Kodėl jūsų Wi-Fi tinklas nėra toks saugus, kaip manote
Daugelis žmonių galvoja, kad namų Wi-Fi tinklas yra saugus vien todėl, kad jis turi slaptažodį. Deja, realybė yra kiek kitokia. Standartiniai maršrutizatorių nustatymai, kuriuos paliko interneto tiekėjas, dažnai yra tokie silpni, kad bet kuris kaimynas su šiek tiek kantrybės ir nemokamais įrankiais iš interneto gali prisijungti prie jūsų tinklo per kelias minutes.
Ir čia nekalbame apie kokius nors profesionalius hakerius su serverių salėmis ir sudėtinga įranga. Kalbame apie eilinį žmogų, kuris rado YouTube video, parsisiuntė Kali Linux ir dabar bando savo jėgas. Tokie žmonės egzistuoja, ir jie gyvena daug arčiau, nei norėtumėte tikėti.
Problema tampa ypač aktuali daugiabučiuose namuose, kur per vieną sieną gali gyventi dešimtys kaimynų. Kiekvienas iš jų teoriškai gali matyti jūsų tinklą, o kai kurie – bandyti prie jo prisijungti. Net jei jūsų kaimynai yra visiškai nekalti žmonės, neapsaugoto tinklo rizikos neapsiriboja vien kaimynais – tai gali būti ir bet kas, pravažiuojantis pro šalį su nešiojamu kompiuteriu.
Šiame straipsnyje aptarsime konkrečius žingsnius, kuriuos galite žengti šiandien, kad jūsų namų tinklas taptų žymiai saugesnis. Jokios raketų mokslo – tik praktiniai dalykai, kuriuos gali padaryti bet kas.
Pirmiausia – pakeiskite tuos numatytuosius nustatymus
Kai interneto tiekėjas atveda jums maršrutizatorių, jis dažniausiai būna sukonfigūruotas su numatytaisiais nustatymais. Tai reiškia, kad administratoriaus slaptažodis yra kažkas panašaus į „admin/admin” arba „admin/password”. Šie slaptažodžiai yra viešai žinomi – galite juos rasti internete per 30 sekundžių.
Pirmas dalykas, kurį turite padaryti – prisijungti prie maršrutizatoriaus administravimo skydelio ir pakeisti administratoriaus slaptažodį. Paprastai tai darote įvesdami 192.168.1.1 arba 192.168.0.1 į naršyklės adreso juostą. Jei nė vienas neveikia, pažiūrėkite į maršrutizatoriaus apačią – ten dažnai būna užklijuota lipdė su numatytuoju adresu.
Kai pateksite į administravimo skydelį, ieškokite skilties, kuri vadinasi „Administration”, „System” arba „Management”. Ten rasite galimybę pakeisti administratoriaus slaptažodį. Naudokite stiprų slaptažodį – bent 12 simbolių, su didžiosiomis ir mažosiomis raidėmis, skaičiais ir specialiais simboliais.
Taip pat verta patikrinti, ar maršrutizatoriaus programinė įranga (firmware) yra atnaujinta. Gamintojai reguliariai išleidžia atnaujinimus, kurie taisomi saugumo spragos. Daugelyje modernių maršrutizatorių yra automatinio atnaujinimo funkcija – įjunkite ją, jei ji dar neįjungta.
WPA3, WPA2 ir kodėl WEP yra beveik tas pats, kaip neturėti slaptažodžio
Šifravimo protokolas – tai tas dalykas, kuris nusprendžia, kaip saugiai jūsų duomenys keliauja per orą nuo įrenginio iki maršrutizatoriaus. Ir čia yra didelių skirtumų.
WEP (Wired Equivalent Privacy) – tai senas protokolas, kurį galima nulaužti per kelias minutes su nemokamais įrankiais. Jei jūsų maršrutizatorius naudoja WEP, tai yra beveik tas pats, kaip neturėti jokio apsaugos. Jei matote šią parinktį savo maršrutizatoriuje, niekada jos nerinkitės.
WPA (Wi-Fi Protected Access) – geriau nei WEP, bet vis tiek turi žinomų pažeidžiamumų. Šiandien jau neturėtų būti naudojamas.
WPA2 – tai standartinis protokolas, kurį naudoja dauguma namų tinklų. Jis yra gana saugus, ypač su stipriu slaptažodžiu, bet turi vieną žinomą pažeidžiamumą – KRACK ataką. Dauguma gamintojų jau išleido pataisymus, todėl svarbu turėti atnaujintą firmware.
