Private PSK (Pre-Shared Key) – функции и възможности на платформата ExtremeCloud IQ

WPA3 вече е приет и от юли 2020 г. е задължителен за устройства, които са сертифицирани от WiFi-Alliance, WPA2 не е отменен и няма да бъде. В същото време и WPA2, и WPA3 осигуряват работа в режими PSK и Enterprise, но ние предлагаме да разгледаме технологията Private PSK в нашата статия, както и ползите, които могат да бъдат постигнати с нейната помощ.

Проблемите с WPA2-Personal са известни отдавна и като цяло вече са коригирани (рамки за управление на приоритети, корекции за уязвимостта на KRACK и др.). Основният оставащ недостатък на WPA2, използващ PSK, е, че слабите пароли са доста лесни за разбиване с речникова атака. В случай на компрометиране и промяна на паролата на нова, ще е необходимо да преконфигурирате всички свързани устройства (и точки за достъп), което може да отнеме много време (за решаване на проблема със „слабата парола“, WiFi- Алиансът препоръчва използването на пароли от поне 20 знака).

Друг проблем, който понякога не може да бъде разрешен с помощта на WPA2-Personal, е присвояването на различни профили (vlan, QoS, защитна стена ...) към групи устройства, свързани към един и същ SSID.

С помощта на WPA2-Enterprise е възможно да се решат всички проблеми, описани по-горе, но цената за това ще бъде:

• Необходимостта от разполагане или внедряване на PKI (инфраструктура на публичен ключ) и сертификати за сигурност;
• Инсталирането може да е трудно;
• Отстраняването на неизправности може да е трудно;
• Не е най-доброто решение за IoT устройства или достъп за гости.

По-радикално решение на проблемите на WPA2-Personal е преходът към WPA3, чието основно подобрение е използването на SAE (Simultaneous Authentication of Equals) и статичен PSK. WPA3-Personal решава проблема с "атаката по речник", но не предоставя уникална идентификация по време на удостоверяване и съответно възможност за присвояване на профили (тъй като все още използва обща статична парола).

Също така е важно да имате предвид, че над 95% от съществуващите клиенти в момента не поддържат WPA3 и SAE, а WPA2 продължава да работи успешно на милиардите вече пуснати устройства.

За да намери решение на съществуващите или потенциални проблеми, описани по-горе, Extreme Networks разработи технологията за частен предварително споделен ключ (PPSK). PPSK е съвместим с всеки Wi-Fi клиент, който поддържа WPA2-PSK и ви позволява да постигнете ниво на сигурност, сравнимо с това, постигнато с WPA2-Enterprise, без да е необходимо да изграждате 802.1X/EAP инфраструктура. Private PSK по същество е WPA2-PSK, но всеки потребител (или група от потребители) може да има своя собствена динамично генерирана парола. Управлението на PPSK не се различава от управлението на PSK, тъй като целият процес е автоматизиран. Ключовата база данни може да се съхранява локално в точки за достъп или в облака.

Паролите могат да се генерират автоматично, възможно е гъвкаво да се задава тяхната дължина/сила, период или дата на изтичане, начин на доставка до потребителя (по поща или SMS):

Можете също така да конфигурирате максималния брой клиенти, които могат да се свързват с помощта на един PPSK, или дори да конфигурирате „MAC-свързване“ за свързани устройства. По команда на мрежовия администратор всеки ключ може лесно да бъде отменен и достъпът до мрежата ще бъде отказан, без да е необходимо да преконфигурирате всички други устройства. Ако клиентът е свързан, когато ключът е отменен, точката за достъп автоматично ще го изключи от мрежата.

От основните предимства на PPSK отбелязваме:

• лекота на използване с високо ниво на сигурност;
• отблъскването на речникова атака се решава с помощта на дълги и силни пароли, които ExtremeCloudIQ може автоматично да генерира и разпространява;
• възможност за присвояване на различни профили за сигурност на различни устройства, свързани към един и същ SSID;
• страхотно за сигурен достъп за гости;
• чудесен за защитен достъп, когато устройствата не поддържат 802.1X/EAP (ръчни скенери или IoT/VoWiFi устройства);
• успешно използвани и подобрени повече от 10 години.

Ако имате въпроси или имате въпроси, винаги можете да попитате персонала на нашия офис - [имейл защитен].

Източник: www.habr.com