Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Giao thức nào được dùng để tạo an ninh mạng không dây?

Các giao thức bảo mật mạng không dây (Wireless Security Protocols)

Các giao thức này do **Wi-Fi Alliance** chứng nhận, dựa trên chuẩn **IEEE 802.11i**, phát triển theo thời gian từ yếu đến mạnh:

1. WEP (Wired Equivalent Privacy) - 1997 - ĐÃ LOẠI BỎ (DEPRECATED)

  • Mã hóa: **RC4 Stream Cipher** (40-bit / 104-bit key + 24-bit IV).
  • Xác thực: Open System / Shared Key (yếu).
  • Lỗ hổng chí mạng: IV nhỏ (24-bit) → tái sử dụng IV → Khôi phục Key (Klein, KoreK, PTW attacks). Phá vỡ trong **phút/giây** (Aircrack-ng).
  • Trạng thái: Cấm dùng. Router hiện đại không còn hỗ trợ.

2. WPA (Wi-Fi Protected Access) - 2003 - Tạm thời (Interim)

  • Mã hóa: **TKIP (Temporal Key Integrity Protocol)** - Wrapper trên RC4. Key mixing, MIC (Michael), Replay counter, Key rotation.
  • Cải tiến WEP nhưng vẫn dùng RC4.
  • Lỗ hổng: Beck-Tews/Ohigashi-Morii attack (chống TKIP MIC). Chậm, phức tạp.
  • Trạng thái: Deprecated. Chỉ dùng cho thiết bị rất cũ (Trước 2006).

3. WPA2 (Wi-Fi Protected Access 2) - 2004 - TIÊU CHUẨN PHỔ BIẾN HIỆN NAY

  • Dựa trên **IEEE 802.11i** hoàn chỉnh.
  • Mã hóa: **AES-CCMP (Counter Mode CBC-MAC Protocol)** - Block cipher AES 128-bit. Mạnh, hiệu năng phần cứng.
  • 2 chế độ:
    • WPA2-Personal (WPA2-PSK): Pre-Shared Key (Passphrase 8-63 chars → PMK 256-bit qua PBKDF2-SHA1). Dùng cho Nhà/SOHO.
    • WPA2-Enterprise (WPA2-802.1X): RADIUS + EAP (EAP-TLS, PEAP-MSCHAPv2, EAP-TTLS, EAP-FAST). Mỗi user/thiết bị có credential riêng. Dùng cho Doanh nghiệp.
  • Lỗ hổng nổi tiếng: **KRACK (Key Reinstallation Attack - CVE-2017-13077/78/79/80/81)** - Tấn công 4-Way Handshake. Vá bằng firmware update (client & AP).

4. WPA3 (Wi-Fi Protected Access 3) - 2018 - TIÊU CHUẨN MẠNH NHẤT HIỆN NAY

  • Dựa trên **IEEE 802.11-2020** (bao gồm 802.11s Mesh, SAE).
  • 2 chế độ:
    • WPA3-Personal (SAE - Simultaneous Authentication of Equals): Thay thế PSK. **Dragonfly Handshake (SAE)**. Chống **Offline Dictionary Attack** (Kẻ tấn công không thể đoán pass offline). **Forward Secrecy** (Mất session key không giải mã được traffic cũ). Bảo vệ Passphrase yếu tốt hơn.
    • WPA3-Enterprise (192-bit Security Suite): CNSA (Commercial National Security Algorithm) Suite: AES-256-GCM, ECDH P-384, ECDSA P-384, SHA-384. Dành cho Chính phủ, Quân sự, Tài chính then chốt.
  • Bắt buộc: **PMF (Protected Management Frames - 802.11w)** - Chống Deauth/Disassoc Attack.
  • Easy Connect (DPP - Device Provisioning Protocol): Thay thế WPS. Dùng QR Code/NFC để onboard thiết bị IoT an toàn.

