⚠️ คำเตือนสำคัญ: อย่าใช้ TKIP!
TKIP (Temporal Key Integrity Protocol) เป็นโปรโตคอลที่ Deprecated (เลิกใช้) และไม่ปลอดภัย มีช่องโหว่ที่โจมตีได้จริง (Beck-Tews Attack, Ohigashi-Morii Attack) WPA2 ต้องใช้ AES-CCMP เท่านั้น การตั้งค่า TKIP จะทำให้เครือข่ายเปราะบาง และอาจทำให้อุปกรณ์ใหม่เชื่อมต่อไม่ได้ (Windows 10/11, Android 10+, iOS 13+ บังคับ AES)
ความแตกต่าง AES vs TKIP
| คุณสมบัติ | AES (CCMP/GCMP) | TKIP |
|---|---|---|
| มาตรฐาน | WPA2 (Mandatory), WPA3 (GCMP) | WPA (Original), WPA2 (Optional/Deprecated) |
| การเข้ารหัส | AES Block Cipher (128/192/256-bit) | RC4 Stream Cipher + MIC (Michael) |
| ความปลอดภัย | แข็งแกร่ง ไม่มีช่องโหว่ทางปฏิบัติ | มีช่องโหว่ โจมตีได้จริง |
| ประสิทธิภาพ | เร็ว (Hardware Acceleration ใน CPU ใหม่) | ช้ากว่า ไม่มี HW Accel |
| รองรับอุปกรณ์ใหม่ | รองรับทุกอุปกรณ์สมัยใหม่ | อุปกรณ์ใหม่หลายตัวไม่รองรับ/บล็อก |
🔧 วิธีเปลี่ยน Encryption บน Router (General Steps)
- เข้า Web UI Router: Browser → IP (192.168.1.1, 192.168.0.1...)
- Login Admin
- ไปเมนู: Wireless / Wi-Fi / WLAN → Security / Wireless Security
- ตั้งค่า:
- Security Mode: WPA2-PSK (AES) / WPA3-PSK / WPA2/WPA3 Mixed
- Encryption / Cipher: AES / CCMP / GCMP (ไม่ใช่ TKIP, Auto)
- Passphrase: 12+ ชาร ผสมทุกประเภท
- Save / Apply → Router อาจ Reboot
- เชื่อมต่ออุปกรณ์ใหม่ด้วยรหัส/การตั้งค่าใหม่
📱 ตัวอย่างเมนูยี่ห้อยอดนิยม
| Brand | Menu Path | Setting Name | Recommended Value |
|---|---|---|---|
| TP-Link | Wireless → Wireless Security | Encryption | AES (ไม่ใช่ TKIP, Auto) |
| ASUS | Wireless → General | Auth Method: WPA2-Personal / WPA3-Personal Encryption: AES | WPA2-Personal + AES |
| Netgear | Wireless → Security Options | Security Options | WPA2-PSK (AES) / WPA3-SAE |
| Linksys | Wireless → Wireless Security | Security Mode | WPA2 Personal (AES) / WPA3 Personal |
| Ubiquiti (UniFi) | Settings → Wireless Networks → Security | Security: WPA2 / WPA3 Encryption: CCMP / GCMP | WPA2 + CCMP / WPA3 + GCMP |
| MikroTik | Wireless → Security Profiles | Authentication Types: WPA2 PSK / WPA3 PSK Encryption: aes-ccmp / aes-gcm | WPA2 PSK + aes-ccmp |
💻 เปลี่ยน Encryption ใน Windows (Client Side)
Windows ไม่ให้เลือก Encryption แยกต่างหาก จะ Negotiate ตามที่ AP รองรับ (Highest Common) แต่สามารถบังคับได้:
- Control Panel → Network and Sharing Center → Manage wireless networks
- คลิกขวา SSID → Properties → Security
- Security type: WPA2-Personal / WPA3-Personal
- Encryption type: AES (ไม่เลือก TKIP)
- Network security key: ใส่รหัสผ่าน
🔄 WPA2/WPA3 Transition Mode (Mixed Mode)
- ตั้งค่า Router เป็น WPA2/WPA3 Mixed (Transition Mode)
- อุปกรณ์เก่าที่รองรับแค่ WPA2-AES → ใช้ WPA2
- อุปกรณ์ใหม่ที่รองรับ WPA3 → ใช้ WPA3 (SAE + GCMP-256)
- ⚠️ ไม่รองรับ TKIP ใน Mixed Mode
🔐 Enterprise (802.1X) - ไม่ใช้ PSK
- WPA2/WPA3-Enterprise ใช้ 802.1X/EAP (RADIUS)
- Encryption: AES-CCMP (WPA2) หรือ AES-GCMP-256 (WPA3)
- Client ใช้ Certificate (EAP-TLS) หรือ Username/Password (PEAP-MSCHAPv2, EAP-TTLS)
- ไม่มี Passphrase บน AP/Client
❓ ทำไมบาง Router มีตัวเลือก "TKIP+AES" หรือ "Auto"?
- เพื่อ Relative Compatibility กับอุปกรณ์เก่ามาก (กว่า 2006-2010)
- แต่การเลือก "Auto" หรือ "TKIP+AES" อาจทำให้ Router Negotiate ลงมาเป็น TKIP
- แนะนำ: บังคับ AES เท่านั้น อุปกรณ์ที่ไม่รองรับ AES ควรทดแทน (Security Risk)
📋 Checklist การตั้งค่า Wi-Fi Security ที่ถูกต้อง
- [ ] Security Mode: WPA2-Personal (AES) หรือ WPA3-Personal
- [ ] Encryption: AES / CCMP / GCMP (ไม่ใช่ TKIP, Auto)
- [ ] Passphrase: ≥ 12 ตัวอักษร, ผสมพิมพ์ใหญ่/เล็ก, ตัวเลข, สัญลักษณ์
- [ ] WPS: Disabled
- [ ] PMF (802.11w): Required (WPA3) / Optional (WPA2)
- [ ] Group Key Renewal: 3600s
- [ ] Admin Password: เปลี่ยนจาก Default
- [ ] Firmware: Latest
สรุป
อย่าเปลี่ยน AES เป็น TKIP** - TKIP ไม่ปลอดภัยและ Deprecated แล้ว ควรตั้งค่า **WPA2-AES (CCMP) หรือ WPA3 (GCMP-256) เท่านั้น** หากมีอุปกรณ์เก่าที่รองรับแค่ TKIP ให้ทดแทนอุปกรณ์นั้น เพราะเป็นช่องโหว่ด้านความปลอดภัย
