เปรียบเทียบความปลอดภัย: Wired vs Wireless Network
สรุปเร็ว: Wired (สาย) ปลอดภัยกว่า Wireless (ไร้สาย) โดยธรรมชาติ
แต่ Wireless ที่ตั้งค่าถูกต้อง (WPA3, รหัสผ่านแข็งแกร่ง) ปลอดพอใช้งานได้ ความเสี่ยงหลักของ Wireless คือ "สัญญาณกระจายไปในอากาศ" ใครก็สามารถจับได้
ตารางเปรียบเทียบ
| ด้านเปรียบเทียบ | Wired (Ethernet) | Wireless (Wi-Fi) |
|---|---|---|
| การเข้าถึงทางกายภาพ | ต้องต่อสาย LAN เข้าพอร์ตจริง → ต้องอยู่ในอาคาร/ห้องเซิร์ฟเวอร์ | สัญญาณไร้สายกระจาย → จับได้จากภายนอกอาคาร (Parking lot, อาคารข้างเคียง) |
| การแอบฟัง (Eavesdropping) | ต้อง Tap สาย (Fiber Tap, Copper Tap) - ยาก ต้องเข้าถึงกายภาพ | จับแพ็กเก็ตได้ด้วย Wireless Adapter + Monitor Mode (ง่ายมาก) |
| การโจมตี MitM | ยาก ต้องอยู่ในเส้นทางสาย (ARP Spoofing ต้องอยู่ใน LAN เดียวกัน) | ง่ายกว่า - Evil Twin AP, Rogue AP, KARMA Attack |
| การเข้ารหัส | MACsec (IEEE 802.1AE) - ไม่ค่อยใช้ใน LAN ภายใน | WPA2/WPA3 (AES-CCMP/GCMP) - บังคับใช้งาน |
| การยืนยันตัวตน | 802.1X (Port-based NAC) - บังคับในองค์กร | WPA2/WPA3-Personal (PSK) หรือ Enterprise (802.1X) |
| ความเร็ว/ความน่าเชื่อถือ | สูงกว่า 1-10 Gbps, Latency ต่ำ, ไม่มี Interference | ขึ้นกับมาตรฐาน (Wi-Fi 6/6E/7), รบกวน, ระยะทาง |
| ค่าใช้จ่าย/ความสะดวก | เสียค่าสาย, ต่อยาก, ไม่ยืดหยุ่น | ติดตั้งง่าย, ยืดหยุ่น, รองรับ Mobile/IoT |
ทำไม Wireless ถึงเสี่ยงกว่า (Technical Details)
- Broadcast Medium: สื่อสัญญาณเป็นอากาศ (Shared Medium) - ทุกคนในรัศมีรับได้
- No Physical Boundary: ผนัง/เพดานไม่บล็อกสัญญาณ Wi-Fi สมบูรณ์ (5 GHz อ่อนกว่า 2.4 GHz)
- Legacy Protocols: อุปกรณ์เก่ายังใช้ WEP, WPA-TKIP - ช่องโหว่ร้ายแรง
- WPS Vulnerability: PIN 8 หลัก แฮกได้ใน < 11,000 ครั้ง (Reaver, Bully)
- Deauthentication Attacks: ส่ง Deauth Frame บังคับตัดการเชื่อมต่อ → Capture Handshake → Crack Offline
- Evil Twin / Rogue AP: โคลน SSID หลอกผู้ใช้เชื่อมต่อ → MitM
ภัยคุกคามบน Wired Network (ไม่ได้ปลอดภัย 100%)
- Physical Access: หากแฮกเกอร์เข้าสerver room / network jack ได้ → ต่อสาย/แทรก Switch/Rogue Device
- VLAN Hopping: Double Tagging, Switch Spoofing (ถ้า Switch Config ไม่ถูกต้อง)
- MAC Spoofing / ARP Poisoning: ใน LAN เดียวกัน (Layer 2 Attacks)
- Cable Tapping: Fiber Optic Tap (Splitter) หรือ Copper Inductive Tap
- Insider Threat: พนักงานในองค์กรต่ออุปกรณ์ไม่ได้รับอนุญาต
แนวทางปฏิบัติที่ดีที่สุด (Best Practices)
สำหรับ Wired Network
- เปิด 802.1X (Port-based NAC) ทุกพอร์ต - Auth ก่อนให้เข้าถึงเครือข่าย
- ใช้ MACsec (802.1AE) เข้ารหัส Layer 2 (ถ้าสวิตช์รองรับ)
- Port Security: Limit MAC per port, Sticky MAC, Violation Action = Shutdown
- Disable Unused Ports: Shutdown พอร์ตว่างทั้งหมด
- VLAN Segmentation: แยก User, Server, Management, IoT, Guest
- Physical Security: Server Room Lock, Rack Lock, Cable Management
สำหรับ Wireless Network
- WPA3-Personal (SAE) หรือ WPA2/WPA3 Transition
- WPA3-Enterprise (EAP-TLS) สำหรับองค์กร - Certificate-based Auth
- ปิด WPS, ปิด UPnP
- Enterprise: 802.1X + RADIUS + Certificates (ไม่ใช้ PSK)
- Wireless IPS (WIPS): ตรวจจับ Rogue AP, Deauth, Evil Twin
- Client Isolation / AP Isolation: ป้องกัน Device-to-Device ใน Wi-Fi เดียวกัน
- แยก SSID/VLAN: Corporate, Guest, IoT, Management
- Tx Power Tuning: ลดกำลังส่งให้พอดีพื้นที่ ไม่ล้นนอกอาคาร
สรุป
Wired ปลอดภัยกว่าตามธรรมชาติ** เนื่องจากต้องการการเข้าถึงทางกายภาพ แต่ Wireless ที่ตั้งค่าถูกต้อง (WPA3, Enterprise Auth, WIPS, Segmentation) มีความปลอดภัยเพียงพอสำหรับการใช้งานทั่วไปและองค์กรหลายแห่ง สิ่งสำคัญคือ Defense in Depth - หลายชั้นป้องกันทั้ง Wired และ Wireless
