Модул 5 · 5.3
Wifi, работа от вкъщи и в движение
Модул 5: Устройства, софтуер и мрежа · Време за четене: 11 минути
Учебна цел: След този урок ще можете да настроите безопасно wifi в офиса и у дома, да отделите умните устройства и гостите от работната Ви мрежа и да работите безопасно в движение, включително какво VPN прави и какво не прави за Вас.
Основни понятия: рутер, администраторска парола, WPA2, WPA3, SAE, преходен режим, WPS, UPnP, мрежа за гости, обществена wifi, фалшив хотспот, https, VPN, хотспот на телефона
Рутерът е Вашата входна врата
Всичко, което свързва Вашия офис или работно място у дома с интернет, минава през рутера (често в едно кутийче заедно с модема на доставчика Ви). Той върши три неща: свързва Вашата мрежа с интернет, спира входящ трафик отвън, който не сте поискали (защитната стена, firewall), и обикновено също излъчва wifi мрежата.
Рутерът рядко се преглежда след като монтажникът си тръгне. Затова често остават фабричните настройки. Четири неща, които да уредите веднага:
- Сменете администраторската парола. Това е паролата за страницата с настройки на рутера, не wifi паролата. Паролите по подразбиране често са известни за дадена марка или серия. Използвайте дълга, уникална парола от Вашия мениджър на пароли.
- Изключете администрирането отвън, освен ако доставчикът Ви наистина се нуждае от него. Тогава страницата с настройки е достъпна само от собствената Ви мрежа.
- Изключете UPnP, ако не Ви е необходим. С UPnP всяко устройство във Вашата мрежа може само да отвори порт в защитната стена, включително камера с уязвимост. Нидерландският NCSC препоръчва да бъде изключен.
- Обновявайте фърмуера или проверете, че доставчикът го прави автоматично (урок 5.1). Ако Вашият рутер вече не получава актуализации, заменете го.
WPA2 и WPA3: как е криптирана Вашата wifi
Wifi сигналът се разпространява по въздух. Всеки наблизо може да улови сигналите. Затова той се криптира. Стандартът за това се управлява от Wi-Fi Alliance.
| Режим | Оценка | Обяснение |
|---|---|---|
| Отворена (без парола) | Не за Вашия бизнес | Всеки може да се включи и, без https, да подслуша. |
| WEP, WPA (първият), TKIP | Несигурно | Остарели и разбити. Ако видите това, заменете рутера или променете настройката. |
| WPA2-Personal (AES) | Достатъчно, с дълга парола | Който улови връзката на едно устройство, може след това у дома, без да остава наблизо, безкрайно да изпробва пароли. Кратка или предвидима wifi парола бързо пада. |
| WPA3-Personal | Най-добрият избор | Използва SAE вместо старата система със споделен ключ. Според Wi-Fi Alliance атакуващ вече не може да изпробва пароли офлайн: всяко предположение изисква нов опит директно при рутера. И дори ако някой по-късно узнае паролата, не може да дешифрира по-рано прихванат трафик (forward secrecy). |
| Преходен режим WPA2/WPA3 | Добър като междинна стъпка | Новите устройства се свързват с WPA3, по-старите с WPA2. Полезно, докато имате стари устройства; те получават само защитата на WPA2. |
Според Wi-Fi Alliance WPA3 е задължителен за устройства със сертификат Wi-Fi CERTIFIED, така че почти всеки нов рутер и телефон го поддържа. Изберете WPA3, ако всичките Ви устройства го поддържат, иначе преходния режим.
Във всички случаи използвайте дълга wifi парола, например фраза от четири или пет отделни думи (урок 2.1). Тя се съхранява във Вашите устройства; рядко ще се налага да я въвеждате.
WPS (Wi-Fi Protected Setup) е бутон или пин код за лесно свързване на устройства. Вариантът с пин код има известен пропуск в дизайна: поради начина, по който рутерът отговаря, атакуващият не трябва да изпробва сто милиона, а около единадесет хиляди комбинации, и след това открива wifi паролата (CERT/CC, 2011). Изключете WPS, ако рутерът Ви го позволява.
