WPA3 và Wi-Fi Enhanced Open

Android 10 hỗ trợ phiên bản 3 của giao thức Wi-Fi Protected Access (WPA3) và các tiêu chuẩn Wi-Fi Enhanced Open của Liên minh Wi-Fi (WFA). Để biết thêm thông tin, hãy xem phần Bảo mật trên trang web của WFA.

WPA3 là một tiêu chuẩn bảo mật mới của WFA dành cho mạng cá nhân và mạng doanh nghiệp. Mục tiêu của WPA3 là cải thiện khả năng bảo mật Wi-Fi tổng thể bằng cách sử dụng các thuật toán bảo mật hiện đại và bộ mật mã mạnh hơn. WPA3 có hai phần:

  • WPA3-Personal: Sử dụng phương thức xác thực đồng thời của các đối tượng ngang hàng (SAE) thay vì khoá được chia sẻ trước (PSK), giúp người dùng có các biện pháp bảo vệ an toàn mạnh mẽ hơn trước các cuộc tấn công như tấn công từ điển ngoại tuyến, khôi phục khoá và giả mạo thông báo.
  • WPA3-Enterprise: Cung cấp các phương thức xác thực và mã hoá lớp liên kết mạnh mẽ hơn, cũng như chế độ bảo mật 192 bit (không bắt buộc) cho các môi trường bảo mật nhạy cảm.

Wi-Fi Enhanced Open là một tiêu chuẩn bảo mật mới của WFA dành cho các mạng công cộng dựa trên phương thức mã hoá không dây tuỳ chọn (OWE). Ứng dụng này cung cấp tính năng mã hoá và quyền riêng tư trên các mạng mở, không được bảo vệ bằng mật khẩu ở những nơi như quán cà phê, khách sạn, nhà hàng và thư viện. Enhanced Open không cung cấp tính năng xác thực.

WPA3 và Wi-Fi Enhanced Open giúp cải thiện khả năng bảo mật tổng thể của Wi-Fi, mang lại quyền riêng tư và khả năng chống lại các cuộc tấn công đã biết tốt hơn. Vì nhiều thiết bị chưa hỗ trợ các tiêu chuẩn này hoặc chưa nâng cấp phần mềm để hỗ trợ các tính năng này, nên WFA đã đề xuất các chế độ chuyển đổi sau:

  • Chế độ chuyển đổi WPA2/WPA3: Điểm truy cập đang hoạt động hỗ trợ đồng thời các tiêu chuẩn WPA2 và WPA3. Ở chế độ này, các thiết bị Android 10 sẽ dùng WPA3 để kết nối, còn các thiết bị chạy Android 9 trở xuống sẽ dùng WPA2 để kết nối với cùng một điểm truy cập.
  • Chế độ chuyển đổi WPA2/WPA3-Enterprise: Điểm truy cập phân phát hỗ trợ đồng thời các tiêu chuẩn WPA2-Enterprise và WPA3-Enterprise.
  • Chế độ chuyển đổi OWE: Điểm truy cập đang hoạt động hỗ trợ đồng thời cả OWE và các tiêu chuẩn mở. Ở chế độ này, các thiết bị Android 10 sử dụng OWE để kết nối và các thiết bị chạy Android 9 trở xuống kết nối với cùng một điểm truy cập mà không cần mã hoá.

Android 12 hỗ trợ chỉ báo Tắt hiệu ứng chuyển đổi, một cơ chế hướng dẫn thiết bị không sử dụng WPA2 mà thay vào đó sử dụng WPA3. Khi nhận được chỉ báo này, thiết bị sẽ dùng WPA3 để kết nối với mạng WPA3 hỗ trợ chế độ chuyển đổi. Android 12 cũng hỗ trợ trao đổi xác thực Hash-to-Element (H2E) WPA3. Để biết thêm thông tin, hãy xem Quy cách WPA3.

WPA3 và Wi-Fi Enhanced Open chỉ được hỗ trợ ở chế độ máy khách.

Triển khai

Để hỗ trợ WPA3 và Wi-Fi Enhanced Open, hãy triển khai giao diện HAL của Supplicant. Kể từ Android 13, giao diện này sử dụng AIDL cho định nghĩa HAL. Đối với các bản phát hành trước Android 13, các giao diện và phân vùng của nhà cung cấp sẽ dùng HIDL. Bạn có thể tìm thấy giao diện HIDL trong hardware/interfaces/wifi/supplicant/1.3/ và giao diện AIDL trong hardware/interfaces/wifi/supplicant/aidl/,

Bạn phải đáp ứng các yêu cầu sau để hỗ trợ WPA3 và OWE:

  • Các bản vá nhân Linux để hỗ trợ SAE và OWE

    • cfg80211
    • nl80211

  • wpa_supplicant có hỗ trợ SAE, SUITEB192 và OWE

  • Trình điều khiển Wi-Fi có hỗ trợ SAE, SUITEB192 và OWE

  • Chương trình cơ sở Wi-Fi có hỗ trợ SAE, SUITEB192 và OWE

  • Bộ vi mạch Wi-Fi có hỗ trợ WPA3 và OWE

Các phương thức API công khai có trong Android 10 cho phép các ứng dụng xác định khả năng hỗ trợ của thiết bị đối với những tính năng sau:

WifiConfiguration.java chứa các loại quản lý khoá mới, cũng như các mật mã theo cặp, mật mã nhóm, mật mã quản lý nhóm và mật mã Suite B. Đây là những mật mã bắt buộc đối với OWE, WPA3-Personal và WPA3-Enterprise.

Bật WPA3 và Wi-Fi Enhanced Open

Cách bật WPA3-Personal, WPA3-Enterprise và Wi-Fi Enhanced Open trong khung Android:

  • WPA3-Personal: Thêm lựa chọn biên dịch CONFIG_SAE vào tệp cấu hình wpa_supplicant.

    # WPA3-Personal (SAE)
CONFIG_SAE=y

  • WPA3-Enterprise: Thêm các lựa chọn biên dịch CONFIG_SUITEB192 và CONFIG_SUITEB vào tệp cấu hình wpa_supplicant.

    # WPA3-Enterprise (SuiteB-192)
CONFIG_SUITEB=y
CONFIG_SUITEB192=y

  • Wi-Fi Enhanced Open: Thêm lựa chọn biên dịch CONFIG_OWE vào tệp cấu hình wpa_supplicant.

    # Opportunistic Wireless Encryption (OWE)
# Experimental implementation of draft-harkins-owe-07.txt
CONFIG_OWE=y

Nếu không bật WPA3-Personal, WPA3-Enterprise hoặc Wi-Fi Enhanced Open, thì người dùng sẽ không thể thêm, quét hoặc kết nối với các loại mạng này theo cách thủ công.

Xác nhận kết quả

Để kiểm thử việc triển khai, hãy chạy các kiểm thử sau.

Kiểm thử đơn vị

Chạy SupplicantStaIfaceHalTest để xác minh hành vi của cờ chức năng cho WPA3 và OWE.

atest SupplicantStaIfaceHalTest

Chạy WifiManagerTest để xác minh hành vi của các API công khai cho tính năng này.

atest WifiManagerTest

Kiểm thử VTS

Nếu giao diện HIDL được triển khai, hãy chạy:

atest VtsHalWifiSupplicantV1_3TargetTest

Nếu bạn triển khai giao diện AIDL, hãy chạy:

atest VtsHalWifiSupplicantStaIfaceTargetTest