ความปลอดภัย Wi-Fi: WPA3, 802.1X และการแยกแขกให้แยกจริง

สัญญาณ Wi-Fi ไม่ได้หยุดอยู่ที่ผนังสำนักงาน คนที่นั่งในรถที่ลานจอดหรืออยู่สำนักงานชั้นล่าง มองเห็น SSID ของคุณและพยายามเชื่อมต่อได้ สามปัญหาที่เราเจอบ่อยที่สุดเมื่อเข้าไปตรวจคือ

• รหัส Wi-Fi เดียวที่ใช้มาหลายปี พนักงานที่ลาออกไปแล้วก็ยังรู้
• SSID "Guest" ที่ชื่อต่างกัน แต่อยู่ Subnet เดียวกับ Server
• อุปกรณ์เก่าที่ทำให้ AP ทั้งหมดถูกตั้งไว้ WPA/TKIP เพื่อให้เครื่องเดียวต่อได้

โหมดความปลอดภัย

WPA3-Personal ใช้ SAE แทน Handshake แบบ PSK ของ WPA2 ผลที่สำคัญคือ คนที่ดักเก็บ Handshake ได้จะเอาไปเดารหัสแบบ Offline ไม่ได้อีก และมี Forward Secrecy (รู้รหัสทีหลังก็ถอด Traffic ที่บันทึกไว้ก่อนหน้าไม่ได้) WPA3 บังคับใช้ Protected Management Frames (802.11w) ซึ่งกันการโจมตี Deauthentication ที่เตะผู้ใช้หลุดจาก Wi-Fi

คลื่น 6 GHz (Wi-Fi 6E และ Wi-Fi 7) อนุญาตเฉพาะ WPA3 และ OWE ถ้า SSID ของคุณยังเป็น WPA2 มันจะไม่ออกอากาศบน 6 GHz เลย

Wi-Fi 7 ไปไกลกว่านั้น Multi-Link Operation (MLO) ที่อุปกรณ์หนึ่งใช้สองหรือสามคลื่นพร้อมกัน ต้องเป็น WPA3 บนทุกลิงก์ของการเชื่อมต่อ และ Wi-Fi 7 เพิ่มตัวเลือกที่แข็งแรงกว่าเดิม เช่น การเข้ารหัส GCMP-256 ดังนั้น SSID แบบ WPA2 หรือ WPA2/WPA3 Transition จะให้ประโยชน์เต็มที่กับ Laptop และมือถือ Wi-Fi 7 ไม่ได้ ระหว่างย้ายระบบ หลายไซต์จึงเปิด SSID แบบ WPA3 อย่างเดียวแยกไว้สำหรับอุปกรณ์ใหม่

802.1X (Enterprise): แต่ละคน Login ด้วยบัญชีของตัวเองหรือ Certificate ของเครื่อง ผ่าน RADIUS ที่เชื่อมกับ Active Directory หรือ Entra ID เมื่อพนักงานลาออกก็ปิดบัญชีครั้งเดียว ไม่ต้องเปลี่ยนรหัส Wi-Fi ให้ทุกคน เลือก EAP-TLS (Certificate) สำหรับเครื่องที่องค์กรจัดการ ถ้าใช้ PEAP (รหัสผ่าน) ต้องตั้งค่าเครื่องให้ตรวจ Certificate ของ RADIUS Server เสมอ ถ้าไม่ตรวจ AP ปลอมจะเก็บรหัสผู้ใช้ได้

OWE (Enhanced Open): เชื่อมต่อโดยไม่มีรหัสเหมือน Open Wi-Fi แต่แต่ละคนมีการเข้ารหัสของตัวเอง คนข้างๆ ดักฟังไม่ได้ OWE ไม่ได้พิสูจน์ว่า AP เป็นของจริง จึงไม่ป้องกัน Evil Twin โทรศัพท์และ Laptop บางรุ่นยังไม่รองรับ OWE ให้ใช้ OWE Transition Mode ที่ AP ส่วนใหญ่มี เพื่อให้เครื่องเก่ายังต่อแบบ Open ได้

