Modulul 5 · 5.3
Wifi, munca de acasă și deplasările
Modulul 5: Dispozitive, software și rețea · Timp de citire: 11 minute
Obiectivul lecției: După această lecție veți putea configura în siguranță rețeaua wifi de la birou și de acasă, separa dispozitivele inteligente și vizitatorii de rețeaua dumneavoastră de lucru și lucra în siguranță în deplasare, inclusiv ce face și ce nu face un VPN pentru dumneavoastră.
Noțiuni-cheie: router, parolă de administrare, WPA2, WPA3, SAE, mod de tranziție, WPS, UPnP, rețea pentru vizitatori, wifi public, hotspot fals, https, VPN, hotspot-ul telefonului dumneavoastră
Routerul este ușa dumneavoastră de la intrare
Tot ce conectează biroul sau locul dumneavoastră de muncă de acasă la internet trece prin router (adesea într-o singură cutie împreună cu modemul furnizorului dumneavoastră). Acesta face trei lucruri: conectează rețeaua dumneavoastră la internet, oprește traficul nesolicitat din exterior (firewallul) și, de obicei, tot el emite și rețeaua wifi.
Un router este rareori verificat după ce tehnicianul a plecat. De aceea, adesea rămân setările din fabrică. Patru lucruri de rezolvat imediat:
- Schimbați parola de administrare. Aceasta este parola pentru pagina de setări a routerului, nu parola wifi. Parolele implicite sunt adesea cunoscute pe brand sau pe serie. Folosiți o parolă lungă și unică din managerul dumneavoastră de parole.
- Dezactivați administrarea din exterior, cu excepția cazului în care furnizorul dumneavoastră chiar are nevoie de ea. Astfel, pagina de setări este accesibilă doar din propria rețea.
- Dezactivați UPnP dacă nu aveți nevoie de el. Cu UPnP, orice dispozitiv din rețeaua dumneavoastră poate deschide singur un port în firewall, inclusiv o cameră cu o vulnerabilitate. NCSC-ul olandez recomandă dezactivarea acestuia.
- Actualizați firmware-ul sau verificați dacă furnizorul face asta automat (lecția 5.1). Dacă routerul dumneavoastră nu mai primește actualizări, înlocuiți-l.
WPA2 și WPA3: cum este criptată rețeaua dumneavoastră wifi
Semnalul wifi circulă prin aer. Oricine din apropiere poate intercepta semnalele. De aceea este criptat. Standardul pentru aceasta este gestionat de Wi-Fi Alliance.
| Mod | Evaluare | Explicație |
|---|---|---|
| Deschis (fără parolă) | Nepotrivit pentru afacerea dumneavoastră | Oricine se poate conecta și, fără https, poate citi traficul. |
| WEP, WPA (primul), TKIP | Nesigur | Învechit și spart. Dacă întâlniți așa ceva, înlocuiți routerul sau schimbați setarea. |
| WPA2-Personal (AES) | Suficient, cu o parolă lungă | Cine interceptează conexiunea unui singur dispozitiv poate apoi, acasă, fără să rămână în apropiere, să continue la nesfârșit să încerce parole. O parolă wifi scurtă sau predictibilă cade rapid. |
| WPA3-Personal | Cea mai bună alegere | Folosește SAE în locul vechiului sistem cu cheie partajată. Potrivit Wi-Fi Alliance, un atacator nu mai poate încerca parole offline: fiecare încercare necesită o nouă solicitare direct la router. Și chiar dacă cineva află ulterior parola, nu poate decripta traficul interceptat anterior (forward secrecy). |
| Mod de tranziție WPA2/WPA3 | Bun ca pas intermediar | Dispozitivele noi se conectează prin WPA3, cele mai vechi prin WPA2. Util cât timp mai aveți dispozitive vechi; acestea primesc totuși doar protecția WPA2. |
Potrivit Wi-Fi Alliance, WPA3 este obligatoriu pentru dispozitivele cu certificarea Wi-Fi CERTIFIED, așadar aproape orice router și telefon nou îl suportă. Alegeți WPA3 dacă toate dispozitivele dumneavoastră îl suportă, altfel modul de tranziție.
Folosiți în toate cazurile o parolă wifi lungă, de exemplu o frază de parolă formată din patru sau cinci cuvinte separate (lecția 2.1). Oricum este salvată în dispozitivele dumneavoastră; rareori va trebui să o tastați.
WPS (Wi-Fi Protected Setup) este un buton sau un cod PIN pentru conectarea facilă a dispozitivelor. Varianta cu cod PIN are o eroare de proiectare cunoscută: din cauza modului în care răspunde routerul, un atacator nu trebuie să încerce o sută de milioane de combinații, ci aproximativ unsprezece mii, iar apoi găsește parola wifi (CERT/CC, 2011). Dezactivați WPS dacă routerul dumneavoastră permite acest lucru.
