สรุปเร็ว: โปรโตคอลที่ปลอดภัยที่สุดคือ WPA3
ในปัจจุบัน (2024) WPA3 (Wi-Fi Protected Access 3) เป็นมาตรฐานการเข้ารหัส Wi-Fi ที่ปลอดภัยที่สุด แทนที่ WPA2 ที่ใช้มามากกว่า 15 ปี
เปรียบเทียบโปรโตคอลความปลอดภัย Wi-Fi
| โปรโตคอล | ปี | การเข้ารหัส | ความปลอดภัย | สถานะ |
|---|---|---|---|---|
| WEP (Wired Equivalent Privacy) | 1997 | RC4 (40/104-bit) | ❌ แตกง่ายมาก (< 1 นาที) | Deprecated - ห้ามใช้ |
| WPA (TKIP) | 2003 | TKIP/RC4 | ❌ มีช่องโหว่ (KRACK, Beck-Tews) | Deprecated |
| WPA2-PSK (AES/CCMP) | 2004 | AES-CCMP (128-bit) | ✅ ดี แต่มี KRACK vulnerability | ยังใช้กันมาก (Legacy) |
| WPA2-Enterprise (802.1X/RADIUS) | 2004 | AES-CCMP + EAP | ✅ ดีมากสำหรับองค์กร | มาตรฐานองค์กร |
| WPA3-Personal (SAE) | 2018 | AES-GCMP (128-bit) + SAE | ✅✅ ป้องกัน Offline Dictionary Attack, Forward Secrecy | แนะนำสำหรับบ้าน/เล็ก |
| WPA3-Enterprise (192-bit) | 2018 | AES-GCMP (192-bit) + EAP-TLS | ✅✅✅ ระดับสูงสุด CNSA Suite | แนะนำสำหรับองค์กร/รัฐบาล |
ทำไม WPA3 ดีกว่า WPA2?
- SAE (Simultaneous Authentication of Equals): แทน PSK 4-way Handshake ป้องกัน Offline Dictionary Attack (แฮกเกอร์ไม่สามารถจับ Handshake ไปแคร์รหัสผ่านออฟไลน์ได้)
- Forward Secrecy: แม้รหัสผ่านรั่วไหลภายหลัง Session Key เก่าก็ถอดรหัสไม่ได้
- Protected Management Frames (PMF): บังคับ 802.11w ป้องกัน Deauth/Disassociation Attacks
- 192-bit Encryption (Enterprise): ตรงตาม CNSA Suite สำหรับข้อมูลระดับลับ
แนวทางป้องกัน Wi-Fi ที่ดีที่สุด (Best Practices) - หลายชั้น (Defense in Depth)
1. ใช้ WPA3 (หรือ WPA2-AES ถ้ายังไม่รองรับ)
ปิด WEP, WPA-TKIP, WPS (Wi-Fi Protected Setup) - WPS มีช่องโหว่ PIN Brute-force
2. รหัสผ่านแรง (Strong Passphrase)
- อย่างน้อย 16 ตัวอักษร (WPA3: 8+ ก็พอ แต่ 16+ ดีกว่า)
- ผสมตัวพิมพ์ใหญ่/เล็ก ตัวเลข สัญลักษณ์
- ไม่ใช้คำในพจนานุกรม ชื่อ วันเกิด หมายเลขโทรศัพท์
- ใช้ Password Manager สร้างและจัดเก็บ
3. เปลี่ยน Admin Credentials ของเราเตอร์
- เปลี่ยน Username/Password เริ่มต้น (admin/admin) ทันที
- ปิด Remote Management (เข้าจัดการจาก WAN)
- ใช้ HTTPS สำหรับ Admin Page
4. อัปเดต Firmware เราเตอร์เป็นประจำ
- ตรวจสอบอัปเดตรายเดือน หรือเปิด Auto-update
- Firmware ล้าสมัย = ช่องโหว่ที่รู้จัก (Known CVEs)
5. แยกเครือข่าย (Network Segmentation)
- Main Network: อุปกรณ์ที่ไว้ใจได้ (Laptop, Phone, NAS)
- Guest Network: แขก, IoT Devices (Smart TV, Bulbs, Cameras) - แยก VLAN ไม่เข้าถึง Main Network
- IoT VLAN: แยก IoT ออกจาก Guest ด้วย Firewall Rules
6. ปิด WPS และ UPnP
- WPS: ช่องโหว่ใหญ่ ใช้ PIN brute force ได้
- UPnP: อนุญาตแอปเปิดพอร์ตอัตโนมัติ เสี่ยงต่อ Malware/Botnet
7. ใช้ DNS Security
- ตั้งค่า DNS บนเราเตอร์เป็น: Quad9 (9.9.9.9), NextDNS, Cloudflare 1.1.1.1 for Families
- บล็อก Malware, Phishing, Tracking, Ads ระดับ DNS
8. ตรวจสอบอุปกรณ์ที่เชื่อมต่อเป็นประจำ
- ดู Client List บนเราเตอร์ สัปดาห์ละครั้ง
- ตั้งค่า Alert เมื่อมีอุปกรณ์ใหม่เชื่อมต่อ (ถ้าเราเตอร์รองรับ)
ความเร็ว vs ความปลอดภัย
WPA2/WPA3 ใช้ AES Hardware Acceleration บนชิปเราเตอร์สมัยใหม่ ไม่ทำให้ช้าลง ข้อความเก่าที่ว่า "WPA ช้ากว่า WEP" หรือ "WPA2 ช้ากว่า WPA" ไม่ถูกต้องแล้ว (ฮาร์ดแวร์สมัยใหม่ประมวลผล AES เร็วมาก)
สรุป
- บ้าน/เล็ก: WPA3-Personal + รหัสผ่าน 16+ ตัวอักษร + Guest Network + Firmware Update
- องค์กร: WPA3-Enterprise (802.1X/EAP-TLS) + RADIUS + Certificate-based Auth + NAC
- อุปกรณ์เก่าที่ไม่รองรับ WPA3: WPA2-PSK (AES Only) + รหัสผ่านแรง + แยก VLAN
