WPA2 (защита Wi-Fi)
WPA2 (Wi-Fi Protected Access 2) — стандарт защиты Wi-Fi на основе IEEE 802.11i с шифрованием AES-CCMP. Режим Personal использует общий пароль, Enterprise — личные учётные записи.
Откуда взялся WPA2 и чем он лучше WEP и WPA
Первый протокол защиты Wi-Fi, WEP, оказался слабым: его ключ удавалось подобрать за несколько минут на обычном ноутбуке, а IEEE считает WEP устаревшим с 2004 года. Wi-Fi Alliance выпустил WPA в 2003 году как временную меру: он работал на прежнем оборудовании, но шифровал трафик протоколом TKIP на основе того же RC4. Постоянным решением стала поправка IEEE 802.11i, принятая в 2004 году. Её реализацию назвали WPA2, а сертификацию Wi-Fi Alliance начал в сентябре 2004 года; с марта 2006 года WPA2 обязателен для всех новых устройств с логотипом Wi-Fi.
| Протокол | Год | Шифрование | Статус |
|---|---|---|---|
| WEP | 1997 | RC4 | Взламывается за минуты, не использовать |
| WPA | 2003 | TKIP (на основе RC4) | Устарел |
| WPA2 | 2004 | AES-CCMP | Рабочий стандарт, требует длинного пароля |
| WPA3 | 2018 | AES, обмен ключами SAE | Новый, для свежих устройств |
WPA3 Wi-Fi Alliance представил в 2018 году. Вместо обмена ключами по общему паролю он использует SAE и сильнее противостоит подбору пароля. Для новых сертифицированных устройств поддержка WPA3 обязательна, но WPA2-оборудование продолжает работать и взаимодействует с ним. Как они уживаются в одной сети, описано в статье про QR-код для подключения к Wi-Fi.
Режимы Personal и Enterprise
У WPA2 два режима. Personal, он же PSK, рассчитан на дом и малый офис: все устройства входят по одному общему паролю, отдельный сервер проверки не нужен. Enterprise проверяет каждого по стандарту 802.1X через сервер RADIUS: у сотрудника своя учётная запись, логин и пароль либо сертификат.
Разница видна, когда человек уходит. В Personal пароль знают все, поэтому его меняют на роутере и на каждом устройстве. В Enterprise отключают одну учётную запись. Дома нужен Personal: именно его имеют в виду, когда говорят «пароль от Wi-Fi».
Что выбрать в настройках роутера
В списке защиты встречаются варианты «WPA2-Personal» (он же WPA2-PSK), «WPA2/WPA3», «WPA3-Personal», «WPA/WPA2 смешанный», «Открытая сеть» и на старых моделях WEP.
- WPA2-Personal с шифрованием AES — надёжный вариант, если в доме есть устройства без поддержки WPA3. TKIP оставляйте, только если без него не подключается совсем старая техника.
- Смешанный режим WPA2/WPA3 подходит и новым, и старым устройствам: Wi-Fi Alliance предусмотрел его именно для совместимости. Платой становится ослабленная защита: в переходных режимах исследователи находили уязвимости (в 2019 году — исследование Dragonblood).
- Только WPA3-Personal — когда все устройства в сети его поддерживают.
- WEP и открытая сеть не выбирайте.
Тип защиты решает не всё. Главная слабость WPA2-Personal — короткий или словарный пароль: такой подбирают быстро. Длинная случайная фраза делает подбор непрактичным. В октябре 2017 года опубликовали и атаку KRACK на согласование ключей WPA2; её закрывают обновлениями программ на устройстве и роутере, поэтому прошивку и систему стоит обновлять. В Wi-Fi QR-коде тип защиты обычно передаётся одним значением для WPA, WPA2 и WPA3: подробности в термине Wi-Fi QR. Получить код с нужной сетью можно в генераторе Wi-Fi QR-кодов.
Частые вопросы
WPA2 или WPA3: что лучше?
WPA3 новее и лучше защищает от подбора пароля, но старые телефоны, принтеры и приставки его не знают. Если всё оборудование в доме поддерживает WPA3, берите его. Если нет, выбирайте смешанный режим WPA2/WPA3 или WPA2-Personal с AES и длинным паролем.
Безопасен ли WPA2 сегодня?
При длинном пароле, шифровании AES и свежей прошивке роутера да. При запуске WPA3 в 2018 году Wi-Fi Alliance заявил, что устройства WPA2 продолжат работать и обеспечивать признанную защиту. Главная угроза — слабый пароль, а не сам протокол.
WPA2-PSK и WPA2-Personal — это одно и то же?
Да. PSK (pre-shared key, общий ключ) — техническое название режима, Personal — маркетинговое. Оба означают защиту общим паролем без отдельного сервера. В настройках роутера вы можете встретить любое из этих названий.
Как узнать, какая защита у моей сети?
Тип защиты указан в настройках беспроводной сети в веб-интерфейсе роутера, а также в свойствах подключения на компьютере и в сведениях о сети на телефоне. Надписи различаются в зависимости от системы. Если видите WEP, WPA или «Открытая», смените защиту на WPA2 или WPA3.