Firemní Wi-Fi bez sdíleného hesla: WPA3, 802.1X a síť pro hosty

Odpověď hned: Jedno heslo sdílené celou firmou je problém proto, že se nedá odebrat jednomu člověku — po odchodu zaměstnance byste museli přenastavit každý notebook, mobil, tiskárnu i kameru, a to se v praxi neudělá. WPA3-Personal zlepší odolnost hesla proti hádání, ale sdílené heslo zůstane sdílené. Přístup na jednotlivce řeší až 802.1X s RADIUS serverem, kde má každý vlastní přihlášení a odebrat jde během minuty. Síť pro hosty patří na samostatnou VLAN s izolací klientů a bez cesty do firemní sítě.

Na výkon a pokrytí je samostatný článek o slabém signálu a výpadcích. Tady jde o něco jiného: kdo se na vaši síť dostane, co odtamtud vidí a jak mu to vzít, když odejde.

Proč je jedno sdílené heslo na firemní Wi-Fi problém

Zkratka PSK znamená pre-shared key, tedy předsdílený klíč — jedno heslo, které dostane každý, kdo se má připojit. Funguje bez serveru a bez správy, a proto to tak má většina malých firem.

Přístup nejde odebrat jednomu člověku. Když někdo odejde, heslo zná dál. Odvolat ho lze jen změnou pro všechny, což znamená obejít každý notebook, mobil, tiskárnu, čtečku, docházkový terminál, kameru a pokladnu. Právě proto se to typicky neudělá a heslo běží roky beze změny — a mezitím se napsalo na tabuli, poslalo e-mailem a předalo brigádníkovi i servisnímu technikovi.

Nevíte, kdo je připojený, a kdo heslo zná, může poslouchat ostatní. V přehledu klientů vidíte MAC adresu, ne jméno člověka. A kdo zachytí úvodní výměnu klíčů při připojení cizího zařízení a heslo zná, dokáže odvodit šifrovací klíč té relace — uvádí to i RFC 8110 jako důvod, proč vzniklo šifrování otevřených sítí.

Sdílené heslo není hranice mezi lidmi. Je to brána, od které má klíč každý, kdo tu kdy pracoval.

WPA2-PSK vs. WPA3-Personal vs. WPA2/WPA3-Enterprise: srovnání

WPA2-PSKWPA3-Personal (SAE)WPA2/WPA3-Enterprise (802.1X)
Co to jejedno předsdílené heslo pro celou síťjedno heslo, ale s novou výměnou klíčů (SAE)každý má vlastní údaje, ověřuje je RADIUS server
Kdo se dostane dovnitřkdo zná heslokdo zná heslojen ověřený účet nebo certifikát
Odebrání přístupu jednomujen změnou hesla pro všechnyjen změnou hesla pro všechnyzákaz účtu, ostatních se to nedotkne
V logu je vidětMAC adresaMAC adresajméno účtu
Odposlech mezi klientykdo zná heslo, odvodí klíč cizí relacene, každá relace má vlastní klíčne, každá relace má vlastní klíč
Hádání hesla ze záznamu provozuproveditelné offlineSAE offline hádání neumožňujenení co hádat
Pro kohodomácnost, dočasná síť na stavběmalá firma bez serveru, jako mezikrokfirma, kde lidé přicházejí a odcházejí
Co to obnášínicpodporu na přístupových bodech i klientechRADIUS server a správu účtů

Poslední řádek je ten podstatný. Přechod na WPA3 je změna nastavení, přechod na Enterprise změna provozu — někdo musí zakládat a rušit účty. Zato je to jediná varianta, která odpovídá na otázku „odešel nám člověk, co teď”.

Co WPA3 opravdu řeší a co ne

WPA3-Personal nahrazuje starý způsob ověření heslem mechanismem SAE (Simultaneous Authentication of Equals, současné ověření rovnocenných stran). Ze zachyceného provozu se pak nedá heslo zkoušet „doma na stole” — každý pokus vyžaduje novou interakci s přístupovým bodem. Wi-Fi Alliance to shrnuje tak, že uživatelé WPA3-Personal získávají zvýšenou ochranu proti pokusům o uhodnutí hesla. Druhou novinkou jsou chráněné správcovské rámce (PMF) proti podvrhování řídicích zpráv, kterými šlo dřív klienta odpojit; podle Wi-Fi Alliance je PMF vyžadována u všech nově certifikovaných zařízení.

