Cơ chế hoạt động của an ninh mạng không dây: Giao thức, mã hóa và cấu hình bảo mật

An ninh mạng không dây (Wireless Network Security) là gì?

Là tập hợp các cơ chế, giao thức và chính sách bảo vệ tính bảo mật, toàn vẹn và khả dụng của dữ liệu truyền qua sóng radio (Wi-Fi). Khác với mạng dây, tín hiệu Wi-Fi lan tỏa mọi hướng — ai trong phạm vi cũng có thể thu được → Cần mã hóa và xác thực mạnh.

Các giao thức bảo mật Wi-Fi (Tiến hóa lịch sử)

Cơ chế kỹ thuật cốt lõi

1. WPA2-Personal (PSK) — 4-way Handshake

1. Client và AP cùng biết PSK (mật khẩu Wi-Fi).
2. AP gửi ANonce (random) → Client.
3. Client sinh SNonce, tính PTK (Pairwise Transient Key) = PRF(PSK, ANonce, SNonce, MAC_AP, MAC_Client).
4. Client gửi SNonce + MIC → AP.
5. AP kiểm tra MIC, tính PTK, gửi GTK (Group Temporal Key) mã hóa bằng PTK → Client.
6. Client xác nhận → Hoàn tất. Dữ liệu sau này mã hóa bằng PTK (unicast) / GTK (broadcast/multicast).

Yếu tố yếu: PSK yếu → Dễ bị offline dictionary attack (bắt handshake → dò pass offline).

2. WPA3-Personal (SAE) — Dragonfly Handshake

• Thay thế PSK bằng SAE (Simultaneous Authentication of Equals) — giao thức PAKE (Password Authenticated Key Exchange).
• Không truyền mật khẩu qua không trung → Chống offline dictionary attack.
• Forward Secrecy: Mỗi phiên có khóa riêng, compromis key cũ không giải mã được phiên trước.
• Bảo vệ chống brute-force online: Rate-limiting, lockout sau n lần sai.

3. WPA2/WPA3-Enterprise (802.1X / EAP)

• Dùng RADIUS Server (NPS, FreeRADIUS, ISE, ClearPass) + CA cấp chứng chỉ.
• Client và RADIUS xác thực lẫn nhau qua EAP (EAP-TLS, PEAP-MSCHAPv2, EAP-TTLS...).
• Mỗi user/thiết bị có credential/chứng chỉ riêng → Thu hồi dễ dàng, không chia sẻ pass chung.
• Phù hợp doanh nghiệp, trường học, chính phủ.

Các biện pháp bảo mật bổ sung (Defense in Depth)

5 Yếu tố cốt lõi của giải pháp an ninh Wireless (The 5 Elements)

1. Authentication (Xác thực): Xác minh danh tính user/thiết bị (PSK, 802.1X, Captive Portal).
2. Encryption (Mã hóa): Bảo vệ dữ liệu trên không trung (AES-CCMP, GCMP).
3. Access Control (Kiểm soát truy cập): RBAC, VLAN, ACL, NAC, Role-based firewall.
4. Monitoring & Detection (Giám sát & Phát hiện): WIPS/WIDS, Rogue AP detection, Anomaly detection.
5. Policy Management (Quản trị chính sách): Centralized config, Compliance, Audit trail.

Kiểm tra mạng Wi-Fi có an toàn không

• Windows: Settings → Wi-Fi → Properties → Security type: WPA2-Personal / WPA3-Personal.
• Android: Settings → Wi-Fi → Network details → Security: WPA2/WPA3.
• Router: Wireless Security → Mode: WPA2-PSK (AES) hoặc WPA3-SAE.

Tại sao bảo mật Wi-Fi quan trọng?

• Phòng chống: Eavesdropping (nghe lén), MITM (Man-in-the-Middle), Evil Twin (AP giả), Deauth attack, KRACK, FragAttacks.
• Bảo vệ: Dữ liệu cá nhân, tài khoản ngân hàng, mật khẩu, camera IP, thiết bị Smart Home.
• Tuân thủ: GDPR, PCI DSS, HIPAA yêu cầu mã hóa truyền tải.

Kết luận

An ninh Wi-Fi không chỉ là "đặt mật khẩu". Cần: WPA2-AES tối thiểu, WPA3 nếu hỗ trợ, Enterprise dùng 802.1X, tắt WPS, cập nhật firmware, Guest Network, firewall, giám sát. An ninh là quá trình liên tục, không phải cấu hình một lần xong.