Корпоративний Wi-Fi без спільного пароля: WPA3, 802.1X і гостьова мережа

Коротка відповідь: Один пароль, яким користується вся компанія, створює проблему, оскільки його неможливо відкликати лише в однієї людини. Після звільнення працівника довелося б переналаштувати кожен ноутбук, телефон, принтер і камеру, а на практиці цього зазвичай не роблять. WPA3-Personal підвищує стійкість пароля до вгадування, але спільний пароль залишається спільним. Індивідуальний доступ забезпечує лише 802.1X із сервером RADIUS: кожен має власні облікові дані, а відкликати доступ можна за хвилину. Гостьова мережа має працювати в окремій VLAN, з ізоляцією клієнтів і без доступу до корпоративної мережі.

Про швидкість і покриття розповідаємо в окремій статті про слабкий сигнал і перебої. Тут ідеться про інше: хто може підключитися до вашої мережі, що він у ній бачить і як позбавити його доступу після звільнення.

Чому один спільний пароль корпоративного Wi-Fi — це проблема

Абревіатура PSK означає pre-shared key, тобто попередньо узгоджений ключ — один пароль для всіх, кому потрібно підключитися. Для цього не потрібні ані сервер, ані адміністрування, тому саме так Wi-Fi налаштований у більшості малих компаній.

Неможливо відкликати доступ лише в однієї людини. Якщо працівник звільняється, він і далі знає пароль. Позбавити його доступу можна лише змінивши пароль для всіх, а отже, доведеться переналаштувати кожен ноутбук, телефон, принтер, зчитувач, термінал обліку робочого часу, камеру та касу. Саме тому пароль зазвичай не змінюють роками — тим часом його встигають написати на дошці, надіслати електронною поштою та передати тимчасовому працівникові й сервісному техніку.

Ви не знаєте, хто підключений, а той, хто знає пароль, може перехоплювати трафік інших. У списку клієнтів видно MAC-адресу, а не ім’я людини. Якщо хтось перехопить початковий обмін ключами під час підключення чужого пристрою та знає пароль, він зможе отримати ключ шифрування цього сеансу. Це зазначено і в RFC 8110 як одна з причин появи шифрування відкритих мереж.

Спільний пароль не створює межі між людьми. Це ключ від воріт, який має кожен, хто будь-коли тут працював.

WPA2-PSK, WPA3-Personal і WPA2/WPA3-Enterprise: порівняння

WPA2-PSKWPA3-Personal (SAE)WPA2/WPA3-Enterprise (802.1X)
Що цеодин попередньо узгоджений пароль для всієї мережіодин пароль, але з новим механізмом обміну ключами (SAE)кожен має власні облікові дані, які перевіряє сервер RADIUS
Хто отримає доступтой, хто знає парольтой, хто знає парольлише користувач із підтвердженим обліковим записом або сертифікатом
Відкликання доступу в однієї людинилише зміною пароля для всіхлише зміною пароля для всіхблокуванням облікового запису без впливу на інших
Що видно в журналіMAC-адресуMAC-адресуім’я облікового запису
Перехоплення трафіку між клієнтамитой, хто знає пароль, може отримати ключ чужого сеансуні, кожен сеанс має власний ключні, кожен сеанс має власний ключ
Вгадування пароля із записаного трафікуможливе офлайнSAE не допускає офлайн-вгадуваннянемає пароля, який можна було б вгадувати
Для когодомогосподарство, тимчасова мережа на будівельному майданчикумала компанія без сервера, як проміжний етапкомпанія, у якій працівники приходять і звільняються
Що для цього потрібнонічогопідтримка на точках доступу та клієнтських пристрояхсервер RADIUS і керування обліковими записами

Останній рядок — найважливіший. Перехід на WPA3 — це зміна налаштувань, а перехід на Enterprise — зміна робочого процесу: хтось має створювати й видаляти облікові записи. Водночас це єдиний варіант, який відповідає на запитання: «Працівник звільнився — що тепер робити?»

Що насправді вирішує WPA3, а що — ні

WPA3-Personal замінює старий спосіб перевірки пароля механізмом SAE (Simultaneous Authentication of Equals, одночасна автентифікація рівноправних сторін). Після цього пароль не можна підбирати «вдома за столом» із перехопленого трафіку — кожна спроба потребує нової взаємодії з точкою доступу. Wi-Fi Alliance пояснює це так: користувачі WPA3-Personal отримують посилений захист від спроб угадати пароль. Інше нововведення — захищені кадри керування (PMF), які протидіють підробленню керувальних повідомлень, за допомогою яких раніше можна було від’єднати клієнта. За даними Wi-Fi Alliance, PMF є обов’язковою для всіх нових сертифікованих пристроїв.

