5 modulis · 5.3
Wifi, darbas iš namų ir darbas kelionėje
5 modulis: Įrenginiai, programinė įranga ir tinklas · Skaitymo trukmė: 11 min.
Mokymosi tikslas: po šios pamokos galėsite saugiai sukonfigūruoti wifi biure ir namuose, atskirti išmaniuosius įrenginius ir svečius nuo savo darbo tinklo, bei saugiai dirbti kelionėje, įskaitant tai, ką VPN daro ir ko nedaro.
Pagrindinės sąvokos: maršrutizatorius, administravimo slaptažodis, WPA2, WPA3, SAE, pereinamasis režimas, WPS, UPnP, svečių tinklas, viešasis wifi, netikras prieigos taškas, https, VPN, telefono prieigos taškas
Maršrutizatorius yra Jūsų priekinės durys
Visa, kas Jūsų biurą ar namų darbo vietą sujungia su internetu, eina per maršrutizatorių (dažnai viename dėžutėje kartu su Jūsų tiekėjo modemu). Jis atlieka tris dalykus: sujungia Jūsų tinklą su internetu, sulaiko nekviestą srautą iš išorės (ugniasienė), ir dažniausiai taip pat transliuoja wifi tinklą.
Maršrutizatorius retai kada peržiūrimas po to, kai meistras išvyksta. Todėl dažnai jame lieka gamykliniai nustatymai. Keturi dalykai, kuriuos reikėtų sutvarkyti iškart:
- Pakeiskite administravimo slaptažodį. Tai yra slaptažodis maršrutizatoriaus nustatymų puslapiui, ne wifi slaptažodis. Numatytieji slaptažodžiai dažnai yra žinomi pagal gamintoją ar modelių seriją. Naudokite ilgą, unikalų slaptažodį iš savo slaptažodžių tvarkyklės.
- Išjunkite administravimą iš išorės, nebent Jūsų tiekėjui tai tikrai reikalinga. Tuomet nustatymų puslapis pasiekiamas tik iš Jūsų paties tinklo.
- Išjunkite UPnP, jei jo nereikia. Su UPnP bet kuris tinklo įrenginys gali pats atidaryti prievadą ugniasienėje, net ir pažeidžiama kamera. Nyderlandų NCSC rekomenduoja jį išjungti.
- Atnaujinkite programinę aparatinę įrangą arba patikrinkite, ar tiekėjas tai daro automatiškai (3.1 pamoka, kiti numeriai gali skirtis pagal struktūrą, žr. 5.1 pamoką). Jei Jūsų maršrutizatorius nebegauna atnaujinimų, pakeiskite jį.
WPA2 ir WPA3: kaip Jūsų wifi yra šifruojamas
Wifi keliauja oru. Bet kas netoliese gali perimti signalus. Todėl jis šifruojamas. Šį standartą valdo Wi-Fi Alliance.
| Režimas | Vertinimas | Paaiškinimas |
|---|---|---|
| Atviras (be slaptažodžio) | Netinka Jūsų įmonei | Bet kas gali prisijungti ir, be https, net skaityti duomenis. |
| WEP, WPA (pirmasis), TKIP | Nesaugu | Pasenę ir nulaužti. Jei tai matote, pakeiskite maršrutizatorių arba pakeiskite nustatymą. |
| WPA2-Personal (AES) | Pakankama, su ilgu slaptažodžiu | Kas perima vieno įrenginio ryšį, vėliau namuose, nebūdamas netoliese, gali be galo bandyti spėti slaptažodžius. Trumpas ar nuspėjamas wifi slaptažodis tuomet greitai sulūžta. |
| WPA3-Personal | Geriausias pasirinkimas | Naudoja SAE vietoje senosios bendro rakto sistemos. Pasak Wi-Fi Alliance, užpuolikas nebegali neprisijungęs bandyti spėti slaptažodžius atsietai: kiekvienas bandymas reikalauja naujos sesijos su pačiu maršrutizatoriumi. Ir net jei kas nors vėliau sužino slaptažodį, jis negali iššifruoti anksčiau perimto srauto (forward secrecy). |
| WPA2/WPA3 pereinamasis režimas | Geras tarpinis sprendimas | Nauji įrenginiai jungiasi per WPA3, senesni per WPA2. Naudinga, kol turite senų įrenginių; jie gauna tik WPA2 apsaugą. |
Pasak Wi-Fi Alliance, WPA3 yra privalomas įrenginiams su Wi-Fi CERTIFIED sertifikatu, taigi beveik kiekvienas naujas maršrutizatorius ir telefonas tai palaiko. Pasirinkite WPA3, jei visi Jūsų įrenginiai tai palaiko, kitu atveju pereinamąjį režimą.