Rețeaua pentru vizitatori: separați ce nu trebuie să fie împreună
Un birou mic ajunge rapid să aibă în aceeași rețea dispozitive cu niveluri de încredere foarte diferite: laptopurile cu contabilitatea, NAS-ul cu dosarele clienților, dar și telefoanele vizitatorilor, un televizor inteligent din sala de așteptare, un termostat și câteva camere. Dacă toate sunt în aceeași rețea, o cameră compromisă poate comunica direct cu NAS-ul.
De aceea creați o rețea pentru vizitatori: o a doua rețea wifi cu nume și parolă proprii, care oferă internet, dar nu și acces la dispozitivele din rețeaua dumneavoastră principală. Aproape orice router poate face asta. Puneți pe ea:
- vizitatorii și telefoanele lor;
- dispozitivele inteligente: televizor, termostat, sonerie, boxă și, unde este posibil, camere. NCSC-ul olandez recomandă explicit acest lucru;
- dispozitivele personale ale angajaților, dacă acestea nu au nevoie de acces la datele companiei.
După configurare, verificați că funcționează: de pe un telefon aflat în rețeaua pentru vizitatori nu ar trebui să puteți găsi imprimanta sau NAS-ul.
Munca de acasă
Acasă lucrați pe o rețea pe care nu o administrați ca afacere, deseori împreună cu membrii familiei, o consolă de jocuri și boxa inteligentă a vecinilor apărând în lista de rețele. Stabiliți împreună cu echipa dumneavoastră:
- routerul de acasă primește același tratament de bază: parolă de administrare proprie, WPA2 sau WPA3 cu o parolă lungă, firmware actualizat;
- laptopul de lucru este pentru muncă: nu este folosit de copii sau de ceilalți membri ai familiei și se blochează atunci când vă îndepărtați (lecția 5.2);
- actualizările continuă și acasă. Un laptop care nu ajunge la birou săptămâni la rând uneori ratează actualizările gestionate centralizat. Verificați acest lucru;
- accesul la sistemele companiei se face printr-o conexiune securizată: un serviciu cloud cu https și autentificare în doi pași, sau un VPN către birou. Nu deschideți niciodată pur și simplu un port ca să puteți accesa NAS-ul "pentru puțin timp" de acasă.
În deplasare: wifi public
Într-un hotel, tren sau cafenea nu știți cine administrează rețeaua. Cel mai mare risc este un hotspot fals: un atacator creează o rețea cu același nume ca cea reală, de exemplu "Hotel-Gasten". Telefonul dumneavoastră se conectează automat, iar tot traficul dumneavoastră trece prin dispozitivul său.
Din fericire, în prezent majoritatea traficului trece prin https (lecția 4.2), iar e-mailul prin conexiuni criptate. Atacatorul poate vedea ce site-uri vizitați, dar nu și ce completați. Totuși, rămân riscuri: o pagină de autentificare care vă redirecționează către un site fals, o notificare "instalați acest certificat" sau aplicații vechi care nu criptează.
NCSC-ul olandez recomandă:
- folosiți de preferință datele mobile sau hotspotul propriului telefon în locul wifi-ului public;
- nu lăsați dispozitivul dumneavoastră să se conecteze automat la rețele wifi;
- nu efectuați operațiuni bancare sau activități de lucru confidențiale pe wifi public și nu descărcați sau instalați nimic acolo;
- dezactivați partajarea de fișiere și deconectați-vă când ați terminat.
Dacă primiți un avertisment de certificat pe wifi public pentru un site pe care îl cunoașteți bine, nu continuați. Acesta este exact semnalul că cineva vă monitorizează traficul.
Ce face și ce nu face un VPN
Cuvântul VPN este folosit pentru două lucruri diferite. Un VPN de afaceri conectează laptopul dumneavoastră în mod criptat la rețeaua biroului, astfel încât să puteți accesa din exterior NAS-ul sau programul de contabilitate. Un serviciu VPN comercial trimite tot traficul dumneavoastră de internet criptat către serverul unui furnizor, care apoi îl trimite mai departe pe internet.
| Un VPN face | Un VPN nu face |
|---|---|
| Criptează traficul dumneavoastră între dispozitiv și serverul VPN, astfel încât rețeaua (wifi) locală să nu poată vedea conținutul | Să vă protejeze împotriva phishingului: un site fals este la fel de fals și printr-un VPN |
| Vă oferă acces securizat la rețeaua de birou (VPN de afaceri) | Să oprească malware-ul sau să curețe un laptop infectat |
| Vă ascunde adresa IP față de site-urile pe care le vizitați | Să vă facă anonim: autentificarea la un serviciu tot dezvăluie cine sunteți |
| Elimină nevoia de încredere: furnizorul VPN poate vedea acum ceea ce înainte putea vedea rețeaua hotelului |
Un VPN mută, așadar, punctul în care trebuie să aveți încredere. Pe o rețea necunoscută, acest lucru poate fi util. Pe propria rețea de acasă, cu site-uri https, un VPN comercial adaugă puțin în materie de securitate.