อีกเหตุผลที่ควรเลิกใช้ PEAP-MSCHAPv2: ตั้งแต่ Windows 11 เวอร์ชัน 22H2 เป็นต้นมา Credential Guard ถูกเปิดเป็นค่าเริ่มต้นบน PC ธุรกิจจำนวนมาก และมันบล็อกการล็อกอินอัตโนมัติที่ Wi-Fi แบบ MSCHAPv2 อาศัยอยู่ ผู้ใช้จะถูกถามรหัสผ่านซ้ำๆ หรือเชื่อมต่อจากหน้าจอล็อกอินไม่ได้ ทางที่ Microsoft แนะนำคือ EAP-TLS แบบใช้ใบรับรอง ส่วน RADIUS ตัวเลือกที่ใช้กันทั่วไปคือ Windows NPS บริการ Cloud RADIUS ที่แพลตฟอร์ม Wi-Fi บางรายมีให้ หรือ FreeRADIUS และใบรับรองจะแจกจ่ายได้ง่ายที่สุดผ่านเครื่องมือจัดการอุปกรณ์อย่าง Intune

SSID และ VLAN

ทุก SSID เพิ่ม Beacon ที่กิน Airtime ของทุกคน สามหรือสี่ SSID พอสำหรับเกือบทุกองค์กร

อย่าเอากล้อง CCTV เครื่องสแกนนิ้ว และ Smart TV ไว้ SSID เดียวกับ Laptop อุปกรณ์เหล่านี้อัปเดตยากและมักเป็นจุดที่ผู้โจมตีใช้ตั้งหลัก

การแยกแขกที่แยกจริง

• VLAN แขกแยกต่างหาก และ Firewall บล็อกทุก Subnet ภายใน (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) รวมถึง Gateway และหน้า Admin ของ AP/Controller
• เปิด Client Isolation แขกมองเห็นกันเองไม่ได้
• จำกัด Bandwidth ต่อคน ไม่ให้คนเดียวดาวน์โหลดจนสายอินเทอร์เน็ตของสำนักงานเต็ม
• DNS Filtering บล็อก Domain อันตราย
• ทดสอบเอง: ต่อ Wi-Fi แขกแล้วลอง Ping และเปิดหน้า Admin ของ Router, NVR และ Server ถ้าอะไรตอบกลับ แปลว่าการแยกยังไม่สำเร็จ
• เก็บ Log การเชื่อมต่อ (MAC เวลา IP ที่ได้รับ) ไว้ระยะหนึ่ง เพื่อสืบย้อนได้เมื่อมีปัญหา

ตัวอย่าง: ตั้งเพดานความเร็วของแขก

ล็อบบี้โรงแรมกับห้องอาหารใช้สาย 200 Mbps ร่วมกัน คืนที่คนเยอะมีอุปกรณ์แขกเชื่อมต่อ 80 เครื่อง แต่ที่ดึงข้อมูลพร้อมกันจริงมักไม่เกินหนึ่งในสี่ ตั้งเพดานต่ออุปกรณ์ราว 5 Mbps ขาลง และ 2 Mbps ขาขึ้น พอสำหรับวิดีโอคอลและดูวิดีโอ HD ในขณะที่ 20 เครื่องที่ใช้เต็มที่ก็ยังกินแค่ 100 Mbps จากนั้นกัน Bandwidth ไว้ให้ POS ระบบจองห้อง และพนักงานด้วย Traffic Shaping บน Firewall เพื่อไม่ให้เครือข่ายแขกที่แน่นทำให้รูดบัตรไม่ผ่าน หลังเดือนแรกให้ดูตัวเลขจริงใน Controller แล้วปรับ เครื่องมือคำนวณ Bandwidth ของเราช่วยประมาณการครั้งแรกได้

การป้องกันอื่น

• WIDS/WIPS ใน Controller แจ้งเตือนเมื่อมี AP ที่ใช้ชื่อ SSID ของคุณ (Evil Twin) หรือ AP ที่พนักงานเอามาเสียบเอง
• ปิด WPS ทุกเครื่อง
• อัปเดต Firmware ของ AP และ Controller อย่างน้อยทุกไตรมาส
• หน้า Admin เข้าได้เฉพาะจาก VLAN Management

ข้อผิดพลาดที่เรายังเจออยู่เรื่อยๆ

• คิดว่าการซ่อน SSID หรือการกรอง MAC คือความปลอดภัย ทั้งสองอย่างใครที่มีเครื่องมือดักจับฟรีก็เห็นได้ในไม่กี่วินาที
• รหัส Wi-Fi พนักงานพิมพ์อยู่บนเมนูอาหาร เพราะ "แขกถามบ่อย"
• Traffic แขกถูก Bridge ที่ AP ลง Native VLAN พอเปลี่ยน AP ตัวใหม่ SSID แขกก็ไปอยู่บน Subnet ของสำนักงาน
• ใช้รหัสเดียวกันทุกสาขามาหลายปี รั่วครั้งเดียวเปิดได้ทุกไซต์
• หน้า Captive Portal ที่ส่งผ่าน HTTP ธรรมดา แต่เก็บเบอร์โทรหรือเลขห้อง

