Módulo 5 · 5.3
Wifi, teletrabalho e em movimento
Módulo 5: Dispositivos, software e rede · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Após esta lição, saberá configurar com segurança a wifi do escritório e de casa, separar dispositivos inteligentes e convidados da sua rede de trabalho, e trabalhar em segurança fora do escritório, incluindo o que uma VPN faz e não faz por si.
Conceitos-chave: router, palavra-passe de administração, WPA2, WPA3, SAE, modo de transição, WPS, UPnP, rede de convidados, wifi pública, hotspot falso, https, VPN, hotspot do seu telemóvel
O router é a sua porta de entrada
Tudo o que liga o seu escritório ou local de teletrabalho à internet passa pelo router (muitas vezes numa única caixa com o modem do seu fornecedor). Ele faz três coisas: liga a sua rede à internet, bloqueia tráfego externo que não pediu (a firewall) e, normalmente, também transmite a rede wifi.
Um router raramente é verificado depois de o técnico sair. Por isso, muitas vezes mantém as definições de fábrica. Quatro coisas a tratar de imediato:
- Altere a palavra-passe de administração. É a palavra-passe da página de definições do router, não a palavra-passe da wifi. As palavras-passe predefinidas são muitas vezes conhecidas por marca ou série. Utilize uma palavra-passe longa e única do seu gestor de palavras-passe.
- Desative a administração a partir do exterior, a menos que o seu fornecedor realmente precise disso. Assim, a página de definições só é acessível a partir da sua própria rede.
- Desative o UPnP se não precisar dele. Com o UPnP, qualquer dispositivo na sua rede pode abrir por si só uma porta na firewall, incluindo uma câmara com uma vulnerabilidade. O NCSC neerlandês recomenda desativá-lo.
- Atualize o firmware ou verifique se o fornecedor o faz automaticamente (lição 5.1). Se o seu router já não receber atualizações, substitua-o.
WPA2 e WPA3: como a sua wifi está encriptada
A wifi viaja pelo ar. Qualquer pessoa nas proximidades pode captar os sinais. Por isso, é encriptada. A norma para isso é gerida pela Wi-Fi Alliance.
| Modo | Avaliação | Explicação |
|---|---|---|
| Aberta (sem palavra-passe) | Não para a sua empresa | Qualquer pessoa pode juntar-se e, sem https, ler o que é transmitido. |
| WEP, WPA (o primeiro), TKIP | Inseguro | Desatualizado e quebrado. Se encontrar isto, substitua o router ou altere a definição. |
| WPA2-Personal (AES) | Suficiente, com uma palavra-passe longa | Quem captar a ligação de um dispositivo pode, depois, em casa, sem precisar de permanecer nas proximidades, continuar a tentar palavras-passe indefinidamente. Uma palavra-passe de wifi curta ou previsível cai rapidamente. |
| WPA3-Personal | Melhor opção | Utiliza SAE em vez do antigo sistema de chave partilhada. Segundo a Wi-Fi Alliance, um atacante já não consegue tentar palavras-passe offline: cada tentativa exige um novo pedido diretamente ao router. E mesmo que alguém venha mais tarde a conhecer a palavra-passe, não consegue desencriptar tráfego captado anteriormente (forward secrecy). |
| Modo de transição WPA2/WPA3 | Bom como etapa intermédia | Os dispositivos novos ligam-se via WPA3, os mais antigos via WPA2. Útil enquanto ainda tiver dispositivos antigos; estes recebem apenas a proteção do WPA2. |
Segundo a Wi-Fi Alliance, o WPA3 é obrigatório para dispositivos com o certificado Wi-Fi CERTIFIED, pelo que quase todos os routers e telemóveis novos o suportam. Escolha WPA3 se todos os seus dispositivos o suportarem; caso contrário, o modo de transição.
Em todos os casos, utilize uma palavra-passe de wifi longa, por exemplo uma frase-passe de quatro ou cinco palavras soltas (lição 2.1). Fica guardada nos seus dispositivos de qualquer forma; raramente terá de a escrever.
O WPS (Wi-Fi Protected Setup) é um botão ou código PIN para emparelhar dispositivos com facilidade. A variante com código PIN tem uma falha de design conhecida: devido à forma como o router responde, um atacante não precisa de tentar cem milhões de combinações, mas apenas cerca de onze mil, acabando por descobrir a palavra-passe da wifi (CERT/CC, 2011). Desative o WPS se o seu router o permitir.