WPA3 – naujausias ir saugiausias protokolas. Jei jūsų maršrutizatorius jį palaiko, naudokite jį. WPA3 yra žymiai atsparesnis žodyno atakoms ir turi geresnę apsaugą net tada, kai slaptažodis nėra labai stiprus. Problema ta, kad ne visi įrenginiai dar palaiko WPA3, todėl gali tekti rinktis „WPA2/WPA3 Mixed” režimą.
Norėdami pakeisti šifravimo protokolą, eikite į maršrutizatoriaus administravimo skydelį, suraskite belaidžio ryšio nustatymus (Wireless Settings) ir ieškokite „Security Mode” arba „Authentication Type”. Rekomenduojama rinktis WPA3 arba WPA2-AES (ne TKIP – tas yra senesnis ir silpnesnis).
Wi-Fi slaptažodis – kiek stiprus yra per stiprus?
Daugelis žmonių nustato Wi-Fi slaptažodį vieną kartą ir pamiršta apie jį. Problema ta, kad tas slaptažodis dažnai būna kažkas panašaus į „Vardenis2019” arba „Namas123”. Tokie slaptažodžiai yra lengvai atspėjami žodyno atakų metu.
Žodyno ataka veikia taip: programinė įranga automatiškai bando tūkstančius populiariausių slaptažodžių ir jų variantų. Jei jūsų slaptažodis yra bet koks žodis iš žodyno su keliais skaičiais pabaigoje, tikimybė, kad jis bus nulaužtas, yra gana didelė.
Štai keletas principų, kurių verta laikytis:
- Slaptažodis turėtų būti bent 16-20 simbolių ilgio
- Naudokite atsitiktinių simbolių kombinacijas, o ne žodžius
- Jei norite lengviau įsimenamo slaptažodžio, naudokite passphrase metodą – kelis nesusijusius žodžius, pvz., „Obuolys-Debesis-Stalas-7”
- Venkite asmeninės informacijos – vardo, gimimo datos, adreso
- Keiskite slaptažodį bent kartą per metus
Praktinis patarimas: sugeneruokite slaptažodį naudodami slaptažodžių tvarkyklę, pvz., Bitwarden (nemokama ir atviro kodo) arba 1Password. Šios programos gali sukurti tikrai atsitiktinius, stiprius slaptažodžius ir juos išsaugoti, kad nereikėtų atsiminti.
Ir dar vienas dalykas – nedalinkite Wi-Fi slaptažodžio su kiekvienu svečiu. Vietoj to, sukurkite atskirą svečių tinklą (apie tai – vėliau).
SSID – tinklo pavadinimas, kuris sako daugiau, nei manote
SSID yra jūsų Wi-Fi tinklo pavadinimas – tai, ką matote, kai ieškote belaidžių tinklų savo telefone. Daugelis žmonių palieka numatytąjį pavadinimą, pvz., „TP-Link_2G_XXXX” arba „ASUS_RT-N66U”. Tai yra problema dėl kelių priežasčių.
Pirma, numatytasis pavadinimas atskleidžia jūsų maršrutizatoriaus modelį. Žinodamas modelį, potencialus užpuolikas gali ieškoti konkrečių to modelio pažeidžiamumų. Tai žymiai palengvina jo darbą.
Antra, kai kurie žmonės nustato SSID kaip savo vardą, adresą ar buto numerį. „Petro_WiFi_32_butas” – tai labai informatyvu kaimynams, bet ne jums naudinga prasme.
Pakeiskite SSID į kažką neutralaus ir neinformatyvaus. Tai gali būti bet kas – „TinklasTinklas”, „Internetas2024”, ar net koks nors juokingas pavadinimas. Svarbiausia, kad jis neatskleidžtų jūsų maršrutizatoriaus modelio ar asmeninės informacijos.
Taip pat yra galimybė paslėpti SSID – padaryti, kad tinklas nebūtų matomas tinklų sąraše. Teoriškai tai skamba gerai, bet praktiškai tai suteikia labai mažai papildomos apsaugos. Patyręs žmogus gali rasti paslėptą tinklą naudodamas paprastus įrankius. Be to, paslėptas SSID gali sukelti problemų jungiantis prie tinklo su kai kuriais įrenginiais. Tai nėra blogai, bet nereikia į tai per daug tikėtis.
Svečių tinklas – elegantiškas sprendimas draugams ir visiems kitiems
Vienas iš geriausių dalykų, kuriuos galite padaryti savo namų tinklo saugumui – sukurti atskirą svečių tinklą. Tai yra atskiras Wi-Fi tinklas, kuris veikia tame pačiame maršrutizatoriuje, bet yra izoliuotas nuo jūsų pagrindinio tinklo.
