Modul 5 · 5.3
Wi-Fi, rad od kuće i rad na putu
Modul 5: Uređaji, softver i mreža · Vrijeme čitanja: 11 minuta
Cilj učenja: Nakon ove lekcije moći ćete sigurno postaviti Wi-Fi na poslu i kod kuće, odvojiti pametne uređaje i goste od Vaše radne mreže te sigurno raditi na putu, uključujući i to što VPN jest, a što nije.
Ključni pojmovi: router, administratorska lozinka, WPA2, WPA3, SAE, prijelazni način rada, WPS, UPnP, gostujuća mreža, javni Wi-Fi, lažna pristupna točka, https, VPN, hotspot Vašeg telefona
Router je Vaša ulazna vrata
Sve što Vaš ured ili radno mjesto kod kuće povezuje s internetom prolazi kroz router (često u istom kućištu s modemom Vašeg pružatelja usluge). On radi tri stvari: povezuje Vašu mrežu s internetom, zaustavlja promet izvana koji niste zatražili (vatrozid) i obično ujedno odašilje i Wi-Fi mrežu.
Router se rijetko ponovno pregleda nakon što serviser ode. Zato na njemu često ostaju tvorničke postavke. Četiri stvari koje treba odmah urediti:
- Promijenite administratorsku lozinku. To je lozinka za stranicu s postavkama routera, ne lozinka za Wi-Fi. Zadane lozinke su često poznate po marki ili seriji uređaja. Koristite dugu, jedinstvenu lozinku iz Vašeg upravitelja lozinki.
- Isključite administraciju izvana, osim ako je Vašem pružatelju usluge to zaista potrebno. Tada je stranica s postavkama dostupna samo iz Vaše vlastite mreže.
- Isključite UPnP ako Vam nije potreban. Uz UPnP svaki uređaj u Vašoj mreži može sam otvoriti port na vatrozidu, pa i kamera s propustom. Nizozemski NCSC preporučuje da se to isključi.
- Ažurirajte firmver ili provjerite radi li to pružatelj usluge automatski (lekcija 5.1). Ako Vaš router više ne prima ažuriranja, zamijenite ga.
WPA2 i WPA3: kako je Vaš Wi-Fi šifriran
Wi-Fi putuje zrakom. Svatko u blizini može uhvatiti signale. Zato se šifrira. Standard za to upravlja Wi-Fi Alliance.
| Način rada | Ocjena | Objašnjenje |
|---|---|---|
| Otvoreno (bez lozinke) | Nije za Vaše poduzeće | Svatko se može priključiti i, bez https-a, čitati promet. |
| WEP, WPA (prvi), TKIP | Nesigurno | Zastarjelo i probijeno. Ako vidite ovo, zamijenite router ili promijenite postavku. |
| WPA2-Personal (AES) | Dovoljno, uz dugu lozinku | Tko uhvati vezu jednog uređaja može zatim kod kuće, bez ostanka u blizini, beskonačno isprobavati lozinke. Kratka ili predvidljiva Wi-Fi lozinka tada brzo padne. |
| WPA3-Personal | Najbolji izbor | Koristi SAE umjesto starog sustava dijeljenog ključa. Prema Wi-Fi Allianceu, napadač tada više ne može isprobavati lozinke offline: svaki pokušaj mora proći kroz sam router. Čak i ako netko kasnije sazna lozinku, ne može dešifrirati ranije uhvaćeni promet (forward secrecy, svojstvo unaprijedne tajnosti). |
| WPA2/WPA3 prijelazni način rada | Dobro kao međukorak | Noviji uređaji povezuju se putem WPA3, stariji putem WPA2. Korisno dok god imate stare uređaje; oni tada dobivaju samo zaštitu razine WPA2. |
Prema Wi-Fi Allianceu, WPA3 je obavezan za uređaje s certifikatom Wi-Fi CERTIFIED, pa ga gotovo svaki noviji router i telefon podržavaju. Odaberite WPA3 ako svi Vaši uređaji to podržavaju, inače prijelazni način rada.
U svakom slučaju koristite dugu Wi-Fi lozinku, primjerice frazu od četiri ili pet nepovezanih riječi (lekcija 2.1). Ionako je spremljena u Vašim uređajima; rijetko je trebate utipkati.
WPS (Wi-Fi Protected Setup) je tipka ili PIN kod za jednostavno povezivanje uređaja. Varijanta s PIN kodom ima poznatu konstrukcijsku pogrešku: zbog načina na koji router odgovara, napadač ne mora isprobati sto milijuna nego otprilike jedanaest tisuća kombinacija, nakon čega pronalazi Wi-Fi lozinku (CERT/CC, 2011). Isključite WPS ako Vaš router to dopušta.