Мрежа за гости: разделяне на нещата, които не си пасват
Малък офис бързо натрупва устройства с много различна степен на доверие в една и съща мрежа: лаптопите със счетоводството, NAS устройството с досиета на клиенти, но също и телефоните на посетители, умен телевизор в чакалнята, термостат и няколко камери. Ако всички те са в една мрежа, хакната камера може директно да „говори“ с NAS устройството.
Затова създавате мрежа за гости: втора wifi мрежа със собствено име и парола, която дава интернет, но не и достъп до устройствата във Вашата основна мрежа. Почти всеки рутер може да прави това. Поставете в нея:
- посетители и техните телефони;
- умни устройства: телевизор, термостат, звънец, колонка и, където е възможно, камери. Нидерландският NCSC изрично препоръчва това;
- лични устройства на служителите, ако те не се нуждаят от достъп до фирмени данни.
След настройката проверете дали работи: от телефон в мрежата за гости не трябва да можете да намерите принтера или NAS устройството.
Работа от вкъщи
У дома работите в мрежа, която не управлявате като бизнес, често заедно с членове на семейството, игрова конзола и умната колонка на съседите в списъка с мрежи. Договорете се с екипа си:
- домашният рутер получава същото базово третиране: собствена администраторска парола, WPA2 или WPA3 с дълга парола, обновен фърмуер;
- работният лаптоп е за работа: да не се използва от деца или съквартиранти, и да се заключва, когато се отдалечавате (урок 5.2);
- актуализациите продължават и у дома. Лаптоп, който седмици наред не идва в офиса, понякога пропуска актуализации, управлявани централно. Проверете това;
- достъпът до фирмени системи минава през сигурна връзка: облачна услуга с https и двуфакторно удостоверяване, или VPN до офиса. Никога не отваряйте просто порт, за да „само за малко“ имате достъп до NAS устройството от вкъщи.
В движение: обществена wifi
В хотел, влак или кафене не знаете кой управлява мрежата. Най-големият риск е фалшив хотспот: атакуващ създава мрежа със същото име като истинската, например „Hotel-Gasten“. Телефонът Ви се свързва автоматично и целият Ви трафик минава през неговото устройство.
За щастие повечето трафик днес минава през https (урок 4.2), а поща през криптирани връзки. Атакуващият вижда кои сайтове посещавате, но не какво въвеждате. Все пак остават рискове: страница за вход, която Ви пренасочва към фалшив сайт, съобщение „инсталирайте този сертификат“ или стари приложения, които не криптират.
Нидерландският NCSC съветва:
- използвайте по-скоро мобилни данни или хотспота на собствения си телефон, отколкото обществена wifi;
- не позволявайте на устройството си да се свързва автоматично с wifi мрежи;
- не извършвайте банкови операции или поверителна работа в обществена wifi и не сваляйте и не инсталирайте нищо там;
- изключете споделянето на файлове и излезте от профила, когато сте готови.
Ако в обществена wifi получите предупреждение за сертификат на сайт, който добре познавате, не продължавайте. Това е точно сигналът, че някой наблюдава.
Какво VPN прави и какво не прави
Думата VPN се използва за две различни неща. Служебен VPN свързва лаптопа Ви криптирано с мрежата на офиса, така че отвън да имате достъп до NAS устройството или счетоводната програма. Търговска VPN услуга изпраща целия Ви интернет трафик криптиран до сървъра на доставчик, който след това го предава в интернет.
| Какво прави VPN | Какво не прави VPN |
|---|---|
| Криптира трафика Ви между Вашето устройство и VPN сървъра, така че локалната (wifi) мрежа да не може да наблюдава | Не Ви защитава от фишинг: фалшив сайт през VPN си остава също толкова фалшив |
| Дава Ви сигурен достъп до офисната мрежа (служебен VPN) | Не спира malware и не почиства заразен лаптоп |
| Скрива Вашия IP адрес от сайтовете, които посещавате | Не Ви прави анонимен: вписването в услуга все пак разкрива кой сте |
| Не премахва нуждата от доверие: VPN доставчикът вече може да вижда това, което преди можеше да вижда хотелската мрежа |
Така VPN премества точката, в която трябва да имате доверие. В непозната мрежа това може да е полезно. В собствената Ви домашна мрежа с https сайтове търговски VPN добавя малко за сигурността.
