ตัวเลือกนี้คืออะไร
ใน Windows Wireless Network Properties มี checkbox: "Connect even if the network is not broadcasting its name (SSID)" (เชื่อมต่อแม้เครือข่ายจะไม่กระจายชื่อ)
เมื่อเปิดตัวเลือกนี้ Windows จะส่ง Probe Request พร้อมระบุ SSID โดยตรง เพื่อหา Hidden SSID แทนที่จะรอ Beacon Frame ที่มี SSID
Hidden SSID (Non-broadcast SSID) คืออะไร
การปิดการกระจาย SSID (SSID Broadcast = Disable) ทำให้ชื่อเครือข่ายไม่แสดงในรายการ Wi-Fi ที่สแกนเจอ ผู้ใช้ต้องรู้ SSID และใส่ด้วยตนเอง (Manual Connection)
ผลกระทบต่อความปลอดภัย: จริง vs ความเชื่อ
❌ ไม่เพิ่มความปลอดภัยจริง (Security by Obscurity)
| มิติ | ความจริง |
|---|
| Passive Sniffing | Attacker สังเกต Beacon Frames ไม่ได้ แต่จับ Probe Request/Response จาก Client ที่เชื่อมต่ออยู่ ได้ SSID ทันที |
| Active Scanning | Attacker ส่ง Probe Request ทั่วไป (Wildcard) AP จะตอบกลับ Probe Response พร้อม SSID (แม้ Hidden) |
| Association/Reassociation | SSID อยู่ใน Frame แบบ Cleartext ตอน Client เชื่อมต่อ/Reconnect |
| Tools | Kismet, Airodump-ng, Wireshark, NetStumbler หา Hidden SSID ได้ในวินาที |
⚠️ เพิ่มความเสี่ยงใหม่ (Increases Attack Surface)
- Probe Request Leakage: Client ที่เปิดตัวเลือกนี้จะ กระจาย SSID ไปทุกที่ ผ่าน Probe Request แม้ไม่อยู่ในระยะของ AP (Privacy Leak - ระบุว่าคุณเคยเชื่อมต่อ Wi-Fi ไหน)
- Evil Twin / Rogue AP: Attacker สร้าง AP จำลอง SSID เดียวกัน Client จะเชื่อมต่ออัตโนมัติเพราะ "ไว้เชื่อมต่อแม้ Hidden"
- Tracking/Profiling: Probe Request มี MAC Address (แม้ Randomized) + SSID History → ติดตามการเคลื่อนที่/ระบุตัวตนได้
✅ สิ่งที่เพิ่มความปลอดภัยจริง
| มาตรการ | ประสิทธิภาพ |
|---|
| WPA3-Personal (SAE) / WPA2-PSK (AES) | เข้ารหัส Traffic ป้องกัน Eavesdropping, MITM |
| Strong Passphrase (16+ chars, random) | ป้องกัน Offline Brute-force / Dictionary Attack |
| WPA3-Enterprise / WPA2-Enterprise (802.1X) | Authentication ต่อ User/Device, ไม่ใช้ Shared Secret |
| Management Frame Protection (802.11w / PMF) | ป้องกัน Deauth/Disassociation Attacks |
| Network Segmentation (VLANs) | จำกัด Blast Radius |
| Client Isolation (AP Isolation) | ป้องกัน Client-to-Client Attacks |
เมื่อไหนควรใช้ Hidden SSID + "Connect even if not broadcasting"
- ใช้ร่วมกับ WPA3-Enterprise (802.1X) เพื่อลด Visibility จาก Casual Scanners
- IoT Devices ที่ไม่รองรับ 802.1X ต้องใช้ PSK + Hidden SSID + VLAN แยก + Firewall Rules
- Legacy Systems ที่เปลี่ยนไม่ได้
ไม่ควรใช้ เป็นมาตรการหลักหรือเพียงมาตรการเดียว
การตั้งค่าใน Windows
- Settings > Network & Internet > Wi-Fi > Manage Known Networks
- เลือกเครือข่าย > Properties
- ติ๊ก Connect even if this network is not broadcasting
- หรือผ่าน Control Panel:
ncpa.cpl > Wi-Fi Adapter > Status > Wireless Properties > Connection Tab
Privacy Implication: Probe Request Tracking
เมื่อเปิดตัวเลือกนี้ อุปกรณ์จะส่ง Probe Request พร้อม SSID ทุกครั้งที่ Wi-Fi เปิดอยู่ แม้ไม่อยู่ใกล้ AP
- ร้านค้า/ห้างสรรพสินค้า ใช้ Wi-Fi Analytics ติดตามลูกค้าผ่าน Probe Requests (MAC + SSID History)
- MAC Randomization (iOS 14+, Android 10+, Windows 10+) ช่วยลด แต่ไม่ได้หยุด SSID Leakage
- แนะนำ: ปิด Wi-Fi เมื่อไม่ได้ใช้ หรือลบ Known Networks ที่ไม่ใช้
สรุป
"Connect even if network is not broadcasting" + Hidden SSID = Security Theater (การแสดงความปลอดภัย)
- ไม่ป้องกัน Attacker ที่มีทักษะ/เครื่องมือ
- เพิ่ม Privacy Risk (Probe Request Leakage)
- เพิ่มความซับซ้อนให้ User (Manual Connect)
- ใช้ WPA3/WPA2-AES + Strong Password + PMF + Segmentation แทน
Hidden SSID เหมาะสำหรับ ลดความรบกวน (Reduce Clutter) ในพื้นที่ที่มี Wi-Fi เยอะมาก ไม่ใช่สำหรับความปลอดภัย