Gostujuća mreža: odvojite ono što ne pripada zajedno
Mali ured brzo dobije uređaje vrlo različite razine pouzdanosti na istoj mreži: prijenosna računala s računovodstvom, NAS s dosjeima klijenata, ali i telefone posjetitelja, pametni televizor u čekaonici, termostat i nekoliko kamera. Ako su svi na jednoj mreži, hakirana kamera može izravno komunicirati s NAS-om.
Zato postavite gostujuću mrežu: drugu Wi-Fi mrežu s vlastitim nazivom i lozinkom, koja pruža internet, ali nema pristup uređajima na Vašoj glavnoj mreži. Gotovo svaki router to podržava. Na nju stavite:
- posjetitelje i njihove telefone;
- pametne uređaje: televizor, termostat, zvono, zvučnik i, gdje je moguće, kamere. Nizozemski NCSC to izričito preporučuje;
- privatne uređaje zaposlenika, ako im nije potreban pristup poslovnim podacima.
Nakon postavljanja provjerite radi li: s telefona na gostujućoj mreži ne biste smjeli moći pronaći pisač ili NAS.
Rad od kuće
Kod kuće radite na mreži koju ne upravljate kao poduzeće, često zajedno s članovima obitelji, konzolom za igre i pametnim zvučnikom susjeda na popisu mreža. Dogovorite se s timom:
- kućni router dobiva isti osnovni tretman: vlastitu administratorsku lozinku, WPA2 ili WPA3 s dugom lozinkom, ažuriran firmver;
- radno prijenosno računalo služi za posao: ne smiju ga koristiti djeca ili ukućani, i zaključajte ga kad odete od njega (lekcija 5.2);
- ažuriranja se nastavljaju i kod kuće. Prijenosno računalo koje tjednima ne dolazi u ured ponekad propusti ažuriranja koja se upravljaju centralno. Provjerite to;
- pristup poslovnim sustavima ide putem sigurne veze: cloud usluge s https i dvofaktorskom autentifikacijom, ili VPN prema uredu. Nikada nemojte samo tako otvoriti port kako biste "na brzinu" od kuće pristupili NAS-u.
Na putu: javni Wi-Fi
U hotelu, vlaku ili kafiću ne znate tko upravlja mrežom. Najveći je rizik lažna pristupna točka: napadač postavlja mrežu s istim nazivom kao prava, primjerice "Hotel-Gasten". Vaš se telefon automatski poveže, a sav Vaš promet ide preko njegovog uređaja.
Srećom, danas većina prometa ide putem https-a (lekcija 4.2), a pošta putem šifriranih veza. Napadač tada doduše vidi koje stranice posjećujete, ali ne i što upisujete. Ipak ostaju rizici: stranica za prijavu koja Vas preusmjeri na lažnu stranicu, poruka "instalirajte ovaj certifikat" ili stare aplikacije koje ne šifriraju.
Nizozemski NCSC savjetuje:
- radije koristite mobilne podatke ili hotspot svog telefona umjesto javnog Wi-Fija;
- nemojte dopustiti da se Vaš uređaj automatski povezuje s Wi-Fi mrežama;
- ne obavljajte bankovne poslove ni povjerljiv rad na javnom Wi-Fiju i ništa na njemu ne preuzimajte ni instalirajte;
- isključite dijeljenje datoteka i odjavite se kad završite.
Dobijete li na javnom Wi-Fiju upozorenje o certifikatu za stranicu koju dobro poznajete, nemojte nastaviti. To je upravo signal da netko prisluškuje.
Što VPN radi, a što ne
Riječ VPN koristi se za dvije različite stvari. Poslovni VPN šifrirano povezuje Vaše prijenosno računalo s mrežom Vašeg ureda, tako da izvana možete pristupiti NAS-u ili knjigovodstvenom programu. Komercijalna VPN usluga šalje sav Vaš internetski promet šifrirano na poslužitelj davatelja usluge, koji ga zatim prosljeđuje na internet.
| VPN radi | VPN ne radi |
|---|---|
| Šifrira Vaš promet između Vašeg uređaja i VPN poslužitelja, tako da lokalna (Wi-Fi) mreža ne može prisluškivati | Ne štiti Vas od phishinga: lažna stranica je putem VPN-a jednako lažna |
| Daje Vam siguran pristup uredskoj mreži (poslovni VPN) | Ne zaustavlja zlonamjerni softver niti čisti zaraženo prijenosno računalo |
| Skriva Vašu IP adresu od stranica koje posjećujete | Ne čini Vas anonimnim: prijava na uslugu i dalje otkriva tko ste |
| Ne uklanja potrebu za povjerenjem: VPN davatelj sada može vidjeti ono što je prije mogla vidjeti hotelska mreža |
VPN, dakle, samo premješta točku u kojoj morate imati povjerenje. Na nepoznatoj mreži to može biti korisno. Na vlastitoj kućnoj mreži s https stranicama komercijalni VPN malo doprinosi sigurnosti.
