WiFi Security Hardening: Enterprise autentifikacija i mrežna arhitektura

WiFi mreža je često prva stvar koju napadač pokuša da napadne kad dobije fizičku blizinu objekta — parking pred zgradom, susedni kafić, ili čak susedna kancelarija u istoj poslovnoj zgradi. Za razliku od većine infrastrukture obrađene kroz ovaj blog, koja zahteva već postojeći mrežni pristup da bi uopšte bila dostupna napadaču, WiFi signal po prirodi izlazi van fizičkih zidova objekta koji štiti. Ovaj tekst pokriva hardening enterprise WiFi mreže — od fundamentalne razlike između "Personal" i "Enterprise" pristupa autentifikaciji, preko izbora konkretnog EAP metoda, do praktičnih koraka uvođenja bez izazivanja masovnog prekida povezanosti.

Personal vs Enterprise — razlika koja menja ceo model bezbednosti

Ovo zaslužuje objašnjenje na samom početku, jer određuje sve što sledi. WPA2/WPA3-Personal (PSK — Pre-Shared Key) koristi jedan, deljen ključ za sve korisnike mreže — dobra, jednostavna analogija je fizički ključ kopiran za svakog u zgradi. Ako jedna kopija tog ključa procuri (zaposleni koji ode iz firme, gost koji podeli lozinku dalje, uređaj koji bude ukraden), cela mreža je ugrožena, i jedini način da se to ispravi je promena ključa za sve, potpuno, odjednom.

WPA2/WPA3-Enterprise radi suštinski drugačije, kroz 802.1X okvir — svaki korisnik ili uređaj se autentifikuje pojedinačno, sopstvenim kredencijalima, protiv centralnog servera za proveru identiteta (tipično RADIUS, povezanog sa Active Directory-jem ili drugim identity provajderom opisanim kroz ranije serije na ovom blogu). Ista analogija, sada ispravljena: ovo je sistem sa bedžom, ne deljenim ključem — svaka osoba nosi sopstveni identitet, sistem proverava taj identitet nezavisno pri svakom pristupu, i oduzimanje pristupa jednoj osobi (deaktivacija naloga ili sertifikata) ne zahteva nikakvu izmenu za bilo koga drugog.

Šta treba uraditi

• Koristiti WPA2-Enterprise ili, gde klijentska oprema to podržava, WPA3-Enterprise sa 802.1X kao standard za svaku mrežu koja nosi poslovni, korporativni saobraćaj — PSK-bazirana mreža nije prihvatljiva za bilo šta van izolovane, gostinske mreže opisane dalje u tekstu
• Planirati migraciju sa WPA2 na WPA3-Enterprise postepeno, imajući u vidu interoperabilnost sa starijom klijentskom opremom koja možda ne podržava noviji standard — testirati kompatibilnost pre šireg uvođenja, po istom principu opreza koji se provlači kroz svaku operativno osetljivu promenu opisanu kroz ovaj blog
• Za okruženja sa najvišim zahtevima za bezbednost (vladine institucije, odbrambeni sektor), razmotriti WPA3-Enterprise 192-bit režim, koji koristi Suite B kriptografiju (AES-256, SHA-384) — vredi napomenuti da NSA-in CNSA 2.0 standard zahteva da nova mrežna oprema podržava i prioritizuje ove algoritme počev od 2026. godine, sa punim, isključivim prelaskom očekivanim do 2030. godine, što ovo čini relevantnim faktorom pri nabavci nove opreme, ne samo pitanjem trenutne konfiguracije
• Uključiti Protected Management Frames (PMF), obavezne kod WPA3 i dostupne kao opcija kod WPA2 — ovo sprečava napade zasnovane na falsifikovanju upravljačkih okvira (deauthentication napadi, koji inače dozvoljavaju napadaču da nasilno prekine tuđu konekciju bez ikakve autentifikacije)

Arhitektura 802.1X — tri uloge koje treba razumeti

802.1X definiše okvir sa tri jasno razdvojene uloge, i razumevanje ove arhitekture olakšava dijagnostiku kad nešto ne radi kako treba. Supplicant je klijentski uređaj koji traži pristup mreži (laptop, telefon, IoT uređaj). Authenticator je mrežni uređaj koji fizički kontroliše pristup — pristupna tačka (AP) kod WiFi-ja, ili upravljani switch kod žičane mreže. Authentication Server je pozadinski sistem koji stvarno proverava kredencijale i vraća odluku — tipično RADIUS server (FreeRADIUS, Cisco ISE, Aruba ClearPass), integrisan sa Active Directory-jem ili drugim identity izvorom.

