Module 5 · 5.3
Nederlands
Wifi, thuiswerken en onderweg
Module 5: Apparaten, software en netwerk · Leestijd: 11 minuten
Leerdoel: Na deze les kun je wifi op kantoor en thuis veilig inrichten, slimme apparaten en gasten scheiden van je werknetwerk, en veilig werken onderweg, inclusief wat een VPN wel en niet voor je doet.
Kernbegrippen: router, beheerwachtwoord, WPA2, WPA3, SAE, overgangsmodus, WPS, UPnP, gastnetwerk, openbare wifi, nep-hotspot, https, VPN, hotspot van je telefoon
De router is je voordeur
Alles wat je kantoor of thuiswerkplek met internet verbindt, gaat door de router (vaak in één kastje met het modem van je provider). Hij doet drie dingen: hij verbindt je netwerk met internet, hij houdt verkeer van buiten tegen dat je niet hebt gevraagd (de firewall), en hij zendt meestal ook het wifi-netwerk uit.
Een router wordt zelden bekeken nadat de monteur is vertrokken. Daarom staan er vaak nog fabrieksinstellingen op. Vier dingen om meteen te regelen:
- Wijzig het beheerwachtwoord. Dat is het wachtwoord voor de instellingenpagina van de router, niet het wifi-wachtwoord. Standaardwachtwoorden zijn vaak per merk of serie bekend. Gebruik een lang, uniek wachtwoord uit je wachtwoordmanager.
- Zet beheer van buitenaf uit, tenzij je provider het echt nodig heeft. Dan is de instellingenpagina alleen vanuit je eigen netwerk bereikbaar.
- Zet UPnP uit als je het niet nodig hebt. Met UPnP kan elk apparaat in je netwerk zelf een poort in de firewall openzetten, ook een camera met een lek. Het NCSC raadt aan het uit te zetten.
- Werk de firmware bij of controleer dat de provider dat automatisch doet (les 5.1). Krijgt je router geen updates meer, vervang hem dan.
WPA2 en WPA3: hoe je wifi versleuteld is
Wifi gaat door de lucht. Iedereen in de buurt kan de signalen opvangen. Daarom wordt het versleuteld. De standaard daarvoor wordt beheerd door de Wi-Fi Alliance.
| Stand | Oordeel | Uitleg |
|---|---|---|
| Open (geen wachtwoord) | Niet voor je bedrijf | Iedereen kan meedoen en, zonder https, meelezen. |
| WEP, WPA (de eerste), TKIP | Onveilig | Verouderd en gekraakt. Zie je dit, vervang de router of verander de instelling. |
| WPA2-Personal (AES) | Voldoende, met een lang wachtwoord | Wie de verbinding van één apparaat opvangt, kan daarna thuis, zonder in de buurt te blijven, eindeloos wachtwoorden blijven proberen. Een kort of voorspelbaar wifi-wachtwoord valt dan snel. |
| WPA3-Personal | Beste keuze | Gebruikt SAE in plaats van het oude gedeelde-sleutelsysteem. Volgens de Wi-Fi Alliance kan een aanvaller dan niet meer offline wachtwoorden proberen: elke gok kost een nieuwe poging bij de router zelf. En zelfs als iemand later het wachtwoord kent, kan hij eerder opgevangen verkeer niet ontsleutelen (forward secrecy). |
| WPA2/WPA3 overgangsmodus | Goed als tussenstap | Nieuwe apparaten verbinden met WPA3, oudere met WPA2. Handig zolang je nog oude apparaten hebt; ze krijgen dan wel alleen de bescherming van WPA2. |
WPA3 is volgens de Wi-Fi Alliance verplicht voor apparaten met het certificaat Wi-Fi CERTIFIED, dus bijna elke nieuwe router en telefoon kan het. Kies WPA3 als al je apparaten het ondersteunen, anders de overgangsmodus.
Gebruik in alle gevallen een lang wifi-wachtwoord, bijvoorbeeld een wachtwoordzin van vier of vijf losse woorden (les 2.1). Het staat toch in je apparaten opgeslagen; je hoeft het zelden te typen.