ย้ายไป WPA3 โดยไม่ให้เครื่องหลุด

1. สำรวจอุปกรณ์ Laptop และโทรศัพท์ในช่วงหลายปีหลังส่วนใหญ่รองรับ WPA3 แต่เครื่องพิมพ์ เครื่องสแกนบาร์โค้ด เครื่องรับบัตร และ IoT รุ่นเก่ามักไม่รองรับ
2. เปิด WPA3 Transition Mode บน SSID พนักงานชั่วคราว แล้วดูใน Controller ว่าเครื่องไหนยังต่อด้วย WPA2
3. ย้ายเครื่องเก่า ไป SSID Devices ที่แยก VLAN และจำกัดด้วย Firewall
4. เปลี่ยน SSID พนักงานเป็น WPA3 ล้วน เมื่อไม่มีเครื่อง WPA2 เหลือ Transition Mode ที่เปิดค้างไว้ตลอดแปลว่าผู้โจมตียังโจมตีแบบ WPA2 ได้
5. ใส่ WPA3 และ 802.1X ในเงื่อนไขการจัดซื้อ อุปกรณ์ใหม่ทุกชิ้น

สถานการณ์ที่ต่างกัน

สำนักงาน SME (ไม่ถึง 30 คน ไม่มี Directory): WPA3-Personal สำหรับพนักงาน เปลี่ยนรหัสเมื่อมีคนลาออก และ SSID แขกแยก VLAN พร้อม Client Isolation

องค์กรกลาง-ใหญ่ ธนาคาร หน่วยงานรัฐ: 802.1X เชื่อมกับ Directory และ EAP-TLS สำหรับเครื่องขององค์กร

โรงแรมและร้านอาหาร: Captive Portal พร้อมรหัสต่อห้องหรือต่อวัน OWE แบบ Transition Mode และระบบ POS แยก VLAN ของตัวเอง ไม่ใช้ SSID พนักงาน

เหมืองและโรงงาน: SSID เฉพาะสำหรับอุปกรณ์อุตสาหกรรมและ Tablet หน้างาน จำกัดด้วย Firewall AP ที่ติดนอกอาคารหรือบนหลังคาต้องเป็นรุ่น Outdoor ที่กันน้ำ และมี Surge Protection บนสาย PoE เพราะฤดูฝนและฟ้าผ่าในลาวทำให้ AP และ Port Switch เสียบ่อย

สิ่งที่เราเห็นที่ไซต์ในลาว

Router ไฟเบอร์ของ ISP มักมาพร้อม Wi-Fi ของตัวเองที่เปิดอยู่ และบ่อยครั้งยังใช้รหัสที่พิมพ์อยู่บนฉลาก ถ้า AP ของคุณเป็นตัวปล่อย Wi-Fi สำนักงานอยู่แล้ว ให้ปิดคลื่นของ Router ISP ไม่อย่างนั้นฉลากนั้นจะกลายเป็นประตูหลังที่ข้ามทุกอย่างข้างบน ในอาคารสำนักงานที่ใช้ร่วมกัน ให้ตรวจก่อนว่า SSID ไหนเป็นของคุณจริงก่อนเปลี่ยนอะไร เครือข่ายของเพื่อนบ้านที่ชื่อคล้ายกันพบได้บ่อย แคมป์เหมืองและหอพักคนงานต้องการการแยกผู้ใช้และรหัสรายคนยิ่งกว่าโรงแรม เพราะมือถือส่วนตัวหลายร้อยเครื่องใช้เครือข่ายเดียวกันเป็นเดือนๆ และเมื่อไฟตกตอน 17:30 AP จะรีบูตถ้า Switch PoE ไม่ได้ต่อ UPS ซึ่งผู้ใช้จะเห็นเป็น "Wi-Fi ไม่ดี"

ลองทดสอบ Wi-Fi แขกด้วยตัวเองก่อน

เอาโทรศัพท์ต่อ Wi-Fi แขก แล้วพิมพ์ IP ของ Router หรือ NVR ใน Browser ถ้าหน้า Login ขึ้นมา ส่งภาพหน้าจอนั้นและรุ่น AP/Controller ที่ใช้มาให้เรา เราจะบอกว่าต้องแก้การตั้งค่าตรงไหน และออกแบบ SSID/VLAN ที่เหมาะกับอุปกรณ์ที่คุณมีอยู่