Cách chuyển đổi mã hóa Wi-Fi từ AES sang TKIP (và ngược lại)

⚠️ Cảnh báo quan trọng: KHÔNG NÊN DÙNG TKIP

TKIP (Temporal Key Integrity Protocol) là giao thức mã hóa cũ, được thiết kế như giải pháp tạm thời cho WPA (thế hệ 1). TKIP đã bị lỗi thời, không an toàn, dễ bị tấn công (chosen-plaintext, MIC key recovery).

Luôn ưu tiên AES (CCMP) cho WPA2, hoặc WPA3 (SAE/AES-GCMP).

Trường hợp hiếm khi cần TKIP

Chỉ khi có thiết bị cực cũ (trước 2006) không hỗ trợ WPA2-AES (ví dụ: PSP, NDS, máy in cũ, scanner cũ) và bắt buộc phải kết nối. Khi đó, hãy:

• Tạo SSID riêng (VLAN tách biệt) chỉ cho thiết bị cũ.
• Cấu hình WPA2-Personal (TKIP) hoặc WPA-Personal (TKIP) cho SSID đó.
• Chặn truy cập Internet/Intranet từ VLAN này, chỉ cho in/scan nội bộ.
• Kế hoạch thay thế thiết bị cũ sớm nhất.

Cách đổi chế độ mã hóa trên Router phổ biến

1. TP-Link (Web / Tether App)

1. Wireless → Wireless Security.
2. Version: WPA2-PSK [AES] (khuyên) hoặc WPA2-PSK [TKIP] / WPA-PSK [TKIP] + WPA2-PSK [AES] (Mixed – không khuyến khích).
3. Password → Save.

2. ASUS (Web / Router App)

1. Wireless → General → Authentication Method: WPA2-Personal.
2. WPA Encryption: AES (khuyên) hoặc TKIP / AES+TKIP.
3. Apply.

3. Netgear (Web / Nighthawk App)

1. Wireless → Security Options: WPA2-PSK [AES] (Best).
2. Passphrase → Apply.

4. D-Link / Linksys / Tenda / Xiaomi / Keenetic

Tương tự: Wireless → Security Mode → Chọn WPA2-PSK (AES) hoặc WPA3-SAE. Tránh TKIP.

5. OpenWrt / DD-WRT / OPNsense / pfSense

# OpenWrt /etc/config/wireless
config wifi-iface 'default_radio0'
    option encryption 'psk2+ccmp'   # WPA2-AES (CCMP)
    # option encryption 'psk2+tkip'  # WPA2-TKIP (KHÔNG KHUYẾN NGHỊ)
    # option encryption 'sae'        # WPA3 (SAE/AES-GCMP)
    option key 'YourStrongPassphrase123!'

Kiểm tra thiết bị client hỗ trợ gì

• Windows: netsh wlan show drivers → "Supported authentication algorithms" / "Supported cipher algorithms".
• Linux: iw list → tìm "WPA2", "WPA3", "CCMP", "GCMP".
• Android: Settings → Wi-Fi → (i) → Security type.

Tóm tắt: AES vs TKIP