Чого WPA3 не вирішує:

  • Спільний пароль залишається спільним. WPA3-Personal не розрізняє користувачів і так само погано вирішує проблему звільнення працівника, як WPA2-PSK.
  • Змішаний режим послаблює захист. Якщо на одному SSID одночасно працюють WPA2 і WPA3 з однаковим паролем (transition mode), ви залишаєте відкриті двері. Mathy Vanhoef та Eyal Ronen у дослідженні Dragonblood показали, що зловмисник може створити підроблену мережу, яка підтримує лише WPA2, змусити клієнта підключитися до неї, а потім підбирати пароль за перехопленою частиною обміну. Мережа, що працює лише з WPA3, не має цієї проблеми, тому змішаний режим варто вмикати тільки на час оновлення клієнтських пристроїв.
  • Неоновлені пристрої залишаться неоновленими. У 2017 році Vanhoef і Frank Piessens представили на конференції ACM CCS атаку KRACK, яка використовувала повторне встановлення вже застосованого ключа та давала змогу розшифровувати або підміняти пакети. Автори прямо зазначають, що атака не розкриває пароль Wi-Fi, а зміна пароля від неї не захищає — допомогли оновлення точок доступу та клієнтських пристроїв. Пристрій без оновлень залишається окремою проблемою незалежно від налаштованого шифрування.

802.1X і RADIUS: окремі облікові дані для кожного

802.1X — це стандарт IEEE для керування доступом до мережевого порту. У ньому беруть участь три сторони: клієнт, точка доступу або комутатор і сервер RADIUS, який одноосібно вирішує, чи дозволити підключення. Сама точка доступу не знає жодного пароля.

Увійти можна двома способами. EAP-TLS використовує виданий компанією сертифікат: користувач нічого не вводить і не має секрету, який міг би розголосити, але компанія повинна випускати й оновлювати сертифікати. PEAP з іменем користувача та паролем простіше впровадити, однак клієнтські пристрої мають правильно перевіряти сертифікат сервера. Інакше їх можна заманити до підробленої мережі з такою самою назвою.

Що отримує компанія:

  • Відкликання доступу виконується однією дією. Ви блокуєте обліковий запис — і людина втрачає доступ, а всім іншим не потрібно нічого переналаштовувати. У журналі залишається ім’я, тому можна згодом з’ясувати, хто й коли був підключений.
  • Розподіл мережею відповідно до облікового запису. RADIUS може на основі даних входу спрямувати пристрій до певної VLAN: бухгалтер потрапить до іншого сегмента, ніж технік, хоча обидва підключилися до одного SSID.
  • Ті самі правила для дротових портів. Той самий RADIUS може обслуговувати порти комутатора.

Сервер RADIUS не обов’язково має бути окремим комп’ютером. Це може бути роль Network Policy Server у Windows Server, FreeRADIUS у Linux або модуль безпосередньо в мережевому пристрої.

Яке поширене корпоративне обладнання це підтримує. MikroTik у RouterOS пропонує типи автентифікації wpa2-psk, wpa3-psk, owe, wpa2-eap, wpa3-eap і wpa3-eap-192, а точки доступу передають EAP-автентифікацію серверу RADIUS — див. документацію RouterOS. TP-Link Omada має профіль RADIUS і підтримує 802.1X для комутаторів та Wi-Fi, включно з призначенням VLAN за результатом автентифікації, див. довідку Omada. Ubiquiti UniFi підтримує WPA2/WPA3 Enterprise із зовнішнім профілем RADIUS. Отже, обладнання в мережевій шафі зазвичай це вже вміє — найчастіше бракує лише сервера.

Пристрої, які не підтримують 802.1X, — принтери, камери, зчитувачі та старі термінали — залиште на окремому SSID у власній VLAN. Автентифікація за MAC-адресою допомагає розподілити трафік, але не є межею безпеки.

Гостьовий Wi-Fi, який не відкриває шлях до мережі компанії

Гостьова мережа — це не «другий SSID зі слабшим паролем». Щоб вона виконувала своє призначення, потрібно одночасно забезпечити чотири умови:

  1. Окрема VLAN і підмережа без доступу до корпоративної мережі. Гість не повинен мати доступу до спільних дисків, принтерів, камер, бухгалтерського сервера чи адміністрування мережевих пристроїв.
  2. Ізоляція клієнтів. Без неї відвідувач опиняється в одному сегменті з ноутбуком ділового партнера з іншої компанії.
  3. Обмеження пропускної здатності, щоб завантаження файлів на телефон відвідувача не погіршувало якість дзвінків через VoIP.
  4. Окремий спосіб входу — пароль, який регулярно змінюють, або captive portal, тобто сторінка входу, яка відкривається після підключення та надає доступ за кодом із рецепції. Сам портал не шифрує трафік, а лише контролює допуск до мережі.

Для гостей також існує Wi-Fi CERTIFIED Enhanced Open, технічно OWE (Opportunistic Wireless Encryption) відповідно до RFC 8110. Програму запустила Wi-Fi Alliance у 2018 році. Мережа виглядає відкритою, гостям не потрібно нічого вводити, але кожен клієнт отримує власний ключ шифрування через обмін Діффі — Геллмана, тому інші пристрої в зоні покриття не можуть прочитати його трафік. Обмеження прямо зазначене в RFC: опортуністичне шифрування не забезпечує автентифікації. Клієнт не розпізнає, чи підключається він до вашої точки доступу, чи до підробленої з такою самою назвою. OWE краще за звичайну відкриту мережу, але не замінює автентифікацію.