I obratite pozornost: VPN poslužitelj u Vašem uredu sâm je rubni uređaj koji je dostupan s interneta. Zastarjeli VPN poslužitelji poznat su ulaz za ransomware (lekcija 1.3). Ažurirajte ga, uključite dvofaktorsku autentifikaciju i isključite ga kad ga ne koristite.
U praksi: tako to izgleda
I Vaša pošta putuje mrežom. Zato postavite svoj program za poštu sa šifriranim vezama. Kod WebOkéa to su primjerice IMAP na portu 993 sa SSL/TLS i SMTP na portu 587 sa STARTTLS (ili 465 sa SSL/TLS); kod drugih davatelja usluge portovi su obično isti. Ako u programu za poštu piše "bez zaštite" ili port 143 ili 25 bez šifriranja, promijenite to.
Sažetak
- Dajte svom routeru vlastitu administratorsku lozinku, isključite administraciju izvana, UPnP i WPS, te ažurirajte firmver.
- Odaberite WPA3, ili prijelazni način rada WPA2/WPA3, s dugom Wi-Fi lozinkom. Nikada WEP, WPA ni TKIP.
- Stavite posjetitelje i pametne uređaje na gostujuću mrežu, odvojenu od Vaših radnih uređaja.
- Na putu: radije mobilni podaci ili vlastiti hotspot, bez automatskog povezivanja, i zaustavite se kod upozorenja o certifikatu.
- VPN šifrira dio do VPN poslužitelja, ali ne štiti od phishinga ni zlonamjernog softvera i ne čini Vas anonimnim.
Kviz
Zadatak
Zadatak D5.3: Provjera Vašeg routera i Wi-Fi mreže. Prijavite se na stranicu s postavkama Vašeg routera (kod kuće ili u uredu). Provjerite administratorsku lozinku, šifriranje, WPS, UPnP, administraciju izvana, firmver i gostujuću mrežu. Označite stavke na popisu za provjeru, testirajte gostujuću mrežu i odgovorite na pitanja za razmišljanje.
Zadatak D5.3: Provjera Vašeg routera i Wi-Fi mreže
Evo kako to učiniti: (1) Prijavite se na stranicu s postavkama svog routera (adresa i početna lozinka nalaze se u priručniku ili na naljepnici) ili u aplikaciji svog davatelja usluge. Ako je router Vašeg davatelja usluge, provjerite koje postavke smijete mijenjati. (2) Promijenite administratorsku lozinku u dugu, jedinstvenu lozinku iz svog upravitelja lozinki. (3) Provjerite enkripciju Wi-Fi mreže: WPA3, ili WPA2/WPA3 prijelazni način ako imate starije uređaje; nikada WEP, WPA ili TKIP. Postavite dugu Wi-Fi lozinku (rečenicu kao lozinku). (4) Isključite WPS, UPnP i upravljanje izvana ako Vam nisu potrebni. (5) Provjerite je li firmware ažuran i ažurira li se automatski. (6) Napravite gostujuću mrežu i stavite posjetitelje i pametne uređaje (TV, termostat, zvučnik, kamere gdje je moguće) na nju. (7) Testirajte gostujuću mrežu: povežite telefon s gostujućom mrežom i pokušajte pronaći pisač, NAS ili zajedničku mapu. To ne bi smjelo uspjeti. (8) Provjerite popis povezanih uređaja u svom routeru. Ako ne prepoznajete neki uređaj, istražite o čemu se radi. (9) Provjerite program za poštu na laptopu i telefonu: dolazna i odlazna pošta sa SSL/TLS ili STARTTLS (na primjer IMAP 993, SMTP 587 ili 465).
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatna literatura
Koraci u WebOké člancima vrijede za WebOké okruženje; kod drugih pružatelja usluga postupak je sličan.
- DirectAdmin priručnik 8.1: Svi postavci na jednom mjestu: serveri, portovi i sigurnost
- Nizozemski NCSC, Wi-Fi pristupne točke: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Nizozemski NCSC, Osnovne sigurnosne mjere za pametne uređaje: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Nizozemski NCSC, 6 smjernica za rad od kuće: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, sigurnost Wi-Fija (na engleskom): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, slabost u WPS-u (na engleskom): https://www.kb.cert.org/vuls/id/723755