Bài 82: Wireless Security — WPA2 vs WPA3, 802.1X

💡 Liên hệ thực tế

Khác với mạng có dây (Ethernet) tại văn phòng VNExperts — nơi muốn truy cập bắt buộc phải cắm cáp vào Switch — mạng Wifi dùng sóng vô tuyến nên tín hiệu lan truyền tự do trong không gian, giống như đang nói chuyện trong 1 căn phòng họp chung: bất kỳ ai trong vùng phủ sóng đều "nghe thấy" được, dù họ có được phép sử dụng mạng hay không.

Chính vì vậy, mạng Wifi cần có cơ chế bảo mật để chỉ những người dùng hợp lệ mới kết nối được mạng và đọc được dữ liệu truyền qua sóng vô tuyến — không có bức tường vật lý nào ngăn kẻ tấn công "đứng ngoài cửa sổ" thu tín hiệu như với mạng có dây.

WPA (Wi-Fi Protected Access) ra đời để giải quyết đúng bài toán đó — giống như "niêm phong" cuộc trò chuyện trong căn phòng chung: dù ai cũng nghe thấy sóng, chỉ người có đúng mật khẩu (hoặc được xác thực đúng cách) mới giải mã được nội dung. Trong bài học này, chúng ta sẽ tìm hiểu 2 chuẩn phổ biến nhất hiện nay là WPA2 và WPA3, đồng thời xem WPA3 đã cải thiện những điểm còn hạn chế của WPA2 như thế nào.

📘 Kiến thức cốt lõi

1. Hai chế độ triển khai: Personal và Enterprise

Sau khi lựa chọn chuẩn bảo mật (WPA2 hoặc WPA3), quản trị viên cần quyết định tiếp phương thức xác thực người dùng. Cả WPA2 và WPA3 đều hỗ trợ 2 chế độ triển khai phổ biến là Personal và Enterprise — đây là 2 chế độ xác thực đi kèm, không phải 2 chuẩn bảo mật riêng biệt khác với WPA2/WPA3. Điểm khác biệt nằm ở cách người dùng được xác thực trước khi được phép truy cập mạng Wi-Fi.

Personal:

Tất cả thiết bị sử dụng chung 1 Pre-Shared Key (PSK) để xác thực với Access Point — mọi người dùng cùng biết và cùng gõ 1 mật khẩu như nhau khi kết nối.

Laptop A ─┐
          ├──►  Access Point
Laptop B ─┤      (Password: VNExperts@2026)
          │
Phone C  ─┘

Enterprise:

Mỗi người dùng đăng nhập bằng tài khoản và mật khẩu riêng (hoặc chứng chỉ số) thay vì dùng chung 1 PSK — cơ chế xác thực cụ thể qua 802.1X/RADIUS sẽ được trình bày chi tiết ở mục 2 ngay bên dưới.

So sánh nhanh:

⚠️ Ví dụ thực tế: VNExperts có 120 nhân viên. Nếu dùng WPA2-Personal với mật khẩu chung VNExperts@2026, mọi nhân viên đều biết mật khẩu này. Khi 1 nhân viên nghỉ việc, quản trị viên chỉ có 2 lựa chọn: (1) không đổi mật khẩu → người đã nghỉ vẫn kết nối được bình thường, hoặc (2) đổi mật khẩu → phải cấu hình lại cho toàn bộ thiết bị còn lại trong công ty (laptop, điện thoại, máy in, camera, Smart TV, tablet...) — rất mất thời gian và dễ sai sót. Ngược lại, nếu dùng WPA2-Enterprise, mỗi nhân viên có 1 tài khoản riêng (nam.nguyen, lan.tran, hoa.le...); khi nam.nguyen nghỉ việc, quản trị viên chỉ cần disable đúng tài khoản đó trên RADIUS Server, 119 nhân viên còn lại hoàn toàn không bị ảnh hưởng.

💡 Best Practice: trong doanh nghiệp có nhiều nhân viên, WPA2/WPA3-Enterprise gần như luôn là lựa chọn được ưu tiên vì cho phép quản lý danh tính từng người dùng, dễ dàng ghi nhật ký truy cập (Accounting) và thu hồi quyền khi cần mà không ảnh hưởng đến những người khác. Ngược lại, WPA2/WPA3-Personal phù hợp hơn với gia đình hoặc văn phòng nhỏ, nơi số lượng thiết bị ít và việc quản lý 1 mật khẩu dùng chung không gây nhiều khó khăn.

2. 802.1X — Nền tảng xác thực của chế độ Enterprise

802.1X là chuẩn xác thực dựa trên cổng (port-based authentication) — chặn toàn bộ traffic thông thường cho đến khi thiết bị hoàn tất quá trình xác thực. Trong mạng không dây Enterprise, 802.1X phối hợp giữa 3 thành phần:

📎 Liên hệ lại kiến thức đã học: mô hình 3 thành phần này chính là ứng dụng thực tế của AAA đã học ở Bài 76 — Access Point đóng vai trò tương tự NAS, còn server RADIUS thực hiện đúng chức năng Authentication (và có thể cả Authorization/Accounting nếu cấu hình).

