Wireless Network Security คืออะไร?
คือการปกป้องเครือข่ายไร้สาย (Wi-Fi) จากการเข้าถึงโดยไม่ได้รับอนุญาต การขโมยข้อมูล การฟังลักเล็ง (Eavesdropping) และการโจมตีต่างๆ ผ่านกลไก Authentication (การยืนยันตัวตน) และ Encryption (การเข้ารหัส)
โปรโตคอลความปลอดภัย Wi-Fi (Security Protocols)
| โปรโตคอล | ปี | Authentication | Encryption | คีย์การจัดการ | สถานะ |
|---|---|---|---|---|---|
| WEP (Wired Equivalent Privacy) | 1997 | Open System / Shared Key | RC4 (40/104-bit) | Static Key (Manual) | ❌ แกะได้ง่าย ห้ามใช้ |
| WPA (Wi-Fi Protected Access) | 2003 | PSK (Personal) / 802.1X (Enterprise) | TKIP/RC4 (Dynamic Keys) | PMK → PTK (Per-session) | ⚠️ ล้าสมัย มีช่องโหว่ |
| WPA2 (802.11i) | 2004 | PSK / 802.1X | AES-CCMP (บังคับ) | PMK → PTK/GTK (4-way Handshake) | ✅ มาตรฐานปัจจุบัน (ขั้นต่ำ) |
| WPA3 (802.11ax) | 2018 | SAE (Personal) / 802.1X (Enterprise) + 192-bit | AES-GCMP-256 (Enterprise) | SAE (Simultaneous Authentication of Equals) ป้องกัน Offline Dict Attack | ✅✅ แนะนำมากที่สุด |
โหมดการทำงาน 2 แบบ
1. Personal (PSK - Pre-Shared Key) / WPA2-Personal / WPA3-Personal
- ใช้รหัสผ่านเดียว (PSK) สำหรับทุกคน
- เหมาะสำหรับบ้าน/SOHO
- WPA3 ใช้ SAE แทน PSK ป้องกัน Offline Dictionary Attack
2. Enterprise (802.1X / RADIUS) / WPA2-Enterprise / WPA3-Enterprise
- ใช้ Username/Password หรือ Certificate ต่อผู้ใช้/อุปกรณ์
- ต้องมี RADIUS Server (NPS, FreeRADIUS, ISE, ClearPass)
- เหมาะสำหรับองค์กร/การศึกษา รองรับ Accountability, Revocation, VLAN Assignment
กระบวนการ 4-Way Handshake (WPA2) / SAE (WPA3)
- WPA2: AP และ Client แลกเปลี่ยน Nonce (ANonce, SNonce) → สร้าง PTK (Pairwise Transient Key) → ติดตั้ง Encryption Keys → ยืนยันด้วย MIC (Message Integrity Check)
- WPA3 SAE: ใช้ Dragonfly Key Exchange (PAKE) → ทั้งสองฝ่ายพิสูจน์ว่า知รหัสผ่านโดยไม่ส่งรหัสผ่านผ่านสาย → ป้องกัน Offline Cracking
แนวทางป้องกัน Wireless Network (Best Practices)
พื้นฐาน (Must Do)
- ใช้ WPA2-AES ขั้นต่ำ, WPA3 ถ้ารองรับ
- ตั้ง Passphrase ยาว ≥ 12-15 ตัวอักษร (Entropy สูง)
- เปลี่ยน Default SSID และ Admin Credentials ของ Router/AP
- ปิด WPS และ UPnP
- อัปเดต Firmware เป็นประจำ
ขั้นสูง (Enterprise/High Security)
- ใช้ WPA2/3-Enterprise (802.1X) พร้อม Certificate (EAP-TLS) หรือ PEAP/MSCHAPv2
- Network Segmentation: VLAN แยก (Corporate, Guest, IoT, Management)
- NAC (Network Access Control): ตรวจสอบ Health/Compliance ก่อนให้เข้าถึง
- WIPS/WIDS (Wireless IPS/IDS): ตรวจจับ Rogue AP, Evil Twin, Deauth Attacks
- Disable SSID Broadcast? ไม่เพิ่มความปลอดภัยจริง (Hidden SSID ยังสแกนได้) แต่ลดความรบกวน
- MAC Filtering? Spoof ได้ง่าย ไม่แนะนำเป็นหลัก
- RF Management: Tx Power, Channel Planning, Band Steering, Airtime Fairness
เครื่องมือตรวจสอบและทดสอบ
- Wireshark: Capture 4-way Handshake, Analyze EAPOL
- Kismet / Airodump-ng: Wardriving, Site Survey, Detect Hidden SSID
- Wifite / Aircrack-ng: ทดสอบความแข็งแกร่ง Passphrase (เฉพาะ Lab/Authorized)
- Ekahau / NetSpot: Site Survey วิเคราะห์ Coverage/Interference
ภัยคุกคามทั่วไป
- Evil Twin / Rogue AP: AP ปลอม SSID เดียวกัน ลักล็อค Credentials
- Deauthentication Attack: ส่ง Deauth Frame หลุดการเชื่อมต่อ บังคับ Reconnect (Capture Handshake)
- KRACK (Key Reinstallation Attack): ช่องโหว่ WPA2 4-way Handshake (Patch แล้วใน Firmware ใหม่)
- PMKID Attack: ดึง PMKID จาก AP ที่รองรับ Roaming แล้ว Crack Offline
สรุป
Wireless Security ใจความคือ Strong Encryption (AES/GCMP) + Strong Authentication (SAE/802.1X) + Proper Configuration WPA3 เป็นอนาคต แต่ WPA2-AES ยังคงปลอดภัยหากตั้งค่าถูกต้องและ Patch Firmware
