Định nghĩa
An ninh mạng không dây (Wireless Network Security) là tập hợp các biện pháp kỹ thuật, chính sách và quy trình nhằm bảo vệ mạng Wi-Fi khỏi truy cập trái phép, nghe lén dữ liệu, tấn công từ chối dịch vụ và các mối đe dọa khác. Mục tiêu: đảm bảo tính bảo mật (Confidentiality), tính toàn vẹn (Integrity), tính sẵn sàng (Availability) của dữ liệu truyền qua không gian vô tuyến.
Tại sao an ninh Wi-Fi quan trọng?
- Tín hiệu radio phát xạ לכל hướng, xuyên qua tường → ai trong phạm vi cũng có thể bắt gói tin.
- Không có ranh giới vật lý như cáp Ethernet.
- Thiết bị IoT, điện thoại, laptop di chuyển → bề mặt tấn công rộng.
- Mặc định nhiều router cũ dùng WEP/WPA-TKIP → dễ bị hack.
Các giao thức bảo mật Wi-Fi (Tiến hóa)
| Giao thức | Ra mắt | Mã hóa | Trạng thái |
|---|---|---|---|
| WEP | 1997 | RC4 | NGHIÊM TRỌNG LỖI HỔNG - Crack < 1 phút |
| WPA (TKIP) | 2003 | TKIP/RC4 | LỖI THỜI - Dễ tấn công |
| WPA2-Personal (AES/CCMP) | 2004 | AES-CCMP | TIÊU CHUẨN PHỔ BIẾN - An toàn nếu pass mạnh |
| WPA2-Enterprise (802.1X) | 2004 | AES-CCMP | Dùng RADIUS, cho doanh nghiệp |
| WPA3-Personal (SAE) | 2018 | AES-GCMP/CCMP | TỐT NHẤT HIỆN NAY - Chống offline dict, forward secrecy |
| WPA3-Enterprise | 2018 | AES-GCMP-256 | 192-bit suite, môi trường cao cấp |
Cách kiểm tra giao thức an ninh đang dùng
- Windows 10/11: Settings → Network & Internet → Wi-Fi → Hardware properties → Security type.
- macOS: Option + click Wi-Fi icon → Security.
- Android 10+: Settings → Network & Internet → Wi-Fi → bánh răng → Security.
- iOS: Settings → Wi-Fi → "i" → Security.
Các mối đe dọa phổ biến trên WLAN
- Eavesdropping/Sniffing: Bắt gói tin không mã hóa (HTTP, DNS, telnet) →盗取 mật khẩu, cookie, dữ liệu.
- Man-in-the-Middle (MitM): Evil Twin (AP giả), ARP spoofing, DNS hijacking → chèn mã độc, đánh cắp phiên.
- Deauthentication Attack: Gửi frame deauth buộc client ngắt kết nối → bắt handshake (WPA2) để crack offline.
- WPS PIN Brute-force: Khai thác lỗ hổng WPS → lấy được WPA key.
- Rogue Access Point: AP trái phép cắm vào mạng LAN nội bộ → backdoor.
- KRACK (Key Reinstallation Attack): Lỗ hổng WPA2 4-way handshake (đã vá trong bản cập nhật 2017+).
- Denial of Service (DoS): Flood deauth/auth, RF jamming (phân tích tần số).
- Credential Theft: Phishing portal (captive portal giả), Evil Twin + fake login page.
Cách bảo vệ mạng Wi-Fi (Checklist thực tế)
Cấu hình Router/AP (Bắt buộc)
- [ ] Security Mode: WPA3-Personal (SAE) hoặc WPA2-AES (CCMP). KHÔNG chọn TKIP, WEP, WPA.
- [ ] Passphrase: ≥12 ký tự ngẫu nhiên (dùng password manager).
- [ ] WPS: TẮT HOÀN TOÀN.
- [ ] Admin Password: Đổi khác mặc định, mạnh.
- [ ] Remote Management: TẮT.
- [ ] UPnP: TẮT (trừ khi thiết bị cũ bắt buộc).
- [ ] Guest Network: BẬT, cô lập (AP Isolation), dải IP riêng.
- [ ] Firmware: Cập nhật mới nhất.
- [ ] Firewall: Bật SPI Firewall.
- [ ] DNS: 1.1.1.1 / 9.9.9.9 / 8.8.8.8 (chặn malware, tracking).
Mở rộng & Quản trị
- Tách VLAN: Management / IoT / Guest / Server / User.
- 802.1X (WPA2/3-Enterprise) cho doanh nghiệp: RADIUS + Cert/EAP-TLS/PEAP.
- WIPS/WIDS (Wireless IPS/IDS): Phát hiện Rogue AP, deauth flood, Evil Twin.
- Định kỳ quét: Kismet, Aircrack-ng (chỉ lab), Fing, Acrylic Wi-Fi.
- Giám sát log router: Failed auth, unknown MAC, DHCP exhaustion.
Thiết bị Client
- Cập nhật OS, driver Wi-Fi, browser.
- Dùng VPN trên Wi-Fi công cộng.
- Tắt "Auto-connect" cho mạng mở.
- Xóa mạng Wi-Fi không dùng nữa (Preferred Networks).
Câu hỏi thường gặp
Loại an ninh nào an toàn nhất?
WPA3-Personal (SAE) hoặc WPA3-Enterprise. Nếu thiết bị cũ không hỗ trợ WPA3 → WPA2-AES (CCMP).
WPA2-AES vs WPA2-TKIP khác gì?
AES (CCMP) an toàn, TKIP lỗi thời. Chọn AES only hoặc CCMP only. Tránh "AES+TKIP" (mixed mode).
Ẩn SSID có an toàn không?
Không. Client vẫn broadcast probe request chứa SSID. Kismet/Airodump dễ phát hiện. Chỉ làm phiền user hợp pháp.
MAC Filtering có hiệu quả?
Dễ bypass bằng macchanger / spoof MAC. Chỉ là lớp phụ, không thay thế WPA2/WPA3.
Tóm tắt
An ninh Wi-Fi hiệu quả = Giao thức mạnh (WPA3/WPA2-AES) + Mật khẩu mạnh + Cấu hình cứng router (tắt WPS/Remote/UPnP) + Phân đoạn mạng (Guest/VLAN) + Cập nhật firmware + Giám sát. Không có giải pháp "cài xong quên luôn".