WPS на роутере¶
WPS (англ. Wi-Fi Protected Setup) — стандарт защиты беспроводной сети Wi-Fi, разработанный альянсом Wi-Fi Alliance в 2006 году для упрощения подключения клиентских устройств к роутеру без ручного ввода длинного пароля WPA/WPA2. Стандарт позволяет соединять устройства с сетью нажатием кнопки, вводом PIN-кода или с помощью NFC. Несмотря на удобство, WPS критикуется специалистами по информационной безопасности из-за уязвимостей, и во многих странах рекомендовано отключать его на маршрутизаторах.
¶Принцип работы
Стандарт WPS определяет несколько способов аутентификации клиента при подключении к защищённой сети:
- Push Button Configuration (PBC) — нажатие физической или программной кнопки на роутере и на клиентском устройстве в течение ограниченного времени (обычно двух минут). После этого устройства обмениваются ключами автоматически.
- PIN-код — восьмизначный код, отображаемый на корпусе роутера или в его веб-интерфейсе. Клиент вводит его для завершения подключения.
- NFC-метод — подключение к сети путём касания смартфона специального NFC-метки или роутера (реализован не во всех моделях).
Во всех случаях роутер и клиент договариваются о генерации общего ключа WPA2, который затем используется для шифрования трафика. Пользователю не нужно вручную вводить пароль сети.
¶Кнопка WPS на роутере
Физическая кнопка WPS обычно расположена на корпусе маршрутизатора и подписана символом «WPS» или двумя стрелками, образующими круг. На многих моделях она совмещена с кнопкой сброса (Reset) — в этом случае короткое нажатие активирует WPS, а длительное удерживание (10–15 секунд) сбрасывает настройки роутера к заводским. В веб-интерфейсе маршрутизатора также присутствует программная кнопка запуска WPS.
¶Уязвимости и критика
Основная претензия к WPS — слабость PIN-метода. В 2011 году исследователь Стефан Вьеберс (Stefan Viehböck) опубликовал метод брутфорса PIN-кода, разделяющий проверку на две части по четыре цифры. Это сокращает количество перебираемых комбинаций с 100 миллионов до примерно 11 тысяч, что позволяет подобрать код за несколько часов с помощью специализированных утилит (например, Reaver). Обнаружение уязвимости стало причиной рекомендаций отключать WPS, особенно PIN-метод.
Другие проблемы:
- Физический доступ к роутеру позволяет злоумышленнику нажать кнопку WPS и подключиться к сети без знания пароля.
- На части маршрутизаторов реализация WPS содержит дополнительные ошибки, включая уязвимости, позволяющие получить доступ к админ-панели.
- Стандарт формально считается устаревшим: Wi-Fi Alliance в 2018 году объявил о прекращении сертификации новых устройств с WPS.
¶Отключение WPS
Большинство современных роутеров позволяют отключить WPS в веб-интерфейсе — в разделе «Беспроводная сеть», «Wi-Fi» или «Безопасность». В некоторых моделях отключается только PIN-метод, а кнопочное подключение остаётся активным. Специалисты по безопасности рекомендуют полностью деактивировать WPS и использовать длинные пароли WPA2/WPA3 с маской SSID.
¶Альтернативы
Для удобного подключения устройств без ввода пароля современные технологии предлагают:
- WPA3 — протокол с устойчивостью к брутфорсу и поддержкой защищённого обмена ключами (SAE).
- Wi-Fi Easy Connect (DPP) — стандарт Wi-Fi Alliance, использующий QR-коды для настройки подключений.
- Деление сети — создание отдельной гостевой сети для посетителей и IoT-устройств.
¶Применение
WPS продолжает использоваться в бытовых роутерах и точках доступа, особенно в бюджетных моделях и устройствах для подключения периферии (принтеры, камеры). В корпоративных сетях и на оборудовании промышленного класса WPS, как правило, отключён или не поддерживается.
¶Источники
- Wi-Fi Alliance. Wi-Fi Protected Setup Specification.
- Viehböck S. Brute Forcing Wi-Fi Protected Setup (2011).
- NIST Special Publication 800-97: Establishing Wireless Robust Security Networks.
- Материалы CERT/CC и US-CERT по безопасности WPS.