Wi-Fi Protected Access 2 (WPA2) là công nghệ bảo mật mạng thường được sử dụng trên mạng Wi-Fi không dây. Đây là bản nâng cấp từ công nghệ WPA gốc, được thiết kế để thay thế WEP cũ hơn và kém an toàn hơn. WPA2 được sử dụng trên tất cả phần cứng Wi-Fi được chứng nhận kể từ năm 2006 và dựa trên tiêu chuẩn công nghệ IEEE 802.11i cho mã hóa dữ liệu.
Khi WPA2 được bật với tùy chọn mã hóa mạnh nhất, bất kỳ ai khác trong phạm vi mạng có thể thấy lưu lượng truy cập, nhưng nó bị xấu trộn với các tiêu chuẩn mã hóa cập nhật nhất.
Lưu ý: Chứng nhận cho WPA3 bắt đầu năm 2018. WPA3 đánh dấu cải tiến bảo mật Wi-Fi lớn đầu tiên kể từ WPA2 năm 2004. Tiêu chuẩn mới bao gồm lớp bảo mật tương đương 192-bit và thay đổi trao đổi khóa chia sẻ trước (PSK) bằng trao đổi SAE (Simultaneous Authentication of Equals).
WPA2 so với WPA và WEP
Việc thấy các từ viết tắt WPA2, WPA và WEP có thể gây nhầm lẫn vì chúng trông rất giống nhau đến mức लगता rằng không quan trọng bạn chọn cái nào để bảo vệ mạng, nhưng thực sự có sự khác biệt.
Kém an toàn nhất là WEP, cung cấp bảo mật tương đương với kết nối có dây. WEP phát sóng tin nhắn bằng sóng radio và dễ bị phá vỡ. Điều này là do cùng một khóa mã hóa được sử dụng cho mọi gói dữ liệu. Nếu đủ dữ liệu được phân tích bởi kẻ nghe lén, khóa có thể được tìm thấy bằng phần mềm tự động (trong vài phút). Tốt nhất nên tránh WEP.
WPA cải tiến WEP bằng cách cung cấp lược đồ mã hóa TKIP để xáo trộn khóa mã hóa và xác minh rằng nó không bị thay đổi trong quá trình truyền dữ liệu. Khác biệt chính giữa WPA2 và WPA là WPA2 cải thiện bảo mật mạng vì nó yêu cầu sử dụng phương pháp mã hóa mạnh hơn gọi là AES.
Khóa bảo mật WPA2 có nhiều loại. Khóa chia sẻ trước WPA2 (WPA2 Pre-Shared Key) sử dụng khóa dài 64 chữ số thập lục phân. Phương pháp này thường dùng trên mạng gia đình. Nhiều bộ định tuyến gia đình hoán đổi WPA2 PSK và chế độ WPA2 Personal — cả hai đề cập đến cùng một công nghệ nền tảng.
AES so với TKIP cho mã hóa không dây
Khi bạn thiết lập mạng gia đình với WPA2, bạn thường chọn giữa hai phương pháp mã hóa: Tiêu chuẩn mã hóa nâng cao (Advanced Encryption Standard - AES) và Giao thức toàn vẹn khóa thời gian (Temporal Key Integrity Protocol - TKIP).
Nhiều bộ định tuyến gia đình cho phép quản trị viên chọn từ các tổ hợp sau:
- WPA với TKIP (WPA-TKIP): Đây là lựa chọn mặc định cho các bộ định tuyến cũ không hỗ trợ WPA2.
- WPA với AES (WPA-AES): AES được giới thiệu trước khi tiêu chuẩn WPA2 hoàn tất, mặc dù ít client hỗ trợ chế độ này.
- WPA2 với AES (WPA2-AES): Đây là lựa chọn mặc định cho bộ định tuyến mới hơn và tùy chọn được khuyến nghị cho mạng nơi tất cả client hỗ trợ AES.
- WPA2 với AES và TKIP (WPA2-AES/TKIP): Bộ định tuyến cần bật cả hai chế độ nếu bất kỳ client nào không hỗ trợ AES. Tất cả client hỗ trợ WPA2 đều hỗ trợ AES, nhưng hầu hết client WPA thì không.
Hạn chế của WPA2
Hầu hết bộ định tuyến hỗ trợ cả WPA2 và một tính năng riêng gọi là Thiết lập bảo vệ Wi-Fi (Wi-Fi Protected Setup - WPS). Mặc dù WPS được thiết kế để đơn giản hóa quy trình thiết lập bảo mật mạng gia đình, nhưng lỗ hổng trong cách triển khai hạn chế tính hữu ích của nó.
Với WPA2 và WPS tắt, kẻ tấn công cần xác định WPA2 PSK mà các client sử dụng, đây là quá trình tốn thời gian. Với cả hai tính năng bật, kẻ tấn công chỉ cần tìm mã PIN WPS của các client để tiết lộ khóa WPA2. Đây là quá trình đơn giản hơn. Các chuyên gia bảo mật khuyến nghị tắt WPS vì lý do này.
WPA và WPA2 đôi khi can thiệp vào nhau nếu cả hai được bật trên bộ định tuyến cùng lúc, và có thể gây lỗi kết nối client.
Sử dụng WPA2 làm giảm hiệu suất kết nối mạng do tải xử lý thêm của mã hóa và giải mã. Tác động hiệu suất của WPA2 thường có thể bỏ qua, đặc biệt khi so sánh với rủi ro bảo mật tăng cao khi sử dụng WPA hoặc WEP, hoặc không mã hóa вообще.