPA3.
TP-Link đánh giá WPA2 vẫn có thể sử dụng an toàn khi đi kèm mật khẩu đủ mạnh và firmware được cập nhật.
Không nên chọn các chế độ kiểu WPA/WPA2 kết hợp TKIP nếu router cung cấp lựa chọn WPA2-AES riêng.
Ưu tiên WPA3 nếu toàn bộ thiết bị hỗ trợ
Nếu router và phần lớn client đều mới, WPA3-Personal nên được ưu tiên.
Lợi ích quan trọng là SAE, khả năng chống dò mật khẩu tốt hơn và PMF bắt buộc.
Điều này đặc biệt phù hợp khi đang triển khai mới hệ thống WiFi thay vì phải duy trì tương thích với nhiều thiết bị cũ.
Dùng WPA2/WPA3 Mixed Mode khi cần tương thích
Đây thường là lựa chọn cân bằng nhất cho mạng gia đình có nhiều thế hệ thiết bị.
Client hỗ trợ WPA3 sẽ kết nối bằng WPA3. Thiết bị cũ hơn vẫn có thể sử dụng WPA2. TP-Link cung cấp chính chế độ WPA3/WPA2-MIX cho mục đích này.
Tuy nhiên, mixed mode là giải pháp chuyển tiếp về khả năng tương thích. Nếu mọi client đã hỗ trợ WPA3 ổn định, WPA3-only sẽ loại bỏ nhu cầu duy trì WPA2 trên cùng SSID.
WiFi 6GHz cần WPA3
Với mạng hoạt động trên băng tần 6GHz, yêu cầu bảo mật chặt hơn.
Cisco xác nhận client hoạt động trên 6GHz sử dụng WPA3 và PMF được yêu cầu cho mạng 6GHz.
Do đó, người dùng WiFi 6E hoặc WiFi 7 muốn khai thác 6GHz sẽ cần thiết bị và cấu hình bảo mật tương thích WPA3.
Kết luận
WPA2 và WPA3 đều là các chuẩn bảo mật WiFi còn được sử dụng hiện nay, nhưng WPA3 cải thiện rõ rệt quá trình xác thực nhờ SAE và yêu cầu Protected Management Frames. Với thiết bị mới nên ưu tiên WPA3; nếu mạng còn client cũ, WPA2/WPA3 Mixed Mode là lựa chọn thực tế. WEP và WPA/TKIP không nên tiếp tục sử dụng cho mạng WiFi hiện đại.
Để lại một bình luận