3. WPA2 — Chuẩn phổ biến với CCMP và điểm yếu KRACK

WPA2 dùng thuật toán mã hóa AES kết hợp giao thức CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol) để đảm bảo tính bảo mật và toàn vẹn dữ liệu — đây là bước tiến lớn so với TKIP của WPA đời đầu.

Tuy nhiên, WPA2-Personal (dùng PSK) tồn tại 2 điểm yếu đáng chú ý:

• Tấn công dò mật khẩu offline (offline dictionary attack): kẻ tấn công thu thập được gói tin trong quá trình bắt tay 4 bước (4-way handshake), sau đó thử dò mật khẩu ngoại tuyến mà không cần tiếp tục tương tác với mạng thật.
• KRACK (Key Reinstallation Attack): khai thác lỗ hổng trong chính quá trình 4-way handshake, cho phép kẻ tấn công buộc thiết bị cài lại (reinstall) khóa mã hóa đã dùng trước đó, từ đó giải mã được 1 phần traffic.

4. WPA3 — Khắc phục điểm yếu của WPA2

WPA3 giữ nguyên cấu trúc Personal/Enterprise nhưng nâng cấp đáng kể về mã hóa và cơ chế xác thực:

💡 Ghi nhớ: SAE là cải tiến cốt lõi nhất của WPA3-Personal — thay vì dùng chung 1 khóa cố định như PSK, SAE tạo ra khóa phiên mới cho mỗi lần kết nối, giúp giảm đáng kể nguy cơ bị dò mật khẩu ngoại tuyến ngay cả khi kẻ tấn công bắt được gói tin trao đổi ban đầu.

⚠️ Lưu ý khi triển khai thực tế: WPA3 không tương thích ngược ở tầng giao thức — thiết bị chỉ hỗ trợ WPA2 sẽ không kết nối được vào mạng thuần WPA3. Vì vậy nhiều tổ chức triển khai WPA3 Transition Mode, cho phép cả thiết bị WPA2 và WPA3 cùng kết nối vào 1 SSID trong giai đoạn chuyển đổi dần, trước khi tắt hẳn hỗ trợ WPA2.

💬 Hỏi & Đáp nhanh

❓ Nếu nhân viên nghỉ việc, chế độ WPA2/WPA3-Personal hay Enterprise dễ thu hồi quyền truy cập hơn?

✅ Enterprise — vì mỗi người dùng có tài khoản xác thực riêng qua 802.1X/RADIUS, chỉ cần vô hiệu hóa đúng tài khoản đó. Với Personal, phải đổi mật khẩu Wi-Fi dùng chung cho toàn bộ thiết bị còn lại.

❓ SAE trong WPA3-Personal có hoàn toàn thay thế PSK trong WPA2-Personal không?

✅ Có — SAE thay thế hoàn toàn cơ chế PSK, giúp mỗi lần kết nối tạo ra khóa phiên khác nhau, chống lại kiểu tấn công dò mật khẩu ngoại tuyến vốn là điểm yếu lớn của PSK trong WPA2.

❓ 1 thiết bị chỉ hỗ trợ WPA2 có kết nối được vào mạng Wi-Fi thuần WPA3 không?

❌ Không. WPA3 không tương thích ngược ở tầng giao thức. Muốn hỗ trợ cả 2 loại thiết bị trong giai đoạn chuyển đổi, cần bật WPA3 Transition Mode (chế độ hỗn hợp).

📝 Bài tập đánh giá

Câu 1: Trong mô hình 802.1X, thành phần nào chịu trách nhiệm chặn toàn bộ traffic thông thường cho đến khi xác thực hoàn tất?

• A. Supplicant
• B. Authenticator
• C. Authentication Server
• D. RADIUS Client

Câu 2: Cải tiến cốt lõi nhất của WPA3-Personal so với WPA2-Personal là gì?

• A. Tăng tốc độ truyền dữ liệu Wi-Fi
• B. Thay thế PSK bằng SAE, tạo khóa phiên riêng cho mỗi lần kết nối, chống dò mật khẩu ngoại tuyến
• C. Loại bỏ hoàn toàn nhu cầu đặt mật khẩu Wi-Fi
• D. Cho phép dùng chung 1 mật khẩu cho nhiều mạng khác nhau

👉 Đáp án:

Câu 1: B — Authenticator (Access Point/WLC) đóng vai trò trung gian, chặn traffic thông thường và chỉ cho phép đi qua sau khi Authentication Server xác nhận xác thực thành công.

Câu 2: B — SAE thay thế PSK, tạo khóa phiên riêng biệt cho mỗi lần kết nối thay vì dùng chung 1 khóa cố định, giúp WPA3-Personal chống lại hiệu quả kiểu tấn công dò mật khẩu ngoại tuyến từng là điểm yếu lớn của WPA2-Personal.

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng