WEP، WPA، WPA2 یا WPA3؟ حکم هر گزینه در منوی امنیت مودم

صفحه‌ی تنظیمات وای‌فای مودم را باز می‌کنید و جلوی «Security Mode» یک فهرست کشویی می‌بینید: WEP، WPA-PSK، WPA2-PSK، WPA2/WPA3، WPA3-SAE و چند ترکیب دیگر با TKIP و AES. کدام را بزنید؟ این صفحه قبلاً تاریخچه‌ی WEP، WPA و WPA2 را تعریف می‌کرد. این بار همان فهرست کشویی را گزینه‌به‌گزینه باز می‌کنیم و کنار هر کدام یک حکم می‌گذاریم: بزنید، فقط در شرایط خاص، یا هرگز. بعد هم می‌بینیم هر قفل چطور شکست تا معلوم شود حکم‌ها از کجا آمده‌اند.

فهرست کشویی، گزینه‌به‌گزینه

چهار قفل، چهار بار شکستن

حکم‌های بالا از تاریخ آمده‌اند. هر نسل وقتی آمد که قفل قبلی شکسته بود:

1. WEP (۱۹۹۹): اسمش یعنی «حریم خصوصی هم‌اندازه‌ی شبکه‌ی سیمی». ولی بردار اولیه‌ی (IV) کوتاهش تکرار می‌شد و با جمع کردن چند ده هزار بسته، کلید بیرون می‌آمد. از اواسط دهه‌ی ۲۰۰۰ شکستنش کار چند دقیقه است.
2. WPA با TKIP (۲۰۰۳): راه‌حل اضطراری بود تا همان سخت‌افزارهای WEP با به‌روزرسانی نرم‌افزار امن‌تر شوند. چون روی همان پایه ساخته شده بود، حمله‌های بعدی به TKIP هم پیدا شد و کنار گذاشته شد.
3. WPA2 با AES (۲۰۰۴): رمزنگاری واقعاً قوی (AES-CCMP) و تا سال‌ها استاندارد اصلی. دو ضعف داشت: اگر رمز کوتاه یا معمولی باشد، با ضبط یک اتصال می‌شود آن را آفلاین حدس زد؛ و در ۲۰۱۷ حمله‌ی KRACK نشان داد پیاده‌سازی دست‌دادنش قابل سوءاستفاده است (که با به‌روزرسانی دستگاه‌ها بسته شد).
4. WPA3 (۲۰۱۸): دست‌دادن تازه‌ای به نام SAE دارد که حدس آفلاین رمز را عملاً بی‌فایده می‌کند. حتی اگر کسی بعداً رمز را بفهمد، ترافیک ضبط‌شده‌ی قبلی را نمی‌تواند باز کند. از ۲۰۲۰ برای گرفتن گواهی Wi-Fi لازم است، و در باند ۶ گیگاهرتز (Wi-Fi 6E و ۷) فقط WPA3 یا OWE مجاز است.

اینکه AES، کلید عمومی و دست‌دادن رمزنگاری دقیقاً چطور کار می‌کنند را در سفر یک پیام رمزشده با یک مثال ساده گفته‌ایم.

رمز، مهم‌تر از اسم پروتکل

WPA2 با رمز «12345678» از WEP خیلی بهتر نیست؛ هر دو در زمان کوتاهی باز می‌شوند. قاعده ساده است: دست‌کم ۱۲ تا ۱۶ کاراکتر، ترجیحاً یک عبارت چندکلمه‌ای که حدس زدنش سخت و به خاطر سپردنش آسان باشد، و بدون شماره‌تلفن یا اسم خانوادگی. رمز پیش‌فرض پشت مودم را هم حتماً عوض کنید.

دستگاه قدیمی که فقط WEP یا WPA می‌شناسد

یک دوربین قدیمی، پرینتر یا دستگاه کارت‌خوان ممکن است فقط گزینه‌های قدیمی را بشناسد. کل شبکه را به خاطرش پایین نیاورید:

• اول به‌روزرسانی: سراغ Firmware جدید دستگاه بروید؛ خیلی‌ها WPA2 را اضافه کرده‌اند.
• شبکه‌ی جدا: اگر نشد، یک SSID جدا (مثلاً شبکه‌ی مهمان یا VLAN) بسازید که به کامپیوترها و سرورهای اصلی دسترسی نداشته باشد.
• سیم یا جایگزین: اگر دستگاه پورت شبکه دارد، با کابل وصلش کنید؛ وگرنه برنامه‌ی تعویضش را بچینید.

در شرکت: یک رمز برای همه کافی نیست

«Personal» یعنی همه یک رمز مشترک دارند؛ وقتی یک کارمند می‌رود، رمز را برای همه باید عوض کرد. در شرکت‌ها حالت «Enterprise» (802.1X) بهتر است: هر نفر با نام کاربری خودش، معمولاً از طریق سرور RADIUS و حساب‌های Active Directory، وصل می‌شود و قطع کردن یک نفر به بقیه کاری ندارد. بقیه‌ی تنظیمات یک Access Point امن را در برگه‌ی پیکربندی Access Point آورده‌ایم، و اگر می‌خواهید ببینید شبکه‌ی خانه‌تان کجا ضعف دارد، خودارزیابی ۱۵ دقیقه‌ای امنیت را انجام دهید.

پرسش‌های رایج