Затвердження стандарту IEEE 802.11be, відомого під комерційною назвою Wi-Fi 7, започаткувало якісний стрибок у розвитку локальних бездротових мереж. Якщо попередні специфікації від 802.11n до 802.11ax (Wi-Fi 6/6E) концентрувалися на підвищенні щільності модуляції та розширенні смуг, то Wi-Fi 7 змінює сам принцип взаємодії абонентського пристрою з радіоефіром. Головним елементом цієї трансформації є технологія Multi-Link Operation (MLO), яка дозволяє підтримувати одночасні бездротові підключення у діапазонах 2,4 ГГц, 5 ГГц і 6 ГГц.

Раніше клієнтські термінали були привʼязані до єдиного радіочастотного каналу в межах одного сеансу. При віддаленні від точки доступу пристрій виконував переривчастий роумінг: розривав звʼязок на 5 ГГц, повторно сканував доступний спектр і знову погоджував зʼєднання на 2,4 ГГц. MLO прибирає цю затримку. Обʼєднуючи різні фізичні канали в спільний транспортний маршрут, Wi-Fi 7 забезпечує стабільний низький джитер пакетів, гігабітну пропускну здатність та безшовне перемикання у разі радіозавад.

Проте паралельна передача кадрів різними частотами формує нові вектори загроз. Одночасна передача потоків створює передумови для радіочастотної ідентифікації, кореляції MAC-адрес і телеметричного стеження. Без надійного криптографічного розділення на рівні Layer 3 швидкісні переваги MLO можуть призвести до ненавмисного розкриття локації користувача та мережевих метаданих.

У класичних стандартах 802.11 кожна станція (STA) мала жорстку відповідність між радіомодулем та апаратною MAC-адресою. IEEE 802.11be розділяє цю залежність за допомогою концепції Multi-Link Device (MLD). MLD функціонує як абстрактна логічна сутність, що керує декількома фізичними інтерфейсами станцій.

Специфікація виділяє дві основні ролі:

  1. AP MLD (Точка доступу Multi-Link): Базова станція, оснащена декількома незалежними трансиверами у смугах 2,4 ГГц, 5 ГГц і 6 ГГц.
  2. Non-AP MLD (Клієнтський пристрій Multi-Link): Кінцевий термінал (смартфон, робоча станція чи планшет), здатний підтримувати синхронні зʼєднання з AP MLD.
       [ Рівень додатків / Мережевий стек ОС ]
                          │
            [ Віртуальний інтерфейс Layer 3 (tun0) ]
                          │
            ┌─────────────┴─────────────┐
            │    Керування логікою MLD  │
            └─────────────┬─────────────┘
      ┌───────────────────┼───────────────────┐
      ▼                   ▼                   ▼
[ Канал 1: 2,4 ГГц ] [ Канал 2: 5 ГГц ] [ Канал 3: 6 ГГц ]
      └───────────────────┼───────────────────┘
                          ▼
            [ Агрегатор Wi-Fi 7 AP MLD ]

MLO працює у кількох режимах залежно від апаратних трансиверів:

  • STR-MLMR (Одночасне передавання та приймання на кількох модулях): Пристрій оснащений ізольованими радіофільтрами. Станція здатна транслювати дані на 5 ГГц і паралельно приймати пакети на 6 ГГц без внутрішніх завад.
  • NSTR-MLMR (Неодночасне передавання та приймання): Застосовується в компактних пристроях, де рознесення антен недостатнє для ізоляції сусідніх смуг. Приймання та передавання синхронізуються за фазами.
  • EMLSR (Покращений режим з одним трансивером): Енергоефективний профіль для мобільних платформ із живленням від акумулятора. Пристрій відстежує активність смуг і перемикається на найчистіший канал для обміну кадрами.

У конфігурації STR-MLMR підрівень MAC динамічно скеровує вихідні пакети між активними лінками покадрово. У разі раптових перешкод на 5 ГГц трафік миттєво перенаправляється через лінк 6 ГГц без втрати сесії.

Ризики для приватності: кореляція MAC-адрес і телеметрія

Сучасні платформи використовують рандомізацію MAC-адрес для захисту від спостереження у громадських просторах. Під час пересування містом пристрій генерує тимчасові канальні ідентифікатори для кожної мережі.