Šta treba uraditi

• Rasporediti RADIUS infrastrukturu sa redundansom (bar dva servera) — RADIUS server koji padne bez rezervne kopije znači da niko ne može da se autentifikuje na mrežu, potpuno zaustavljajući pristup dok se ne oporavi
• Hardenovati sam RADIUS server sa istom pažnjom kao i svaki drugi kritičan servis obrađen kroz Windows i Linux Server hardening serije na ovom blogu — TLS konfiguracija, cipher suite izbor, ograničen administrativan pristup, i centralizovano logovanje autentifikacionih događaja
• Koristiti RADIUS atribute (npr. Filter-Id ili Tunnel-Private-Group-Id) za dinamičku dodelu VLAN-a na osnovu identiteta ili grupe korisnika koji se upravo autentifikovao — ovo omogućava da isti fizički SSID automatski smesti različite korisnike u odgovarajuće, unapred definisane mrežne segmente, po istom principu segmentacije koji se provlači kroz svaku seriju na ovom blogu
• Implementirati Change of Authorization (CoA) podršku gde platforma to nudi — ovo omogućava administratoru da izmeni ili prekine već aktivnu, autentifikovanu sesiju (npr. odmah po deaktivaciji naloga u AD-u) bez čekanja da se sesija sama, prirodno završi

Izbor EAP metoda — praktična odluka sa realnim posledicama u 2026. godini

Ovo zaslužuje detaljno objašnjenje, jer izbor konkretnog EAP metoda (protokola koji se koristi unutar 802.1X okvira za stvarnu razmenu i proveru kredencijala) direktno određuje i bezbednosni nivo i operativnu složenost implementacije. Tri metoda dominiraju enterprise WiFi okruženjima: EAP-TLS zahteva sertifikat i na klijentu i na serveru (uzajamna autentifikacija) — najjača opcija, ali zahteva funkcionalnu PKI infrastrukturu za izdavanje i upravljanje klijentskim sertifikatima. PEAP (tipično sa MSCHAPv2 kao unutrašnjim metodom) zahteva sertifikat samo na strani servera, dok se klijent autentifikuje standardnim korisničkim imenom i lozinkom unutar enkriptovanog TLS tunela — najrasprostranjeniji, najjednostavniji za uvođenje jer se oslanja na već postojeće korisničko ime i lozinku iz AD-a. EAP-TTLS radi slično PEAP-u (samo server-side sertifikat), ali podržava fleksibilnije unutrašnje metode autentifikacije, što ga čini korisnim izborom za heterogenu, mešovitu flotu uređaja.

Vredi istaći konkretan, praktičan razlog zašto ova odluka postaje hitnija u 2026. godini nego što je bila ranije: Windows 11, počev od verzije 22H2, ima Credential Guard uključen po difoltu na Enterprise i Education izdanjima. Credential Guard izoluje NTLM heševe i Kerberos tikete u hardverski-podržanom, virtuelizovanom okruženju kojem standardne aplikacije, uključujući autentifikacione klijente, nemaju direktan pristup — a ovo direktno sprečava PEAP-MSCHAPv2 da funkcioniše kao neprimetan, jednokratan (single sign-on) mehanizam prijave na mnogim savremenim Windows konfiguracijama, izazivajući ponavljane, iritantne zahteve za unos lozinke koje korisnici prijavljuju kao "WiFi ne radi kako treba".

Šta treba uraditi

• Za organizacije koje mogu podržati PKI infrastrukturu (uključujući i manje kompleksne, upravljane PKI ponude koje pojednostavljuju izdavanje sertifikata), ciljati EAP-TLS kao krajnje, dugoročno stanje — nudi jače, sertifikat-bazirano poverenje, mogućnost opoziva po pojedinačnom uređaju, i izbegava rastući problem sa Credential Guard-om opisan ranije u tekstu
• Koristiti PEAP-MSCHAPv2 kao prihvatljivo, prelazno rešenje za organizacije koje trenutno imaju samo korisničke kredencijale bez funkcionalne infrastrukture za izdavanje klijentskih sertifikata — ali sa jasnim, dokumentovanim planom migracije, ne kao trajno, konačno stanje
• Za heterogenu flotu uređaja (mešavina Windows, macOS, Linux, mobilnih uređaja) sa potrebom za fleksibilnijim unutrašnjim metodama autentifikacije, razmotriti EAP-TTLS kao praktičan kompromis
• Bez obzira na izabran metod, uvek konfigurisati WiFi profil klijenta da striktno proverava RADIUS server sertifikat (poverljiv CA, ispravno ime servera) i izbegava "prihvati nepoznat sertifikat" ponašanje — ovo direktno sprečava Evil Twin napade, gde napadač postavlja lažnu pristupnu tačku koja oponaša legitimnu mrežu i pokušava da presretne kredencijale klijenata koji ne provere identitet servera pre slanja svojih podataka
• Testirati obnavljanje (rollover) sertifikata RADIUS servera unapred, u test okruženju, pre svake promene na produkciji — čest, praktičan uzrok masovnog prekida WiFi povezanosti je istekao ili zamenjen server sertifikat koji klijenti više ne prepoznaju kao poverljiv

