การตั้งค่าความปลอดภัย Wi-Fi ที่แนะนำ (Best Practice)
🥇 อันดับ 1: WPA2-PSK (AES) / WPA2-Personal
มาตรฐานปัจจุบันที่เข้ากันได้กับอุปกรณ์ทุกตัว และปลอดภัยสูง
- ใช้การเข้ารหัส AES (Advanced Encryption Standard) ระดับ 128/256-bit
- รองรับอุปกรณ์เก่าทุกตัว (โทรศัพท์ 5-10 ปีก่อนก็เชื่อมต่อได้)
- ไม่มีช่องโหว่ KRACK ที่ร้ายแรง (ถ้าอัปเดตเฟิร์มแวร์)
🥈 อันดับ 2: WPA3-Personal (SAE)
มาตรฐานใหม่ล่าสุด (2018) ปลอดภัยกว่า WPA2
- ใช้ SAE (Simultaneous Authentication of Equals) แทน PSK ป้องกัน Offline Dictionary Attack
- Forward Secrecy - แม้รหัสผ่านจะรั่วหลังจากนี้ ข้อมูลเก่าก็ถอดรหัสไม่ได้
- Protected Management Frames (PMF) - ป้องกัน Deauth Attack
- ต้องการอุปกรณ์รองรับ Wi-Fi 6 (802.11ax) หรือใหม่กว่า
🥉 อันดับ 3: WPA2/WPA3 Transition Mode (Mixed)
รองรับทั้ง WPA2 และ WPA3 พร้อมกัน เหมาะสำหรับเครือข่ายที่มีอุปกรณ์ผสมเก่า-ใหม่
สิ่งที่ต้องหลีกเลี่ยง (ไม่ควรใช้)
| โหมด | เหตุผล |
|---|---|
| WEP | แตกได้ภายในนาทีด้วยเครื่องมือฟรี (Aircrack-ng) ล้าสมัยมาก |
| WPA (TKIP) | มีช่องโหว่ร้ายแรง ช้ากว่า AES ไม่ปลอดภัย |
| WPA2-TKIP | TKIP ล้าสมัย ใช้ AES แทน |
| Open / No Security | ใครก็เชื่อมต่อได้ ขโมยข้อมูลง่าย (Sniffing) |
| WPS (Wi-Fi Protected Setup) | PIN แตกได้ด้วย Brute Force (Pixie Dust Attack) ปิด WPS ทันที |
แนวทางป้องกัน Wi-Fi ให้ปลอดภัย (Comprehensive Hardening)
1. เปลี่ยนค่าเริ่มต้น (Defaults)
- เปลี่ยน Admin Username/Password ของเราเตอร์ (ไม่ใช่รหัส Wi-Fi)
- เปลี่ยน SSID - อย่าใช้ชื่อยี่ห้อเราเตอร์ ชื่อตัวเอง ที่อยู่ เบอร์โทร
- ปิด Remote Management (การจัดการจากนอกเครือข่าย)
2. เข้ารหัสและรหัสผ่าน
- ใช้ WPA2-AES หรือ WPA3-SAE
- รหัสผ่าน Wi-Fi: 12-16+ ตัวอักษร ผสมทุกประเภท
- เปลี่ยนรหัสผ่านทุก 6 เดือน
3. ควบคุมการเข้าถึง
- เปิด MAC Address Filtering (เพิ่มความยุ่งยากให้โจมตี แม้繞ได้)
- สร้าง Guest Network แยกจากเครือข่ายหลัก สำหรับแขก/IoT
- ปิด UPnP ถ้าไม่จำเป็น
4. ซ่อนและป้องกัน
- ปิด SSID Broadcast (Hidden Network) - เพิ่มความลับเล็กน้อย
- เปิด Firewall บนเราเตอร์ (SPI Firewall)
- เปิด DoS Protection / DDoS Protection
5. อัปเดตและตรวจสอบ
- อัปเดต Firmware เราเตอร์ เป็นประจำ (ทุกเดือน/เมื่อมีช่องโหว่ร้ายแรง)
- ตรวจสอบ Client List ดูอุปกรณ์แปลกปลอม
- อัปเดตอุปกรณ์ทุกตัว (โทรศัพท์ โน้ตบุ๊ก IoT)
6. การตั้งค่าเพิ่มเติม (Advanced)
- 802.11w (PMF) - บังคับใช้บน WPA2/WPA3 ป้องกัน Deauth
- Client Isolation / AP Isolation - กันอุปกรณ์ใน Wi-Fi เดียวกันคุยกัน (เหมาะ Guest Network)
- VLAN Segmentation - แยกเครือข่าย IoT, Guest, Admin, Server
- RADIUS / 802.1X (WPA2-Enterprise) - สำหรับองค์กร ใช้ Username/Password หรือ Certificate ต่อคน
WPA2 vs WPA3: ควรเลือกอันไหน?
| คุณสมบัติ | WPA2-PSK (AES) | WPA3-Personal (SAE) |
|---|---|---|
| ปลอดภัย | สูง (มาตรฐานปัจจุบัน) | สูงกว่า (มาตรฐานอนาคต) |
| ป้องกัน Offline Cracking | ไม่ได้ (ถ้าจับ Handshake ได้) | ได้ (SAE) |
| Forward Secrecy | ไม่มี | มี |
| PMF (802.11w) | Optional | Mandatory |
| ความเข้ากันได้ | อุปกรณ์ทุกตัว (2006+) | Wi-Fi 6 / 2020+ |
| แนะนำสำหรับ | บ้าน/สำนักงานทั่วไป ปัจจุบัน | องค์กร/บ้านอัจฉริยะ อุปกรณ์ใหม่ทั้งหมด |
สรุป: ตั้งค่าอย่างไรดี?
สำหรับบ้าน/สำนักงานเล็ก (ปัจจุบัน): WPA2-PSK (AES) + รหัสผ่าน 16 ตัวอักษร+ + ปิด WPS + อัปเดตเฟิร์มแวร์ + Guest Network แยก IoT
สำหรับองค์กร/สภาพแวดล้อมความปลอดภัยสูง: WPA2-Enterprise (802.1X/RADIUS) หรือ WPA3-Enterprise + VLAN แยก + NAC + Monitoring
หากอุปกรณ์ทุกตัวรองรับ WPA3: ใช้ WPA3-Personal (SAE) + PMF บังคับ + รหัสผ่านแข็งแกรง
