top of page

【TECH TIPS】為什麼應該為 Wi-Fi 6/6E 設備部署新的網路名稱 (SSID)


WPA3 在 Wi-Fi 安全方面的優勢


隨著安全漏洞的加劇,安全已成為過去幾年的必要話題,因此,當我們開始探討更多地 Wi-Fi 6/6E 和 6GHz 時,在安全性及其對我們保護網路方式的影響是很合適的,借助 Wi-Fi 6/6E,使我們有機會強制使用增強的安全協議,例如 WPA3,讓我們看看 WPA 以及我們為什麼要升級到具有 6GHz 的 WPA3。


什麼是 WPA 或 Wi-Fi 受保護的存取


Wi-Fi 受保護的存取、或 WPA 是建立安全無線連接的基礎,Wi-Fi 聯盟最初於 2003 年根據 802.11i 修正案開發它,用以取代舊有的 WEP (Wired Equivalent Privacy, 有線等效加密),無需深究,我們正在進行的過程是創造一組加密金鑰,用於透過無線電波安全地發送消息,使用 WEP,將建立一個 64 位或 128 位金鑰,並在您要連接到無線網路的所有設備之間手動共享,金鑰從未改變,它總是一樣的;因此,任何知道金鑰的人都可以連接到無線網路 a) 和解密其他設備的流量 b),想想就有點不安!


為了提高安全性,WPA 取消了共享加密金鑰的過程,並將其交換為共享密碼或已知的一組憑證,稱為個人 (PSK) 或企業。 建立的加密金鑰的強度是相同的,使用個人版或企業版並不重要。讓我們看一下關鍵層次結構,然後,我們再來審核密鑰。



CWNP – CWSP


金鑰金字塔的頂端是主會話金鑰或 MSK,MSK 用於透過預先共享金鑰 (PSK) 或 EAP 方式(RADIUS 身份驗證)派生成對主金鑰、或 PMK,安全性的強度來自 PSK 的強度、或使用 EAP 憑證,使用 8 個字元、或 32 個字元的 PSK、EAP-PEAP 用戶名稱/密碼、或 EAP-TLS 證書並不重要,它將始終成為一個 256 位元的金鑰值,並且是該過程中所有其他密鑰的基礎,建立加密金鑰稱為“四次握手 (Four Way Handshake)”。

CWNP – CWSP


這種四次握手允許我們建立一組有效的加密金鑰,而無需實際共享它們,利用在每個步驟中交換較小數據位元的過程,因為這個過程發生在空中,有人可以攔截它,但你需要知道使用於 MSK/PMK 的值;對於 WPA,使用臨時金鑰完整性協議 (TKIP) 加密,很容易被暴力破壞以破解 PSK;WPA2 使用進階加密標準 (AES) 和計數器模式密碼塊鏈訊息完整碼協定 (CCMP),雖然 WPA2 過程背後的加密更具挑戰性,但四次握手可能會受到破壞,導致對客戶端和站點的拒絕服務 (denial-of-service) 攻擊。


WPA3 加強了 Wi-Fi 的安全性


WPA3 (Wi-Fi Protected Access 3) 透過啟用更強大、但更簡單的身份驗證過程來增強 Wi-Fi 安全性,它執行此操作的方法之一,是要求所謂的受保護的訊框管理 (Protected Management Frames ,PMF),PMF 不是新技術,多年來一直是無線設備的選擇性功能,第一次使用 WPA3 它是必要的,PMF 確保其他設備無法強制客戶端取消身份驗證,例如,如果我是試圖破壞網路或設備的攻擊者,我需要捕捉四次握手過程以確定用於該會話的加密金鑰,為此,我有兩個選擇:a) 坐在那裡等待他們連接/重新連接、或者 b) 強制他們斷開連接以便他們重新連接;攻擊者將選擇選 b) 並製作一個針對客戶端設備的取消身份驗訊框,收到此訓框後,客戶必須傾聽它並按照它說的去做,沒有檢查和平衡機制來確保它來自 AP,PMF 在此之上添加了一個層,用於建立檢查和平衡機制。


