WPA2 security auditor and enterprise migration matrix
Compare WPA2-Personal (PSK) against WPA2-Enterprise (802.1X / RADIUS), simulate exposure to cryptographic threats (KRACK, dictionary attacks, packet sniffing), and plan your zero-trust network migration.
WPA2-Personal relies on a static pre-shared key across all clients. Because the master key is shared, any user with the passphrase who captures a client four-way handshake can decrypt that client’s unicast traffic over the air. It is also vulnerable to offline PMKID dictionary cracking and KRACK key reinstallation.
Vulnerable to Message 3 replay during 4-way handshake, resetting nonce counter to zero.
The PMKID can be requested straight from the AP and cracked offline on a GPU rig, without waiting for a client to join.
Anyone with the shared PSK can calculate other clients pairwise keys and decrypt unicast airtime packets.
Rogue APs broadcasting the same SSID and PSK easily trick clients into association without mutual auth.
Upgrade your wireless network to zero-trust security
Purple integrates with leading enterprise wireless access points (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist) to deliver seamless 802.1X RADIUS, Passpoint onboarding, and captive portal segmentation without replacing your hardware.
WPA2 एक लंबे समय से चला आ रहा WiFi सुरक्षा मानक है जो 2006 से 2020 तक WiFi प्रमाणित उपकरणों के लिए अनिवार्य हो गया था, और यह अभी भी यूके स्वास्थ्य सेवा और परिवहन में 65% सार्वजनिक क्षेत्र के WiFi को आधार प्रदान करता है। यह ट्रैफ़िक की सुरक्षा के लिए मजबूत AES-आधारित एन्क्रिप्शन का उपयोग करता है, लेकिन पुराने प्रमाणीकरण मॉडल, विशेष रूप से साझा पासवर्ड पर इसकी निर्भरता, इसे 2026 में एक लीगेसी प्रोटोकॉल बनाती है।
यदि आप किसी होटल, रिटेल एस्टेट, अस्पताल, परिवहन केंद्र, या बहु-किरायेदार संपत्ति के लिए WiFi का प्रबंधन कर रहे हैं, तो WPA2 स्वचालित रूप से कोई आपातकाल नहीं है। हालाँकि, साझा Pre-Shared Keys (PSK) पर भरोसा करना परिचालन और सुरक्षा जोखिमों को जन्म देता है जिन्हें आधुनिक समाधान की आवश्यकता होती है।
WPA2 WiFi सुरक्षा क्या है?
WPA2 (WiFi Protected Access 2) को WEP और WPA को बदलने के लिए डिज़ाइन किया गया था। इसने CCMP (काउंटर मोड सिफर ब्लॉक चेनिंग मैसेज ऑथेंटिकेशन कोड प्रोटोकॉल) पेश किया, जो 128-बिट AES एन्क्रिप्शन का उपयोग करता है। दो दशकों तक, CCMP ने वायरलेस नेटवर्क पर मजबूत डेटा गोपनीयता प्रदान की।
WPA2 दो मुख्य मोड में काम करता है:
- WPA2-Personal (WPA2-PSK): प्रत्येक कनेक्टेड क्लाइंट के लिए एक एकल साझा पासवर्ड का उपयोग करता है। इसे परिनियोजित करना आसान है लेकिन कर्मचारियों, मेहमानों या ठेकेदारों के बीच क्रेडेंशियल साझा होने पर यह विफलता का एक एकल बिंदु बनाता है।
- WPA2-Enterprise (802.1X): एक RADIUS सर्वर और EAP प्रोटोकॉल (जैसे EAP-TLS या PEAP) के माध्यम से प्रत्येक उपयोगकर्ता को व्यक्तिगत रूप से प्रमाणित करता है, प्रति क्लाइंट अद्वितीय सेशन कुंजियाँ जारी करता है।
क्या WPA2 WiFi अभी भी एंटरप्राइज़ नेटवर्क के लिए सुरक्षित है?
