Phân biệt: Khuyến nghị bảo mật Wireless ĐÚNG vs SAI
Câu hỏi "Which is NOT a recommendation for wireless network security?" thường xuất hiện trong các kỳ thi chứng chỉ (Security+, CISSP, CCNA Security). Dưới đây là phân tích để bạn chọn đúng đáp án.
1. 4 mối đe dọa lớn nhất đối với mạng không dây
- Rogue Access Points (AP giả mạo): AP trái phép cắm vào mạng nội bộ hoặc phát SSID tương tự để lừa client kết nối (Evil Twin).
- Cấu hình sai (Misconfiguration): Mở WPS, dùng WEP/WPA-TKIP, SSID broadcast mặc định, mật khẩu yếu, firmware cũ.
- Thiết bị không quản lý (Unmanaged/Byod): Thiết bị cá nhân, IoT kết nối mạng doanh nghiệp không tuân thủ chính sách (không AV, không patch, jailbreak/root).
- Tấn công chủ động (Active Attacks): Deauthentication, MITM (Man-in-the-Middle), Eavesdropping, Cracking WPA handshake, KRACK, Dragonblood (WPA3).
2. Đâu KHÔNG phải là mối đe dọa cho mạng không dây KHÔNG được bảo vệ?
Đáp án: "Vô hiệu hóa tường lửa (Disable a firewall)".
Giải thích: Tường lửa (Firewall) là biện pháp bảo vệ ranh giới mạng (Network Perimeter) hoặc host-based. Việc "vô hiệu hóa tường lửa" là một hành động làm GIẢM bảo mật, không phải là một "mối đe dọa" (threat) bản thân. Các mối đe dọa cho mạng wireless không bảo vệ bao gồm: Eavesdropping (Nghe lén), MITM, Rogue AP, Unauthorized Access, DoS, Malware distribution. "Disable firewall" là một lỗ hổng (vulnerability) do con người tạo ra.
3. Các phương pháp bảo mật mạng không dây (Từ yếu đến mạnh)
- WEP (Wired Equivalent Privacy): 1997. RC4, khóa 40/104-bit. Đã bị phá vỡ hoàn toàn (phút). TUYỆT ĐỐI KHÔNG DÙNG.
- WPA (Wi-Fi Protected Access) - TKIP: 2003. Tạm thời sửa WEP. Vẫn dùng RC4. Đã lỗi thời, kém an toàn.
- WPA2-PSK (AES/CCMP): 2004. Tiêu chuẩn mạnh, phổ biến nhất hiện nay. Dùng AES-CCMP. Dễ bị offline dictionary attack nếu mật khẩu yếu. Dính lỗ hổng KRACK (2017) - đã vá qua patch.
- WPA3-PSK (SAE): 2018. Simultaneous Authentication of Equals (SAE). Chống offline dictionary attack, Forward Secrecy. Yêu cầu phần cứng hỗ trợ.
- WPA2/WPA3 Transition Mode (Mixed): Hỗ trợ cả 2. Khuyến nghị tốt nhất hiện nay.
- WPA-Enterprise (802.1X/RADIUS): Dành cho doanh nghiệp. Xác thực mỗi user/thiết bị (EAP-TLS, PEAP-MSCHAPv2). Mạnh nhất.
4. Đâu KHÔNG phải là loại kết nối Internet không dây?
Đáp án: DSL (Digital Subscriber Line).
Giải thích: DSL truyền dữ liệu qua cáp điện thoại (dây đồng). Đây là kết nối CÓ DÂY (Wired). Các loại không dây: WWAN (4G/5G), WLAN (Wi-Fi), WPAN (Bluetooth, Zigbee), WMAN (WiMAX), Satellite Internet (Starlink).
5. Các lựa chọn bảo mật mạng không dây (Best Practices)
- ✅ Đổi mật khẩu admin router mặc định.
