Modul 5 · 5.3
Wifi, delo od doma in na poti
Modul 5: Naprave, programska oprema in omrežje · Čas branja: 11 minut
Cilj lekcije: Po tej lekciji boste znali varno nastaviti wifi v pisarni in doma, ločiti pametne naprave in goste od delovnega omrežja ter varno delati na poti, vključno s tem, kaj VPN naredi in česa ne naredi.
Ključni pojmi: usmerjevalnik, skrbniško geslo, WPA2, WPA3, SAE, prehodni način, WPS, UPnP, gostujoče omrežje, javni wifi, lažna dostopna točka, https, VPN, dostopna točka Vašega telefona
Usmerjevalnik je Vaša vhodna vrata
Vse, kar Vašo pisarno ali domače delovno mesto povezuje z internetom, gre skozi usmerjevalnik (pogosto v istem ohišju kot modem Vašega ponudnika). Opravlja tri naloge: povezuje Vaše omrežje z internetom, zadržuje promet od zunaj, ki ga niste zahtevali (požarni zid), in večinoma tudi oddaja wifi omrežje.
Usmerjevalnik po odhodu monterja redko kdo še pogleda. Zato na njem pogosto ostanejo tovarniške nastavitve. Štiri stvari, ki jih uredite takoj:
- Spremenite skrbniško geslo. To je geslo za nastavitveno stran usmerjevalnika, ne geslo za wifi. Privzeta gesla so pogosto znana glede na znamko ali serijo. Uporabite dolgo, edinstveno geslo iz Vašega upravitelja gesel.
- Izklopite skrbništvo od zunaj, razen če ga Vaš ponudnik res potrebuje. Tako je nastavitvena stran dosegljiva samo iz Vašega lastnega omrežja.
- Izklopite UPnP, če ga ne potrebujete. Z UPnP lahko vsaka naprava v Vašem omrežju sama odpre vrata v požarnem zidu, tudi kamera z ranljivostjo. Nizozemski NCSC svetuje, da ga izklopite.
- Posodobite vdelano programsko opremo (firmware) ali preverite, da to ponudnik ureja samodejno (lekcija 5.1). Če Vaš usmerjevalnik ne prejema več posodobitev, ga zamenjajte.
WPA2 in WPA3: kako je Vaš wifi šifriran
Wifi potuje po zraku. Signale lahko prestreže vsak v bližini. Zato se šifrira. Standard za to upravlja Wi-Fi Alliance.
| Način | Ocena | Pojasnilo |
|---|---|---|
| Odprto (brez gesla) | Ni primerno za Vaše podjetje | Vsak se lahko pridruži in brez https tudi bere promet. |
| WEP, WPA (prva različica), TKIP | Nevarno | Zastarelo in razbito. Če to vidite, zamenjajte usmerjevalnik ali spremenite nastavitev. |
| WPA2-Personal (AES) | Zadostno, z dolgim geslom | Kdor prestreže povezavo ene naprave, lahko nato doma, brez da bi ostal v bližini, neomejeno preizkuša gesla. Kratko ali predvidljivo wifi geslo tako hitro pade. |
| WPA3-Personal | Najboljša izbira | Uporablja SAE namesto starega sistema s skupnim ključem. Po navedbah Wi-Fi Alliance napadalec tako ne more več nezvezano (offline) preizkušati gesel: vsak poskus zahteva nov poskus neposredno pri usmerjevalniku. In tudi če nekdo kasneje izve geslo, ne more dešifrirati prej prestreženega prometa (forward secrecy). |
| Prehodni način WPA2/WPA3 | Dobra vmesna rešitev | Nove naprave se povežejo z WPA3, starejše z WPA2. Priročno, dokler imate še stare naprave; te pa dobijo le zaščito WPA2. |
Po navedbah Wi-Fi Alliance je WPA3 obvezen za naprave s certifikatom Wi-Fi CERTIFIED, zato ga podpira skoraj vsak nov usmerjevalnik in telefon. Izberite WPA3, če ga podpirajo vse Vaše naprave, sicer prehodni način.
V vseh primerih uporabite dolgo wifi geslo, na primer geselno frazo iz štirih ali petih ločenih besed (lekcija 2.1). Shranjeno je v Vaših napravah, zato ga le redko tipkate.
WPS (Wi-Fi Protected Setup) je gumb ali PIN koda za enostavno povezovanje naprav. Različica s PIN kodo ima znano napako v zasnovi: zaradi načina, kako usmerjevalnik odgovarja, napadalcu ni treba preizkusiti sto milijonov, temveč približno enajst tisoč kombinacij, nato pa pridobi wifi geslo (CERT/CC, 2011). Izklopite WPS, če Vam to usmerjevalnik omogoča.