Rede de convidados: separar o que não deve estar junto
Um pequeno escritório rapidamente acumula dispositivos de fiabilidade muito diferente na mesma rede: os portáteis com a contabilidade, o NAS com dossiês de clientes, mas também os telemóveis dos visitantes, uma televisão inteligente na sala de espera, um termóstato e algumas câmaras. Se estiverem todos na mesma rede, uma câmara pirateada pode comunicar diretamente com o NAS.
Por isso, crie uma rede de convidados: uma segunda rede wifi com nome e palavra-passe próprios, que dá acesso à internet mas não aos dispositivos da sua rede principal. Quase todos os routers permitem isto. Coloque nessa rede:
- visitantes e os seus telemóveis;
- dispositivos inteligentes: televisão, termóstato, campainha, coluna e, sempre que possível, câmaras. O NCSC neerlandês recomenda explicitamente esta prática;
- dispositivos pessoais dos colaboradores, caso não precisem de acesso a dados da empresa.
Depois de configurar, verifique que funciona: a partir de um telemóvel na rede de convidados, não deverá conseguir encontrar a impressora nem o NAS.
Teletrabalho
Em casa, trabalha numa rede que não gere como empresa, muitas vezes partilhada com familiares, uma consola de jogos e a coluna inteligente dos vizinhos na lista de redes. Combine com a sua equipa:
- o router de casa recebe o mesmo tratamento básico: palavra-passe de administração própria, WPA2 ou WPA3 com uma palavra-passe longa, firmware atualizado;
- o portátil de trabalho é para trabalho: não deve ser utilizado por filhos ou outras pessoas da casa, e deve ser bloqueado quando se afasta (lição 5.2);
- as atualizações continuam a acontecer também em casa. Um portátil que não vai ao escritório durante semanas pode perder atualizações geridas centralmente. Verifique isso;
- o acesso aos sistemas da empresa deve ser feito através de uma ligação segura: um serviço de cloud com https e autenticação de dois fatores (2FA), ou uma VPN para o escritório. Nunca abra uma porta "só para" aceder ao NAS a partir de casa.
Em movimento: wifi pública
Num hotel, comboio ou café, não sabe quem gere a rede. O maior risco é um hotspot falso: um atacante cria uma rede com o mesmo nome da verdadeira, por exemplo "Hotel-Convidados". O seu telemóvel liga-se automaticamente, e todo o seu tráfego passa pelo dispositivo do atacante.
Felizmente, a maior parte do tráfego passa atualmente por https (lição 4.2) e o correio eletrónico por ligações encriptadas. O atacante consegue então ver que sites visita, mas não o que introduz. Ainda assim, há riscos: uma página de início de sessão que o redireciona para um site falso, um aviso "instale este certificado", ou aplicações antigas que não encriptam.
O NCSC neerlandês aconselha:
- prefira os dados móveis ou o hotspot do seu próprio telemóvel em vez da wifi pública;
- não deixe o seu dispositivo ligar-se automaticamente a redes wifi;
- não faça operações bancárias nem trabalho confidencial em wifi pública, e não descarregue nem instale nada;
- desative a partilha de ficheiros e termine sessão quando terminar.
Se, em wifi pública, receber um aviso de certificado num site que conhece bem, não avance. É precisamente o sinal de que alguém está a observar.
O que uma VPN faz e não faz
A palavra VPN é utilizada para duas coisas diferentes. Uma VPN empresarial liga o seu portátil, de forma encriptada, à rede do seu escritório, permitindo aceder a partir do exterior ao NAS ou ao programa de contabilidade. Um serviço comercial de VPN envia todo o seu tráfego de internet, de forma encriptada, para o servidor de um fornecedor, que depois o encaminha para a internet.
| Uma VPN faz | Uma VPN não faz |
|---|---|
| Encriptar o seu tráfego entre o seu dispositivo e o servidor VPN, de modo que a rede (wifi) local não consiga observar | Protegê-lo contra phishing: um site falso continua tão falso através de uma VPN |
| Dar-lhe acesso seguro à rede do escritório (VPN empresarial) | Bloquear malware ou limpar um portátil infetado |
| Ocultar o seu endereço IP dos sites que visita | Torná-lo anónimo: iniciar sessão num serviço continua a revelar quem é |
| Eliminar a necessidade de confiança: o fornecedor da VPN passa agora a ver o que a rede do hotel via antes |
Uma VPN desloca, portanto, o ponto onde precisa de ter confiança. Numa rede desconhecida, isso pode ser útil. Na sua própria rede doméstica com sites https, uma VPN comercial acrescenta pouco em termos de segurança.