У топології 802.11be MLO захист конфіденційності ускладнюється через багаторівневу адресну систему:

  • MLD MAC-адреса (Common MAC): Спільний логічний ідентифікатор керівної сутності MLD.
  • Link MAC-адреси: Індивідуальні апаратні адреси для кожного фізичного інтерфейсу (канали 1, 2 та 3).
                    [ Ідентифікатор пристрою ]
                                │
                    [ Спільна MLD MAC-адреса ]
                 (Єдиний криптографічний контекст)
                                │
         ┌──────────────────────┼──────────────────────┐
         ▼                      ▼                      ▼
    Link MAC (2,4 ГГц)     Link MAC (5 ГГц)       Link MAC (6 ГГц)
   [ 02:4A:11:BC:90:01 ]  [ 02:4A:11:BC:90:02 ]  [ 02:4A:11:BC:90:03 ]

Такий поділ спричиняє характерні ризики:

1. Розсинхронізація рандомізації ідентифікаторів

Якщо операційна система змінює Link MAC на інтерфейсі 5 ГГц, але залишає незмінну адресу на 2,4 ГГц, зовнішній спостерігач поєднує ці дані. Оскільки кадри асоціації привʼязують радіоінтерфейси до батьківської структури MLD, витік на одній частоті деанонімізує решту каналів.

2. Багатодіапазонний поведінковий фінгерпринтинг

Навіть якщо всі лінкові адреси регулярно оновлюються, графік відправлення пакетів утворює помітний цифровий слід. Пасивний радіомоніторинг дозволяє зіставляти часові інтервали між пакетами на частотах 5 ГГц і 6 ГГц. Розподіл розмірів агрегованих кадрів (A-MPDU) та періодичність балансування частот формують унікальний апаратний профіль, стійкий до зміни MAC-адрес.

3. Неавторизовані точки доступу та примусове зниження частот

Зловмисники можуть розгортати фальшиві точки доступу з оголошенням фіктивних можливостей MLO. Це дає змогу скеровувати конфіденційний трафік на застарілу незахищену смугу для перехоплення метаданих до їхнього надходження у зовнішні шлюзи.

Криптографічні межі: WPA3-SAE проти захисту Layer 3

Для безпеки зʼєднань Wi-Fi 7 вимагає обовʼязкового застосування WPA3-Enterprise або WPA3-Personal із механізмом автентифікації Simultaneous Authentication of Equals (SAE):

  1. Клієнтський модуль MLD та точка доступу AP MLD здійснюють початкове рукостискання SAE для формування головного ключа Pairwise Master Key (PMK).
  2. На основі спільного PMK генеруються окремі сесійні ключі Pairwise Transient Keys (PTK) для кожного задіяного частотного лінку.
  3. Кожен окремий бездротовий канал шифрує фізичні кадри алгоритмами AES-CCMP-128 або AES-GCMP-256.

Хоча WPA3-SAE унеможливлює пряме перехоплення пакетів з ефіру, цей механізм діє виключно на рівні Layer 2 (канальний рівень). Після проходження бездротового маршрутизатора частина даних залишається відкритою:

  • Видимість у локальній підмережі: Пристрої в одній мережі перебувають у спільному широкомовному домені. Інші учасники можуть аналізувати трафік ARP, mDNS та повідомлення DHCP.
  • Телеметрія на рівні шлюзу: Адміністратор маршрутизатора Wi-Fi 7 фіксує нешифровані DNS-запити (порт 53), поля Server Name Indication (SNI) у рукостисканнях TLS та цільові IP-адреси.
  • Глибокий аналіз пакетів провайдером: Під час передачі трафіку в оптоволоконну лінію оператор звʼязку фіксує напрямки зʼєднань та складає профіль активності користувача.

Шифрування на канальному рівні захищає проміжок від антени до маршрутизатора, проте не гарантує конфіденційності на зовнішніх ділянках маршруту.

Захист багатоканального звʼязку за допомогою VPN Layer 3

Для надійного захисту приватності в середовищі Wi-Fi 7 мережеву безпеку необхідно відокремити від параметрів бездротового середовища. Інкапсуляція призначених для користувача даних у віртуальну приватну мережу Layer 3 створює наскрізний тунель, який нейтралізує загрози канального рівня.

