Wi-Fi, praca zdalna i praca w podróży
Moduł 5: Urządzenia, oprogramowanie i sieć · Czas czytania: 11 minut
Cel lekcji: Po tej lekcji będą Państwo potrafili bezpiecznie skonfigurować wi-fi w biurze i w domu, oddzielić urządzenia smart i gości od sieci firmowej oraz bezpiecznie pracować w podróży, w tym wiedzieć, co VPN zapewnia, a czego nie.
Kluczowe pojęcia: router, hasło administratora, WPA2, WPA3, SAE, tryb przejściowy, WPS, UPnP, sieć dla gości, publiczne wi-fi, fałszywy hotspot, https, VPN, hotspot w telefonie
Router to drzwi wejściowe
Wszystko, co łączy Państwa biuro lub stanowisko pracy w domu z internetem, przechodzi przez router (często w jednej obudowie z modemem dostawcy internetu). Pełni on trzy funkcje: łączy sieć z internetem, blokuje niechciany ruch z zewnątrz (zapora sieciowa, firewall) i zazwyczaj nadaje też sieć wi-fi.
Router rzadko jest sprawdzany po wyjściu instalatora. Dlatego często pozostają na nim ustawienia fabryczne. Cztery rzeczy, które warto ustawić od razu:
- Proszę zmienić hasło administratora. To hasło do strony ustawień routera, nie hasło do wi-fi. Domyślne hasła są często znane dla danej marki lub serii urządzeń. Należy użyć długiego, unikalnego hasła z menedżera haseł.
- Proszę wyłączyć zarządzanie z zewnątrz, chyba że dostawca internetu rzeczywiście go potrzebuje. Wtedy strona ustawień jest dostępna wyłącznie z poziomu własnej sieci.
- Proszę wyłączyć UPnP, jeśli nie jest potrzebne. Dzięki UPnP każde urządzenie w sieci może samodzielnie otworzyć port w zaporze sieciowej, także kamera z luką bezpieczeństwa. Niderlandzkie NCSC zaleca jego wyłączenie.
- Proszę zaktualizować oprogramowanie układowe (firmware) lub sprawdzić, czy dostawca robi to automatycznie (lekcja 5.1). Jeśli router nie otrzymuje już aktualizacji, należy go wymienić.
WPA2 i WPA3: jak szyfrowane jest Państwa wi-fi
Sygnał wi-fi przesyłany jest drogą radiową. Każdy w pobliżu może go przechwycić. Dlatego jest szyfrowany. Standard ten zarządzany jest przez organizację Wi-Fi Alliance.
| Tryb | Ocena | Wyjaśnienie |
|---|---|---|
| Otwarta (bez hasła) | Nie dla firmy | Każdy może się połączyć i, bez https, odczytać przesyłane dane. |
| WEP, WPA (pierwsza wersja), TKIP | Niebezpieczne | Przestarzałe i złamane. Jeśli taki tryb jest ustawiony, należy wymienić router lub zmienić ustawienie. |
| WPA2-Personal (AES) | Wystarczające, przy długim haśle | Ten, kto przechwyci połączenie jednego urządzenia, może później, w domu, bez konieczności pozostawania w pobliżu, bez końca próbować kolejnych haseł. Krótkie lub przewidywalne hasło do wi-fi szybko zostanie złamane. |
| WPA3-Personal | Najlepszy wybór | Wykorzystuje SAE zamiast starego systemu współdzielonego klucza. Według Wi-Fi Alliance uniemożliwia to atakującemu późniejsze próbowanie haseł w trybie offline: każda próba wymaga kontaktu z samym routerem. Nawet jeśli ktoś pozna hasło później, nie może odszyfrować wcześniej przechwyconego ruchu (forward secrecy). |
| Tryb przejściowy WPA2/WPA3 | Dobre rozwiązanie jako krok pośredni | Nowe urządzenia łączą się przez WPA3, starsze przez WPA2. Przydatne, dopóki w użyciu są jeszcze starsze urządzenia; otrzymują one jednak wtedy jedynie poziom ochrony WPA2. |
Według Wi-Fi Alliance WPA3 jest obowiązkowe dla urządzeń z certyfikatem Wi-Fi CERTIFIED, więc obsługuje go niemal każdy nowy router i telefon. Jeśli wszystkie Państwa urządzenia go obsługują, należy wybrać WPA3, w przeciwnym razie tryb przejściowy.
W każdym przypadku należy stosować długie hasło do wi-fi, na przykład frazę złożoną z czterech lub pięciu niepowiązanych słów (lekcja 2.1). Hasło i tak jest zapisane w urządzeniach; rzadko trzeba je wpisywać ręcznie.
WPS (Wi-Fi Protected Setup) to przycisk lub kod PIN ułatwiający parowanie urządzeń. Wariant z kodem PIN ma znaną wadę konstrukcyjną: z powodu sposobu, w jaki router odpowiada, atakujący nie musi próbować stu milionów, lecz jedynie około jedenastu tysięcy kombinacji, po czym odnajduje hasło do wi-fi (CERT/CC, 2011). Jeśli router na to pozwala, należy wyłączyć WPS.
