WPA2

WPA2 (ang. Wi‑Fi Protected Access 2) to zestaw protokołów i mechanizmów zabezpieczających połączenia bezprzewodowe w sieciach Wi‑Fi. Jest to druga wersja standardu WPA i opiera się na specyfikacji IEEE 802.11i, wprowadzając szyfrowanie oparte na AES oraz tryb CCMP. Standard ten stał się powszechnie używany od połowy 2000‑tych lat, zastępując starsze rozwiązania WEP i TKIP.

Historia

Po odkryciu poważnych luk w WEP w latach 2001‑2003, organizacja IEEE opracowała poprawkę – IEEE 802.11i. W 2004 roku firma Cisco wprowadziła tymczasowe rozwiązanie WPA, które wykorzystywało TKIP. Pełna wersja WPA2, oparta na AES i CCMP, została zatwierdzona w 2004 roku i od tego czasu jest uznawana za domyślny standard zabezpieczeń w sieciach Wi‑Fi.

Podstawowe tryby działania

• WPA2‑PSK (Pre‑Shared Key) – najprostszy tryb, przeznaczony głównie do małych sieci domowych i biurowych. Użytkownik wprowadza wspólny klucz, który jest wykorzystywany do generowania sesyjnych kluczy szyfrujących.
• WPA2‑Enterprise – przeznaczony dla organizacji. Wykorzystuje IEEE 802.1X jako mechanizm uwierzytelniania, a do autentykacji stosuje się serwery RADIUS oraz protokoły EAP (np. EAP‑TLS, EAP‑TTLS).

Technologie kryptograficzne

WPA2 wprowadza dwie główne metody szyfrowania:

1. TKIP (Temporal Key Integrity Protocol) – dostępny w trybie WPA i opcjonalnie w WPA2 w celu kompatybilności ze starszymi urządzeniami. Zapewnia dynamiczną zmianę kluczy, ale ma niższą odporność na ataki niż AES.
2. AES‑CCMP (Advanced Encryption Standard – Counter Mode with Cipher Block Chaining Message Authentication Code Protocol) – domyślna metoda w WPA2. Umożliwia silne szyfrowanie danych i integralność wiadomości, wykorzystując kryptografię symetryczną oraz tryb CCM.

Procedury uwierzytelniania

W trybie WPA2‑Enterprise uwierzytelnianie przebiega według schematu:

1. Klient (stacja) nawiązuje połączenie i żąda uwierzytelnienia przez IEEE 802.1X.
2. Serwer RADIUS weryfikuje tożsamość klienta przy użyciu wybranego protokołu EAP.
3. Po pomyślnym uwierzytelnieniu, serwer przekazuje klucz Pairwise Master Key (PMK), z którego generowane są sesyjne klucze szyfrujące.

Słabości i podatności

Mimo że WPA2 jest znacznie bezpieczniejszy niż jego poprzednicy, w latach 2017‑2018 odkryto krytyczną podatność znaną jako KRACK (Key Reinstallation Attack). Atak ten wykorzystuje ręczne manipulowanie procesem wymiany kluczy w protokole 4‑way handshake, co może doprowadzić do odszyfrowania ruchu, wstrzyknięcia danych lub przejęcia kontroli nad sesją. Producentom zalecono szybkie wdrożenie poprawek (patchy) oraz wyłączenie nieużywanych trybów TKIP.

WPA3 – następca WPA2

W odpowiedzi na rosnące wymagania bezpieczeństwa oraz pojawiające się luki, w 2018 roku Wi‑Fi Alliance wprowadziła WPA3. Standard ten zapewnia:

• Ulepszoną ochronę przed atakami słownikowymi dzięki mechanizmowi Simultaneous Authentication of Equals (SAE).
• Większą odporność na ataki typu man‑in‑the‑middle w trybie WPA2‑Enterprise poprzez wykorzystanie 192‑bitowego szyfrowania.

Mimo iż WPA3 jest zalecanym standardem dla nowych instalacji, WPA2 nadal pozostaje szeroko stosowany w istniejących sieciach.

Zastosowanie

W praktyce WPA2 jest wykorzystywany w:

• Domowych i prywatnych sieciach Wi‑Fi – jako domyślna metoda szyfrowania AP.
• Sieciach korporacyjnych – w trybie WPA2‑Enterprise z centralnym serwerem RADIUS.
• Urządzeniach mobilnych, laptopach, drukarkach i punktach dostępu Hotspot.

Przyszłość i rekomendacje

Specjaliści ds. bezpieczeństwa zalecają:

1. Używanie trybu WPA2‑Enterprise w środowiskach o podwyższonym ryzyku.
2. Wyłączanie obsługi TKIP i korzystanie wyłącznie z AES‑CCMP.
3. Regularne aktualizowanie oprogramowania sprzętowego (firmware) w celu ochrony przed KRACK i innymi nowo odkrytymi podatnościami.
4. Rozważenie migracji do WPA3, zwłaszcza w nowych instalacjach.

Zobacz także

• WPA
• WPA3
• Wi‑Fi
• IEEE 802.11
• KRACK
• RADIUS
• EAP
• AES
• CCMP