Napomena o riziku: greška u vremenskoj sinhronizaciji (time sync) između klijenata i RADIUS servera izaziva greške tipa "sertifikat još nije validan" ili "sertifikat je istekao", čak i kad je sam sertifikat u potpunosti ispravan — proveriti da su svi učesnici (klijenti, RADIUS server) usklađeni po vremenu, po istom principu koji smo naglasili za Kerberos autentifikaciju u AD hardening seriji na ovom blogu, gde vremenska neusklađenost izaziva slične, na prvi pogled zbunjujuće greške.

Segmentacija — gostinska mreža nikad ne sme deliti segment sa korporativnom

Isti princip segmentacije koji se provlači kroz svaku seriju na ovom blogu ima ovde direktnu, često zanemarenu primenu: gostinska WiFi mreža (za posetioce, klijente, ili lične uređaje zaposlenih koji ne treba da imaju pristup korporativnim resursima) mora biti potpuno, mrežno izolovana od segmenta koji nosi poslovni saobraćaj, ne samo označena drugim SSID imenom dok tehnički deli istu, podležeću mrežu.

Šta treba uraditi

• Postaviti gostinsku mrežu na potpuno odvojen VLAN, sa firewall pravilima koja eksplicitno blokiraju bilo kakav pristup ka internim, korporativnim segmentima — gost sme da izađe na internet, ali ne sme da vidi niti dosegne bilo šta unutar organizacione mreže
• Koristiti client isolation (izolaciju klijenata) na gostinskom SSID-u, gde je dostupno — ovo sprečava da uređaji povezani na istu gostinsku mrežu međusobno komuniciraju, dodatno smanjujući rizik od lateralnog kretanja između gostiju
• Za gostinske mreže koje ne zahtevaju autentifikaciju (potpuno otvorene), koristiti Enhanced Open (OWE — Opportunistic Wireless Encryption), deo WPA3 standarda, koji pruža oportunističku enkripciju čak i bez formalne autentifikacije — ovo štiti od pasivnog prisluškivanja saobraćaja na otvorenoj mreži, čak i kad puna 802.1X autentifikacija nije praktična za gostinski scenario
• Nikad ne deliti fizičku infrastrukturu (isti VLAN, iste pristupne tačke bez odgovarajuće segmentacije) između IoT uređaja (pametni televizori, senzori, kamere obrađene u ranijem tekstu o video nadzoru) i korporativne mreže — IoT uređaji imaju istorijski lošu bezbednosnu reputaciju i zaslužuju sopstvenu, izolovanu mrežu po istom principu opisanom za video nadzor

Uređaji koji ne mogu da izvrše 802.1X — planiran, dokumentovan izuzetak, ne rupa u pokrivenosti

Realnost svake mreže je da postoje uređaji koji tehnički ne mogu da izvrše standardan 802.1X supplicant proces — stariji štampači, specijalizovana IoT oprema, ili industrijski uređaji sa ograničenim mrežnim stekom. Ovo ne treba tretirati kao razlog da se cela mreža ostavi na slabijem, PSK-baziranom standardu "radi kompatibilnosti", već kao uzak, dobro dokumentovan izuzetak.