Visais atvejais naudokite ilgą wifi slaptažodį, pavyzdžiui, slaptafrazę iš keturių ar penkių atsitiktinių žodžių (2.1 pamoka). Jis vis tiek yra išsaugotas Jūsų įrenginiuose; retai kada jį reikia įvesti ranka.
WPS (Wi-Fi Protected Setup) yra mygtukas arba PIN kodas, skirtas lengvai susieti įrenginius. PIN kodo variantas turi žinomą konstrukcijos trūkumą: dėl to, kaip maršrutizatorius atsako, užpuolikui nereikia bandyti šimto milijonų, o tik maždaug vienuolikos tūkstančių derinių, ir tada jis suranda wifi slaptažodį (CERT/CC, 2011). Išjunkite WPS, jei Jūsų maršrutizatorius tai leidžia.
Svečių tinklas: atskirkite tai, kas nesiderina
Mažas biuras greitai turi labai skirtingo patikimumo įrenginių viename tinkle: nešiojamuosius kompiuterius su buhalterija, NAS su klientų bylomis, bet taip pat ir lankytojų telefonus, išmanųjį televizorių laukiamajame, termostatą ir kelias kameras. Jei visi jie yra viename tinkle, nulaužta kamera gali tiesiogiai bendrauti su NAS.
Todėl sukurkite svečių tinklą: antrą wifi tinklą su savo pavadinimu ir slaptažodžiu, kuris suteikia internetą, bet neleidžia pasiekti pagrindinio tinklo įrenginių. Beveik kiekvienas maršrutizatorius tai palaiko. Į jį perkelkite:
- lankytojus ir jų telefonus;
- išmaniuosius įrenginius: televizorių, termostatą, durų skambutį, garsiakalbį, ir, kur įmanoma, kameras. Nyderlandų NCSC tai aiškiai rekomenduoja;
- asmeninius įrenginius darbuotojų, jei jiems nereikia prieigos prie įmonės duomenų.
Po nustatymo patikrinkite, ar tai veikia: iš telefono, prijungto prie svečių tinklo, neturėtumėte matyti spausdintuvo ar NAS.
Darbas iš namų
Namuose dirbate tinkle, kurio nevaldote kaip įmonė, dažnai kartu su šeimos nariais, žaidimų konsole ir kaimynų išmaniuoju garsiakalbiu tinklų sąraše. Susitarkite su savo komanda:
- namų maršrutizatoriui taikomas tas pats pagrindinis tvarkymas: savas administravimo slaptažodis, WPA2 arba WPA3 su ilgu slaptažodžiu, atnaujinta programinė aparatinė įranga;
- darbo nešiojamasis kompiuteris skirtas darbui: jo nenaudoja vaikai ar kiti namų gyventojai, ir jis užrakinamas, kai pasitraukiate (5.2 pamoka);
- atnaujinimai vyksta ir namuose. Nešiojamasis kompiuteris, kuris savaitėmis nebūna biure, kartais praleidžia atnaujinimus, kurie tvarkomi centralizuotai. Tai patikrinkite;
- prieiga prie įmonės sistemų vyksta per saugų ryšį: debesijos paslaugą su https ir dviejų veiksnių autentifikavimu, arba VPN į biurą. Niekada savavališkai neatidarykite prievado, kad „tik truputį“ iš namų pasiektumėte NAS.