यद्यपि WPA2 में AES एन्क्रिप्शन क्रिप्टोग्राफ़िक रूप से अटूट बना हुआ है, फिर भी यह प्रोटोकॉल दो प्रमुख संरचनात्मक कमजोरियों से ग्रस्त है:
- ऑफलाइन डिक्शनरी हमले: WPA2-Personal एक 4-वे हैंडशेक का उपयोग करता है जो पैसिव कैप्चर के लिए असुरक्षित है। हैंडशेक को कैप्चर करने वाले हमलावर नेटवर्क एडमिनिस्ट्रेटर को सचेत किए बिना ऑफलाइन साझा पासफ़्रेज़ को ब्रूट-फोर्स कर सकते हैं।
- KRACK (की रीइन्स्टॉलेशन अटैक): 2017 में खोजा गया, KRACK नॉन्स रीयूज़ को मजबूर करने के लिए 4-वे हैंडशेक को लक्षित करता है, जिससे हमलावरों को पैकेट डिक्रिप्ट करने, दुर्भावनापूर्ण डेटा इंजेक्ट करने, या TCP कनेक्शन को हाईजैक करने की अनुमति मिलती है।
एंटरप्राइज़ स्थानों में, प्राथमिक चुनौती अक्सर शुद्ध एन्क्रिप्शन जोखिम के बजाय प्रमाणीकरण जोखिम होती है। सैकड़ों कर्मचारियों या आयोजन स्थल के मेहमानों के बीच साझा PSK पासवर्ड प्रबंधित करने से क्रेडेंशियल लीक, मैन्युअल पासवर्ड रीसेट और एडमिन ओवरहेड की समस्या होती है।
WPA2 और WPA3 सुरक्षा में क्या अंतर है?
WPA3 पासवर्ड-आधारित कनेक्शन में असुरक्षित 4-वे हैंडशेक को बदलने के लिए SAE (Simultaneous Authentication of Equals) पेश करता है, जो कमजोर पासवर्ड होने पर भी फ़ॉरवर्ड सीक्रेसी और ऑफलाइन डिक्शनरी हमलों से सुरक्षा प्रदान करता है।
| फ़ीचर | WPA2 Personal (PSK) | WPA2 Enterprise (802.1X) | WPA3 Enterprise | Passpoint / OpenRoaming |
|---|---|---|---|---|
| एन्क्रिप्शन | AES-CCMP (128-bit) | AES-CCMP (128-bit) | AES-GCMP-256 | AES-256 + WPA3 Enterprise |
| प्रमाणीकरण (Authentication) | साझा प्री-शेयर्ड की (Shared Pre-Shared Key) | RADIUS / EAP सर्टिफिकेट | 192-bit EAP Suite | आइडेंटिटी प्रोवाइडर / Passpoint 3.0 |
| क्रेडेंशियल लीक होने का जोखिम | उच्च (साझा सीक्रेट) | कम (प्रति-उपयोगकर्ता / सर्टिफिकेट) | कम (प्रति-उपयोगकर्ता / सर्टिफिकेट) | शून्य (सर्टिफिकेट-आधारित) |
| विरासत (Legacy) अनुकूलता | सार्वभौमिक (100% डिवाइस) | व्यापक | आधुनिक APs और क्लाइंट्स | व्यापक (दुनिया भर में 80,000+ स्थान) |
| परिचालन ओवरहेड (Operational Overhead) | उच्च पासवर्ड रीसेट झंझट | मध्यम RADIUS रखरखाव | मध्यम RADIUS रखरखाव | शून्य मैनुअल पासवर्ड रीसेट |
नेटवर्क हार्डवेयर को बदले बिना आप WPA2 सुरक्षा को कैसे अपग्रेड करते हैं?
बहु-साइट एस्टेट में प्रत्येक एक्सेस पॉइंट को बदलना शायद ही कभी व्यावहारिक या आवश्यक होता है। इसके बजाय, प्रगतिशील IT लीडर मौजूदा हार्डवेयर को बनाए रखते हुए प्रमाणीकरण आर्किटेक्चर को आधुनिक बनाते हैं:
- कर्मचारियों के लिए साझा PSKs को समाप्त करें: कॉर्पोरेट प्रमाणीकरण को Entra ID, Okta, या Google Workspace से जुड़े सर्टिफिकेट-आधारित एक्सेस पर स्थानांतरित करें।
- विरासत (Legacy) IoT उपकरणों को अलग करें: पुराने स्कैनर, प्रिंटर, या विरासत एंडपॉइंट्स को सख्त फ़ायरवॉल नियमों के साथ अलग VLANs में विभाजित करें।
- Passpoint 3.0 और OpenRoaming अपनाएं: मेहमानों के लिए कैप्टिव पोर्टल और साझा पासवर्ड को स्वचालित, एन्क्रिप्टेड Passpoint प्रोफ़ाइल ऑनबोर्डिंग के साथ बदलें।
- लाइफसाइकिल निरसन (Revocation) को स्वचालित करें: यह सुनिश्चित करें कि किसी कर्मचारी के जाने या डिवाइस के अनप्रबंधित होने पर नेटवर्क एक्सेस स्वचालित रूप से निरस्त हो जाए।