И внимавайте: VPN сървър в офиса Ви сам по себе си е периферно устройство, достъпно от интернет. Остарели VPN сървъри са известен входен път за ransomware (урок 1.3). Обновявайте го, включете двуфакторно удостоверяване и го изключвайте, когато не го използвате.
На практика: ето как изглежда
И Вашата поща минава през мрежата, докато сте в движение. Затова настройте пощенската си програма с криптирани връзки. При WebOké това са например IMAP на порт 993 със SSL/TLS и SMTP на порт 587 със STARTTLS (или 465 със SSL/TLS); при други доставчици портовете обикновено са същите. Ако в пощенската Ви програма пише „без защита“ или порт 143 или 25 без криптиране, коригирайте го.
Обобщение
- Дайте на рутера си собствена администраторска парола, изключете администрирането отвън, UPnP и WPS, и обновявайте фърмуера.
- Изберете WPA3 или преходния режим WPA2/WPA3, с дълга wifi парола. Никога WEP, WPA или TKIP.
- Поставете посетителите и умните устройства в мрежа за гости, отделена от работните Ви устройства.
- В движение: по-скоро мобилни данни или собствен хотспот, без автоматично свързване, и спрете при предупреждение за сертификат.
- VPN криптира участъка до VPN сървъра, но не защитава от фишинг или malware и не Ви прави анонимен.
Тест (quiz)
Задача
Задача D5.3: Проверка на Вашия рутер и wifi. Влезте в страницата с настройки на рутера си (у дома или в офиса). Проверете администраторската парола, криптирането, WPS, UPnP, администрирането отвън, фърмуера и мрежата за гости. Отметнете контролния списък, тествайте мрежата за гости и отговорете на въпросите за размисъл.
Задача D5.3: Проверка на рутера и Wi-Fi мрежата Ви
Ето как да действате: (1) Влезте в страницата с настройки на рутера (адресът и първоначалната парола са в ръководството или на стикера) или в приложението на доставчика Ви. Ако рутерът е на доставчика Ви, проверете кои настройки имате право да променяте. (2) Сменете паролата за администриране с дълга, уникална парола от мениджъра на пароли. (3) Проверете шифроването на Wi-Fi мрежата: WPA3 или преходен режим WPA2/WPA3, ако имате по-стари устройства; никога WEP, WPA или TKIP. Задайте дълга Wi-Fi парола (парола изречение). (4) Изключете WPS, UPnP и администрирането отвън, ако не Ви трябват. (5) Проверете дали фърмуерът е актуален и се обновява автоматично. (6) Създайте гост мрежа и свържете към нея посетителите и умните устройства (телевизор, термостат, тонколона, камери, където е възможно). (7) Тествайте гост мрежата: свържете телефон към нея и опитайте да намерите принтера, NAS устройството или споделена папка. Това не трябва да се получи. (8) Проверете списъка със свързаните устройства в рутера. Ако не разпознавате дадено устройство, разберете какво е то. (9) Проверете пощенската програма на лаптопа и телефона: входящата и изходящата поща да използват SSL/TLS или STARTTLS (например IMAP 993, SMTP 587 или 465).
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Допълнително четене
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процесът е подобен.
- Ръководство за DirectAdmin 8.1: Всички настройки на едно място: сървъри, портове и защита
- Нидерландският NCSC, Wifi хотспотове: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Нидерландският NCSC, Базови мерки за сигурност на умни устройства: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Нидерландският NCSC, 6 акцента за работа от вкъщи: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, сигурност на wifi (на английски): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, уязвимостта в WPS (на английски): https://www.kb.cert.org/vuls/id/723755