WPA3 的第二個關鍵特性是它允許更強大的以密碼為基礎的身份驗證,即使我的密碼是“password”,這個過程是透過對等實體同時驗證(Simultaneous Authentication of Equals, SAE)來實現的;透過 SAE 交換,我們了解到每一方、客戶端、和網路都擁有相同的密碼,並且可以建立一個用於經過身份驗證的網狀對等交換 (AMPE) 的強金鑰來保護流量;我們不會深入探討 SAE 過程,但如果您好奇的話,您可以看看 Diffie-Hellman 密鑰交換過程 (讓雙方在完全沒有對方任何預先資訊的條件下,透過不安全頻道建立起一個金鑰);SAE 流程與 PMF 相結合,修復了強制停用身份驗證、和捕捉四次握手導致潛在不安全連線的中間人攻擊問題。


WPA3 和 6GHz


自引入 802.11a 和 5GHz 頻段以來,我們第一次有機會避免在 Wi-Fi 6/6E 上支援過時的協議,當您考慮部署 6GHz 網路時,您將必須準備支援 WPA3,因為它是 6GHz 網路所必需的,您應該為您的 6GHz 設備部署一個新的網路名稱 (SSID),如果您不在所有地方部署 6GHz 並且只在高密度區域部署它,也可以在 2.4GHz/5GHz 上啟用它;當您部署 Wi-Fi 6/6E 設備時,為新的、更快、更安全的網路配置它們,而將您的 Wi-Fi 5 網路留給舊設備。


最後的想法


如果您參加過我的課程或看過我的其他培訓教材,您會記得我們討論過太多網路導致雍塞的概念,這是寫實而且準確的,那我為什麼要提倡再增加一個網路呢?很簡單:按照您的節奏強制遷移,將數百台設備切換到 WPA3 可能會干擾它們,從而增加資訊支援服務的負擔,這不一定有意義;隨著新設備的推出,如果它們支持 WPA3,即使它們不支持 6GHz,將它們放在這個新網路上也是有意義的;Wi-Fi 6 上的管理訊框開銷最小,我認為以相同頻率(在本例中為 5GHz)在網路之間移動設備是一種浪費,隨著時間的推移,遺留 WPA2 網路將變得很像過去幾年的 WPA 網路,很少使用並準備停用。


備註:

總結來說,台灣國家通訊傳播委員會(NCC)尚未開放6GHz頻寬,相關法規還在研擬階段,因此目前台灣的商用或終端設備,仍僅支援 Wi-Fi 6 技術。


Author bio 作者簡歷

Blake Krone

Blake Krone 是一名獨立的智慧行動的顧問和開發者,主要的工作重點是為財星美國500強和初創公司提供下一代先進的設備和智慧行動的企業導入案例,頻藉著過去佈署大型的單點網路經驗,撰寫了許多訓練教材和技術簡報,來分享所獲得的知識和見解;當他不是在為客戶建置網路環境的時候,就是在建構資料分析工具並實測終端裝置和工具。



文章出處:NetAlly

文章翻譯:翔宇科技量測事業群


相關產品

EtherScope nXG 便攜式網路專業智能測試工具是一款多技術、多合一的掌上型網路分析儀,使工程師和技術人員能夠更快完成更多工作,幫助他們部署不斷變化的 Wi-Fi 和乙太網接入網路,並進行維護和文檔記錄。憑藉 EtherScope nXG 簡單的操作、深入的可見性以及遠端存取和控制功能,工程師現在可以與現場技術人員進行深度合作,加快解決問題的速度。

延伸閱讀

Comments


歡迎 訂閱翔宇科技主題式電子報 >,您將可同步掌握最新的產業新訊以及技術文章。
bottom of page