Frame Guard / PMF / MFP คืออะไร?
Protected Management Frames (PMF)** หรือ **Management Frame Protection (MFP)** (มักเรียกว่า **802.11w**) คือมาตรฐานความปลอดภัยที่ปกป้อง Management Frames (เฟรมจัดการ) ใน Wi-Fi ไม่ให้ถูกปลอมแปลง (Spoofing) หรือดักฟัง (Eavesdropping)
ทำไมต้องมี PMF? (ปัญหาของ Management Frames แบบไม่เข้ารหัส)
Management Frames ใน 802.11 เดิม (Beacon, Probe Request/Response, Authentication, Association, Deauthentication, Disassociation) ส่งเป็น Plaintext (ไม่เข้ารหัส) แม้ใน WPA2-Personal/Enterprise ก็ตาม ทำให้โจมตีได้:
- Deauthentication/Disassociation Attack: ส่ง Deauth Frame ปลอม → ขับไล่ Client ออกจากเครือข่าย (DoS) หรือบังคับ Reconnect เพื่อจับ Handshake (WPA2 Crack)
- Rogue AP / Evil Twin: ปลอม Beacon/Probe Response → ล้มให้ Client เชื่อมต่อ AP ของโจมตี
- Channel Switch Announcement Spoofing: บังคับ Client ย้าย Channel
PMF ทำงานอย่างไร?
- Unicast Management Frames: เข้ารหัส + ตรวจสอบ Integrity (AES-CCMP / GCMP) — ป้องกัน Eavesdropping + Forgery
- Multicast/Broadcast Management Frames: ใช้ BIP (Broadcast Integrity Protocol) — ตรวจสอบ Integrity (MIC) แต่ไม่เข้ารหัส (เพราะต้อง Broadcast ให้หลาย Client)
- SAE (Simultaneous Authentication of Equals) ใน WPA3: PMF เป็น บังคับ (Mandatory) ใน WPA3 — ไม่มี PMF = ไม่ใช่ WPA3
โหมดการทำงานของ PMF (802.11w)
| โหมด | คำอธิบาย | เหมาะสำหรับ |
|---|---|---|
| Disabled (Off) | ไม่ใช้ PMF — Management Frames ไม่ได้รับการป้องกัน | อุปกรณ์เก่าที่ไม่รองรับ 802.11w (IoT Legacy, Printers เก่า) |
| Capable (Optional) | Client ที่รองรับ PMF จะใช้ PMF, Client ที่ไม่รองรับยังเชื่อมต่อได้ (Fallback) | สภาพแวดล้อมผสม (Mixed Environment) — ค่าเริ่มต้นแนะนำ |
| Required (Mandatory) | บังคับ PMF — Client ที่ไม่รองรับ 802.11w เชื่อมต่อไม่ได้ | ความปลอดภัยสูง, WPA3, Enterprise, High-Security Environments |
| คุณสมบัติ | WPA2 | WPA3 |
|---|---|---|
| PMF (802.11w) | Optional (Capable/Required) | Mandatory (Required) |
| Key Exchange | 4-Way Handshake (PSK) / EAP (Enterprise) | SAE (Simultaneous Authentication of Equals) — Dragonfly Handshake |
| Forward Secrecy | ไม่มี (PSK) / มี (Enterprise + PFS) | มีเสมอ (SAE ให้ Forward Secrecy) |
| Offline Dictionary Attack | เป็นได้ (จับ Handshake → Crack) | ป้องกันได้ (SAE ไม่ส่งข้อมูลเพียงพอสำหรับ Offline Attack) |
| Encryption | AES-CCMP (128-bit) | AES-GCMP-256 (Enterprise), AES-CCMP-128 (Personal) |
ควรเปิด PMF หรือไม่?
✅ แนะนำ: เปิดโหมด Capable (Optional) ทันที — ให้อุปกรณ์รองรับ PMF ใช้งานได้ พร้อมรองรับอุปกรณ์เก่าด้วย
🔒 หากทุกอุปกรณ์รองรับ WPA3/PMF แล้ว: ตั้งเป็น Required (Mandatory) และย้ายไป WPA3
❌ อย่า Disable PMF เว้นแต่มีอุปกรณ์ Critical ที่เชื่อมต่อไม่ได้จริงๆ (ทดสอบก่อนปิด)
วิธีเปิด PMF บนเราเตอร์ยอดนิยม
| แบรนด์/ระบบ | เมนู / ตั้งค่า |
|---|---|
| ASUS (Asuswrt/Merlin) | Wireless → Professional → Protected Management Frames (PMF): Capable / Required |
| Netgear (Nighthawk/Orbi) | Wireless Settings → Security Options → WPA2-PSK [AES] + PMF: Capable / WPA3-Personal (PMF Required) |
| TP-Link (Omada/Deco/Archer) | Wireless Security → WPA2-PSK/WPA3-PSK → PMF: Optional / Required |
| Ubiquiti UniFi | Settings → Wireless Networks → Security → WPA2/WPA3 → PMF: Optional / Required |
| Cisco/Meraki | Wireless → Configure → Access Control → 802.11w: Disabled / Allowed / Required |
| OpenWrt | /etc/config/wireless → option ieee80211w '1' (Optional) / '2' (Required) |
Unifi / Enterprise: PMF Settings
- UniFi: WPA2-Personal → PMF: Optional (Default) / WPA3-Personal → PMF: Required
- Enterprise (802.1X): PMF Optional/Required ตั้งใน RADIUS Profile / WLAN Config
- RADIUS Server (FreeRADIUS, ISE, ClearPass, NPS): ต้องส่ง Attribute
WLAN-HE-Capabilities/EAP-TEAPรองรับ PMF
ทดสอบ PMF ทำงานจริง
- ใช้ Wireshark + Wi-Fi Adapter รองรับ Monitor Mode
- Capture Traffic → Filter:
wlan.fc.type == 0(Management Frames) - ดู Deauth/Disassociation Frames: จะเห็น Encrypted (Data Field ไม่ใช่ Plaintext) และมี MIC (Management MIC)
- ลองส่ง Deauth จากอุปกรณ์อื่น (aireplay-ng) → Client ที่เปิด PMF จะ ไม่หลุด (Ignore Unprotected Deauth)
ปัญหาที่พบบ่อยและแก้ไข
| อาการ | สาเหตุ | แก้ไข |
|---|---|---|
| อุปกรณ์เก่าเชื่อมต่อไม่ได้ (Printer, IoT, Old Phone) | ไม่รองรับ 802.11w / PMF | ตั้ง PMF = Capable (Optional), หรือแยก SSID สำหรับ Legacy (WPA2 Only, PMF Disabled) + Isolate VLAN |
| Client หลุดบ่อย / Roaming ไม่顺畅 | PMF Required + Fast Transition (802.11r) Config ผิด / Key Mismatch | ตรวจสอบ 802.11r (FT) + PMF Settings ตรงกันทั้ง AP และ Controller, ใช้ Same Mobility Domain |
| Throughput ลด / Latency เพิ่ม | Management Frame Overhead (MIC, Encryption) + CPU Load บน AP รุ่นต่ำ | ปกติไม่สังเกตได้บนฮาร์ดแวร์สมัยใหม่ — หากรุนแรงพิจารณา Upgrade AP |