5. WPA3 Transition Mode (WPA2/WPA3 Mixed)

  • Cho phép cả WPA2 (AES) và WPA3 (SAE) client kết nối cùng SSID.
  • Cần thiết khi mạng có thiết bị cũ chưa hỗ trợ WPA3.
  • Client WPA3 dùng SAE, Client WPA2 dùng 4-Way Handshake + PMF.

So sánh tóm tắt

Giao thứcNămMã hóaXác thực PersonalXác thực EnterprisePMF (802.11w)Độ an toànTrạng thái
WEP1997RC4Shared Key (Yếu)KhôngKhôngRất yếu (Broken)Cấm
WPA2003TKIP/RC4PSK802.1X/EAPOptionalYếu (Deprecated)Loại bỏ
WPA22004AES-CCMPPSK (PBKDF2-SHA1)802.1X/EAPOptionalMạnh (Nếu pass mạnh, vá KRACK)Phổ biến
WPA32018AES-GCMP/CCMPSAE (Dragonfly)CNSA Suite (192-bit)Bắt buộcMạnh nhấtTiêu chuẩn mới

Giao thức nào "được dùng để tạo an ninh mạng không dây"?

Câu trả lời chính xác tùy ngữ cảnh câu hỏi:

  • Tiêu chuẩn hiện tại, mạnh nhất, khuyến nghị: WPA3 (SAE).
  • Tiêu chuẩn phổ biến nhất hiện nay (Legacy support): WPA2-PSK (AES).
  • Câu hỏi trắc nghiệm cũ/kỹ thuật "dựa trên PPP để xác thực, tunnel PPP": L2TP/IPsec (Xem bài trước).
  • Chuẩn IEEE gốc: 802.11i (RSN/RSNA) - Nền tảng của WPA2/WPA3.
  • Giao thức xác thực Enterprise: EAP (Extensible Authentication Protocol) framework (EAP-TLS, PEAP, TTLS, FAST) chạy trên 802.1X/RADIUS.

Khuyến nghị triển khai 2024

  1. Mới triển khai / Nâng cấp: **WPA3-Personal (SAE)** cho tất cả SSID. Yêu cầu Router/AP (Wi-Fi 6/6E/7) + Client (Win10 1903+, Android 10+, iOS 13+, macOS 10.15+) hỗ trợ.
  2. Mạng có thiết bị cũ (IoT, Printer cũ, Phone cũ): **WPA2/WPA3 Transition Mode** (WPA2-AES + WPA3-SAE). **Tắt WPA/TKIP/WEP hoàn toàn.**
  3. Doanh nghiệp: **WPA3-Enterprise (CNSA)** hoặc **WPA2-Enterprise (EAP-TLS > PEAP-MSCHAPv2)**. RADIUS Server (NPS, ISE, ClearPass, FreeRADIUS). Cert-based Auth (EAP-TLS) là Gold Standard.
  4. TẮT WPS (Wi-Fi Protected Setup) trên TẤT CẢ router/AP. Lỗ hổng PIN brute-force.
  5. BẬT PMF (802.11w) Required cho WPA2/WPA3.
  6. Passphrase **≥ 16 ký tự ngẫu nhiên** (Password Manager).
  7. Network Segmentation: VLAN cho IoT, Guest, Admin, Server. ACL/Firewall giữa VLAN.

802.11 Family (Physical/MAC Layer) - Không phải Security Protocol nhưng liên quan

  • 802.11a/b/g/n/ac/ax/be: Wi-Fi 4/5/6/6E/7. Tốc độ, băng thông, độ trễ, hiệu suất.
  • 802.11i: Security Amendment (RSN) → WPA2.
  • 802.11w: Protected Management Frames (PMF) → Bắt buộc WPA3.
  • 802.11r (FT - Fast Transition): Fast Roaming (Over-the-DS / Over-the-Air). Cần cho Voice/Video Mobile.
  • 802.11k/v: Radio Resource Measurement, BSS Transition Management. Hỗ trợ Roaming thông minh.