[ Дані додатків ]
        │
[ Тунель RiceGuard Layer 3 (ChaCha20-Poly1305) ] <── Криптографічний периметр
        │
[ IP-пакет: адреса цільового VPN-шлюзу ]
        │
┌───────┴──────────────────────────────────────┐
│       Диспетчер MLO стандарту 802.11be       │
│  Розподіляє шифровані пакети за лінками      │
└───────┬──────────────────────┬───────────────┘
        ▼                      ▼
 [ Бездротовий лінк 5 ГГц ] [ Бездротовий лінк 6 ГГц ] <── В ефірі видно лише UDP-пакети
        │                      │
        └──────────────┬───────┘
                       ▼
              [ Маршрутизатор Wi-Fi 7 ]
                       │
              [ Зовнішній транзит ]
                       │
            [ Anycast-вузол VPNRice ]          <── Розшифровує та передає за призначенням

Використання протоколу WireGuard (RiceGuard) забезпечує низку вагомих переваг:

1. Стійкість до асиметричного доставляння пакетів

У режимі STR-MLMR пакети однієї сесії TCP часто розподіляються між різними смугами. У разі затримок на частоті 5 ГГц пакети зі смуги 6 ГГц можуть дістатися місця призначення раніше. WireGuard базується на протоколі UDP без збереження стану та використовує легке ковзне вікно проти повторів. Це усуває потребу в повторному погодженні ключів, якщо послідовність пакетів зазнає зсуву.

2. Ліквідація витоків метаданих в ефірі

За активного VPN увесь трафік додатків, DNS-запити та кінцеві IP-адреси загортаються в однорідні UDP-пакети з високою ентропією перед передачею бездротовому драйверу. Навіть у разі одночасного перехоплення сигналів на 2,4 ГГц, 5 ГГц і 6 ГГц сторонній спостерігач не визначить цільові ресурси або структуру трафіку.

3. Запобігання витокам DNS

Під час перемикання смуг незахищені пристрої нерідко надсилають DNS-запити до локального шлюзу DHCP. VPNRice перехоплює всі запити на віртуальному адаптері (tun0) та спрямовує їх до внутрішніх рекурсивних резолверів усередині тунелю.

Мережевий рівень Зона захисту Загрози без використання VPN
Layer 2 (Wi-Fi 7 WPA3-SAE) Від антени до маршрутизатора Відомі IP-адреси, відкритий DNS, збір даних на шлюзі та в оператора
Layer 3 (Тунель RiceGuard) Від пристрою до вузла VPN Повне наскрізне шифрування; захист від будь-якого моніторингу в ефірі

Практичні рекомендації щодо безпеки в мережах Wi-Fi 7

Щоб отримати максимальну продуктивність без ризиків для приватності, варто дотримуватися таких налаштувань:

  • Увімкніть рандомізацію MAC для кожної мережі: У параметрах системи переконайтеся, що створення адрес налаштовано окремо для кожного SSID, а не використовується статичний ідентифікатор.
  • Вимкніть змішані режими безпеки: На власному маршрутизаторі Wi-Fi 7 активуйте режим «Тільки WPA3-Personal» або «WPA3-Enterprise». Змішаний режим WPA2/WPA3 дозволяє здійснювати атаки зі зниженням протоколу.
  • Відокремте пристрої IoT в окремий VLAN: Якщо точка доступу підтримує сегментацію VLAN та Multi-BSSID, переведіть розумну домашню техніку на ізольовану смугу 2,4 ГГц, зарезервувавши 5 ГГц і 6 ГГц для робочих пристроїв.
  • Підтримуйте постійне тунелювання Layer 3: Використовуйте надійне підключення VPN під час зʼєднання з відкритими або спільними мережами Wi-Fi 7 для запобігання збору телеметрії та радіочастотного фінгерпринтингу.

Архітектура Multi-Link Operation у Wi-Fi 7 забезпечує значну пропускну здатність та стабільність зʼєднання. Поєднання динамічного розподілу каналів на Layer 2 з автентифікованим шифруванням на Layer 3 дозволяє користуватися швидкісним бездротовим звʼязком без шкоди для власної цифрової конфіденційності.

Завантажити VPNRice.