WPA, WPA2, WPA3: Aké zabezpečenie Wi-Fi dnes používať?

Nastavenie Wi-Fi vyzerá jednoducho, kým sa doň nepustíte vlastnými silami. Akonáhle totiž otvoríte rozhranie a vidíte dostupné možnosti, môže vás prepadnúť pocit, že by sa vám zišiel malý kurz kybernetickej bezpečnosti. Musíte študovať, čo znamenajú skratky ako WPA2, WPA3, AES alebo TKIP, a pritom vlastne chcete len jednu vec – aby sa k vašej domácej Wi-Fi nepripojil nikto, kto tam nemá čo robiť.

Dobrou správou je, že väčšinu týchto možností nemusíte poznať detailne. Stačí pochopiť, čo jednotlivé generácie zabezpečenia znamenajú a ktoré z nich už dnes patria skôr do technologického múzea.

Čo znamenajú skratky WPA, WPA2 a WPA3?

Skratka WPA označuje anglickú frázu „Wi-Fi Protected Access“ čiže chránený prístup k Wi-Fi. Prakticky označuje spôsob, akým Wi-Fi sieť chráni komunikáciu medzi routerom a pripojenými zariadeniami.

Keď sa napríklad telefón pripája k domácej sieti, bezpečnostný protokol overuje, či má správne prístupové údaje. Zároveň komunikáciu šifruje, takže prípadný útočník v dosahu siete nemôže prenášané dáta jednoducho čítať alebo zachytiť v použiteľnej podobe. Nejedná sa teda o samotné heslo k Wi-Fi, ale o štandard, ktorý určuje, ako router overuje pripojené zariadenia a chráni dáta, ktoré medzi nimi putujú.

Práve v tom sa jednotlivé generácie líšia. WPA vzniklo v roku 2003 ako rýchla náhrada za starší protokol WEP (Wired Equivalent Privacy), ktorý mal vážne bezpečnostné slabiny. Už o rok neskôr ho vystriedalo WPA2, ktoré prinieslo výrazne lepšiu ochranu a na dlhú dobu sa stalo bežným štandardom domácich Wi-Fi sietí.

Najnovší protokol WPA3 predstavil zväz Wi-Fi Alliance v roku 2018. Nadväzuje na WPA2, ale pridáva modernejší spôsob overovania a lepšiu ochranu proti niektorým typom útokov. Napríklad výrazne sťažuje hromadné skúšanie hesiel na základe zachytenej komunikácie a zabezpečuje lepšiu ochranu niektorých riadiacich správ medzi routerom a pripojeným zariadením.

V čom je WPA3 lepší ako WPA2?

WPA2 je pri správnom nastavení stále bezpečné, ale jeho slabšou stránkou je hlavne spôsob overovania pomocou hesla. Ak sa útočníkovi podarí zachytiť potrebné dáta, keď sa zariadenie pripája k Wi-Fi, môže ich následne využiť na to, aby vyskúšal veľké množstvo možných hesiel, bez toho, aby musel pri každom pokuse znovu komunikovať s routerom.

WPA3 tento problém rieši modernejším mechanizmom SAE (Simultaneous Authentication of Equals). Ten je navrhnutý tak, aby pouhé zachytenie komunikácie útočníkovi nestačilo k neobmedzenému testovaniu hesiel. Okrem toho oproti WPA2 prináša aj ďalšie výhody:

• Povinnú ochranu niektorých riadiacich správ. WPA3 vyžaduje technológiu chránených rámcov správy (PMF), ktorá lepšie chráni časť komunikácie súvisiacu napríklad s pripojením alebo odpojením zariadenia.
• Odstránenie zastaraných bezpečnostných možností. WPA3 už nestavia na starších mechanizmoch typu TKIP a vyžaduje modernejší základ zabezpečenia.
• Pripravenosť na modernejšie Wi-Fi siete. WPA3 už od začiatku počíta s modernejšími bezpečnostnými požiadavkami a neumožňuje niektoré kompromisy kvôli kompatibilite. I preto je u 6GHz Wi-Fi (napríklad Wi-Fi 6E) povinným základom.