Šta treba uraditi

• Koristiti MAC Authentication Bypass (MAB) za uređaje koji ne mogu izvršiti standardan 802.1X — ovo autentifikuje uređaj na osnovu njegove MAC adrese umesto punog EAP procesa, slabija, ali i dalje kontrolisana alternativa potpunom odsustvu autentifikacije
• Voditi eksplicitnu, dokumentovanu allow-listu MAB uređaja sa jasnim poslovnim opravdanjem za svaki, po istom principu dokumentovanih izuzetaka koji se provlači kroz svaku seriju na ovom blogu — MAB uređaj bez jasnog vlasnika i razloga postaje isti, zaboravljen rizik kao i svaki drugi nedokumentovan izuzetak opisan kroz ranije serije
• Smestiti MAB uređaje u posebno ograničen, uzak mrežni segment, ne u isti segment kao punopravno autentifikovani, poverljiviji uređaji — MAC adresa se lako falsifikuje (spoofuje), pa MAB nikad ne treba tretirati kao ekvivalentan pravoj 802.1X autentifikaciji po snazi poverenja

Uvođenje bez izazivanja masovnog prekida — fazni pristup kao standard

Isti princip audit-pre-enforce koji se provlači kroz svaku operativno osetljivu promenu opisanu kroz ovaj blog ima ovde direktnu, dobro dokumentovanu primenu — uvođenje 802.1X na postojećoj mreži koja je ranije radila na jednostavnijem modelu nosi realan rizik masovnog, istovremenog gubitka pristupa ako se sprovede naglo, bez postepenog testiranja.

Šta treba uraditi

• Uključiti sprovođenje prvo na pilot grupi (konferencijska sala, gostinski prostor, jedan sprat) sa otvorenom autentifikacijom i dinamičkom VLAN dodelom — autentifikovani uređaji dobijaju produkcioni VLAN, neautentifikovani dobijaju ograničen, karantinski VLAN, umesto potpunog odbijanja pristupa
• Posmatrati rezultate kroz period od dve do četiri nedelje, identifikujući uređaje koji ne uspevaju da se autentifikuju i razloge zašto, pre šireg uvođenja
• Širiti sprovođenje postepeno, zgrada po zgradu ili sprat po sprat, ne za celu infrastrukturu odjednom — isti princip fazne primene koji se provlači kroz svaku operativno osetljivu promenu opisanu kroz ovaj blog
• Održavati jasan, dostupan proces za izuzetke tokom celog rollout-a — uređaj koji ne može da se autentifikuje treba imati definisan put (MAB uzimanje u razmatranje, tehnička ispravka, ili eskalacija) umesto da jednostavno ostane bez pristupa dok se problem ne otkrije kroz žalbe korisnika

Rogue pristupne tačke — praćenje neovlašćene infrastrukture

Vredi na kraju istaći rizik koji je specifičan za bežičnu infrastrukturu i nema direktan ekvivalent u žičanoj mreži: neovlašćena, "rogue" pristupna tačka — bilo postavljena od strane zaposlenog "radi praktičnosti" (npr. lični ruter donet od kuće da poboljša signal u uglu kancelarije), bilo namerno postavljena od strane napadača da imitira legitimnu mrežu i presretne kredencijale (Evil Twin napad pomenut ranije u tekstu). Istraživanja pokazuju da je ovo iznenađujuće čest nalaz — značajan procenat organizacija otkriva bar jednu neovlašćenu pristupnu tačku u sopstvenom okruženju tokom redovne provere.

Šta treba uraditi

• Sprovoditi redovno RF spektralno skeniranje (kroz ugrađene mogućnosti enterprise WiFi kontrolera ili namenske alate) za otkrivanje neovlašćenih signala na 2.4GHz i 5GHz opsezima unutar i oko fizičkog objekta
• Konfigurisati automatsku detekciju i alarmiranje za SSID-ove koji oponašaju ime organizacione mreže ali dolaze sa neovlašćenog, neregistrovanog uređaja — jasan signal potencijalnog Evil Twin pokušaja
• Uspostaviti jasnu politiku koja zabranjuje zaposlenima da samostalno instaliraju bilo kakvu dodatnu bežičnu opremu, uz obrazovanje o tome zašto naizgled bezazlen lični ruter "za bolji signal" predstavlja realan bezbednosni rizik, ne samo tehničku neugodnost

WiFi bezbednost, uprkos tome što se često posmatra kao jednostavno tehničko pitanje ("koja je lozinka za mrežu"), zaslužuje istu arhitekturnu pažnju kao i svaki drugi sloj infrastrukture obrađen kroz ovaj blog. Isti obrazac koji povezuje ovu temu sa svakom prethodnom serijom ostaje tačan: individualna autentifikacija umesto deljenih tajni, segmentacija kao podrazumevano stanje, i fazno, testirano uvođenje umesto naglih, rizičnih promena određuju razliku između mreže koja izgleda bezbedna i one koja to zaista jeste.