Modul 5 · 5.3
Wifi, práca z domu a na cestách
Modul 5: Zariadenia, softvér a sieť · Čas čítania: 11 minút
Cieľ lekcie: Po tejto lekcii dokážete bezpečne nastaviť wifi v kancelárii aj doma, oddeliť smart zariadenia a hostí od pracovnej siete a bezpečne pracovať na cestách, vrátane toho, čo VPN robí a čo nie.
Kľúčové pojmy: router, administrátorské heslo, WPA2, WPA3, SAE, prechodový režim, WPS, UPnP, sieť pre hostí, verejná wifi, falošný hotspot, https, VPN, hotspot vo vašom telefóne
Router je vaše vchodové dvere
Všetko, čo spája vašu kanceláriu alebo domáce pracovisko s internetom, prechádza cez router (často v jednej skrinke spolu s modemom od poskytovateľa). Robí tri veci: spája vašu sieť s internetom, zastavuje nevyžiadanú prevádzku zvonku (firewall) a väčšinou aj vysiela wifi sieť.
Router málokto skontroluje po tom, čo technik odíde. Preto na ňom často zostávajú továrenské nastavenia. Štyri veci, ktoré treba upraviť hneď:
- Zmeňte administrátorské heslo. Je to heslo na stránku s nastaveniami routera, nie wifi heslo. Predvolené heslá bývajú podľa značky či série verejne známe. Použite dlhé, jedinečné heslo zo svojho správcu hesiel.
- Vypnite správu zvonku, pokiaľ to váš poskytovateľ naozaj nepotrebuje. Stránka s nastaveniami je tak dostupná len z vašej vlastnej siete.
- Vypnite UPnP, ak ho nepotrebujete. Vďaka UPnP si môže ktorékoľvek zariadenie vo vašej sieti samo otvoriť port vo firewalle, aj kamera so zraniteľnosťou. Holandský NBÚ (holandský NCSC) odporúča UPnP vypnúť.
- Aktualizujte firmvér alebo skontrolujte, že to poskytovateľ robí automaticky (lekcia 5.1). Ak router už aktualizácie nedostáva, vymeňte ho.
WPA2 a WPA3: ako je vaša wifi šifrovaná
Wifi sa šíri vzduchom. Signál dokáže zachytiť ktokoľvek v okolí. Preto sa šifruje. Štandard spravuje organizácia Wi-Fi Alliance.
| Režim | Hodnotenie | Vysvetlenie |
|---|---|---|
| Otvorená sieť (bez hesla) | Nevhodné pre vašu firmu | Pripojiť sa môže ktokoľvek a bez https si môže aj čítať komunikáciu. |
| WEP, WPA (prvá verzia), TKIP | Nebezpečné | Zastarané a prelomené. Ak to vidíte, vymeňte router alebo zmeňte nastavenie. |
| WPA2-Personal (AES) | Dostatočné, s dlhým heslom | Kto zachytí spojenie jedného zariadenia, môže potom doma, bez toho, aby zostal v blízkosti, donekonečna skúšať heslá. Krátke alebo predvídateľné wifi heslo tak rýchlo padne. |
| WPA3-Personal | Najlepšia voľba | Používa SAE namiesto starého systému zdieľaného kľúča. Podľa Wi-Fi Alliance útočník už nemôže offline skúšať heslá: každý pokus vyžaduje nový pokus priamo voči routeru. A aj keď niekto neskôr heslo zistí, nedokáže dešifrovať skôr zachytenú prevádzku (forward secrecy). |
| Prechodový režim WPA2/WPA3 | Dobré ako medzikrok | Nové zariadenia sa pripájajú cez WPA3, staršie cez WPA2. Užitočné, kým máte staršie zariadenia; tie potom majú len ochranu WPA2. |
Podľa Wi-Fi Alliance je WPA3 povinné pre zariadenia s certifikátom Wi-Fi CERTIFIED, takže ho zvládne takmer každý nový router aj telefón. Zvoľte WPA3, ak ho podporujú všetky vaše zariadenia, inak prechodový režim.
Vo všetkých prípadoch používajte dlhé wifi heslo, napríklad heslovú frázu zo štyroch alebo piatich samostatných slov (lekcia 2.1). Aj tak je uložené vo vašich zariadeniach, zadávate ho len zriedka.
WPS (Wi-Fi Protected Setup) je tlačidlo alebo PIN kód na jednoduché párovanie zariadení. Variant s PIN kódom má známu konštrukčnú chybu: kvôli spôsobu, akým router odpovedá, nemusí útočník skúšať sto miliónov, ale len približne jedenásťtisíc kombinácií, a potom zistí wifi heslo (CERT/CC, 2011). Ak to váš router umožňuje, vypnite WPS.