Co WPA3 nevyřeší:

  • Sdílené heslo zůstane sdílené. WPA3-Personal nezná uživatele a odchod zaměstnance řeší stejně špatně jako WPA2-PSK.
  • Smíšený režim oslabuje výsledek. Když na jednom SSID běží současně WPA2 i WPA3 se stejným heslem (transition mode), otevíráte dveře. Mathy Vanhoef a Eyal Ronen v práci Dragonblood ukázali, že útočník může postavit podvrženou síť podporující jen WPA2, klienta do ní stáhnout a na zachycené části výměny pak heslo zkoušet. Síť jen ve WPA3 tímto problémem netrpí — smíšený režim proto zapněte jen na dobu, než dovybavíte klienty.
  • Neaktualizovaná zařízení zůstanou neaktualizovaná. V roce 2017 zveřejnili Vanhoef a Frank Piessens na konferenci ACM CCS útok KRACK, který zneužíval opakované nasazení už použitého klíče a umožňoval dešifrovat nebo podstrčit pakety. Autoři výslovně uvádějí, že útok neprozradí heslo k Wi-Fi a změna hesla proti němu nepomůže — pomohly aktualizace na přístupových bodech i klientech. Zařízení bez aktualizací je samostatný problém bez ohledu na nastavenou šifru.

802.1X a RADIUS: každý svoje přihlášení

802.1X je standard IEEE pro řízení přístupu k síťovému portu. Hrají v něm tři role: klient, přístupový bod nebo switch, a RADIUS server, který jediný rozhoduje o vpuštění — přístupový bod sám žádné heslo nezná.

Přihlašovat se dá dvěma způsoby. EAP-TLS používá certifikát vydaný firmou; uživatel nic nezadává a nemá co vyzradit, cenou je vydávání a obnova certifikátů. PEAP se jménem a heslem je jednodušší na rozjezd, ale klienti musí mít správně nastavené ověřování certifikátu serveru, jinak se dají nalákat na podvrženou síť se stejným názvem.

Co tím firma získá:

  • Odebrání přístupu je jeden úkon. Zakážete účet a člověk je venku, nikdo jiný nic nepřenastavuje. V logu navíc zůstane jméno, takže víte i zpětně, kdo byl kdy připojený.
  • Zařazení do sítě podle účtu. RADIUS umí zařízení podle přihlášení poslat do konkrétní VLAN — účetní skončí jinde než technik, přestože se oba připojili na stejné SSID.
  • Stejné pravidlo i pro zásuvky. Tentýž RADIUS obslouží drátové porty na switchi.

RADIUS server nemusí být další stroj: bývá to role Network Policy Server na Windows Serveru, FreeRADIUS na Linuxu, nebo modul přímo v síťovém prvku.

Co z běžného firemního hardwaru to umí. MikroTik v RouterOS nabízí typy ověření wpa2-psk, wpa3-psk, owe, wpa2-eap, wpa3-eap i wpa3-eap-192 a přístupové body předávají ověřování EAP na RADIUS server — viz dokumentace RouterOS. TP-Link Omada má RADIUS profil a 802.1X pro switche i Wi-Fi včetně přiřazení VLAN podle výsledku ověření, viz nápověda Omada. Ubiquiti UniFi umí WPA2/WPA3 Enterprise proti externímu RADIUS profilu. Hardware v rozvaděči to tedy zvládne, chybí obvykle jen ten server.

Zařízení, která 802.1X neumí — tiskárny, kamery, čtečky, staré terminály — nechte na vlastním SSID ve vlastní VLAN. Ověřování podle MAC adresy je roztřídění provozu, ne bezpečnostní hranice.

Wi-Fi pro hosty, která není dírou do firmy

Síť pro hosty není „druhé SSID se slabším heslem”. Aby dávala smysl, musí splnit čtyři věci najednou:

  1. Vlastní VLAN a podsíť bez cesty do firemní sítě. Host nesmí dosáhnout na sdílené disky, tiskárny, kamery, účetní server ani na administraci síťových prvků.
  2. Izolace klientů. Bez ní sedí návštěva ve stejném segmentu jako notebook obchodního partnera z jiné firmy.
  3. Omezení pásma, aby stahování na mobilu návštěvy nezhoršilo telefonování přes VoIP.
  4. Vlastní přihlášení — rotované heslo, nebo captive portál, tedy přihlašovací stránka, která se otevře po připojení a vydá přístup proti kódu z recepce. Portál sám o sobě provoz nešifruje, řeší jen vpuštění.

Pro hosty existuje ještě Wi-Fi CERTIFIED Enhanced Open, technicky OWE (Opportunistic Wireless Encryption) podle RFC 8110; program spustila Wi-Fi Alliance v roce 2018. Síť se tváří jako otevřená, hosté nic nezadávají, ale každý klient dostane vlastní šifrovací klíč přes Diffie-Hellmanovu výměnu, takže provoz není čitelný pro ostatní v dosahu. Omezení stojí v RFC doslova: oportunistické šifrování neposkytuje ověření. Klient nepozná, jestli se připojuje k vašemu přístupovému bodu, nebo k podvrženému se stejným názvem. OWE je zlepšení proti otevřené síti, ne náhrada přihlášení.

