WPA3 kryptering

WPA3 kryptering er betegnelsen for den nyeste udgave af Wi-Fi Protected Access, en sikkerhedsstandard der beskytter trådløse netværk mod aflytning, uautoriseret adgang og gæt af adgangskoder. Standarden er udviklet af Wi-Fi Alliance og afløser den tidligere udgave WPA2 som den anbefalede metode til at kryptere trafikken mellem en router og de enheder, der er tilsluttet netværket. WPA3 bygger videre på den grundlæggende idé fra tidligere Wi-Fi-standarder, men bruger stærkere krypteringsalgoritmer og en mere sikker måde at godkende enheder på.

I praksis mærker de fleste brugere ikke den tekniske forskel, fordi WPA3 arbejder i baggrunden, når man opretter forbindelse til et trådløst netværk.

Logger man for eksempel på hjemmenetværket med en smartphone, en bærbar computer og en robotstøvsuger, sørger WPA3 for, at hver enkelt forbindelse bliver krypteret for sig, så en person i naboopgangen ikke bare kan opfange og læse den samme trafik, fordi vedkommende kender netværkets adgangskode.

Hvordan fungerer WPA3-kryptering rent teknisk?

Den vigtigste tekniske ændring i WPA3 er, hvordan enheder godkender sig over for netværket. Hvor WPA2 brugte en fælles delt nøgle (Pre-Shared Key, PSK) til alle enheder, erstatter WPA3 denne metode med Simultaneous Authentication of Equals (SAE), også kaldet Dragonfly-handshake. SAE gør det muligt, at selv hvis en angriber opfanger data fra selve håndtrykket mellem enhed og router, kan de ikke bruge de data til at gætte adgangskoden offline, sådan som det var muligt at forsøge med WPA2.

WPA3 tilføjer desuden det, der kaldes forward secrecy. Det betyder, at hver forbindelse får sin egen unikke krypteringsnøgle, så en angriber, der på et tidspunkt får fat i netværkets adgangskode, ikke automatisk kan gå tilbage og dekryptere tidligere opsamlet trafik.

Til selve krypteringen af data bruger WPA3 GCMP-256 i stedet for den 128-bit kryptering, der blev brugt tidligere, mens nøgleudvekslingen beskyttes med en 384-bit hash-baseret godkendelsesmetode. Samlet gør det det væsentligt sværere at regne sig frem til den oprindelige krypteringsnøgle, selv hvis man opfanger kommunikationen mellem router og enhed.

Hvad bruges WPA3 kryptering til?

WPA3 findes i flere varianter, alt efter hvilket miljø netværket skal bruges i. WPA3-Personal er den udgave, de fleste hjemmenetværk bruger, og den er stadig baseret på en adgangskode, men med SAE i stedet for den ældre PSK-metode.

WPA3-Enterprise henvender sig til virksomheder og organisationer og gør blandt andet brug af Protected Management Frames obligatorisk, samt tilbyder en valgfri 192-bit sikkerhedstilstand til særligt følsomme data. Endelig findes Wi-Fi Enhanced Open, som er tænkt til åbne offentlige netværk, eksempelvis på caféer eller i lufthavne, hvor der ikke bruges nogen adgangskode overhovedet, men trafikken alligevel krypteres individuelt for hver bruger via en teknik kaldet Opportunistic Wireless Encryption.

Standarden bruges også til at gøre det lettere og mere sikkert at tilslutte enheder uden skærm eller tastatur, som mange smart home-produkter og IoT-enheder. Via Wi-Fi Easy Connect (Device Provisioning Protocol) kan en enhed tilføjes netværket ved at scanne en QR-kode eller bruge NFC i stedet for at skulle indtaste en lang adgangskode manuelt.

Det er relevant, fordi netop svagt sikrede IoT-enheder ofte er dem, der først bliver udnyttet af hackere og i værste fald indrulleret i et botnet, hvor enheden ubemærket bruges til at udføre angreb mod andre. På samme måde som Bluetooth bruges til kortdistance-parring mellem enheder, fungerer Wi-Fi Easy Connect som en sikrere genvej til at koble enheder på det trådløse netværk uden at dele selve adgangskoden.

Fordele ved WPA3 sammenlignet med WPA2

Den mest markante fordel ved WPA3 er beskyttelsen mod offline brute force- og ordbogsangreb. Med WPA2 kunne en angriber opfange en krypteret udveksling og derefter i ro og mag afprøve tusindvis af mulige adgangskoder på egen hånd. Med SAE i WPA3 tvinges et forsøg på at gætte adgangskoden i stedet til at foregå direkte mod netværket, hvilket typisk begrænser, hvor mange gæt en angriber kan nå at foretage.

Herudover giver WPA3 en mere robust beskyttelse på åbne netværk, fordi trafikken kan krypteres individuelt, selv uden en delt adgangskode. Det reducerer risikoen for, at andre på samme offentlige netværk kan aflytte ens login-oplysninger eller betalingsdata. Endelig gør forward secrecy og den nyere kryptering det sværere for en angriber at udnytte data, der er opsamlet tidligere, selvom adgangskoden senere bliver kompromitteret eller lækket.

Svagheder og begrænsninger ved WPA3

WPA3 løser flere af de kendte problemer fra WPA2, men er ikke uden svagheder. Sikkerhedsforskere har blandt andet fundet sårbarheder i selve Dragonfly-handshaket, som i visse implementeringer kunne udnyttes til såkaldte side-channel-angreb, hvor angriberen udleder information ud fra, hvor lang tid eller hvor meget strøm en beregning tager.

Den slags fund minder om det, man i sikkerhedsbranchen omtaler som en zero-day sårbarhed — en svaghed, der opdages og udnyttes, før producenterne når at rette den, selvom denne type fejl i WPA3 efterfølgende er blevet lappet via opdaterede implementeringer.

Det er også værd at holde sig for øje, at WPA3 udelukkende beskytter selve den trådløse forbindelse. Standarden gør ikke noget ved trusler som phishing eller malware, og den hjælper heller ikke, hvis en angriber får direkte adgang til routerens administrationspanel gennem en svag adgangskode dér. WPA3 bør derfor ses som ét lag i den samlede netværkssikkerhed, ikke en garanti mod alle former for angreb.

WPA3 og fremtidens Wi-Fi

Understøttelse af WPA3 er i dag en fast del af nyere Wi-Fi-generationer. Siden Wi-Fi 6 er WPA3 et krav for at få det officielle Wi-Fi Certified-mærke, og det samme gælder for Wi-Fi 7.

Ældre routere og enheder, der kun understøtter WPA2, kan i mange tilfælde stadig koble sig på et netværk, der kører WPA3, fordi standarden er lavet med bagudkompatibilitet for øje — men de opnår ikke selv den ekstra beskyttelse, som WPA3 tilbyder, medmindre både router og enhed understøtter protokollen.