Xếp hạng bảo mật (Từ yếu → Mạnh)
| Giao thức | Năm ra mắt | Mã hóa | Trạng thái | Khuyến nghị |
|---|
| WEP (Wired Equivalent Privacy) | 1997 | RC4 (40/104-bit) | BỎ NGAY – Crack trong <1 phút (Aircrack-ng). | ❌ Không bao giờ dùng. |
| WPA (TKIP) | 2003 | TKIP/RC4 | CŨ, YẾU – Lỗ hổng Michael attack, chậm. | ❌ Chỉ dùng cho thiết bị cực cũ không hỗ trợ WPA2. |
| WPA2-PSK (AES/CCMP) | 2004 | AES-CCMP | PHỔ BIẾN – An toàn nếu passphrase mạnh. Lỗ hổng KRACK (2017) đã vá qua patch. | ✅ Tối thiểu bắt buộc cho mọi thiết bị hiện nay. |
| WPA2-Enterprise (802.1X/EAP) | 2004 | AES-CCMP | MẠNH – Xác thực riêng per-user (RADIUS), không chia sẻ pass. | ✅ Bắt buộc cho doanh nghiệp. |
| WPA3-Personal (SAE) | 2018 | AES-GCMP-256 | TIÊU CHUẨN MỚI – SAE thay PSK, chống offline dictionary attack, Forward Secrecy, PMF bắt buộc. | ✅ Tiêu chuẩn vàng hiện tại (nếu thiết bị hỗ trợ). |
| WPA3-Enterprise (192-bit) | 2018 | AES-GCMP-256 / CNSA Suite | CAO NHẤT – 192-bit encryption, EAP-TLS bắt buộc, quan trọng cho chính phủ/quân sự. | ✅ Môi trường yêu cầu bảo mật cao nhất. |
| WPA3 Transition Mode (WPA2/WPA3 Mixed) | 2020 | AES-CCMP + GCMP | KHUYẾN NGHỊ – Hỗ trợ cả thiết bị cũ (WPA2) và mới (WPA3). | ✅ Cấu hình tốt nhất hiện nay cho Router home/SMB. |
Tại sao WPA3 (SAE) an toàn hơn WPA2 (PSK)?
- SAE (Simultaneous Authentication of Equals): Thay thế 4-way handshake dễ bị KRACK. Dragonfly key exchange – chống offline dictionary attack (tấn công đoán pass qua handshake capture).
- Forward Secrecy: Mật khẩu bị lộ sau này không giải mã được traffic quá khứ.
- PMF (Protected Management Frames) / 802.11w: Bắt buộc – chống deauth/disassociation attack (kick thiết bị khỏi mạng).
- Opportunistic Wireless Encryption (OWE / Enhanced Open): Mở (Open Wi-Fi) nhưng vẫn mã hóa – cho Guest/Public Wi-Fi.
Cấu hình tối ưu cho Router hiện nay (2024)
- Security Mode: WPA2/WPA3 Mixed (WPA3 Transition).
- Encryption: AES (CCMP/GCMP) – TUYỆT ĐỐI KHÔNG CHỌN TKIP.
- Passphrase: ≥ 12 ký tự, ngẫu nhiên, không từ điển (dùng Password Manager tạo).
- PMF (802.11w): Required (bắt buộc) nếu chỉ dùng WPA3; Optional nếu Mixed.
- Tắt WPS (PIN brute-force).
- Tắt WMM/QoS nếu không cần (giảm bề mặt tấn công).
- Cập nhật Firmware Router định kỳ.
Kiểm tra thiết bị có hỗ trợ WPA3 không?
- Windows 10 1903+ / Windows 11: Hỗ trợ (driver card mạng phải mới).
- macOS 10.15 Catalina+ / iOS 13+ / iPadOS 13+.
- Android 10+.
- Router: Wi-Fi 5 (802.11ac) Wave 2 trở lên, Wi-Fi 6/6E/7 (hỗ trợ native).
- IoT/Printer cũ: Thường chỉ WPA2 → Dùng Mixed Mode hoặc tách SSID IoT chỉ WPA2.
So sánh nhanh: WPA2-AES vs WPA3-SAE
| Tiêu chí | WPA2-PSK (AES) | WPA3-Personal (SAE) |
|---|
| Handshake | 4-way handshake (dễ bắt, offline crack) | SAE (Dragonfly) – chống offline crack |
| Forward Secrecy | Không | Có |
| PMF (802.11w) | Optional | Bắt buộc |
| Min Passphrase | 8 ký tự | 8 ký tự (nhưng yếu hơn do SAE) |
| Tương thích | Gần như mọi thiết bị từ 2006 | Thiết bị 2019+ (Wi-Fi 5 Wave 2, Wi-Fi 6+) |
Kết luận
Cấu hình tốt nhất hiện nay: WPA2/WPA3 Mixed (Transition Mode) + AES + Passphrase mạnh ≥12 ký tự + PMF Optional + Tắt WPS. Nếu mọi thiết bị đều hỗ trợ WPA3 → Chuyển sang WPA3-Only + PMF Required. Tuyệt đối không dùng WEP, WPA-TKIP, WPA2-TKIP.