Sieć dla gości: oddzielenie tego, co nie powinno być razem
Nawet małe biuro szybko ma w tej samej sieci urządzenia o bardzo różnym poziomie zaufania: laptopy z danymi księgowymi, serwer NAS z danymi klientów, ale też telefony odwiedzających, inteligentny telewizor w poczekalni, termostat i kilka kamer. Jeśli wszystkie znajdują się w jednej sieci, zhakowana kamera może komunikować się bezpośrednio z serwerem NAS.
Dlatego warto utworzyć sieć dla gości: drugą sieć wi-fi z własną nazwą i hasłem, która zapewnia dostęp do internetu, ale nie do urządzeń w sieci głównej. Niemal każdy router to umożliwia. Należy do niej podłączyć:
- odwiedzających i ich telefony;
- urządzenia smart: telewizor, termostat, domofon, głośnik, a tam gdzie to możliwe także kamery. Niderlandzkie NCSC wyraźnie to zaleca;
- prywatne urządzenia pracowników, jeśli nie potrzebują one dostępu do danych firmowych.
Po skonfigurowaniu należy sprawdzić, czy to działa: z telefonu podłączonego do sieci dla gości nie powinno być możliwe odnalezienie drukarki ani serwera NAS.
Praca zdalna
W domu pracują Państwo w sieci, której jako firma nie zarządzają, często wspólnej z domownikami, konsolą do gier i inteligentnym głośnikiem sąsiada widocznym na liście sieci. Warto ustalić z zespołem, że:
- router domowy otrzymuje takie samo podstawowe traktowanie: własne hasło administratora, WPA2 lub WPA3 z długim hasłem, zaktualizowane oprogramowanie układowe;
- laptop służbowy jest przeznaczony do pracy: nie powinien być używany przez dzieci ani domowników i należy go blokować przy odejściu od stanowiska (lekcja 5.2);
- aktualizacje są wdrażane także w domu. Laptop, który tygodniami nie pojawia się w biurze, czasem nie otrzymuje aktualizacji zarządzanych centralnie. Warto to sprawdzić;
- dostęp do systemów firmowych odbywa się przez bezpieczne połączenie: usługę w chmurze z https i uwierzytelnianiem dwuskładnikowym albo VPN do biura. Nigdy nie należy po prostu otwierać portu, aby „na chwilę” uzyskać dostęp do serwera NAS z domu.
W podróży: publiczne wi-fi
W hotelu, pociągu czy kawiarni nie wiedzą Państwo, kto zarządza siecią. Największym ryzykiem jest fałszywy hotspot: atakujący tworzy sieć o tej samej nazwie co prawdziwa, na przykład „Hotel-Goście”. Telefon łączy się automatycznie, a cały ruch przechodzi przez urządzenie atakującego.
Na szczęście większość ruchu internetowego odbywa się dziś przez https (lekcja 4.2), a poczta przez szyfrowane połączenia. Atakujący widzi wtedy, które strony są odwiedzane, ale nie to, co jest wpisywane. Mimo to pozostają ryzyka: strona logowania przekierowująca na fałszywą witrynę, komunikat „zainstaluj ten certyfikat” albo stare aplikacje, które nie szyfrują połączenia.
Niderlandzkie NCSC zaleca:
- korzystanie raczej z transmisji danych mobilnych lub hotspotu własnego telefonu niż z publicznego wi-fi;
- niedopuszczanie, aby urządzenie automatycznie łączyło się z sieciami wi-fi;
- niezałatwianie spraw bankowych ani poufnej pracy w publicznym wi-fi oraz niepobieranie i nieinstalowanie w nim niczego;
- wyłączenie udostępniania plików i wylogowanie się po zakończeniu pracy.
Jeśli w publicznym wi-fi pojawi się ostrzeżenie o certyfikacie na stronie, którą dobrze Państwo znają, nie należy kontynuować. To właśnie sygnał, że ktoś przechwytuje ruch.
Co VPN robi, a czego nie robi
Słowo VPN używane jest na dwa różne sposoby. Firmowy VPN łączy laptopa w sposób szyfrowany z siecią biura, dzięki czemu z zewnątrz można uzyskać dostęp do serwera NAS czy programu księgowego. Komercyjna usługa VPN przesyła cały ruch internetowy w sposób szyfrowany do serwera dostawcy, który następnie kieruje go dalej do internetu.
| VPN zapewnia | VPN nie zapewnia |
|---|---|
| Szyfrowanie ruchu między urządzeniem a serwerem VPN, dzięki czemu lokalna sieć (wi-fi) nie może go podglądać | Ochrony przed phishingiem: fałszywa strona przez VPN jest tak samo fałszywa |
| Bezpieczny dostęp do sieci biurowej (firmowy VPN) | Zatrzymania złośliwego oprogramowania ani oczyszczenia zainfekowanego laptopa |
| Ukrycie adresu IP przed odwiedzanymi stronami | Anonimowości: zalogowanie się do usługi nadal zdradza, kim Państwo są |
| Usunięcia potrzeby zaufania: to dostawca VPN widzi teraz to, co wcześniej widziała sieć hotelowa |
VPN przesuwa więc miejsce, w którym muszą Państwo pokładać zaufanie. W nieznanej sieci może to mieć sens. We własnej sieci domowej, przy korzystaniu ze stron https, komercyjny VPN niewiele dodaje pod względem bezpieczeństwa.
