ما هو WPA3

WPA3 (Wi-Fi Protected Access 3) هو معيار أمن الشبكات اللاسلكية المُصدَّق من قِبَل Wi-Fi Alliance في يونيو 2018. هو خَلَف WPA2، الذي كان الافتراضي منذ 2004. شهادة WPA3 إلزامية لأي جهاز يحمل علامة "Wi-Fi 6" أو لاحقة.

الدافع كان سلسلة نقاط ضعف في WPA2 أصبحت غير عملية للترقيع. هجوم 2017 KRACK ضدّ handshake WPA2 4-way أجبر كل بائع Wi-Fi على إصدار تحديثات firmware وأظهر أن سلامة البروتوكول تستند على افتراضات لم يحترمها العملاء دومًا. هجمات قاموس offline ضدّ handshakes WPA2 المُلتقطة أصبحت تافهة بـ GPUs استهلاكية.

ما يغيّره WPA3

SAE يستبدل PSK. WPA2-Personal استخدم Pre-Shared Key (PSK) مع handshake 4-way. مهاجم يلتقط الـ handshake يستطيع تجربة كل كلمة مرور من القاموس offline، بدون تفاعل إضافي مع الشبكة. WPA3-Personal يستبدل هذا بـ Simultaneous Authentication of Equals (SAE)، مُعرَّف في RFC 7664 ومستند إلى تبادل مفاتيح Dragonfly. SAE هو تبادل مفاتيح متوازن مُصادَق بكلمة مرور: كل تخمين لكلمة المرور يتطلّب تفاعلًا جديدًا مع نقطة الوصول. brute-force offline لم يعد ممكنًا.

Forward secrecy. WPA2 اشتقّ كل مفاتيح الجلسة من PSK، فمهاجم يتعلّم لاحقًا كلمة المرور يستطيع فكّ تشفير كل جلسة مُلتقطة سابقًا. SAE ينتج مفاتيح جلسة عابرة لا يستطيع كلمة المرور طويلة الأمد إعادة بنائها. الحركة الماضية تبقى محمية حتى لو تسرّبت كلمة المرور.

OWE للشبكات المفتوحة. Wi-Fi المفتوح (بدون كلمة مرور) أرسل كل حزمة بنصّ واضح. Opportunistic Wireless Encryption (OWE)، مُعرَّف في RFC 8110، يُشفّر الحركة على الشبكات بدون كلمة مرور باستخدام تبادل Diffie-Hellman غير مُصادَق. لا يُصادِق نقطة الوصول، فالمهاجم لا يزال يستطيع انتحال SSID، لكن التنصّت السلبي لم يعد يعمل.

وضع enterprise بـ 192 بت. WPA3-Enterprise لديه مجموعة أمن 192 بت اختيارية تستخدم GCMP-256 للتشفير، HMAC-SHA384 للسلامة، وECDH/ECDSA على منحنى P-384 لتبادل المفاتيح. مُخصَّص لشبكات الحكومة والمالية المتوافقة مع متطلّبات CNSA Suite.

ما لا يغيّره WPA3

WPA3 لا يزال يعمل على الطبقة 2. يُصادِق الرابط اللاسلكي بين جهازك ونقطة الوصول. لا يفعل شيئًا حول بقية المسار: راوتر المُشغِّل، مزوّد إنترنته، وكل شبكة بينهما لا تزال ترى حركتك كما لو كنت على اتصال سلكي. التشفير end-to-end (HTTPS، TLS، VPNs) هو ما يحمي المحتوى وراء نقطة الوصول.

WPA3 أيضًا لا يُصادِق هوية نقطة الوصول للعميل في وضع WPA3-Personal. مهاجم يُشغّل AP مارقًا بنفس SSID وكلمة المرور لا يزال يستطيع جعل العملاء يرتبطون. SAE يمنع المهاجم من تعلّم كلمة المرور، لكن AP المارق لا يزال يستطيع شنّ هجوم man-in-the-middle نشط ضدّ أي حركة غير مُشفَّرة.

حالة الاعتماد (2026)

معظم نقاط الوصول المؤسّسية المباعة منذ 2020 تدعم WPA3. اعتماد راوتر المستهلك في مرحلة متوسطة: راوترات من 2021 فصاعدًا تدعمه عادةً، لكن كثيرًا من الشبكات تعمل بوضع مختلط (WPA2/WPA3 وضع انتقال) للتوافق مع العملاء الأقدم. iPhones تدعم WPA3 منذ iOS 13، Android منذ 10، Windows منذ تحديث مايو 2019، macOS منذ 10.15.

الشبكات بالوضع المختلط أضعف من WPA3 فقط لأنها تقبل handshake WPA2 من أي عميل يطلب. ضبط راوتر منزلك على وضع WPA3 فقط يُجبر كل جهاز على استخدام البروتوكول الجديد، لكن يكسر الأجهزة التي تسبق 2019.