WPA3 byl již přijat a od července 2020 je povinný pro zařízení, která procházejí certifikací v WiFi alianci. WPA2 nebyl zrušen a nemá to v plánu. Jak WPA2, tak WPA3 podporují režimy PSK a Enterprise, ale navrhujeme, abychom v našem článku prozkoumali technologii Private PSK a také výhody, které lze získat jejím využitím.
Problémy s WPA2-Personal jsou již dlouho známé a většinou byly opraveny (Priority Management Frames, opravy zranitelnosti KRACK atd.). Hlavní zbývající nevýhodou WPA2 při použití PSK je, že slabá hesla lze relativně snadno prolomit slovníkovým útokem. V případě kompromitace a změny hesla na nové bude nutné znovu nakonfigurovat všechna připojená zařízení (a přístupové body), což může být velmi práce náročný proces (pro řešení problému „slabého hesla“ WiFi aliance doporučuje používat hesla o délce alespoň 20 znaků).
Dalším problémem, který obvykle není možné vyřešit pomocí WPA2-Personal, je přiřazení různých profilů (vlan, QoS, firewall…) skupinám zařízení připojeným k jedné a té samé SSID.
Pomocí WPA2-Enterprise je možné vyřešit všechny výše popsané problémy, ale cena za to bude:
- Nutnost mít nebo zavést PKI (Public Key Infrastructure) a bezpečnostní certifikáty;
- Mohou nastat problémy s instalací;
- Mohou nastat problémy s odstraňováním problémů;
- Není optimálním řešením pro IoT zařízení nebo hostovací přístup.
Radikálnějším řešením problémů WPA2-Personal je přechod na WPA3, jehož hlavním vylepšením je použití SAE (Simultaneous Authentication of Equals) a statických PSK. WPA3-Personal řeší problém s „žargonovým útokem“, ale nezajišťuje jedinečnou identifikaci během autentizace a tím ani možnost přiřazení profilů (protože se i nadále používá společné statické heslo).
Navíc je třeba vzít v úvahu, že více než 95 % stávajících klientů v současnosti nepodporuje WPA3 a SAE, a WPA2 úspěšně funguje na miliardách již vydaných zařízení.
Aby vyřešila výše popsané existující nebo potenciální problémy, vyvinula společnost Extreme Networks technologii Private Pre-Shared Key (PPSK). PPSK je kompatibilní s jakýmkoli Wi-Fi klientem, který podporuje WPA2-PSK, a poskytuje úroveň zabezpečení srovnatelnou s úrovní dosaženou při použití WPA2-Enterprise, a to bez potřeby budování infrastruktury 802.1X/EAP. Private PSK je v podstatě WPA2-PSK, ale každý uživatel (nebo skupina uživatelů) může mít své vlastní dynamicky generované heslo. Správa PPSK se nijak neliší od správy PSK, protože celý proces je automatizovaný. Databázi s klíči lze uchovávat lokálně na přístupových bodech nebo v cloudu.
Hesla mohou být generována automaticky, je možné flexibilně nastavit jejich délku/odolnost, období nebo platnost a způsob doručení uživateli (e-mailem nebo SMS):
Lze také nastavit maximální počet klientů, kteří se mohou připojit pomocí jednoho PPSK, nebo dokonce nastavit „MAC-binding“ pro připojovaná zařízení. Na pokyn administrátora sítě lze jakýkoli klíč snadno odvolat a přístup do sítě bude zakázán bez potřeby přeconfigurování všech ostatních zařízení. Pokud je klient v okamžiku odvolání klíče připojen, přístupový bod ho automaticky odpojí od sítě.
Mezi hlavní výhody PPSK patří:
- jednoduchost použití při vysoké úrovni zabezpečení;
- řešení útoků s využitím slovníku je zajištěno pomocí dlouhých a odolných hesel, které ExtremeCloudIQ dokáže automaticky generovat a rozesílat;
- možnost přiřazení různých bezpečnostních profilů různým zařízením připojeným k jednomu SSID;
- ideální pro bezpečný přístup pro hosty;
- ideální pro bezpečný přístup, když zařízení nepodporují 802.1X / EAP (ruční skenery nebo zařízení IoT/VoWiFi);
- úspěšné použití a zdokonalování po více než 10 let.
Jakékoli vzniklé nebo zbývající dotazy můžete vždy položit zaměstnancům naší kanceláře – .
Zdroj: habr.com