Gostujoče omrežje: ločite, kar ne sodi skupaj
Majhna pisarna ima hitro naprave zelo različne zanesljivosti v istem omrežju: prenosnike z računovodstvom, NAS s strankinimi dosjeji, pa tudi telefone obiskovalcev, pametni televizor v čakalnici, termostat in nekaj kamer. Če so vsi v enem omrežju, lahko vdrta kamera neposredno komunicira z NAS.
Zato ustvarite gostujoče omrežje: drugo wifi omrežje z lastnim imenom in geslom, ki sicer zagotavlja internet, ne pa dostopa do naprav v Vašem glavnem omrežju. To zmore skoraj vsak usmerjevalnik. Nanj namestite:
- obiskovalce in njihove telefone;
- pametne naprave: televizor, termostat, zvonec, zvočnik, in kjer je mogoče tudi kamere. Nizozemski NCSC to izrecno priporoča;
- zasebne naprave zaposlenih, če te ne potrebujejo dostopa do poslovnih podatkov.
Po nastavitvi preverite, da deluje: s telefona na gostujočem omrežju ne bi smeli najti tiskalnika ali NAS.
Delo od doma
Doma delate v omrežju, ki ga kot podjetje ne upravljate, pogosto skupaj z družinskimi člani, igralno konzolo in pametnim zvočnikom sosedov na seznamu omrežij. Dogovorite se s svojo ekipo:
- domači usmerjevalnik dobi enako osnovno obravnavo: lastno skrbniško geslo, WPA2 ali WPA3 z dolgim geslom, posodobljeno vdelano programsko opremo;
- delovni prenosnik je namenjen delu: naj ga ne uporabljajo otroci ali sostanovalci, in ga zaklenite, ko odidete (lekcija 5.2);
- posodobitve potekajo tudi doma. Prenosnik, ki tednov ne pride v pisarno, včasih zamudi posodobitve, ki se urejajo centralno. To preverite;
- dostop do poslovnih sistemov poteka prek varne povezave: storitve v oblaku s https in dvostopenjskim preverjanjem, ali VPN do pisarne. Nikoli kar tako ne odprite vrat, da bi lahko od doma "na hitro" dostopali do NAS.
Na poti: javni wifi
V hotelu, vlaku ali kavarni ne veste, kdo upravlja omrežje. Največje tveganje je lažna dostopna točka: napadalec vzpostavi omrežje z enakim imenom kot pravo, na primer "Hotel-Gasten". Vaš telefon se samodejno poveže, ves Vaš promet pa gre prek njegove naprave.
Na srečo večina prometa danes poteka prek https (lekcija 4.2), pošta pa prek šifriranih povezav. Napadalec sicer vidi, katera spletna mesta obiskujete, ne pa, kaj vnašate. Vseeno ostajajo tveganja: prijavna stran, ki Vas preusmeri na lažno spletno mesto, sporočilo "namestite ta certifikat" ali stare aplikacije, ki ne šifrirajo.
Nizozemski NCSC svetuje:
- raje uporabite mobilne podatke ali dostopno točko svojega telefona kot javni wifi;
- naj se Vaša naprava ne povezuje samodejno z wifi omrežji;
- na javnem wifiju ne opravljajte bančnih poslov ali zaupnega dela, in na njem ničesar ne prenašajte ali nameščajte;
- izklopite deljenje datotek in se odjavite, ko ste končali.
Če na javnem wifiju dobite opozorilo o certifikatu pri spletnem mestu, ki ga dobro poznate, ne nadaljujte. To je točno tisti signal, da nekdo prisluškuje.
Kaj VPN naredi in česa ne
Beseda VPN se uporablja za dve različni stvari. Poslovni VPN šifrirano poveže Vaš prenosnik z omrežjem Vaše pisarne, tako da lahko od zunaj dostopate do NAS ali računovodskega programa. Komercialna storitev VPN ves Vaš internetni promet šifrirano pošlje na strežnik ponudnika, ki ga nato posreduje naprej na internet.
| VPN naredi | VPN ne naredi |
|---|---|
| Šifrira Vaš promet med Vašo napravo in strežnikom VPN, tako da lokalno (wifi) omrežje ne more prisluškovati | Vas ne zaščiti pred lažnim predstavljanjem (phishing): lažno spletno mesto je prek VPN enako lažno |
| Zagotovi Vam varen dostop do pisarniškega omrežja (poslovni VPN) | Ne ustavi zlonamerne programske opreme in ne očisti okuženega prenosnika |
| Skrije Vaš IP naslov pred spletnimi mesti, ki jih obiskujete | Vas ne naredi anonimnega: prijava v storitev še vedno razkrije, kdo ste |
| Ne odpravi potrebe po zaupanju: ponudnik VPN zdaj vidi tisto, kar je prej lahko videlo hotelsko omrežje |
VPN torej premakne točko, kjer morate zaupati. V neznanem omrežju je to lahko smiselno. V Vašem lastnem domačem omrežju s https spletnimi mesti komercialni VPN za varnost doda malo.
