이 글의 목적은 가정·사업장 와이파이 보안을 실무 수준으로 강화하고, 공용 와이파이 환경에서 발생하는 AP 피싱(이빌 트윈) 피해를 예방하기 위한 설정 기준, 점검 체크리스트, 사용자 행동수칙을 체계적으로 제공하는 것이다.
1. 왜 지금 WPA3로 전환해야 하는가
WPA3는 개인용(Personal)에서 SAE(Simultaneous Authentication of Equals) 핸드셰이크를 사용하여 오프라인 사전대입 공격을 원천적으로 어렵게 하며, 기업용(Enterprise)에서는 192-bit 보안 수준 프로파일을 통해 강도 높은 암호 스위트를 보장한다. 또한 관리 프레임 보호(PMF, 802.11w)가 필수이므로 디어소스 공격에 대한 내성이 강화된다. 개방형 네트워크에는 OWE(Enhanced Open)가 적용되어 암호는 없지만 트래픽 암호화가 이루어진다. 종합하면 WPA3는 암호화 강도, 인증 절차, 프레임 보호 세 요소를 통합 강화한 표준이다.
2. 핵심 개념 정리
2.1 WPA3-Personal(SAE)
- 공유 패스프레이즈를 사용하되, SAE를 통해 세션마다 고유 키를 생성한다.
- 패스프레이즈 탈취를 노리는 오프라인 딕셔너리 공격 난이도가 급상승한다.
- AES-CCMP 또는 GCMP 사용을 권장한다.
2.2 WPA3-Enterprise
- 802.1X(RADIUS) 기반 인증을 사용한다.
- 선택적으로 192-bit 보안 수준 스위트(예: EAP-TLS+AES-GCMP-256)를 적용한다.
- 서버 인증서 검증과 클라이언트 인증서(EAP-TLS) 적용 시 피싱·MITM 위험이 크게 감소한다.
2.3 PMF(Protected Management Frames)
- 관리 프레임을 암호화·무결성 보호한다.
- WPA3에서 필수이다. WPA2에서는 선택이므로 반드시 ‘필수’로 변경해야 한다.
2.4 OWE(Enhanced Open)
- 비밀번호 없는 오픈 네트워크에서도 트래픽 암호화를 제공한다.
- 카페·로비·강의실의 ‘개방형 + 암호화’ 요구에 적합하다.
2.5 DPP(Wi-Fi Easy Connect)
- QR코드·NFC 등으로 기기 온보딩을 단순화한다.
- WPS 비활성화 대안으로 고려한다.
3. 가정·소규모 사무실 라우터 WPA3 설정 절차
- 펌웨어 업데이트를 우선 수행한다. 제조사 최신 펌웨어에서 WPA3·PMF·OWE·DPP 지원이 개선된다.
- 보안 모드에서 WPA3-Personal(Only)를 우선 선택한다. 구형 기기가 많다면 일시적으로 WPA2/WPA3 Transition을 사용하되, 호환성 점검 후 WPA3 Only로 전환한다.
- 암호화는 AES-CCMP 또는 GCMP로 설정한다. TKIP은 사용하지 않는다.
- PMF(802.11w)를 필수(Required)로 강제한다.
- WPS는 완전 비활성화한다. DPP가 있다면 이를 사용한다.
- 게스트 네트워크를 분리한다. VLAN/프라이버시 분리, AP 간 격리, 멀티캐스트·브로드캐스트 제한을 적용한다.
- 채널·대역폭은 5GHz/6GHz 위주로 구성한다. 2.4GHz는 IoT 전용 SSID로 분리하고 별도 비밀번호를 사용한다.
- 관리자 페이지 접속은 내부 전용으로 제한하고, 강력한 관리자 비밀번호와 MFA를 사용한다.
- 로그를 활성화하고, 비인가 AP 탐지(WIDS) 기능이 있다면 활성화한다.
