WPS: как работает подключение по кнопке и PIN-коду и почему его советуют отключать

Wi-Fi Protected Setup появился в 2006–2007 годах как способ помочь пользователям, которым сложно вводить длинный пароль. Нажали кнопку на роутере, затем на устройстве или ввели короткий код, и клиент сам получил настройки сети. Технология особенно полюбилась производителям принтеров, повторителей и сетевых приставок.

Удобство оказалось дорогой ценой: WPS открыл в защищённой сети второй, более слабый путь входа, который работает независимо от надёжности выбранного пароля.

Есть несколько способов. В режиме кнопки (PBC) роутер на пару минут открывает окно, и любое устройство, запросившее подключение за это время, получает ключи. В режиме PIN используется восьмизначный код, напечатанный на наклейке роутера или сгенерированный клиентом. Существовал также вариант с NFC, но встречается он редко.

При успехе клиенту передаётся действующая конфигурация: SSID, тип защиты и пароль. Дальше устройство подключается как обычно, а WPS в дальнейшей работе не участвует.

В 2011 году исследователь Штефан Фибёк показал, что восьмизначный PIN проверяется не целиком. Роутер отвечает отдельно на первую половину из четырёх цифр и отдельно на вторую. Последняя цифра — контрольная сумма, поэтому реальных неизвестных всего семь: 10 000 вариантов первой половины и 1000 второй. Итого около 11 000 попыток вместо ста миллионов.

Без защиты роутера от частых запросов подбор занимал часы. Многие производители добавили блокировку после серии неверных попыток, но реализации отличаются, и блокировка лишь замедляет перебор, а не исключает его.

Отдельная атака Pixie Dust использует слабую генерацию случайных чисел в некоторых прошивках и позволяет найти PIN офлайн за считаные секунды.

Проверенный совет один: отключить WPS, если вы им не пользуетесь. В веб-интерфейсе он обычно лежит в разделе беспроводной сети и называется WPS, QSS или «Быстрое подключение». Иногда переключатель отключает только PIN, а кнопку оставляет, и это уже допустимый компромисс, потому что нужен физический доступ к роутеру.

Если нужно подключить устройство, которому неудобно вводить пароль, проще временно включить кнопочный режим, подключить гаджет и выключить его снова. Постоянно включённый PIN-режим не нужен никому.

Часто считают, что длинный пароль защитит от взлома через WPS. Это не так: PIN и пароль независимы, и знание PIN даёт готовую конфигурацию сети. Также встречается мнение, что WPS есть только в дешёвых моделях, тогда как он встречается почти везде.

Проверить состояние можно в настройках роутера, а на компьютере — по значку с надписью о WPS в диалоге подключения к сети или в списке точек в сканере Wi-Fi. О самих режимах шифрования читайте в статье про WPA2.

Если WPS нужен, снизить риск можно несколькими мерами. Используйте только режим кнопки и только на время подключения, а сразу после него отключайте окно доступа. Проверьте, что в прошивке есть блокировка после нескольких неудачных попыток, и обновите прошивку до актуальной: производители исправляли слабые генераторы случайных чисел. Отключите PIN-режим, если такая настройка есть.

Иногда роутеры сообщают о включённом WPS в служебных кадрах, и анализатор эфира показывает его рядом с названием сети. Это позволяет быстро оценить, нет ли у соседней сети явной слабости, но использовать это для чужих сетей нельзя: подключаться к сетям без разрешения владельца незаконно и неэтично.

Для устройств без экрана и клавиатуры сегодня есть альтернативы: настройка через приложение и временную сеть самого устройства, QR-код с параметрами сети, который считывает телефон, а также общий вход через приложение производителя. Они не создают постоянного лишнего входа в вашу сеть, как это делает PIN.

Так безопаснее и проще для всех. Если вы администрируете сеть для других людей, например в небольшом офисе, отключение WPS стоит закрепить в чек-листе настройки любого нового роутера. Лишняя функция, которой никто не пользуется, остаётся лишним вектором риска, и его проще устранить один раз, чем следить за состоянием прошивок всех устройств.