Și atenție: un server VPN de la biroul dumneavoastră este el însuși un echipament de margine accesibil din internet. Serverele VPN neactualizate sunt o cale de atac cunoscută pentru ransomware (lecția 1.3). Actualizați-l, activați autentificarea în doi pași și dezactivați-l atunci când nu îl folosiți.
În practică: cum arată acest lucru
Și e-mailul dumneavoastră circulă prin rețea în deplasare. De aceea, configurați programul de e-mail cu conexiuni criptate. La WebOké, acestea sunt, de exemplu, IMAP pe portul 993 cu SSL/TLS și SMTP pe portul 587 cu STARTTLS (sau 465 cu SSL/TLS); la alți furnizori, porturile sunt de obicei aceleași. Dacă în programul dumneavoastră de e-mail apare "fără securitate" sau portul 143 ori 25 fără criptare, modificați acest lucru.
Rezumat
- Atribuiți routerului o parolă de administrare proprie, dezactivați administrarea din exterior, UPnP și WPS și actualizați firmware-ul.
- Alegeți WPA3 sau modul de tranziție WPA2/WPA3, cu o parolă wifi lungă. Niciodată WEP, WPA sau TKIP.
- Puneți vizitatorii și dispozitivele inteligente pe o rețea pentru vizitatori, separată de dispozitivele dumneavoastră de lucru.
- În deplasare: preferați datele mobile sau propriul hotspot, nu vă conectați automat și opriți-vă la un avertisment de certificat.
- Un VPN criptează traseul până la serverul VPN, dar nu vă protejează împotriva phishingului sau a malware-ului și nu vă face anonim.
Test
Exercițiu
Exercițiul D5.3: Verificarea routerului și a rețelei wifi. Conectați-vă la pagina de setări a routerului dumneavoastră (de acasă sau de la birou). Verificați parola de administrare, criptarea, WPS, UPnP, administrarea din exterior, firmware-ul și rețeaua pentru vizitatori. Bifați lista de verificare, testați rețeaua pentru vizitatori și răspundeți la întrebările de reflecție.
Exercițiul D5.3: Verificarea routerului și a rețelei wifi
Procedați astfel: (1) Conectați-vă la pagina de setări a routerului dumneavoastră (adresa și parola inițială se găsesc în manual sau pe etichetă) sau în aplicația furnizorului dumneavoastră. Dacă este un router al furnizorului, verificați ce setări aveți voie să modificați. (2) Modificați parola de administrare într-o parolă lungă și unică din managerul dumneavoastră de parole. (3) Verificați criptarea wifi: WPA3, sau modul de tranziție WPA2/WPA3 dacă aveți dispozitive mai vechi; niciodată WEP, WPA sau TKIP. Setați o parolă wifi lungă (frază de acces). (4) Dezactivați WPS, UPnP și administrarea de la distanță dacă nu aveți nevoie de ele. (5) Verificați dacă firmware-ul este actualizat și se actualizează automat. (6) Creați o rețea pentru vizitatori și plasați pe aceasta vizitatorii și dispozitivele inteligente (televizor, termostat, difuzor, camere acolo unde este posibil). (7) Testați rețeaua pentru vizitatori: conectați un telefon la rețeaua pentru vizitatori și încercați să găsiți imprimanta, NAS-ul sau un folder partajat. Acest lucru nu trebuie să reușească. (8) Verificați lista dispozitivelor conectate din router. Dacă nu recunoașteți un dispozitiv, aflați ce este. (9) Verificați programul dumneavoastră de e-mail pe laptop și telefon: intrare și ieșire cu SSL/TLS sau STARTTLS (de exemplu IMAP 993, SMTP 587 sau 465).
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lecturi suplimentare
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori procedura este similară.
- Manual DirectAdmin 8.1: Toate setările la un loc: servere, porturi și securitate
- NCSC-ul olandez, hotspoturi wifi (în neerlandeză): https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- NCSC-ul olandez, măsuri de bază de securitate pentru dispozitive inteligente (în neerlandeză): https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- NCSC-ul olandez, 6 aspecte de care trebuie să țineți cont pentru munca de acasă (în neerlandeză): https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, securitatea rețelelor wifi (în engleză): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, vulnerabilitatea din WPS (în engleză): https://www.kb.cert.org/vuls/id/723755