Kodėl tai svarbu? Įsivaizduokite, kad atėjo draugas ir paprašė Wi-Fi slaptažodžio. Jūs jam duodate. Dabar jis prisijungęs prie to paties tinklo, kaip ir jūsų kompiuteris, NAS serveris, išmanusis televizorius ir visi kiti įrenginiai. Jei jo telefone yra koks nors kenkėjiškas kodas, jis teoriškai gali pasiekti visus jūsų tinklo įrenginius.
Su svečių tinklu situacija kitokia. Svečiai gauna interneto prieigą, bet negali matyti ar pasiekti jūsų pagrindinių tinklo įrenginių. Tai vadinama tinklo izoliacija (network isolation arba client isolation).
Kaip sukurti svečių tinklą:
- Eikite į maršrutizatoriaus administravimo skydelį
- Ieškokite „Guest Network” arba „Guest WiFi” skilties
- Įjunkite svečių tinklą ir nustatykite atskirą slaptažodį
- Įsitikinkite, kad įjungta „Client Isolation” arba „AP Isolation” parinktis
- Galite nustatyti ir greičio limitą svečių tinklui, kad jie nepersunktų viso jūsų interneto
Svečių tinklas yra puikus sprendimas ne tik draugams. Prie jo galite prijungti ir visus savo IoT (Internet of Things) įrenginius – išmaniuosius garsiakalbius, termostatus, išmaniąsias lemputes ir panašiai. Šie įrenginiai dažnai turi silpną saugumą, todėl geriau juos izoliuoti nuo pagrindinių kompiuterių ir telefonų.
MAC adresų filtravimas ir kiti papildomi apsaugos sluoksniai
MAC adresas – tai unikalus identifikatorius, kurį turi kiekvienas tinklo įrenginys. Maršrutizatorius gali būti sukonfigūruotas taip, kad leistų prisijungti tik tiems įrenginiams, kurių MAC adresai yra baltajame sąraše. Teoriškai tai skamba kaip puiki apsauga.
Praktiškai – tai nėra toks stiprus apsaugos mechanizmas, kaip atrodo. MAC adresą galima suklastoti (MAC spoofing) – tai yra gana paprasta operacija, kurią gali atlikti bet kas su bazinėmis žiniomis. Tačiau tai vis tiek prideda papildomą apsaugos sluoksnį ir atbaido mažiau patyrusius bandytojus.
Jei norite įjungti MAC adresų filtravimą:
- Surinkite visų savo įrenginių MAC adresus (jie randami įrenginio tinklo nustatymuose)
- Maršrutizatoriaus skydelyje suraskite „MAC Filtering” arba „MAC Address Control”
- Įjunkite filtravimą ir pridėkite visus savo įrenginių MAC adresus į baltąjį sąrašą
Kitas dalykas, kurį verta apsvarstyti – DHCP ribojimas. DHCP yra protokolas, kuris automatiškai priskiria IP adresus įrenginiams, prisijungiantiems prie tinklo. Galite apriboti DHCP adresų skaičių – pavyzdžiui, jei turite 10 įrenginių, nustatykite, kad DHCP galėtų priskirti ne daugiau kaip 15 adresų. Tai nėra stipri apsauga, bet kartu su kitomis priemonėmis padeda.
Taip pat verta išjungti WPS (Wi-Fi Protected Setup) funkciją. WPS buvo sukurtas tam, kad būtų lengviau prijungti įrenginius prie tinklo (naudojant PIN kodą arba mygtuką), bet jis turi žinomų saugumo spragų. Jei jūsų maršrutizatoriuje yra WPS, išjunkite jį administravimo skydelyje.
Stebėkite, kas prisijungęs prie jūsų tinklo
Net ir įgyvendinus visas aukščiau minėtas priemones, verta reguliariai tikrinti, kokie įrenginiai prisijungę prie jūsų tinklo. Tai padeda pastebėti, jei kažkas vis dėlto sugebėjo prisijungti be leidimo.
Paprasčiausias būdas – maršrutizatoriaus administravimo skydelyje surasti „Connected Devices” arba „DHCP Client List” skiltį. Ten matysite visus šiuo metu prisijungusius įrenginius su jų MAC adresais ir IP adresais. Jei matote įrenginį, kurio nepažįstate – tai yra ženklas, kad kažkas negerai.
Yra ir patogesnių įrankių šiam tikslui:
- Fing – nemokama programa telefonui, kuri nuskaito jūsų tinklą ir parodo visus prisijungusius įrenginius. Gali net atpažinti įrenginio tipą ir gamintoją.
- Advanced IP Scanner – nemokama Windows programa panašiam tikslui.