- 정기 점검 일정을 수립하여 SSID·암호·펌웨어·로그·접속자 목록을 확인한다.
주의 : WPA2/WPA3 혼용(Transition)은 구형 단말 호환성 확보를 위한 임시 단계로만 사용한다. 혼용 기간에는 WPA2 취약점을 악용한 공격면이 남으므로 가능한 한 빨리 WPA3 Only로 전환한다.
4. 기업 환경: 802.1X + WPA3-Enterprise 구축
4.1 설계 원칙
- RADIUS 고가용성 구성(Primary/Secondary)과 감사 로그 중앙집중화(SIEM 연계)를 구축한다.
- EAP-TLS를 기본 방식으로 표준화한다. 단말 인증서 수명·폐기·자동배포(MDM/EMM)를 정책화한다.
- RADIUS 서버 인증서 검증을 클라이언트 측에서 강제한다. 루트·중간 CA 신뢰 체인을 최신 상태로 유지한다.
- 관리 프레임 보호(PMF) 필수, 192-bit 스위트는 고보안 존에 적용한다.
- 네트워크 액세스 제어(NAC)와 연계하여 OS 패치 수준·EDR 상태·자산 태그 기반 동적 VLAN 할당을 수행한다.
4.2 운영 체크리스트
| 영역 | 점검 항목 | 기준/설정 | 주기 |
|---|---|---|---|
| 암호화 | 보안 모드 | WPA3-Enterprise, 192-bit 스위트 적용 존 운영 | 반기 |
| 인증 | EAP 방식 | EAP-TLS 기본, 기타 방식 사용 시 서버 인증서 강제 검증 | 분기 |
| 프레임 보호 | PMF | Required | 상시 |
| 가용성 | RADIUS 이중화 | Primary/Secondary 상태 모니터링 | 주간 |
| 접근 통제 | NAC 연계 | 상태 기반 동적 VLAN·ACL 배포 | 상시 |
| 운영 | 로그·알림 | SIEM 연동, 비인가 AP 탐지 알림 | 상시 |
5. 공용 와이파이 AP 피싱(이빌 트윈) 차단 전략
5.1 공격 시나리오 이해
- 공격자가 기존 SSID와 동일한 이름으로 강한 신호의 가짜 AP를 띄우고 사용자를 유인한다.
- 캡티브 포털·로그인 페이지를 위장해 계정·OTP·카드 정보를 탈취한다.
- 암호화가 약한 환경에서 트래픽을 스니핑하거나 중간자 공격으로 세션 하이재킹을 시도한다.
5.2 사용자 측 방어 수칙
- 자동 연결(자동 참가)을 해제하고, 신뢰된 SSID만 수동 연결한다.
- 공용 환경에서는 VPN의 항상 켜기와 킬 스위치를 사용한다.
- 브라우저에서 인증서 경고가 뜨면 절대 진행하지 않는다. 주소창의 도메인 일치 여부를 확인한다.
- 앱 업데이트·송금·민감 정보 입력은 이동 데이터나 개인 핫스팟 사용 시에만 수행한다.
- 가능하면 OWE 지원 오픈 네트워크를 선택한다. 일반 오픈 SSID보다 안전하다.
- 기기에서 MAC 랜덤화(Private MAC)와 DNS 보안(암호화 DNS)을 활성화한다.
5.3 관리 측 방어 수칙
- 게스트 SSID는 OWE 또는 WPA3 게스트와 캡티브 포털을 결합한다.
- WIDS/WIPS로 동일 SSID·강 신호 Rogue AP를 탐지하고 자동 차단 정책을 도입한다.
- 포털 도메인·인증서·콘텐츠 무결성 점검을 자동화한다.
- SSID 네이밍에 위치·빌딩 식별자를 포함하여 스푸핑 성공률을 낮춘다.