Kelionėje: viešasis wifi
Viešbutyje, traukinyje ar kavinėje nežinote, kas valdo tinklą. Didžiausia rizika yra netikras prieigos taškas: užpuolikas sukuria tinklą tokiu pačiu pavadinimu kaip tikrasis, pavyzdžiui, „Hotel-Gasten“. Jūsų telefonas prisijungia automatiškai, ir visas Jūsų srautas eina per jo įrenginį.
Laimei, dauguma srauto šiandien eina per https (4.2 pamoka), o paštas per šifruotus ryšius. Užpuolikas tuomet mato, kuriose svetainėse lankotės, bet ne ką įvedate. Vis dėlto rizikų išlieka: prisijungimo puslapis, nukreipiantis į netikrą svetainę, pranešimas „įdiekite šį sertifikatą“, arba senos programėlės, kurios nešifruoja.
Nyderlandų NCSC pataria:
- verčiau naudokite mobiliuosius duomenis arba savo paties telefono prieigos tašką, o ne viešąjį wifi;
- neleiskite savo įrenginiui automatiškai prisijungti prie wifi tinklų;
- neatlikite bankinių operacijų ir konfidencialaus darbo viešajame wifi, ir nieko ten neatsisiųskite ar neįdiekite;
- išjunkite failų bendrinimą ir atsijunkite, kai baigėte.
Jei viešajame wifi gaunate sertifikato įspėjimą svetainėje, kurią gerai pažįstate, netęskite. Tai tiksliai toks signalas, kad kažkas stebi Jūsų ryšį.
Ką VPN daro ir ko nedaro
Žodis VPN naudojamas dviem skirtingiems dalykams. Įmonės VPN šifruotai sujungia Jūsų nešiojamąjį kompiuterį su biuro tinklu, kad iš išorės galėtumėte pasiekti NAS ar buhalterijos programą. Komercinė VPN paslauga siunčia visą Jūsų interneto srautą šifruotai į tiekėjo serverį, kuris jį tada nukreipia į internetą.
| VPN daro | VPN nedaro |
|---|---|
| Šifruoja Jūsų srautą tarp įrenginio ir VPN serverio, kad vietinis (wifi) tinklas negalėtų stebėti | Neapsaugo nuo sukčiavimo (phishing): netikra svetainė per VPN lieka tiek pat netikra |
| Suteikia saugią prieigą prie biuro tinklo (įmonės VPN) | Nesustabdo kenkėjiškos programinės įrangos ir neišvalo užkrėsto nešiojamojo kompiuterio |
| Paslepia Jūsų IP adresą nuo lankomų svetainių | Nepadaro Jūsų anoniminiu: prisijungimas prie paslaugos vis tiek atskleidžia, kas esate |
| Nepašalina pasitikėjimo klausimo: VPN tiekėjas dabar mato tai, ką anksčiau galėjo matyti viešbučio tinklas |
Taigi VPN perkelia vietą, kuria turite pasitikėti. Nežinomame tinkle tai gali būti naudinga. Savo paties namų tinkle su https svetainėmis komercinis VPN saugumui beveik nieko nepriduoda.
Ir atkreipkite dėmesį: VPN serveris Jūsų biure pats yra kraštinis įrenginys, pasiekiamas iš interneto. Pasenę VPN serveriai yra žinomas išpirkos reikalaujančių programų įsilaužimo kelias (1.3 pamoka). Atnaujinkite jį, įjunkite dviejų veiksnių autentifikavimą ir išjunkite, kai nenaudojate.
Praktikoje: taip tai atrodo
Jūsų paštas kelionėje taip pat keliauja per tinklą. Todėl sukonfigūruokite savo pašto programą su šifruotais ryšiais. WebOké atveju tai, pavyzdžiui, IMAP prievadu 993 su SSL/TLS ir SMTP prievadu 587 su STARTTLS (arba 465 su SSL/TLS); kitų tiekėjų atveju prievadai dažniausiai tie patys. Jei Jūsų pašto programoje nurodyta „be apsaugos“ arba prievadas 143 ar 25 be šifravimo, pakeiskite tai.
