Fra WEP til WPA2 og WPA3

Trådløs kryptering er blevet forbedret gennem flere standarder: WEP, WPA, WPA2 og WPA3. Hver standard rettede svagheder i den foregående. Det er vigtigt at kende denne udvikling og forstå, hvorfor de ældre standarder fejlede, når du skal vælge sikre indstillinger og forberede dig til Network+-eksamen. Denne lektion sammenligner standarderne og forklarer, hvorfor WPA3 er den moderne vinder, som du bør bruge, når den er tilgængelig.

WEP (Wired Equivalent Privacy) var den første Wi-Fi-kryptering, og den er alvorligt kompromitteret. Den bruger en svag RC4-chifferalgoritme med en kort initialiseringsvektor, der genbruges, så angribere kan knække nøglen på få minutter med gratis værktøjer. WEP bør aldrig bruges i dag. Hvis du nogensinde finder et netværk, der stadig bruger WEP, skal du behandle det som reelt ukrypteret og opgradere det med det samme.

WPA (Wi-Fi Protected Access) var en hurtig løsning på WEP's svagheder, uden at der var behov for ny hardware. Den introducerede TKIP (Temporal Key Integrity Protocol), som ændrede nøgler dynamisk for at stoppe angreb af WEP-typen. WPA var en væsentlig forbedring, men byggede stadig på den aldrende RC4-chifferalgoritme, og TKIP viste sig senere selv at være sårbar. WPA var altid tænkt som en midlertidig bro frem til WPA2.

WPA2 (2004) blev den dominerende standard i over et årti. Den vigtigste forbedring var brugen af AES (Advanced Encryption Standard) sammen med CCMP, en stærk og moderne chifferalgoritme, der erstattede den svage RC4. WPA2 med AES er reelt sikkert til de fleste formål og bruges stadig bredt. Når du konfigurerer Wi-Fi, er WPA2-AES det mindste acceptable valg, hvis WPA3 ikke er tilgængelig.

WPA2 er stærk, men ikke perfekt. Den personlige tilstand er sårbar over for offline-brute force-angreb: En angriber opsnapper forbindelsens håndtryk og gætter derefter adgangskoden offline, så svage adgangskoder kan knækkes. Angrebet KRACK (2017) afslørede også en fejl i håndtrykket. Disse problemer, især risikoen ved svage adgangskoder, førte til den næste generation, WPA3.

WPA3 (2018) er den bedste aktuelle standard. Den erstatter WPA2's håndtryk med SAE (Simultaneous Authentication of Equals), som modstår offline-gætning af adgangskoder. Selv et opsnappet håndtryk kan ikke brute force-angribes offline på samme måde. WPA3 tilføjer også fremadrettet hemmeligholdelse og stærkere kryptering. Når WPA3 er tilgængelig, er det det anbefalede valg for den bedste trådløse beskyttelse.

Fordelene ved WPA3 er konkrete. SAE stopper offline-ordbogsangrebene, der truer WPA2 Personal, så selv en forholdsvis enkel adgangskode er langt sværere at knække. Fremadrettet hemmeligholdelse betyder, at en angriber ikke kan dekryptere trafik, der opsnappes i dag, selv hvis vedkommende senere får adgangskoden. WPA3 forbedrer også beskyttelsen på åbne netværk. Derfor er WPA3 klart den sikreste mulighed.

Fordi ikke alle enheder endnu understøtter WPA3, tilbyder mange routere en WPA2/WPA3-overgangstilstand. Den lader nyere enheder bruge WPA3, mens ældre enheder falder tilbage til WPA2 på det samme netværk. Det gør overgangen lettere, selvom et netværk kun er så stærkt som den svageste tilstand, der er i brug. Ren WPA3 er bedst, når alle enheder understøtter det.

Den praktiske regel er: Brug WPA3, hvis alle enheder understøtter det. Ellers skal du bruge WPA2 med AES eller en WPA2/WPA3-overgangstilstand. Brug aldrig WEP eller WPA med TKIP; begge dele er forældet og usikkert. Undgå blandede tilstande, der tillader TKIP, fordi de trækker hele netværket ned på niveauet for den svageste chifferalgoritme. Denne enkle rangorden holder dit trådløse netværk beskyttet.

Til eksamen forbindes hver standard ofte med sin chifferalgoritme. WEP bruger svag RC4. WPA introducerede TKIP, som var en forbedring i forhold til WEP, men nu anses for usikker. WPA2 og WPA3 bruger stærk AES (med CCMP og i WPA3 også GCMP). Huskeregel: Hvis du ser TKIP, er det gammelt og svagt; hvis du ser AES, er det moderne og stærkt. Vælg altid AES-baseret kryptering.

Trådløs kryptering er netværkets første forsvarslinje. Udviklingen fra WEP til WPA til WPA2 til WPA3 handler om at rette fejlene i hver enkelt standard. WEP og den oprindelige WPA er kompromitterede; WPA2-AES er solid; WPA3 med SAE er bedst. Til eksamen og i virkeligheden skal du vide, hvilke chifferalgoritmer hver standard bruger, og altid vælge den stærkeste, som dine enheder understøtter.

Wi-Fi-kryptering har udviklet sig gennem WEP, WPA, WPA2 og WPA3. WEP (RC4) er kompromitteret; WPA med TKIP var en midlertidig løsning, men er også nu svag. WPA2 bruger stærk AES/CCMP og er det acceptable minimum, men den personlige tilstand tillader offline-knækning af adgangskoder (KRACK). WPA3 tilføjer SAE for at modstå offline-gætning samt fremadrettet hemmeligholdelse, hvilket gør det til det bedste valg. Brug WPA3, når det er muligt, ellers WPA2-AES, og aldrig WEP eller TKIP.