これらの特定の攻撃からWi-Fiを保護するにはどうすればよいですか？

Question

ある程度安全なWifiネットワークをセットアップする必要がある状況に私は気づきました。私は主にこれらの攻撃を心配していますが、私が心配すべき他の攻撃についてのアドバイスも歓迎します：

事前の知識なしにネットワークにアクセスする無許可のパーティ（たとえば、PSKをブルートフォースするネイバーによって）
ユーザーとしてネットワークを使用する権限を持つユーザー（例：ルーターの管理パネルまたはRADIUSサーバー）へのアクセスなし）により、他のユーザーのデータを復号化してプライバシーを侵害する
悪意のあるツイン攻撃をセットアップし、PSK（またはRADIUSクレデンシャル）および/またはデータ自体を取得できるため、すべてのユーザーの違反となるサードパーティの攻撃者（または承認されたユーザー）プライバシーおよび/または許可なしのネットワークへのアクセス

私の調査によると、私が長年使用してきた通常の標準であるAESを備えたWPA2 PSKは、最初の攻撃以外のすべてに対して脆弱です。さらに読むと、WPA2エンタープライズが見つかりました。これは、この種の攻撃に対してより安全であると思われます。ただし、多くの異なるモードがあるように見えます（たとえば、EAP、PEAP、MSCHAPの違いは何ですか？）、それが中間（競合する情報）に対して脆弱であるかどうかに関する情報と最後の競合する情報が見つかります攻撃（情報なし）。

そのため、これら3つの攻撃すべてに対して安全にWifiをセットアップするための最良の方法は何ですか？クライアントが悪魔の双子の攻撃から身を守るために使用できるAP /サーバーキーとともに、何らかのSSHスタイルのキーを各クライアントに与える必要があると思いますが、その方法を正確に説明するものは見つかりませんこれを設定します。高品質なTLSのために、 this のような正確な指示を探しています。

MechMK1 · Accepted Answer

事前の知識なしにネットワークにアクセスする無許可のパーティ（たとえば、PSKをブルートフォースするネイバーによって）

}H/,uj^kGbtQ(WtqjdY{KCdQT[_G@[R>Bm+~\Sb[X(3naなどの十分に強力なパスワードを持っている場合、攻撃者がブルートフォースでこのパスワードを回復する可能性はごくわずかです。これは、攻撃者がソーシャルエンジニアリングなどの他の方法でパスワードにアクセスすることを妨げるものではありませんが、攻撃者がハンドシェイクをキャプチャしてオフラインで解読することから保護します。

ユーザーとしてネットワークを使用する権限があるユーザー（例：ルーターの管理パネルまたはRADIUSサーバー）へのアクセスなし）。他のユーザーのデータを復号化してプライバシーを侵害します。

エンドポイント証明書を持つWPA2-Enterpriseはこれを解決します。

悪意のあるツイン攻撃をセットアップし、PSK（またはRADIUSクレデンシャル）および/またはデータ自体を取得できるため、すべてのユーザーの違反となるサードパーティの攻撃者（または承認されたユーザー）プライバシーおよび/または許可なしのネットワークへのアクセス。

この回答マシューピーターズは、悪魔の双子の攻撃をどのように軽減できるかについて優れた説明をしています。 WPA2エンタープライズの使用も含まれます。

しかし、クライアントデバイスがWPA2-Enterpriseをサポートしていない場合はどうなりますか？

多くのコンシューマーデバイス、さらには一部のビジネスデバイスは、一部の電話、プリンター、ハンドヘルドゲームコンソール、さまざまな「スマート」デバイスなど、WPA2エンタープライズをサポートするように構築されていません。

この場合、WPA2-PSKを使用することが唯一の選択肢であり、それに関連するすべてのリスクがあります。繰り返しますが、ランダムに生成された長い事前共有キーを使用するのが最善の方法です。

SWM · Answer

ネットワークアクセスコントロール製品には、通常、この種の脅威を防御する機能があります。他のものよりも関連性の高い機能セットを持つものもあります。私が知っている少なくとも1つは、evil twinを検出でき、そのような脅威が検出されたときにいくつかの追加アクションを実行します。新たに検出されたデバイス（アクセス資格情報にブルートフォースを仕掛けることができた未知のMac）である場合、ネットワーク上のデバイスを隔離できることも一般的な機能です。

2番目の状況は少しトリッキーですが、一般的にネットワーク監視およびセキュリティ製品では、疑わしいと見なされるトラフィックの種類のベースラインを設定できます。たとえば、承認されたユーザーが別の承認されたユーザーのデバイスに対してポートスキャンを実行している場合、ネットワークアクセスなどを自動的に取り消すことができます。