To ale neznamená, že s WPA3 môžete prestať riešiť silné heslo alebo aktualizácie routera. Ani modernejší štandard nie je imúnny voči chybám v implementácii, takže základné bezpečnostné opatrenia a aktuálny firmware ostávajú rovnako dôležité ako samotný bezpečnostný protokol.

Často sa stretnete aj so zmiešaným režimom WPA2/WPA3, niekedy označovaným ako mixed alebo transition mode. Ten umožňuje, aby sa novšie zariadenia pripojovali cez WPA3, zatiaľ čo staršie môžu ďalej používať WPA2. Je to praktické riešenie pri prechode na novší štandard, ale je lepšie ho vnímať ako prechodné riešenie než ako dlhodobé nastavenie. Ak teda všetky vaše zariadenia WPA3 podporujú, vždy je lepšie prejsť čisto na WPA3.

Čo znamenajú skratky ako AES alebo TKIP?

Vedľa samotného protokolu môžete v nastavení routera naraziť aj na skratky AES a TKIP, ktoré označujú spôsob šifrovania dát, ktoré cez Wi-Fi putujú.

TKIP je staršie riešenie, ktoré vzniklo hlavne ako dočasný spôsob, ako zvýšiť bezpečnosť vtedajších zariadení bez nutnosti kompletne meniť hardvér. Dnes už ale jeho ochrana nestačí a navyše môže u niektorých zariadení obmedzovať rýchlosť Wi-Fi.

AES je naopak modernejší a výrazne bezpečnejší spôsob šifrovania. U WPA2 sa bežne používa vo forme označovanej ako CCMP a je jedným z dôvodov, prečo môže byť správne nastavené WPA2 aj dnes stále bezpečné.

Aké zabezpečenie Wi-Fi teda nastaviť?

Pre bežnú domácnosť je dnes najlepšou voľbou WPA3, ak ho podporuje router aj všetky pripojené zariadenia. U staršieho vybavenia ale môže byť problém s kompatibilitou. V takom prípade dáva zmysel ponechať hlavnú sieť na WPA3 a staršie zariadenia pripojiť k oddelenej sieti zabezpečenej pomocou WPA2 + AES/CCMP. Ak router túto možnosť neponúka, môže ako dočasné riešenie poslúžiť aj zmiešaný režim WPA2/WPA3.

Naopak WEP, pôvodné WPA alebo TKIP už dnes do modernej domácej siete nepatria. Ak vám router ponúka iba tieto možnosti, určite stojí za zváženie ho vymeniť.

Samotný bezpečnostný protokol ale nie je všetko. Dôležité je aj dostatočne dlhé a unikátne heslo, pravidelne aktualizovaný firmware a zmena predvoleného administrátorského hesla pre prihlásenie do nastavení routera.

Často kladené otázky

Je WPA2 stále bezpečné?

Áno. Ak používate WPA2 v kombinácii s AES/CCMP, máte silné heslo a aktualizovaný router, stále sa jedná o bezpečnú variantu. Stále však platí, že WPA3 predstavuje odporúčanú voľbu pre novšie zariadenia.

Je WPA3 vždy lepšie ako WPA2?

Z hľadiska samotného zabezpečenia áno. Ponúka modernejší spôsob overovania a lepšiu ochranu proti niektorým typom útokov. V praxi ale stále záleží aj na kvalite hesla, aktualizáciách a správnom nastavení routera.

Čo znamená režim WPA2/WPA3?

Ide o zmiešaný režim, ktorý umožňuje novším zariadeniam používať WPA3 a starším WPA2. Hodí sa hlavne ako prechodné riešenie, ak máte doma zariadenia, ktoré podporujú rôzne štandardy.

Čo mám nastaviť, keď moje zariadenie WPA3 nepodporuje?

V takom prípade použite WPA2 s AES/CCMP. Ak to router umožňuje, je ešte lepšie nechať hlavnú sieť na WPA3 a staršie zariadenia pripojiť k oddelenej WPA2 sieti.