Nowy router może oferować WPA3, ale starszy laptop, drukarka lub urządzenie smart home nie zawsze będzie z nim współpracować. Wybór między WPA2 a WPA3 powinien więc uwzględniać zarówno bezpieczeństwo sieci, jak i zgodność posiadanego sprzętu. W wielu domach najlepszym rozwiązaniem nie będzie rezygnacja z WPA3, lecz odpowiednie połączenie nowych i starszych standardów.
Czym różni się WPA2 od WPA3?
WPA2 przez wiele lat pozostawał podstawowym standardem zabezpieczania domowych sieci Wi-Fi. W przypadku sieci domowych najczęściej wykorzystywany jest wariant WPA2-Personal, chroniony wspólnym hasłem.
WPA3 jest jego nowszym następcą. Najważniejszą zmianą w WPA3-Personal jest zastosowanie mechanizmu SAE, czyli Simultaneous Authentication of Equals. Zastępuje on sposób uwierzytelniania stosowany w WPA2-Personal.
Ma to znaczenie szczególnie wtedy, gdy hasło do sieci nie jest bardzo mocne. WPA3 zapewnia lepszą ochronę przed próbami łamania haseł na podstawie przechwyconych danych uwierzytelniających.
Nie oznacza to jednak, że WPA2 automatycznie stał się bezużyteczny. WPA2-Personal z szyfrowaniem AES nadal jest znacznie lepszym wyborem niż stare WPA lub WEP, szczególnie gdy dane urządzenie nie potrafi korzystać z WPA3.
| Cecha | WPA2-Personal AES | WPA3-Personal |
| Zgodność ze starszym sprzętem | Bardzo dobra | Ograniczona w starszych urządzeniach |
| Bezpieczeństwo | Dobre przy poprawnej konfiguracji | Wyższe |
| Uwierzytelnianie | PSK | SAE |
| Odporność na ataki słownikowe offline | Niższa | Wyższa |
| Zastosowanie | Starsze i mieszane środowiska | Nowoczesne urządzenia |
| Problemy ze starszym IoT | Rzadkie | Mogą występować |
Dlaczego starsze urządzenia mogą nie obsługiwać WPA3?
Obsługa WPA3 nie zależy wyłącznie od wieku urządzenia. Liczy się również układ Wi-Fi, sterownik, system operacyjny oraz oprogramowanie producenta.
Dlatego dwa urządzenia kupione w podobnym okresie mogą zachowywać się zupełnie inaczej. Jeden laptop może otrzymać obsługę WPA3 dzięki aktualizacji sterownika, a inny pozostanie zgodny wyłącznie z WPA2.
Problem często dotyczy urządzeń IoT. Starsze kamery, drukarki, inteligentne gniazdka, żarówki czy sterowniki domowe były projektowane z myślą o WPA2.
Po ustawieniu routera na WPA3-only takie urządzenie może nie widzieć sieci albo wyświetlać błąd podczas łączenia. Samo poprawne hasło nie rozwiąże wtedy problemu.
Nie oznacza to również, że problem zawsze dotyczy pasma 2,4 GHz. Standard zabezpieczeń i częstotliwość Wi-Fi to dwie różne kwestie. Urządzenie może wymagać jednocześnie pasma 2,4 GHz oraz WPA2.
Czy WPA2 jest nadal bezpieczne dla starszego sprzętu?
Jeżeli starsze urządzenie nie obsługuje WPA3, rozsądnym rozwiązaniem pozostaje WPA2-Personal z AES. Kluczowe jest właśnie używanie AES, a nie starszego TKIP.
Duże znaczenie ma także hasło. Powinno być długie, trudne do przewidzenia i niewykorzystywane w innych usługach. Nazwa psa i rok urodzenia nie są najlepszą strategią zabezpieczania domowej sieci.
WPA2 ma jednak ograniczenia, których nie można całkowicie usunąć mocnym hasłem. WPA3 został zaprojektowany między innymi po to, aby lepiej chronić proces uwierzytelniania.
Dlatego nie ma powodu pozostawać przy WPA2 na wszystkich urządzeniach tylko dlatego, że jeden stary sprzęt wymaga tego standardu. Lepszym rozwiązaniem może być tryb mieszany albo osobna sieć dla starszych klientów.
Co daje WPA3 w domowej sieci?
Największą zmianą z punktu widzenia użytkownika jest sposób sprawdzania hasła.