6. 운영자용 보안 설정 체크리스트
| 번호 | 설정 항목 | 권장값 | 비고 |
|---|---|---|---|
| 1 | 보안 모드 | WPA3-Personal Only 또는 WPA3-Enterprise | Transition은 임시 |
| 2 | 암호화 | AES-CCMP/GCMP | TKIP 금지 |
| 3 | PMF | Required | 802.11w |
| 4 | WPS | Disable | DPP로 대체 |
| 5 | 게스트 네트워크 | VLAN 분리·클라이언트 격리 | mDNS 제한 |
| 6 | 관리자 접근 | 내부 전용·강력 비밀번호·MFA | 원격관리 차단 |
| 7 | 로그 | 원격 Syslog/SIEM 연동 | 임계치 알림 |
| 8 | 채널 | 5/6GHz 우선 | 2.4GHz는 IoT 분리 |
| 9 | 비인가 AP | WIDS/WIPS 활성화 | 자동 차단 정책 |
| 10 | 펌웨어 | 최신 유지 | 릴리스 노트 확인 |
7. 사용자 행동 보안 체크리스트
- SSID가 동일해도 위치·운영자 표기·암호화 종류를 확인한다.
- 공용망에서는 민감 업무를 수행하지 않는다.
- VPN, 2FA, 패스워드 매니저를 상시 사용한다.
- 알 수 없는 캡티브 포털에서 계정 입력을 피한다.
- 의심될 때는 즉시 Wi-Fi를 끄고 셀룰러 데이터로 전환한다.
8. 기기별 실전 설정 가이드
8.1 iOS/iPadOS
- 설정 > Wi-Fi > 네트워크 정보에서 사설 Wi-Fi 주소를 켠다.
- 개인용 프라이버시 경고가 뜨면 해당 SSID를 삭제하고 재등록한다.
- 자동 연결을 끄고 신뢰된 SSID만 수동 연결한다.
8.2 Android
- 네트워크 > Wi-Fi > 네트워크 설정에서 무작위 MAC을 사용한다.
- 보안 유형이 표시되면 WPA3를 우선 선택한다.
- 자동 연결 해제, 네트워크 평판 경고를 활성화한다.
8.3 Windows
REM 자동 연결 해제 netsh wlan set profileparameter name="SSID이름" connectionmode=manual
REM 저장된 프로파일 확인
netsh wlan show profiles
REM 현재 연결 상태
netsh wlan show interfaces
8.4 macOS
# 근접 AP 스캔 /System/Library/PrivateFrameworks/Apple80211.framework/Versions/Current/Resources/airport -s
자동 연결 관리(네트워크 우선순위 조정)
/usr/sbin/networksetup -listpreferredwirelessnetworks <서비스명>
8.5 Linux
# 주변 AP 검색 nmcli dev wifi
저장된 연결 보기
nmcli connection show
특정 SSID 자동 연결 해제
nmcli connection modify "SSID이름" connection.autoconnect no
9. 게스트·IoT 분리 설계
IoT 장비는 업데이트 지연·약한 보안이 잦으므로 전용 SSID로 분리한다. 게스트 SSID와 IoT SSID는 서로 통신하지 못하도록 클라이언트 격리와 VLAN을 적용한다. 필요 시 IoT에서 외부 특정 서비스만 허용하는 아웃바운드 ACL을 구성한다. UPnP는 기본 비활성화하고 필요한 포트만 수동 허용한다.
10. 공용망에서의 데이터 보호
- VPN Always-On과 킬 스위치를 사용한다.
- 브라우저는 HTTPS-Only 모드를 활성화한다.
- DNS-over-HTTPS/TSL을 적용하여 질의 노출을 줄인다.
- 메신저·이메일 앱에서 TLS 강제 및 인증서 고정(앱 제공 시)을 활성화한다.
11. 사고 대응 및 포렌식 기본
- 의심 세션 발견 시 즉시 무선 연결을 차단하고 VPN 로그와 시스템 이벤트를 보존한다.
