So sánh rủi ro bảo mật: Mạng dây (Ethernet) vs Mạng không dây (Wi-Fi)
Câu trả lời ngắn gọn: Mạng không dây (Wireless) có rủi ro bảo mật CAO HƠN bản chất so với mạng dây (Wired). Tuy nhiên, Wi-Fi cấu hình đúng chuẩn hiện đại (WPA3) có thể đạt mức an toàn tương đương cho hầu hết nhu cầu thực tế.
1. Tại sao mạng dây an toàn hơn bản chất?
- Kiểm soát vật lý: Kẻ tấn công cần truy cập vật lý vào cáp/switch/jack
- Không phát sóng: Tín hiệu không lan ra ngoài tường, không bị nghe lén qua không gian
- Khó chèn thiết bị gián điệp: Cần cắt cáp hoặc truy cập switch port
- Tốc độ tấn công chậm hơn: Kẻ tấn công phải ở tại chỗ hoặc đã compromize thiết bị nội bộ
2. Tại sao mạng không dây dễ bị tấn công hơn?
- Tín hiệu lan ra ngoài: Bức tường không chặn hoàn toàn sóng RF - hàng xóm, kẻ đi đường có thể bắt sóng
- Không cần truy cập vật lý: Tấn công từ xa (wardriving, parked nearby)
- Giao thức phức tạp hơn: Handshake, beacon, probe response tạo bề mặt tấn công lớn
- Dễ bị Deauth/Disassociation: Buộc client ngắt kết nối để bắt handshake (WPA2)
- Rogue AP / Evil Twin: Tạo AP giả mạo SSID giống hệt để lừa client kết nối
3. So sánh chi tiết rủi ro
| Yếu tố | Mạng dây (Ethernet) | Mạng không dây (Wi-Fi) |
|---|---|---|
| Truy cập vật lý cần thiết | CÓ (Bắt buộc) | KHÔNG (Tấn công từ xa) |
| Nghe lén tráfico (Sniffing) | Khó (Cần tap cáp/SPAN port) | Dễ (Monitor mode, AirPcap) |
| Tấn công MITM | Khó (ARP spoofing cần foothold) | Dễ (Evil Twin, Karma attack) |
| DoS vật lý | Cắt cáp, unplug port | Deauth flood, RF jamming |
| Lateral movement | Cần compromize switch/host | Cùng broadcast domain mặc định |
| Khách/Thiết bị IoT kết nối | Cần cắm cáp vật lý | Chỉ cần mật khẩu (dễ chia sẻ/lộ) |
4. Wi-Fi hiện đại có an toàn không?
CÓ - Nếu cấu hình đúng:
- WPA3-SAE (Simultaneous Authentication of Equals): Kháng offline dictionary attack, forward secrecy, chống replay
- WPA2-AES (CCMP): Vẫn an toàn nếu mật khẩu mạnh (≥12 ký tự), tắt WPS
- Enterprise (802.1X/EAP-TLS): Xác thực từng user/thiết bị, chứng chỉ số - an toàn nhất
- OWE (Opportunistic Wireless Encryption): Mã hóa cho mạng mở (Open Wi-Fi)
Chuẩn an toàn nhất hiện nay: WPA3-Enterprise (802.1X) > WPA3-Personal > WPA2-Enterprise > WPA2-Personal (AES only)
5. Ethernet dễ hack hơn Wi-Fi không?
KHÔNG. Ethernet khó hack hơn vì:
- Tín hiệu không phát ra ngoài môi trường kiểm soát
- Cần truy cập vật lý hoặc compromize thiết bị mạng (switch, router)
- Nhiều thiết bị có port Ethernet dễ kết nối, nhưng đó là tính năng, không phải lỗ hổng
6. Tại sao kết nối không dây dễ bị tổn thương hơn?
- Sóng radio vượt qua ranh giới vật lý (tường, cửa, property line)
- Hàng xóm/hacker có thể dùng antenna định hướng bắt sóng từ xa
- Thiết bị client chủ động quét (probe request) tiết lộ SSID đã kết nối
- KRACK attack (WPA2), Dragonblood (WPA3 early impl) - lỗ hổng giao thức
7. Loại mạng nào an toàn hơn cho doanh nghiệp?
- Mạng dây: Server, Database, Workstation nhạy cảm, OT/ICS, Financial systems
- Wi-Fi Enterprise (802.1X): Laptop nhân viên, BYOD (với NAC, posture check)
- Guest Wi-Fi: Tách VLAN, captive portal, bandwidth limit, no internal access
- IoT Wi-Fi: VLAN riêng, chặn internet nếu không cần, PSK unique per device (WPA3)
8. Kết luận thực tế
- Bản chất: Wired > Wireless về mặt an toàn vật lý và kiểm soát
- Thực tế: Wi-Fi WPA3/Enterprise cấu hình đúng = An toàn đủ cho 99% use case
- Chiến lược: Dùng dây cho critical infrastructure, Wi-Fi Enterprise cho mobility, tách network segment chặt chẽ
- Không bao giờ: Dùng WEP, WPA-TKIP, WPS, Open Wi-Fi cho dữ liệu nhạy cảm
Mẹo: Kết hợp cả hai - Desktop/Server cắm dây, Laptop/Phone dùng Wi-Fi Enterprise. Triển khai NAC (Network Access Control) để kiểm tra posture trước khi cho vào mạng.