W WPA2 atakujący może w określonych warunkach przechwycić dane związane z uwierzytelnianiem i później wykonywać próby odgadnięcia hasła poza siecią. Dlatego słabe hasło stanowi szczególnie duże ryzyko.
WPA3-Personal wykorzystuje SAE. Mechanizm ten znacznie utrudnia klasyczne ataki słownikowe wykonywane offline.
WPA3 zwiększa również wymagania dotyczące ochrony komunikacji wykorzystywanej do zarządzania połączeniem Wi-Fi. Cały standard został zaprojektowany jako kolejny etap zabezpieczania sieci bezprzewodowych.
Nie warto jednak traktować WPA3 jako zamiennika innych zasad bezpieczeństwa. Nadal potrzebne są aktualizacje routera, dobre hasło oraz rozsądne oddzielenie niezaufanych urządzeń od ważnych komputerów i danych.
WPA2/WPA3 Transitional – najlepszy kompromis dla starszych urządzeń?
Wiele współczesnych routerów oferuje tryb nazwany WPA2/WPA3 Transitional, WPA2/WPA3 Personal albo podobnie.
Router udostępnia wtedy jedną sieć, ale obsługuje dwa sposoby uwierzytelniania. Nowoczesne urządzenie kompatybilne z WPA3 może korzystać z WPA3. Starszy sprzęt łączy się natomiast przez WPA2.
To wygodne rozwiązanie, gdy w domu znajdują się przykładowo:
- nowe smartfony i komputery obsługujące WPA3,
- kilkuletni telewizor,
- starsza drukarka,
- urządzenia smart home działające tylko z WPA2.
Tryb mieszany nie oznacza automatycznie, że wszystkie urządzenia korzystają z WPA2. Poziom zabezpieczenia może różnić się pomiędzy klientami.
Jednocześnie sieć nadal dopuszcza urządzenia WPA2. Nie zapewnia więc tak jednolitego poziomu ochrony jak sieć działająca wyłącznie w WPA3.
Kiedy wybrać WPA3-only?
Tryb WPA3-Personal warto ustawić, gdy wszystkie regularnie używane urządzenia poprawnie go obsługują.
Dotyczy to szczególnie sieci, w której znajdują się przede wszystkim nowsze smartfony, laptopy, tablety i sprzęt sieciowy. Po zmianie ustawienia należy jednak sprawdzić wszystkie mniej oczywiste urządzenia.
Często dopiero później okazuje się, że dostęp do sieci straciła drukarka, kamera albo inteligentny sterownik używany kilka razy w miesiącu.
Jeżeli wszystko działa prawidłowo, WPA3-only zapewnia najprostszą drogę do wykorzystania nowszego standardu bez utrzymywania zgodności z WPA2.
Kiedy lepiej pozostać przy WPA2/WPA3?
Tryb przejściowy będzie rozsądniejszy, jeśli domowa sieć zawiera mieszankę nowych i starszych urządzeń.
Pozwala on uniknąć wymiany sprawnego sprzętu wyłącznie dlatego, że nie obsługuje WPA3. Jest to szczególnie istotne w przypadku drukarek, urządzeń IoT czy starszych telewizorów.
Nie trzeba więc wymieniać kilkuletniej drukarki tylko po to, aby uruchomić WPA3 na nowym telefonie. Tryb WPA2/WPA3 pozwala wykorzystać możliwości nowszych urządzeń i zachować zgodność ze starszymi.
Warto jednak sprawdzić działanie każdego urządzenia po zmianie konfiguracji. Niektóre starsze konstrukcje mogą mieć problemy nawet z siecią działającą w trybie przejściowym.
Co zrobić, gdy jedno urządzenie nie działa z WPA3?
Najpierw warto sprawdzić aktualizacje systemu, firmware’u oraz sterownika Wi-Fi. Obsługa zabezpieczeń bezprzewodowych nie zawsze zależy wyłącznie od samego sprzętu.
Jeżeli aktualizacja nie pomaga, można przełączyć router na WPA2/WPA3 Transitional. W większości domowych sieci będzie to pierwszy rozsądny kompromis.
Jeśli problem nadal występuje, lepszym rozwiązaniem może być stworzenie dodatkowej sieci dla starszego sprzętu. Główna sieć może wtedy działać w WPA3, a dodatkowa w WPA2-Personal AES.
Takie rozwiązanie jest szczególnie sensowne dla sprzętu IoT. Jeżeli router pozwala tworzyć sieci gościnne, VLAN-y albo blokować urządzeniom dostęp do lokalnej sieci, można dodatkowo ograniczyć ich uprawnienia.