- 라우터·AP의 접속자 목록, 관리 로그, WIDS 이벤트를 백업한다.
- 자격 증명 노출 가능성이 있으면 모든 관련 비밀번호를 변경하고 장치·계정에 MFA를 강제한다.
- 금융·업무 시스템 접속 기록에서 이상 IP·접근지 위치를 점검한다.
12. 단계별 마이그레이션 플랜
- 준비: 자산 목록화(단말·OS·무선 칩셋), WPA3 지원 여부 표기, 펌웨어 호환성 조사
- 파일럿: 일부 구역에서 WPA3 Only·PMF Required·DPP 적용, 장애·호환 이슈 목록화
- 전환: 전체 SSID WPA2/WPA3 혼용 후 알림, 구형 단말 교체 일정 공지
- 완료: WPA3 Only 전환, WPA2 SSID 종료, 운영 기준서 업데이트, 주기 점검 고도화
13. 자주 발생하는 실수와 해결책
- Transition 장기 사용: 구형 단말 교체 계획을 수립하고 종료 시점을 공지한다.
- PMF 미강제: 호환성 이슈가 있으면 펌웨어를 갱신하거나 클라이언트 드라이버를 업데이트한다.
- WPS 방치: 기능을 완전 비활성화하고 DPP로 전환한다.
- 게스트·사내 혼용: VLAN·ACL로 분리하고 라우팅·DNS를 분리한다.
14. 보안 정책 예시(사내 고시문 템플릿)
[무선 보안 정책 요약] 1) 사내 SSID는 WPA3-Enterprise, PMF Required를 기본으로 한다. 2) 게스트 SSID는 OWE 또는 WPA3-Personal을 사용하며 VLAN으로 분리한다. 3) 자동 연결은 금지한다. 사용자 단말은 신뢰된 SSID만 수동 등록한다. 4) 공용망 업무 금지. 불가피한 경우 VPN Always-On을 의무화한다. 5) 비인가 AP 탐지 시 즉시 차단하고 보안팀에 보고한다. 15. 자체 점검 질문 리스트
- 우리 AP는 WPA3 Only로 운영되는가, PMF는 Required인가.
- 게스트·IoT는 네트워크적으로 완전히 분리되었는가.
- WPS는 비활성화되었는가. DPP를 도입했는가.
- WIDS/WIPS와 로그 모니터링이 상시 동작하는가.
- 공용망 보안 수칙이 사용자에게 지속적으로 안내되는가.
FAQ
WPA3로 바꾸면 모든 기기가 즉시 연결되는가?
아니다. 구형 단말은 WPA3를 지원하지 않을 수 있다. 이 경우 일시적으로 WPA2/WPA3 혼용을 사용하고, 단말 교체 또는 드라이버 업데이트 후 WPA3 Only로 전환한다.
오픈 네트워크에서 OWE와 일반 오픈의 차이는 무엇인가?
일반 오픈은 암호화가 전혀 없다. OWE는 비밀번호 없이도 단말-AP 간 트래픽을 암호화한다. 민감 업무에는 여전히 VPN을 권장한다.
공용 와이파이에서 VPN만 쓰면 안전한가?
VPN은 강력한 보호 수단이다. 그러나 피싱 포털에 자격 증명을 입력하면 VPN 이전 단계에서 정보가 노출될 수 있다. 포털·도메인 검증과 인증서 경고 무시는 금지한다.
PMF를 Optional로 두면 무엇이 문제인가?
관리 프레임이 보호되지 않는 단말이 접속하여 디어소스·채널 스위칭 유도가 쉬워질 수 있다. Required로 강제하여 일관된 보호를 확보한다.
WPS를 그대로 두면 어떤 위험이 있는가?
PIN 기반 브루트포스 공격 위험이 존재한다. WPS는 비활성화하고 DPP를 사용한다.