- Angry IP Scanner – veikia Windows, Mac ir Linux.
Rekomenduojama tokį tinklo nuskaitymą atlikti bent kartą per mėnesį. Tai užtrunka vos kelias minutes, bet gali padėti pastebėti problemas anksti.
Jei turite šiuolaikinį maršrutizatorių iš tokių gamintojų kaip Asus, Netgear ar TP-Link, tikėtina, kad jis turi savo programėlę telefonui. Šios programėlės dažnai turi realaus laiko tinklo stebėjimo funkcijas ir gali pranešti, kai prie tinklo prisijungia naujas įrenginys.
Kai slaptažodis ir nustatymai nebepadeda – apie maršrutizatoriaus pasirinkimą
Jei jūsų maršrutizatorius yra senas – kalbame apie 5-7 ar daugiau metų – gali būti, kad jis tiesiog nebegauna saugumo atnaujinimų. Gamintojai paprastai palaiko savo įrenginius ribotą laiką, o po to nustoja leisti firmware atnaujinimus. Senas maršrutizatorius su nepataisytomis saugumo spragomis yra rimta problema, kurią galima išspręsti tik vienu būdu – pakeisti įrenginį.
Rinkdamiesi naują maršrutizatorių, atkreipkite dėmesį į:
- WPA3 palaikymą – tai jau turėtų būti standartinis reikalavimas
- Gamintojo atnaujinimų politiką – kiek laiko jie įsipareigoja teikti saugumo atnaujinimus
- Automatinių atnaujinimų galimybę – patogiau, kai maršrutizatorius pats atsinaujina
- Integruotą ugniasienę ir IDS/IPS funkcijas – kai kurie aukštesnės klasės maršrutizatoriai turi įmontuotą įsilaužimų aptikimo sistemą
Verta paminėti ir alternatyvią firmware – OpenWrt. Tai atviro kodo operacinė sistema maršrutizatoriams, kuri suteikia žymiai daugiau kontrolės ir funkcijų nei standartinė gamintojo firmware. Jei jūsų maršrutizatorius ją palaiko ir esate šiek tiek techniškesnis žmogus, OpenWrt gali būti puikus pasirinkimas. Ji gauna reguliarius saugumo atnaujinimus ir leidžia konfigūruoti tinklą daug detaliau.
Taip pat verta pagalvoti apie VPN serverio paleidimą namuose. Kai kurie maršrutizatoriai leidžia paleisti VPN serverį, prie kurio galite prisijungti iš bet kur ir saugiai naudotis namų tinklu. Tai ypač naudinga, jei dažnai dirbate iš viešų Wi-Fi tinklų.
Saugus tinklas – tai procesas, o ne vienkartinis projektas
Jei perskaičius šį straipsnį galvojate, kad tai yra labai daug darbo – iš dalies teisūs. Bet čia yra gera žinia: daugumą šių dalykų reikia padaryti tik vieną kartą. Pakeičiate slaptažodžius, atnaujinate firmware, sukuriate svečių tinklą – ir viskas veikia savaime.
Svarbiausi žingsniai, kuriuos rekomenduojame atlikti šiandien, jei dar to nepadarėte: pakeiskite administratoriaus slaptažodį maršrutizatoriuje, įsitikinkite, kad naudojate WPA2-AES arba WPA3 šifravimą, pakeiskite Wi-Fi slaptažodį į stipresnį ir išjunkite WPS. Tai keturi dalykai, kurie užtruks ne daugiau kaip 20 minučių, bet žymiai pagerins jūsų tinklo saugumą.
Vėliau galite žengti toliau – sukurti svečių tinklą, pradėti stebėti prisijungusius įrenginius, apsvarstyti MAC adresų filtravimą. Kiekvienas papildomas žingsnis prideda dar vieną apsaugos sluoksnį.
Namų tinklo saugumas nėra tik apie tai, kad kaimynas nenaudotų jūsų interneto. Tai yra apie jūsų duomenų apsaugą, apie tai, kad jūsų įrenginiai nebūtų naudojami kenkėjiškiems tikslams, apie jūsų privatumą. Šiandien prie namų tinklo prisijungę ne tik kompiuteriai ir telefonai – tai ir išmanieji televizoriai, durų skambučiai su kameromis, termostai, net šaldytuvai. Kiekvienas iš šių įrenginių yra potencialus įėjimo taškas. Tinkamas tinklo saugumas reiškia, kad net jei vienas iš šių įrenginių būtų pažeistas, žala būtų minimali.
Taigi – atidarykite naršyklę, įveskite 192.168.1.1 ir pradėkite. Geriau šiandien nei rytoj.