Sieť pre hostí: oddeľte, čo k sebe nepatrí
Malá kancelária má čoskoro v jednej sieti zariadenia veľmi rôznej dôveryhodnosti: notebooky s účtovníctvom, NAS so zákazníckymi spismi, ale aj telefóny návštevníkov, smart televízor v čakárni, termostat a niekoľko kamier. Ak sú všetky v jednej sieti, hacknutá kamera môže komunikovať priamo s NAS.
Preto si vytvorte sieť pre hostí: druhú wifi sieť s vlastným názvom a heslom, ktorá poskytuje internet, ale neumožňuje prístup k zariadeniam vo vašej hlavnej sieti. Zvládne to takmer každý router. Umiestnite do nej:
- návštevníkov a ich telefóny;
- smart zariadenia: televízor, termostat, zvonček, reproduktor a kde je to možné aj kamery. Holandský NBÚ (holandský NCSC) to výslovne odporúča;
- súkromné zariadenia zamestnancov, ak nepotrebujú prístup k firemným údajom.
Po nastavení skontrolujte, že to funguje: z telefónu pripojeného k sieti pre hostí by ste nemali vedieť nájsť tlačiareň ani NAS.
Práca z domu
Doma pracujete v sieti, ktorú ako firma nespravujete, často spolu s členmi domácnosti, hernou konzolou a smart reproduktorom suseda v zozname sietí. Dohodnite sa so svojím tímom na týchto bodoch:
- domáci router dostane rovnaké základné ošetrenie: vlastné administrátorské heslo, WPA2 alebo WPA3 s dlhým heslom, aktualizovaný firmvér;
- pracovný notebook je na prácu: nepoužívajú ho deti ani ostatní členovia domácnosti, a zamykajte ho, keď od neho odídete (lekcia 5.2);
- aktualizácie prebiehajú aj doma. Notebook, ktorý týždne nepríde do kancelárie, niekedy nedostane aktualizácie riadené centrálne. Skontrolujte to;
- prístup k firemným systémom ide cez bezpečné pripojenie: cloudovú službu s https a dvojfaktorovým overením (2FA), alebo VPN do kancelárie. Nikdy si len tak neotvárajte port, aby ste sa „z pohodlia domova“ dostali k NAS.
Na cestách: verejná wifi
V hoteli, vlaku alebo kaviarni neviete, kto sieť spravuje. Najväčším rizikom je falošný hotspot: útočník vytvorí sieť s rovnakým názvom ako tá skutočná, napríklad „Hotel-Gasten“. Váš telefón sa automaticky pripojí a všetka vaša prevádzka ide cez jeho zariadenie.
Našťastie väčšina prevádzky dnes prebieha cez https (lekcia 4.2) a pošta cez šifrované spojenia. Útočník tak síce vidí, ktoré stránky navštevujete, ale nie, čo do nich zadávate. Napriek tomu zostávajú riziká: prihlasovacia stránka, ktorá vás presmeruje na falošný web, hlásenie „nainštalujte tento certifikát“, alebo staré aplikácie, ktoré nešifrujú.
Holandský NBÚ (holandský NCSC) odporúča:
- radšej používajte mobilné dáta alebo hotspot vlastného telefónu než verejnú wifi;
- nedovoľte zariadeniu, aby sa automaticky pripájalo k wifi sieťam;
- na verejnej wifi nerobte bankové operácie ani dôvernú prácu a nič si tam nesťahujte ani neinštalujte;
- vypnite zdieľanie súborov a po skončení sa odhláste.
Ak na verejnej wifi dostanete varovanie o certifikáte pri stránke, ktorú dobre poznáte, nepokračujte. To je presne signál, že vás niekto sleduje.
Čo VPN robí a čo nie
Slovo VPN sa používa pre dve odlišné veci. Firemná VPN spája váš notebook šifrovane so sieťou vašej kancelárie, takže sa zvonku dostanete k NAS alebo k účtovnému programu. Komerčná VPN služba posiela všetku vašu internetovú prevádzku šifrovane na server poskytovateľa, ktorý ju potom posiela ďalej na internet.
| VPN robí | VPN nerobí |
|---|---|
| Šifruje vašu prevádzku medzi vaším zariadením a VPN serverom, takže miestna (wifi) sieť ju nevie sledovať | Nechráni vás pred phishingom: falošná stránka je cez VPN rovnako falošná |
| Umožňuje bezpečný prístup do kancelárskej siete (firemná VPN) | Nezastaví malvér ani nevyčistí infikovaný notebook |
| Skrýva vašu IP adresu pred navštevovanými stránkami | Nerobí vás anonymným: prihlásenie do služby stále prezradí, kto ste |
| Neodstraňuje nutnosť dôvery: poskytovateľ VPN teraz vidí to, čo predtým videla hotelová sieť |
VPN teda presúva miesto, kde musíte mať dôveru. V neznámej sieti to môže mať zmysel. Vo vlastnej domácej sieti s https stránkami komerčná VPN pre bezpečnosť pridáva málo.