E atenção: um servidor VPN no seu escritório é, ele próprio, um dispositivo de periferia acessível a partir da internet. Servidores VPN desatualizados são uma porta de entrada conhecida para ransomware (lição 1.3). Mantenha-o atualizado, ative a autenticação de dois fatores (2FA) e desligue-o quando não o utilizar.
Na prática: como se faz
Também o seu correio eletrónico passa pela rede quando está em movimento. Configure, por isso, o seu programa de correio com ligações encriptadas. No WebOké, são, por exemplo, IMAP na porta 993 com SSL/TLS e SMTP na porta 587 com STARTTLS (ou 465 com SSL/TLS); noutros fornecedores, as portas são geralmente as mesmas. Se o seu programa de correio indicar "sem segurança" ou a porta 143 ou 25 sem encriptação, corrija-o.
Resumo
- Atribua ao seu router uma palavra-passe de administração própria, desative a administração a partir do exterior, o UPnP e o WPS, e atualize o firmware.
- Escolha WPA3, ou o modo de transição WPA2/WPA3, com uma palavra-passe de wifi longa. Nunca WEP, WPA ou TKIP.
- Coloque visitantes e dispositivos inteligentes numa rede de convidados, separada dos seus dispositivos de trabalho.
- Em movimento: prefira dados móveis ou o seu próprio hotspot, não ligue automaticamente e pare perante um aviso de certificado.
- Uma VPN encripta o trajeto até ao servidor VPN, mas não protege contra phishing ou malware nem o torna anónimo.
Questionário
Exercício
Exercício D5.3: Rever o seu router e a rede wifi. Inicie sessão na página de definições do seu router (em casa ou no escritório). Verifique a palavra-passe de administração, a encriptação, o WPS, o UPnP, a administração a partir do exterior, o firmware e a rede de convidados. Assinale a lista de verificação, teste a rede de convidados e responda às perguntas de reflexão.
Exercício D5.3: Rever o seu router e a rede wifi
Veja como fazer: (1) Inicie sessão na página de configurações do seu router (o endereço e a palavra-passe inicial constam do manual ou do autocolante) ou na aplicação do seu fornecedor. Se for um router do seu fornecedor de serviços, verifique quais as configurações que pode alterar. (2) Altere a palavra-passe de administração para uma palavra-passe longa e única do seu gestor de palavras-passe. (3) Verifique a encriptação do wifi: WPA3, ou modo de transição WPA2/WPA3 se tiver dispositivos mais antigos; nunca WEP, WPA ou TKIP. Defina uma palavra-passe de wifi longa (frase-passe). (4) Desative o WPS, o UPnP e a gestão remota se não precisar deles. (5) Verifique se o firmware está atualizado e se as atualizações automáticas estão ativas. (6) Crie uma rede de convidados e coloque aí os visitantes e os dispositivos inteligentes (televisão, termóstato, coluna, câmaras sempre que possível). (7) Teste a rede de convidados: ligue um telemóvel à rede de convidados e tente encontrar a impressora, o NAS ou uma pasta partilhada. Isso não deve ser possível. (8) Verifique a lista de dispositivos ligados no seu router. Se não reconhecer algum dispositivo, descubra o que é. (9) Verifique o seu programa de e-mail no portátil e no telemóvel: receção e envio com SSL/TLS ou STARTTLS (por exemplo, IMAP 993, SMTP 587 ou 465).
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos descritos nos artigos do WebOké aplicam-se ao ambiente do WebOké; noutros fornecedores, o funcionamento é semelhante.
- Manual DirectAdmin 8.1: Todas as definições num relance: servidores, portas e segurança
- NCSC neerlandês, Hotspots wifi (em neerlandês): https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- NCSC neerlandês, Medidas básicas de segurança para dispositivos inteligentes (em neerlandês): https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- NCSC neerlandês, 6 pontos de atenção para o teletrabalho (em neerlandês): https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, segurança da wifi (em inglês): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, a vulnerabilidade no WPS (em inglês): https://www.kb.cert.org/vuls/id/723755