WPA, WPA2, WPA3: Jaké zabezpečení Wi-Fi dnes používat?

Nastavení Wi-Fi vypadá jednoduše, dokud se do něj nepustíte vlastními silami. Jakmile totiž otevřete rozhraní a vidíte dostupné možnosti, může vás přepadnout pocit, že by se vám hodil malý kurz kybernetické bezpečnosti. Musíte studovat, co znamenají zkratky jako WPA2, WPA3, AES nebo TKIP, a přitom vlastně chcete jen jednu věc – aby se k vaší domácí Wi-Fi nepřipojil nikdo, kdo tam nemá co dělat.

Dobrou zprávou je, že většinu těchto možností nemusíte znát do detailu. Stačí pochopit, co jednotlivé generace zabezpečení znamenají a které z nich už dnes patří spíš do technologického muzea.

Co znamenají zkratky WPA, WPA2 a WPA3?

Zkratka WPA označuje anglickou frázi „Wi-Fi Protected Access“ neboli chráněný přístup k Wi-Fi. Prakticky označuje způsob, jakým Wi-Fi síť chrání komunikaci mezi routerem a připojenými zařízeními. 

Když se například telefon připojuje k domácí síti, bezpečnostní protokol ověřuje, jestli má správné přístupové údaje. Zároveň komunikaci šifruje, takže případný útočník v dosahu sítě nemůže přenášená data jednoduše číst nebo zachytit v použitelné podobě. Nejedná se tedy o samotné heslo k Wi-Fi, ale o standard, který určuje, jak router ověřuje připojená zařízení a chrání data, která mezi nimi putují.

Právě v tom se jednotlivé generace liší. WPA vzniklo v roce 2003 jako rychlá náhrada za starší protokol WEP (Wired Equivalent Privacy), který měl vážné bezpečnostní slabiny. Už o rok později ho vystřídalo WPA2, které přineslo výrazně lepší ochranu a na dlouhou dobu se stalo běžným standardem domácích Wi-Fi sítí.

Nejnovější protokol WPA3 představilo sdružení Wi-Fi Alliance v roce 2018. Navazuje na WPA2, ale přidává modernější způsob ověřování a lepší ochranu proti některým typům útoků. Například výrazně ztěžuje hromadné zkoušení hesel na základě zachycené komunikace a zajišťuje lepší ochranu některých řídicích zpráv mezi routerem a připojeným zařízením.

V čem je WPA3 lepší než WPA2?

WPA2 je při správném nastavení stále bezpečné, ale jeho slabší stránkou je hlavně způsob ověřování pomocí hesla. Pokud se útočníkovi podaří zachytit potřebná data, když se zařízení připojuje k Wi-Fi, může je následně využít k tomu, aby vyzkoušel velké množství možných hesel, aniž by musel při každém pokusu znovu komunikovat s routerem.

WPA3 tento problém řeší modernějším mechanismem SAE (Simultaneous Authentication of Equals). Ten je navržen tak, aby pouhé zachycení komunikace útočníkovi nestačilo k neomezenému testování hesel. Kromě toho oproti WPA2 přináší i další výhody:

• Povinnou ochranu některých řídicích zpráv. WPA3 vyžaduje technologii chráněných rámců správy (PMF), která lépe chrání část komunikace související například s připojením nebo odpojením zařízení.
• Odstranění zastaralých bezpečnostních možností. WPA3 už nestaví na starších mechanismech typu TKIP a vyžaduje modernější základ zabezpečení.
• Připravenost na modernější Wi-Fi sítě. WPA3 už od začátku počítá s modernějšími bezpečnostními požadavky a neumožňuje některé kompromisy kvůli kompatibilitě. I proto je u 6GHz Wi-Fi (například Wi-Fi 6E) povinným základem.

To ale neznamená, že s WPA3 můžete přestat řešit silné heslo nebo aktualizace routeru. Ani modernější standard není imunní vůči chybám v implementaci, takže základní bezpečnostní opatření a aktuální firmware zůstávají stejně důležité jako samotný bezpečnostní protokol.

Často se setkáte také se smíšeným režimem WPA2/WPA3, někdy označeným jako mixed nebo transition mode. Ten umožňuje, aby se novější zařízení připojovala přes WPA3, zatímco starší mohou dál používat WPA2. Je to praktické řešení při přechodu na novější standard, ale je lepší ho vnímat jako přechodné řešení než jako dlouhodobé nastavení. Pokud tedy všechna vaše zařízení WPA3 podporují, vždy je lepší přejít čistě na WPA3.

Co znamenají zkratky jako AES nebo TKIP?

Vedle samotného protokolu můžete v nastavení routeru narazit také na zkratky AES a TKIP, které označují způsob šifrování dat, která přes Wi-Fi putují. 

TKIP je starší řešení, které vzniklo hlavně jako dočasný způsob, jak zvýšit bezpečnost tehdejších zařízení bez nutnosti kompletně měnit hardware. Dnes už ale jeho ochrana nestačí a navíc může u některých zařízení omezovat rychlost Wi-Fi.

AES je naopak modernější a výrazně bezpečnější způsob šifrování. U WPA2 se běžně používá ve formě označované jako CCMP a je jedním z důvodů, proč může být správně nastavené WPA2 i dnes stále bezpečné.

Jaké zabezpečení Wi-Fi tedy nastavit?

Pro běžnou domácnost je dnes nejlepší volbou WPA3, pokud ho podporuje router i všechna připojená zařízení. U staršího vybavení ale může být problém s kompatibilitou. V takovém případě dává smysl ponechat hlavní síť na WPA3 a starší zařízení připojit k oddělené síti zabezpečené pomocí WPA2 + AES/CCMP. Pokud router tuto možnost nenabízí, může jako dočasné řešení posloužit také smíšený režim WPA2/WPA3.

Naopak WEP, původní WPA nebo TKIP už dnes do moderní domácí sítě nepatří. Pokud vám router nabízí pouze tyto možnosti, určitě stojí za zvážení ho vyměnit.

Samotný bezpečnostní protokol ale není všechno. Důležité je také dostatečně dlouhé a unikátní heslo, pravidelně aktualizovaný firmware a změna výchozího administrátorského hesla pro přihlášení do nastavení routeru.

Často kladené dotazy

Je WPA2 stále bezpečné?

Ano. Pokud používáte WPA2 v kombinaci s AES/CCMP, máte silné heslo a aktualizovaný router, stále se jedná o bezpečnou variantu. Stále však platí, že WPA3 představuje doporučenou volbu pro novější zařízení.

Je WPA3 vždy lepší než WPA2?

Z hlediska samotného zabezpečení ano. Nabízí modernější způsob ověřování a lepší ochranu proti některým typům útoků. V praxi ale pořád záleží také na kvalitě hesla, aktualizacích a správném nastavení routeru.

Co znamená režim WPA2/WPA3?

Jde o smíšený režim, který umožňuje novějším zařízením používat WPA3 a starším WPA2. Hodí se hlavně jako přechodné řešení, pokud máte doma zařízení, která podporují různé standardy.

Co mám nastavit, když moje zařízení WPA3 nepodporuje?

V takovém případě použijte WPA2 s AES/CCMP. Pokud to router umožňuje, je ještě lepší nechat hlavní síť na WPA3 a starší zařízení připojit k oddělené WPA2 síti.