A pozor: VPN server vo vašej kancelárii je sám o sebe koncové zariadenie, ktoré je dostupné z internetu. Zastarané VPN servery sú známym vstupným bodom pre ransomvér (lekcia 1.3). Aktualizujte ho, zapnite dvojfaktorové overenie (2FA) a vypínajte ho, keď ho nepoužívate.
V praxi: ako to vyzerá
Aj vaša pošta ide na cestách cez sieť. Preto si poštového klienta nastavte so šifrovanými spojeniami. Vo WebOké sú to napríklad IMAP na porte 993 s SSL/TLS a SMTP na porte 587 so STARTTLS (alebo 465 s SSL/TLS); u iných poskytovateľov sú porty väčšinou rovnaké. Ak vo vašom poštovom klientovi vidíte „bez zabezpečenia“ alebo port 143 či 25 bez šifrovania, upravte to.
Zhrnutie
- Dajte routeru vlastné administrátorské heslo, vypnite správu zvonku, UPnP a WPS a aktualizujte firmvér.
- Zvoľte WPA3, alebo prechodový režim WPA2/WPA3, s dlhým wifi heslom. Nikdy WEP, WPA ani TKIP.
- Dajte návštevníkov a smart zariadenia do siete pre hostí, oddelenej od vašich pracovných zariadení.
- Na cestách: radšej mobilné dáta alebo vlastný hotspot, nepripájajte sa automaticky a pri varovaní o certifikáte prestaňte.
- VPN šifruje úsek po VPN server, ale nechráni pred phishingom ani malvérom a nerobí vás anonymným.
Kvíz
Úloha
Úloha D5.3: Prekontrolovanie routera a wifi. Prihláste sa na stránku s nastaveniami svojho routera (doma alebo v kancelárii). Skontrolujte administrátorské heslo, šifrovanie, WPS, UPnP, správu zvonku, firmvér a sieť pre hostí. Odškrtnite si kontrolný zoznam, otestujte sieť pre hostí a odpovedzte na reflexné otázky.
Úloha D5.3: Prekontrolovanie routera a wifi
Postupujte takto: (1) Prihláste sa na stránku nastavení svojho routera (adresa a prvé heslo sú v návode alebo na nálepke) alebo v aplikácii svojho poskytovateľa. Ak ide o router od vášho poskytovateľa, zistite, ktoré nastavenia môžete sami meniť. (2) Zmeňte heslo pre správu na dlhé, jedinečné heslo zo svojho správcu hesiel. (3) Skontrolujte šifrovanie wifi: WPA3, alebo prechodový režim WPA2/WPA3, ak máte staršie zariadenia; nikdy WEP, WPA ani TKIP. Nastavte dlhé wifi heslo (heslovú frázu). (4) Vypnite WPS, UPnP a vzdialenú správu, ak ich nepotrebujete. (5) Skontrolujte, či je firmvér aktuálny a či sa aktualizuje automaticky. (6) Vytvorte hosťovskú sieť a návštevy aj inteligentné zariadenia (televízor, termostat, reproduktor, kamery, kde je to možné) pripojte na ňu. (7) Otestujte hosťovskú sieť: pripojte telefón k hosťovskej sieti a skúste nájsť tlačiareň, NAS alebo zdieľaný priečinok. Nemalo by sa vám to podariť. (8) Skontrolujte zoznam pripojených zariadení vo svojom routeri. Ak nejaké zariadenie nepoznáte, zistite, o čo ide. (9) Skontrolujte svoj e-mailový program na notebooku aj telefóne: prichádzajúca aj odchádzajúca pošta cez SSL/TLS alebo STARTTLS (napríklad IMAP 993, SMTP 587 alebo 465).
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Ďalšie čítanie
Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- Návod na DirectAdmin 8.1: Všetky nastavenia na jednom mieste: servery, porty a zabezpečenie
- Holandský NBÚ (holandský NCSC), Wifi hotspoty: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Holandský NBÚ (holandský NCSC), Základné bezpečnostné opatrenia pre smart zariadenia: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Holandský NBÚ (holandský NCSC), 6 bodov, na ktoré treba myslieť pri práci z domu: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, zabezpečenie wifi (po anglicky): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, slabina vo WPS (po anglicky): https://www.kb.cert.org/vuls/id/723755