Warto też pamiętać: serwer VPN w biurze sam jest urządzeniem brzegowym dostępnym z internetu. Nieaktualizowane serwery VPN są znanym punktem wejścia dla ransomware (lekcja 1.3). Należy go aktualizować, włączyć uwierzytelnianie dwuskładnikowe i wyłączać, gdy nie jest używany.
W praktyce: jak to wygląda
Również poczta elektroniczna przesyłana jest przez sieć podczas podróży. Dlatego program pocztowy należy skonfigurować z szyfrowanymi połączeniami. W WebOké jest to na przykład IMAP na porcie 993 z SSL/TLS oraz SMTP na porcie 587 ze STARTTLS (lub 465 z SSL/TLS); u innych dostawców porty są zazwyczaj takie same. Jeśli w programie pocztowym widnieje „brak zabezpieczeń” albo port 143 lub 25 bez szyfrowania, należy to zmienić.
Podsumowanie
- Proszę nadać routerowi własne hasło administratora, wyłączyć zarządzanie z zewnątrz, UPnP i WPS oraz zaktualizować oprogramowanie układowe.
- Proszę wybrać WPA3 lub tryb przejściowy WPA2/WPA3, z długim hasłem do wi-fi. Nigdy WEP, WPA ani TKIP.
- Proszę umieścić odwiedzających i urządzenia smart w sieci dla gości, oddzielonej od urządzeń roboczych.
- W podróży: lepiej transmisja danych mobilnych lub własny hotspot, bez automatycznego łączenia, i przerwanie działania przy ostrzeżeniu o certyfikacie.
- VPN szyfruje odcinek do serwera VPN, ale nie chroni przed phishingiem ani złośliwym oprogramowaniem i nie zapewnia anonimowości.
Quiz
Zadanie
Zadanie D5.3: Sprawdzenie routera i sieci wifi. Proszę zalogować się na stronę ustawień routera (w domu lub w biurze). Proszę sprawdzić hasło administratora, szyfrowanie, WPS, UPnP, zarządzanie z zewnątrz, oprogramowanie układowe i sieć dla gości. Proszę odhaczyć punkty na liście kontrolnej, przetestować sieć dla gości i odpowiedzieć na pytania do refleksji.
Zadanie D5.3: Sprawdzenie routera i sieci wifi
Jak się do tego zabrać: (1) Proszę zalogować się na stronę ustawień routera (adres i pierwsze hasło znajdują się w instrukcji lub na naklejce) albo w aplikacji dostawcy. Jeśli jest to router dostawcy, proszę sprawdzić, które ustawienia można samodzielnie zmieniać. (2) Proszę zmienić hasło administratora na długie, unikalne hasło z menedżera haseł. (3) Proszę sprawdzić szyfrowanie wifi: WPA3 lub tryb przejściowy WPA2/WPA3 w przypadku starszych urządzeń; nigdy WEP, WPA ani TKIP. Proszę ustawić długie hasło wifi (frazę hasłową). (4) Proszę wyłączyć WPS, UPnP i zarządzanie z zewnątrz, jeśli nie są potrzebne. (5) Proszę sprawdzić, czy oprogramowanie układowe jest aktualne i aktualizuje się automatycznie. (6) Proszę utworzyć sieć gościnną i umieścić w niej gości oraz urządzenia smart (telewizor, termostat, głośnik, kamery, tam gdzie to możliwe). (7) Proszę przetestować sieć gościnną: połączyć telefon z siecią gościnną i spróbować znaleźć drukarkę, NAS lub udostępniony folder. To nie powinno się udać. (8) Proszę sprawdzić listę podłączonych urządzeń w routerze. Jeśli jakieś urządzenie jest nieznane, proszę ustalić, co to jest. (9) Proszę sprawdzić program pocztowy na laptopie i telefonie: połączenia przychodzące i wychodzące z SSL/TLS lub STARTTLS (np. IMAP 993, SMTP 587 lub 465).
Zaznaczenia i notatki pozostają tylko w tej przeglądarce; nie są nigdzie wysyłane. Po zalogowaniu w Moje kursy zapisywana jest jedynie informacja, że zadanie zostało wykonane.
Dalsza lektura
Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działanie jest podobne.
- Instrukcja DirectAdmin 8.1: Wszystkie ustawienia w jednym miejscu: serwery, porty i zabezpieczenia
- Niderlandzkie NCSC, Hotspoty wi-fi (w języku niderlandzkim): https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Niderlandzkie NCSC, Podstawowe środki zabezpieczające urządzenia smart (w języku niderlandzkim): https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Niderlandzkie NCSC, 6 wskazówek dotyczących pracy zdalnej (w języku niderlandzkim): https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, bezpieczeństwo wi-fi (w języku angielskim): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, słabość WPS (w języku angielskim): https://www.kb.cert.org/vuls/id/723755