- ✅ Đặt mật khẩu Wi-Fi mạnh (≥12 ký tự).
- ✅ Bật mã hóa WPA2-AES hoặc WPA2/WPA3 Mixed.
- ✅ TẮT WPS (Wi-Fi Protected Setup) - Lỗ hổng PIN brute-force.
- ✅ Tắt Remote Management (Quản trị từ xa).
- ✅ Cập nhật Firmware router định kỳ.
- ✅ Tách mạng Guest / IoT (VLAN/Guest Network).
- ✅ Bật Firewall router.
- ✅ Dùng VPN trên Wi-Fi công cộng.
- ❌ KHÔNG dùng WEP / WPA-TKIP.
- ❌ KHÔNG bật WPS.
- ❌ KHÔNG dùng mật khẩu mặc định / yếu.
- ❌ KHÔNG broadcast SSID nếu môi trường cao bảo mật (dù hiệu quả hạn chế).
6. Khuyến nghị bảo mật Wi-Fi tốt nhất hiện nay (2024)
WPA2-AES (WPA2-Personal AES) là cơ sở tối thiểu. WPA2/WPA3 Mixed (Transition Mode) là tốt nhất cho sự cân bằng an ninh & tương thích. WPA3-Personal (SAE) là tốt nhất thuần túy nếu mọi thiết bị hỗ trợ.
TUYỆT ĐỐI TRÁNH: TKIP, WPA (v1), WEP.
7. Loại bảo mật không dây an toàn nhất (Most Secure)
Chuyên gia đồng thuận: WPA3 (SAE) là an toàn nhất trong các chuẩn WEP, WPA, WPA2, WPA3. Tuy nhiên, một số Access Point cũ không hỗ trợ. Giải pháp chuyển tiếp: WPA2/WPA3 Mixed.
8. 3 kiểu tấn công đặc thù mạng không dây (Wireless-Specific Attacks)
- Rogue Access Point / Evil Twin: AP giả mạo SSID hợp pháp.
- Deauthentication Attack / Disassociation Attack: Gửi frame quản trị giả để ngắt kết nối client (bắt handshake WPA để crack offline, hoặc ép client kết nối Evil Twin).
- WPA Handshake Capture & Offline Cracking: Bắt gói tin 4-way handshake → Dùng Hashcat/John the Ripper + wordlist → Crack PSK.
Các tấn công khác: MAC Spoofing, Beacon Flooding, Karma Attack, PMKID Attack (WPA3), IV Attack (WEP).
9. Phương pháp bảo mật TỐT NHẤT cho mạng không dây doanh nghiệp
WPA2-Enterprise (802.1X) với EAP-TLS (Certificate-based) hoặc WPA3-Enterprise (192-bit/256-bit).
- Xác thực từng user/thiết bị (không dùng PSK chung).
- Quản lý tập trung qua RADIUS (NPS, ISE, ClearPass, FreeRADIUS).
- Hỗ trợ Certificate (EAP-TLS) - an toàn nhất, không怕 phishing mật khẩu.
- Dynamic VLAN Assignment dựa trên nhóm user/thiết bị.
Cho gia đình/SOHO: WPA2/WPA3 Mixed (PSK) + Mật khẩu mạnh + Tắt WPS + Cập nhật Firmware + Guest Network.
10. Kết nối Internet KHÔNG DÂY vs CÓ DÂY
- Không dây (Wireless): WWAN (4G/5G), WLAN (Wi-Fi 802.11), WPAN (Bluetooth), WMAN, Satellite.
- Có dây (Wired): Ethernet (Cáp đôi xoắn Cat5e/6/6a/7/8), Fiber Optic (GPON, XGS-PON), DSL (Cáp điện thoại), Coaxial (Cáp quang/HFC - DOCSIS).
- DSL là CÓ DÂY. Dial-up (Quay số) cũng là CÓ DÂY (dùng đường dây điện thoại PSTN).