WPS (Wi-Fi Protected Setup) is een knop of pincode om apparaten makkelijk te koppelen. De pincode-variant heeft een bekende ontwerpfout: door de manier waarop de router antwoordt, hoeft een aanvaller geen honderd miljoen maar ongeveer elfduizend combinaties te proberen, en vindt hij daarna het wifi-wachtwoord (CERT/CC, 2011). Zet WPS uit als je router dat toestaat.
Gastnetwerk: scheiden wat niet bij elkaar hoort
Een klein kantoor heeft al snel apparaten van heel verschillende betrouwbaarheid op hetzelfde netwerk: de laptops met de boekhouding, de NAS met klantdossiers, maar ook de telefoons van bezoekers, een slimme tv in de wachtruimte, een thermostaat en een paar camera's. Zitten die allemaal in één netwerk, dan kan een gehackte camera rechtstreeks praten met de NAS.
Daarom maak je een gastnetwerk: een tweede wifi-netwerk met een eigen naam en wachtwoord, dat wel internet geeft maar geen toegang tot de apparaten in je hoofdnetwerk. Bijna elke router kan dat. Zet erop:
- bezoekers en hun telefoons;
- slimme apparaten: tv, thermostaat, deurbel, speaker, en waar het kan camera's. Het NCSC raadt dit expliciet aan;
- privéapparaten van medewerkers, als die geen toegang tot bedrijfsgegevens nodig hebben.
Controleer na het instellen dat het werkt: vanaf een telefoon op het gastnetwerk mag je de printer of NAS niet kunnen vinden.
Thuiswerken
Thuis werk je op een netwerk dat je niet als bedrijf beheert, vaak samen met gezinsleden, een spelcomputer en de slimme speaker van de buren in de lijst met netwerken. Spreek met je team af:
- de thuisrouter krijgt dezelfde basisbehandeling: eigen beheerwachtwoord, WPA2 of WPA3 met een lang wachtwoord, firmware bijgewerkt;
- de werklaptop is voor werk: niet door kinderen of huisgenoten gebruiken, en vergrendelen als je wegloopt (les 5.2);
- updates gaan ook thuis door. Een laptop die weken niet op kantoor komt, mist soms updates die centraal worden geregeld. Controleer dat;
- toegang tot bedrijfssystemen gaat via een veilige verbinding: een clouddienst met https en tweestapsverificatie, of een VPN naar het kantoor. Zet nooit zomaar een poort open om "even" van thuis bij de NAS te kunnen.
Onderweg: openbare wifi
In een hotel, trein of café weet je niet wie het netwerk beheert. Het grootste risico is een nep-hotspot: een aanvaller zet een netwerk op met dezelfde naam als het echte, bijvoorbeeld "Hotel-Gasten". Je telefoon verbindt vanzelf, en al je verkeer gaat via zijn apparaat.
Gelukkig gaat het meeste verkeer tegenwoordig via https (les 4.2) en mail via versleutelde verbindingen. De aanvaller ziet dan wel welke sites je bezoekt, maar niet wat je invult. Toch blijven er risico's: een inlogpagina die je naar een nepsite stuurt, een melding "installeer dit certificaat", of oude apps die niet versleutelen.
Het NCSC adviseert:
- gebruik liever mobiele data of de hotspot van je eigen telefoon dan openbare wifi;
- laat je apparaat niet automatisch verbinden met wifi-netwerken;
- doe geen bankzaken of vertrouwelijk werk op openbare wifi, en download of installeer er niets;
- zet bestandsdeling uit en log uit als je klaar bent.
Krijg je op openbare wifi een certificaatwaarschuwing bij een site die je goed kent, ga dan niet door. Dat is precies het signaal dat iemand meekijkt.
Wat een VPN wel en niet doet
Het woord VPN wordt voor twee verschillende dingen gebruikt. Een zakelijke VPN verbindt je laptop versleuteld met het netwerk van je kantoor, zodat je van buiten bij de NAS of het boekhoudprogramma kunt. Een commerciële VPN-dienst stuurt al je internetverkeer versleuteld naar de server van een aanbieder, die het daarna het internet op stuurt.
| Een VPN doet wel | Een VPN doet niet |
|---|---|
| Je verkeer versleutelen tussen je apparaat en de VPN-server, zodat het lokale (wifi-)netwerk niet kan meekijken | Je beschermen tegen phishing: een nepsite is via een VPN net zo nep |
| Je veilig toegang geven tot het kantoornetwerk (zakelijke VPN) | Malware tegenhouden of een besmette laptop schoonmaken |
| Je IP-adres verbergen voor de sites die je bezoekt | Je anoniem maken: inloggen bij een dienst verraadt nog steeds wie je bent |
| Het vertrouwen weghalen: de VPN-aanbieder kan nu zien wat het hotelnetwerk eerst kon zien |
Een VPN verplaatst dus het punt waar je vertrouwen moet hebben. Op een onbekend netwerk kan dat zinvol zijn. Op je eigen thuisnetwerk met https-sites voegt een commerciële VPN voor beveiliging weinig toe.