Камери, принтери та бухгалтерія в одній мережі

Типова ситуація в малій компанії — одна пласка мережа: один SSID, один діапазон адрес, усі пристрої бачать один одного. Проблема не в тому, що камера сама почне атакувати. Проблема в тому, що камери та дешеві IoT-пристрої роками не отримують оновлень, а той, хто проникне через них, одразу опиниться поруч зі спільними дисками та бухгалтерським сервером.

Доцільний поділ охоплює п’ять сегментів: користувацькі пристрої, сервери та сховища, принтери, камери й IoT, гості. Між сегментами дозволяйте лише конкретний трафік у конкретному напрямку: друк із користувацької VLAN у VLAN принтерів — так, зворотний доступ — ні. Система відеоспостереження зазвичай узагалі не потребує зовнішнього доступу. Якщо потребує, використовуйте VPN, а не перенаправлений з інтернету порт. І гостьова мережа — не місце для зайвих пристроїв: камера, переміщена «до гостей», стає доступною кожному відвідувачеві.

Поділ на VLAN передбачає, що ви знаєте, куди прокладено кожен кабель. Якщо такої впевненості немає, краще почати з аудиту мережі та кабельної інфраструктури, а не з налаштування. Якщо ви з’ясовуєте, чи поширюється на вас NIS2, прочитайте, кого стосується zákon č. 264/2025 Sb.

Покроковий аудит корпоративного Wi-Fi

Він займе один робочий день, а результатом стане перелік рішень, а не суб’єктивне враження.

  1. Запишіть усі SSID, які транслюєте. Не забудьте про стару точку доступу на складі, мережу постачальника касової системи, «Test» або «Guest2». Вимкніть усе, чим ніхто не користується.
  2. Для кожного SSID визначте тип захисту. Відкриту мережу без обґрунтованої потреби приберіть, а WEP або старий WPA без двійки замініть негайно. WPA2-PSK варто перевести на WPA3 або Enterprise.
  3. Складіть поіменний список усіх, хто знає пароль. Додайте колишніх працівників, тимчасовий персонал, зовнішніх техніків і відвідувачів. Перевірте, чи не записаний пароль на дошці та чи не надсилали його електронною поштою або в груповому чаті.
  4. З’ясуйте, коли пароль змінювали востаннє та скільки зусиль потребувала б його зміна сьогодні. Запишіть кожен пристрій, який довелося б переналаштувати. Довжина цього списку й покаже, чи залишається PSK придатним для використання.
  5. Проведіть інвентаризацію підключених пристроїв. Перегляньте список DHCP і перелік клієнтів пункт за пунктом: ноутбук, телефон, принтер, камера, IoT, сервер. Ідентифікуйте все, чого не впізнаєте.
  6. Перевірте, які пристрої перебувають в одному сегменті з бухгалтерією. Зі звичайного ноутбука спробуйте відкрити вебінтерфейси камери та принтера, а також спільний диск. Якщо все доступне без обмежень, мережу не сегментовано.
  7. Протестуйте гостьову мережу з позиції гостя. Спробуйте підключитися до корпоративного принтера, NAS, камери та панелі адміністрування маршрутизатора. Жодна спроба не повинна бути успішною. Також перевірте, чи видно інші гостьові пристрої.
  8. Перевірте адміністрування обладнання. Зверніть увагу на стандартні паролі адміністратора, доступність панелі керування з гостьової мережі та інтернету, версію прошивки й дату останнього оновлення кожного пристрою.
  9. Задокументуйте результат. Запишіть усі SSID, призначення кожного з них, хто має доступ, де зберігається пароль і коли відбудеться наступна перевірка.

Що робити з результатами

Негайно: вимкніть невикористовувані SSID, перемістіть гостей до окремої VLAN з ізоляцією клієнтів, оновіть прошивки, перенесіть камери й IoT до власного сегмента, змініть корпоративний пароль і зберігайте його в менеджері паролів, а не в електронній пошті.

Протягом кількох тижнів: увімкніть WPA3 там, де його підтримують клієнтські пристрої, відокремте принтери й офісне обладнання та визначте правила обміну даними між сегментами.

Цільовий стан: 802.1X із сервером RADIUS для працівників, а спільний пароль — лише для пристроїв, які не підтримують інший спосіб підключення, у власній ізольованій VLAN. Якщо в компанії нікому цим займатися, необхідний обсяг зовнішнього адміністрування допоможе оцінити огляд вартості ІТ-підтримки для малої компанії.

ITHOPE (Brno) проводить аудит і перебудову корпоративного Wi-Fi: картування SSID та підключених пристроїв, проєктування сегментації на VLAN, упровадження WPA3 або 802.1X із сервером RADIUS, створення окремої гостьової мережі та постійне адміністрування. Доповненням є ІТ-підтримка та резервне копіювання, адже сегментована мережа має сенс лише разом із придатними до відновлення резервними копіями. Інші послуги представлені в огляді ІТ для компаній.

Джерела

Де нас знайти

ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.

Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).