Kamery, tiskárny a účetnictví na jedné síti

Typický stav v malé firmě je jedna plochá síť: jedno SSID, jeden rozsah adres, všechno vidí na všechno. Problém není v tom, že by kamera sama útočila — problém je, že kamera nebo levný IoT prvek roky nedostávají aktualizace, a kdo se přes ně dostane dovnitř, stojí rovnou vedle sdílených disků a účetního serveru.

Přiměřené rozdělení má pět částí: uživatelská zařízení, servery a úložiště, tiskárny, kamery a IoT, hosté. Mezi segmenty povolujte konkrétní provoz konkrétním směrem — tisk z uživatelské VLAN na tiskovou ano, opačně ne. Kamerový systém většinou nepotřebuje ven vůbec; když ano, přes VPN, ne přes port přesměrovaný z internetu. A guest síť není odkladiště: kamera přesunutá „mezi hosty” znamená, že na ni vidí každá návštěva.

Rozdělení do VLAN předpokládá, že víte, kam vede který kabel; pokud tuhle jistotu nemáte, začněte spíš auditem sítě a kabeláže než konfigurací. A jestli řešíte, zda na vás dopadá NIS2, podívejte se, koho se týká zákon č. 264/2025 Sb.

Audit firemní Wi-Fi krok za krokem

Zabere to odpoledne a výsledkem je seznam rozhodnutí, ne pocit.

  1. Vypište všechna SSID, která vysíláte. Včetně zapomenutých: starý přístupový bod ve skladu, síť od dodavatele pokladního systému, „Test”, „Guest2”. Co nikdo nepoužívá, vypněte.
  2. Ke každému SSID zjistěte typ zabezpečení. Otevřená síť bez důvodu pryč, WEP nebo staré WPA bez dvojky na okamžitou výměnu. WPA2-PSK je kandidát na WPA3 nebo Enterprise.
  3. Sepište jmenně, kdo zná heslo. Připočtěte bývalé zaměstnance, brigádníky, externí techniky a návštěvy. Zkontrolujte, jestli není napsané na tabuli, v e-mailu nebo ve skupinovém chatu.
  4. Zjistěte, kdy se heslo naposledy měnilo a co by změna stála dnes. Vypište každé zařízení, které by se muselo přenastavit. Délka toho seznamu je odpověď na otázku, jestli je PSK ještě udržitelné.
  5. Udělejte inventuru připojených zařízení. Seznam z DHCP a z přehledu klientů projděte položku po položce: notebook, mobil, tiskárna, kamera, IoT, server. Co nepoznáte, dohledejte.
  6. Ověřte, kdo sousedí s účetnictvím. Z běžného notebooku zkuste otevřít webové rozhraní kamery, tiskárny a sdílený disk. Jestli všechno projde bez omezení, síť není rozdělená.
  7. Otestujte hostovskou síť z pozice hosta. Zkuste dosáhnout na firemní tiskárnu, NAS, kameru a administraci routeru. Nic z toho nesmí projít; ověřte i to, jestli vidíte jiné hosty.
  8. Zkontrolujte správu prvků. Výchozí hesla do administrace, přístupnost admin rozhraní z hostovské sítě a z internetu, verzi firmwaru a datum poslední aktualizace u každého prvku.
  9. Výsledek zapište. Seznam SSID, k čemu každé je, kdo má přístup, kde je heslo uložené a kdy se to bude revidovat.

Co s výsledkem udělat

Hned: vypnout nepoužívaná SSID, oddělit hosty do vlastní VLAN s izolací klientů, aktualizovat firmware, přesunout kamery a IoT do vlastního segmentu, změnit firemní heslo a uložit ho do správce hesel místo do e-mailu.

V řádu týdnů: zapnout WPA3 tam, kde ho klienti umí, oddělit tiskárny a kancelářskou techniku a sepsat pravidla mezi segmenty.

Cílový stav: 802.1X s RADIUS serverem pro zaměstnance a sdílené heslo jen pro zařízení, která jinak neumí, na vlastní oddělené VLAN. Pokud to ve firmě nemá kdo dělat, je to otázka rozsahu externí správy — orientaci nabízí přehled kolik stojí správa IT pro malou firmu.

ITHOPE (Brno) dělá audit a přestavbu firemní Wi-Fi: zmapování SSID a připojených zařízení, návrh segmentace do VLAN, nasazení WPA3 nebo 802.1X s RADIUS serverem, oddělenou síť pro hosty a průběžnou správu sítě. Navazuje na to správa IT a zálohování, protože rozdělená síť má smysl teprve tehdy, když jsou k ní i použitelné zálohy. Ostatní služby najdete v přehledu IT pro firmy.

Zdroje