En let op: een VPN-server op je kantoor is zelf een randapparaat dat vanaf internet bereikbaar is. Verouderde VPN-servers zijn een bekende ingang voor ransomware (les 1.3). Bijwerken, tweestapsverificatie aan, en uitzetten als je hem niet gebruikt.
In de praktijk: zo ziet het eruit
Ook je mail gaat onderweg over het netwerk. Stel je mailprogramma daarom in met versleutelde verbindingen. Bij WebOké zijn dat bijvoorbeeld IMAP op poort 993 met SSL/TLS en SMTP op poort 587 met STARTTLS (of 465 met SSL/TLS); bij andere aanbieders zijn de poorten meestal hetzelfde. Staat er in je mailprogramma "geen beveiliging" of poort 143 of 25 zonder versleuteling, pas het dan aan.
Samenvatting
- Geef je router een eigen beheerwachtwoord, zet beheer van buitenaf, UPnP en WPS uit en werk de firmware bij.
- Kies WPA3, of de overgangsmodus WPA2/WPA3, met een lang wifi-wachtwoord. Nooit WEP, WPA of TKIP.
- Zet bezoekers en slimme apparaten op een gastnetwerk, gescheiden van je werkapparaten.
- Onderweg: liever mobiele data of je eigen hotspot, niet automatisch verbinden, en stop bij een certificaatwaarschuwing.
- Een VPN versleutelt het stuk tot de VPN-server, maar beschermt niet tegen phishing of malware en maakt je niet anoniem.
Quiz
Opdracht
Opdracht D5.3: Je router en wifi nalopen. Log in op de instellingenpagina van je router (thuis of op kantoor). Controleer het beheerwachtwoord, de versleuteling, WPS, UPnP, beheer van buitenaf, de firmware en het gastnetwerk. Vink de checklist af, test het gastnetwerk en beantwoord de reflectievragen.
Opdracht D5.3: Je router en wifi nalopen
Zo pak je het aan: (1) Log in op de instellingenpagina van je router (adres en eerste wachtwoord staan in de handleiding of op de sticker) of in de app van je provider. Is het een router van je provider, kijk dan welke instellingen jij mag wijzigen. (2) Wijzig het beheerwachtwoord in een lang, uniek wachtwoord uit je wachtwoordmanager. (3) Controleer de wifi-versleuteling: WPA3, of WPA2/WPA3 overgangsmodus als je oudere apparaten hebt; nooit WEP, WPA of TKIP. Zet een lang wifi-wachtwoord (wachtwoordzin). (4) Zet WPS, UPnP en beheer van buitenaf uit als je ze niet nodig hebt. (5) Controleer of de firmware actueel is en automatisch bijwerkt. (6) Maak een gastnetwerk en zet bezoekers en slimme apparaten (tv, thermostaat, speaker, camera's waar het kan) daarop. (7) Test het gastnetwerk: verbind een telefoon met het gastnetwerk en probeer de printer, NAS of een gedeelde map te vinden. Dat moet niet lukken. (8) Controleer de lijst met verbonden apparaten in je router. Ken je een apparaat niet, zoek uit wat het is. (9) Controleer je mailprogramma op laptop en telefoon: inkomend en uitgaand met SSL/TLS of STARTTLS (bijvoorbeeld IMAP 993, SMTP 587 of 465).
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- DirectAdmin handleiding 8.1: Alle instellingen op een rij: servers, poorten en beveiliging
- NCSC, Wifi-hotspots: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- NCSC, Basisbeveiligingsmaatregelen slimme apparaten: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- NCSC, 6 aandachtspunten voor thuiswerken: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, beveiliging van wifi (Engels): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, de zwakte in WPS (Engels): https://www.kb.cert.org/vuls/id/723755