Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Bảo mật Wireless Access Point: Rủi ro, cấu hình an toàn và phòng chống tấn công

Rủi ro bảo mật chính của Wireless Access Point (WAP)

1. Cấu hình sai / Không hoàn chỉnh (Misconfiguration)

  • Mặc định: Admin/admin, WEP, WPS bật, UPnP bật, Remote management bật
  • SSID mặc định (TP-Link_XXXX) tiết lộ model router
  • Không phân đoạn VLAN cho Guest/IoT/Management

2. Tấn công từ chối dịch vụ (DoS/DDoS)

  • Flooding authentication/deauthentication frames
  • Làm sập AP, ngừng phục vụ client hợp pháp

3. Nghe lén bị động (Passive Eavesdropping)

  • Thu thập handshake WPA2 → Offline dictionary attack
  • Sniff traffic không mã hóa (HTTP, DNS, mDNS)

4. Rogue Access Point (AP giả / Ad-hoc)

  • Kẻ tấn công cài AP giả cùng SSID (Evil Twin) hoặc SSID giống hệt
  • Client tự kết nối AP giả (signal mạnh hơn) → MitM, Phishing, Credential harvesting

5. Evil Twin Attack (Đôi tội)

  • AP giả clones SSID, BSSID, Security settings của AP thật
  • Deauth client khỏi AP thật → Client kết nối AP giả
  • Thu thập credential, inject malware, redirect traffic

6. Thiết bị không dây bị mất/cắp

  • Laptop/điện thoại lưu Wi-Fi profile (SSID + Passphrase)
  • Kẻ xấu extract credential → Truy cập mạng công ty
  • Giải pháp: Full disk encryption (BitLocker/FileVault/LUKS), Remote wipe (MDM)

7. Freeloading (Đi ăn free)

  • Hàng xóm/người lạ dùng Wi-Fi miễn phí → Chậm mạng, rủi ro pháp lý
  • Giải pháp: WPA3, MAC Filtering, Captive Portal, Bandwidth limit

Cách bảo vệ Wireless Network (Best Practices)

  1. Đổi user/pass mặc định router/AP
  2. Bật mã hóa WPA2-AES hoặc WPA3 (Tắt WEP, WPA-TKIP, WPS, UPnP)
  3. Dùng VPN cho remote access / Wi-Fi công cộng
  4. Ẩn SSID (Disable SSID Broadcast): Tăng chút khó khăn cho attacker (không phải biện pháp chính)
  5. Tắt Wi-Fi khi vắng nhà lâu ngày
  6. Cập nhật Firmware router/AP định kỳ (hàng tháng)
  7. Bật Firewall trên router + Endpoint firewall
  8. Đặt router giữa nhà: Tín hiệu đều, giảm rò rỉ ra ngoài
  9. Phân đoạn mạng: VLAN cho Guest, IoT, Management, Employee
  10. 802.1X / RADIUS cho Enterprise (WPA2/3-Enterprise)

SSID Security (Bảo mật tên mạng)

  • Đổi SSID mặc định: Không dùng tên hãng, model, địa chỉ
  • Không để thông tin cá nhân: "Nha_3_Nguyen_Van_A" → Xấu
  • Unique SSID: Giảm xung đột, dễ quản lý
  • WPA2/WPA3 mới là bảo vệ thực sự, không phải ẩn SSID

802.11 Wireless Security Standards

  • WEP: RC4, IV 24-bit → Phá vỡ < 1 phút
  • WPA: TKIP, MIC → Lỗi thời, lỗ hổng
  • WPA2: AES-CCMP → Tiêu chuẩn hiện tại
  • WPA3: SAE, GCMP, 192-bit, OWE → Tương lai, an toàn nhất

Cách bảo vệ Access Point (Tóm tắt)

  1. Đổi pass mặc định
  2. ACL / MAC Filtering (bổ sung)
  3. Mã hóa dữ liệu (WPA2/3)
  4. Bảo vệ SSID (Đổi tên, cân nhắc ẩn)
  5. Cài Firewall
  6. Cài Antivirus/EDR trên client
  7. Cẩn trọng File Sharing
  8. Cập nhật firmware AP