In pozor: strežnik VPN v Vaši pisarni je sam robna naprava, dosegljiva iz interneta. Zastareli strežniki VPN so znan vstopni vektor za izsiljevalsko programje (lekcija 1.3). Posodabljajte ga, vklopite dvostopenjsko preverjanje in ga izklopite, kadar ga ne uporabljate.
V praksi: tako to izgleda
Tudi Vaša pošta na poti potuje prek omrežja. Zato svoj poštni program nastavite s šifriranimi povezavami. Pri WebOké so to na primer IMAP na vratih 993 s SSL/TLS in SMTP na vratih 587 s STARTTLS (ali 465 s SSL/TLS); pri drugih ponudnikih so vrata ponavadi enaka. Če Vaš poštni program prikazuje "brez zaščite" ali vrata 143 ali 25 brez šifriranja, to spremenite.
Povzetek
- Svojemu usmerjevalniku dodelite lastno skrbniško geslo, izklopite skrbništvo od zunaj, UPnP in WPS ter posodobite vdelano programsko opremo.
- Izberite WPA3 ali prehodni način WPA2/WPA3 z dolgim wifi geslom. Nikoli WEP, WPA ali TKIP.
- Obiskovalce in pametne naprave namestite na gostujoče omrežje, ločeno od Vaših delovnih naprav.
- Na poti: raje mobilni podatki ali lastna dostopna točka, brez samodejnega povezovanja, in prenehajte ob opozorilu o certifikatu.
- VPN šifrira del poti do strežnika VPN, vendar ne ščiti pred lažnim predstavljanjem ali zlonamerno programsko opremo in Vas ne naredi anonimnega.
Kviz
Naloga
Naloga D5.3: Preglejte svoj usmerjevalnik in wifi. Prijavite se v nastavitveno stran usmerjevalnika (doma ali v pisarni). Preverite skrbniško geslo, šifriranje, WPS, UPnP, skrbništvo od zunaj, vdelano programsko opremo in gostujoče omrežje. Odkljukajte kontrolni seznam, preizkusite gostujoče omrežje in odgovorite na refleksijska vprašanja.
Naloga D5.3: Pregled Vašega usmerjevalnika in omrežja wifi
Lotite se tega takole: (1) Prijavite se na stran z nastavitvami svojega usmerjevalnika (naslov in prvo geslo sta v priročniku ali na nalepki) ali v aplikaciji svojega ponudnika. Če je usmerjevalnik ponudnikov, preverite, katere nastavitve lahko spreminjate sami. (2) Spremenite skrbniško geslo v dolgo, enkratno geslo iz svojega upravitelja gesel. (3) Preverite šifriranje omrežja wifi: WPA3 ali prehodni način WPA2/WPA3, če imate starejše naprave; nikoli WEP, WPA ali TKIP. Nastavite dolgo geslo za wifi (geselno frazo). (4) Izklopite WPS, UPnP in upravljanje od zunaj, če jih ne potrebujete. (5) Preverite, ali je strojna programska oprema (firmware) posodobljena in se samodejno posodablja. (6) Ustvarite gostujoče omrežje in nanj preklopite obiskovalce ter pametne naprave (televizor, termostat, zvočnik, kamere, kjer je to mogoče). (7) Preizkusite gostujoče omrežje: povežite telefon z gostujočim omrežjem in poskusite najti tiskalnik, NAS ali skupno mapo. To ne bi smelo uspeti. (8) Preverite seznam povezanih naprav v svojem usmerjevalniku. Če kakšne naprave ne prepoznate, ugotovite, kaj je. (9) Preverite program za e-pošto na prenosniku in telefonu: dohodna in odhodna pošta naj uporabljata SSL/TLS ali STARTTLS (na primer IMAP 993, SMTP 587 ali 465).
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Za nadaljnje branje
Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.
- Priročnik DirectAdmin 8.1: Vse nastavitve na enem mestu: strežniki, vrata in varnost
- Nizozemski NCSC, dostopne točke wifi: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Nizozemski NCSC, osnovni varnostni ukrepi za pametne naprave: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Nizozemski NCSC, 6 točk za delo od doma: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, varnost wifija (v angleščini): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, ranljivost WPS (v angleščini): https://www.kb.cert.org/vuls/id/723755