Защищённые кадры управления — это механизм стандарта IEEE 802.11w, который шифрует служебные кадры Wi-Fi (деаутентификацию, диссоциацию) и не даёт злоумышленнику принудительно «выкинуть» ваше устройство из сети поддельной командой от имени точки доступа. Если в настройках роутера вы видите пункт Protected Management Frames или PMF с вариантами «Отключено / Опционально / Обязательно» — речь идёт именно об этой функции.
Без PMF кадры управления передаются в открытом виде, даже если сам трафик защищён WPA2 или WPA3. Это позволяет любому в радиусе действия сети отправить поддельный кадр деаутентификации и разорвать соединение клиента — классическая основа атаки deauth, применяемой для перехвата рукопожатий и простого саботажа связи. Ниже разберём, как работает защита, когда её стоит включать и почему после активации иногда «отваливаются» старые устройства.
Что такое кадры управления и зачем их защищать
В сетях Wi-Fi трафик делится на три типа кадров: кадры данных, кадры управления и служебные кадры контроля. Кадры управления отвечают за установку и разрыв соединения: аутентификацию, ассоциацию, деаутентификацию, маяки (beacon). Именно они оставались незашифрованными в ранних версиях стандарта — шифрование WPA2 защищало только пользовательские данные.
Стандарт 802.11w, опубликованный в 2009 году, закрыл эту брешь: кадры деаутентификации и диссоциации стали подписываться и шифроваться, поэтому подделать их без знания ключей сессии невозможно. Точка доступа и клиент просто отбрасывают поддельные кадры разрыва связи.
- 🛡️ Защита от deauth-атак — принудительное отключение клиентов становится бессмысленным.
- 🔐 Целостность служебного обмена — поддельный кадр разрыва не пройдёт проверку подлинности.
- 📶 Стабильность соединения — меньше спонтанных разрывов в «шумном» радиоэфире с активным злоумышленником.
- 🧩 Требование WPA3 — в режиме WPA3-Personal защита кадров управления обязательна по спецификации.
Режимы работы PMF: Disabled, Capable, Required
В настройках точек доступа и роутеров функция обычно представлена тремя состояниями. Названия могут отличаться у разных производителей, но смысл един:
| Режим | Обозначение | Поведение |
|---|---|---|
| Отключено | Disabled | PMF не используется, защита кадров отсутствует |
| Опционально | Capable / Optional | Защита включается только с клиентами, которые её поддерживают |
| Обязательно | Required | Клиенты без поддержки 802.11w не смогут подключиться |
| WPA3-Personal | — | PMF всегда обязателен, отключить нельзя |
Практический вывод прост: для домашней сети со смешанным парком устройств безопаснее всего режим «Опционально». Современные смартфоны и ноутбуки получат защиту, а старые принтеры, IP-камеры и умные розетки продолжат работать без неё. Режим «Обязательно» оправдан в корпоративной среде, где парк устройств контролируется.
💡PMF в режиме «Опционально» — оптимальный баланс: современные клиенты защищены, устаревшие устройства не теряют доступ к сети.