Starsza kamera czy inteligentne gniazdko zwykle nie potrzebują dostępu do plików znajdujących się na komputerze. Oddzielenie takich urządzeń może być ważniejsze niż samo przełączenie WPA2 na WPA3.
Czy warto wymieniać starsze urządzenia tylko z powodu braku WPA3?
Nie zawsze. Brak WPA3 nie oznacza automatycznie, że urządzenie trzeba wyrzucić.
Jeżeli sprzęt działa prawidłowo, otrzymuje aktualizacje i może korzystać z WPA2-AES, jego dalsze używanie może być rozsądne. Szczególnie gdy można umieścić go w osobnej sieci.
Inaczej wygląda sytuacja w przypadku urządzeń, które od dawna nie otrzymują aktualizacji bezpieczeństwa, mają znane podatności albo wymagają bardzo starych standardów Wi-Fi.
Jeżeli urządzenie wymaga WEP, WPA lub TKIP, problem jest poważniejszy niż sam brak WPA3. Nie warto obniżać bezpieczeństwa całej domowej sieci dla pojedynczego przestarzałego urządzenia.
W takim przypadku wymiana sprzętu może być rozsądniejsza niż utrzymywanie słabych zabezpieczeń.
Jak ustawić WPA2 i WPA3 bez niepotrzebnych wydatków?
Najpierw warto sprawdzić, jakie urządzenia rzeczywiście nie obsługują WPA3. Nie należy zakładać, że każdy kilkuletni sprzęt będzie z nim niezgodny.
Jeżeli wszystkie urządzenia działają z WPA3, można wybrać WPA3-Personal.
Jeżeli kilka starszych urządzeń wymaga WPA2, najprostsze będzie ustawienie WPA2/WPA3 Transitional.
Jeśli tylko pojedyncze urządzenia IoT potrzebują WPA2, lepszym wariantem może być pozostawienie głównej sieci WPA3 i utworzenie osobnego SSID z WPA2-AES.
Nie ma natomiast potrzeby kupowania nowego laptopa, telefonu czy drukarki tylko dlatego, że urządzenie nie obsługuje WPA3. Najpierw warto wykorzystać możliwości konfiguracji routera.
Dopiero gdy router nie oferuje WPA3, nie otrzymuje aktualizacji lub nie pozwala rozsądnie oddzielić starszych urządzeń, wymiana sprzętu sieciowego zaczyna mieć więcej sensu.
Jakich ustawień zabezpieczeń Wi-Fi lepiej nie używać?
Niezależnie od wieku urządzeń należy unikać WEP oraz starego WPA. Są to rozwiązania przestarzałe i nie powinny być stosowane jako sposób na zwiększenie kompatybilności.
Problematyczny jest również TKIP. Jeżeli router pozwala wybrać WPA2 z AES albo WPA2 z TKIP, należy wybrać AES.
Nie warto też pozostawiać otwartej sieci tylko dlatego, że starsze urządzenie ma problemy z logowaniem. Wyłączenie zabezpieczeń rozwiązuje problem kompatybilności kosztem znacznie poważniejszego problemu bezpieczeństwa.
Jeżeli urządzenie nie potrafi połączyć się nawet z WPA2-AES, rozsądniej rozważyć jego wymianę niż osłabiać zabezpieczenia całej sieci.
WPA2 czy WPA3 w starszych urządzeniach – które rozwiązanie ma najwięcej sensu?
WPA3 powinno być domyślnym wyborem dla urządzeń, które je obsługują. Zapewnia nowsze mechanizmy bezpieczeństwa i lepszą ochronę procesu uwierzytelniania.
Starszy sprzęt nie musi jednak oznaczać rezygnacji z WPA3 w całym domu. Tryb WPA2/WPA3 pozwala połączyć bezpieczeństwo z kompatybilnością bez kupowania nowych urządzeń na siłę.
Jeszcze lepszym rozwiązaniem przy pojedynczych starszych urządzeniach może być oddzielna sieć WPA2-AES dla IoT, podczas gdy główna sieć korzysta wyłącznie z WPA3.
Najmniej opłacalnym rozwiązaniem jest obniżanie bezpieczeństwa wszystkich urządzeń tylko po to, aby utrzymać przy życiu jeden sprzęt wymagający WEP, WPA lub TKIP. W takiej sytuacji wymiana przestarzałego urządzenia zaczyna mieć znacznie więcej sensu.