Santrauka
- Suteikite savo maršrutizatoriui savą administravimo slaptažodį, išjunkite administravimą iš išorės, UPnP ir WPS, bei atnaujinkite programinę aparatinę įrangą.
- Pasirinkite WPA3 arba pereinamąjį režimą WPA2/WPA3, su ilgu wifi slaptažodžiu. Niekada WEP, WPA ar TKIP.
- Lankytojus ir išmaniuosius įrenginius perkelkite į svečių tinklą, atskirtą nuo Jūsų darbo įrenginių.
- Kelionėje: verčiau mobilieji duomenys ar savas prieigos taškas, be automatinio prisijungimo, ir sustokite pamatę sertifikato įspėjimą.
- VPN šifruoja atkarpą iki VPN serverio, bet neapsaugo nuo sukčiavimo ar kenkėjiškos programinės įrangos ir nepadaro Jūsų anoniminiu.
Testas (quiz)
Užduotis
Užduotis D5.3: Savo maršrutizatoriaus ir Wi-Fi tinklo patikrinimas. Prisijunkite prie savo maršrutizatoriaus (namuose ar biure) nustatymų puslapio. Patikrinkite administravimo slaptažodį, šifravimą, WPS, UPnP, administravimą iš išorės, programinę aparatinę įrangą ir svečių tinklą. Pažymėkite kontrolinį sąrašą, išbandykite svečių tinklą ir atsakykite į apmąstymo klausimus.
Užduotis D5.3: Savo maršrutizatoriaus ir Wi-Fi tinklo patikrinimas
Taip tai padarykite: (1) Prisijunkite prie maršrutizatoriaus nustatymų puslapio (adresas ir pradinis slaptažodis nurodyti instrukcijoje ar lipduke) arba savo paslaugų teikėjo programėlėje. Jei tai paslaugų teikėjo maršrutizatorius, išsiaiškinkite, kuriuos nustatymus galite keisti Jūs. (2) Pakeiskite administravimo slaptažodį į ilgą, unikalų slaptažodį iš savo slaptažodžių tvarkyklės. (3) Patikrinkite Wi-Fi šifravimą: WPA3 arba WPA2/WPA3 pereinamasis režimas, jei turite senesnių įrenginių; niekada WEP, WPA ar TKIP. Nustatykite ilgą Wi-Fi slaptažodį (slaptažodžio frazę). (4) Išjunkite WPS, UPnP ir valdymą iš išorės, jei jų nereikia. (5) Patikrinkite, ar programinė aparatinė įranga (firmware) yra naujausia ir ar automatiškai atsinaujina. (6) Sukurkite svečių tinklą ir prie jo prijunkite lankytojus bei išmaniuosius įrenginius (televizorių, termostatą, garsiakalbį, kameras, kur tik įmanoma). (7) Išbandykite svečių tinklą: prijunkite telefoną prie svečių tinklo ir pabandykite rasti spausdintuvą, NAS arba bendrinamą aplanką. Tai neturėtų pavykti. (8) Patikrinkite prie maršrutizatoriaus prijungtų įrenginių sąrašą. Jei nepažįstate kurio nors įrenginio, išsiaiškinkite, kas tai yra. (9) Patikrinkite savo el. pašto programą nešiojamajame kompiuteryje ir telefone: gaunami ir siunčiami laiškai turi naudoti SSL/TLS arba STARTTLS (pavyzdžiui, IMAP 993, SMTP 587 arba 465).
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Žingsniai WebOké straipsniuose galioja WebOké aplinkai; kitų tiekėjų atveju tai veikia panašiai.
- DirectAdmin vadovas 8.1: Visi nustatymai vienoje vietoje: serveriai, prievadai ir saugumas
- Nyderlandų NCSC, Wifi prieigos taškai (olandų k.): https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Nyderlandų NCSC, Pagrindinės apsaugos priemonės išmaniesiems įrenginiams (olandų k.): https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Nyderlandų NCSC, 6 dėmesio punktai darbui iš namų (olandų k.): https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, wifi saugumas (anglų k.): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, WPS silpnoji vieta (anglų k.): https://www.kb.cert.org/vuls/id/723755