Modul 5 · 5.3
Wifi, otthoni munkavégzés és utazás közben
Modul 5: Eszközök, szoftverek és hálózat · Olvasási idő: 11 perc
Tanulási cél: Ennek a leckének a végén biztonságosan be tudja állítani az irodai és otthoni wifit, el tudja választani az okoseszközöket és a vendégeket a munkahálózattól, és biztonságosan tud dolgozni utazás közben, beleértve azt is, hogy mit tud és mit nem tud egy VPN.
Kulcsfogalmak: router, admin jelszó, WPA2, WPA3, SAE, átmeneti mód, WPS, UPnP, vendéghálózat, nyilvános wifi, hamis hotspot, https, VPN, a telefon hotspotja
A router az Ön bejárati ajtaja
Minden, ami az irodáját vagy az otthoni munkahelyét összeköti az internettel, a routeren keresztül megy (gyakran egy dobozban a szolgáltató modemjével). Három dolgot csinál: összeköti a hálózatát az internettel, kívülről érkező, nem kért forgalmat blokkol (ez a tűzfal), és általában a wifi-hálózatot is ő sugározza.
A routert ritkán nézi meg bárki is, miután a szerelő elment. Ezért gyakran gyári beállításokon marad. Négy dolgot érdemes azonnal rendezni:
- Változtassa meg az admin jelszót. Ez a router beállítási oldalához tartozó jelszó, nem a wifi jelszava. Az alapértelmezett jelszavak gyakran márka vagy sorozat szerint ismertek. Használjon hosszú, egyedi jelszót a jelszókezelőjéből.
- Kapcsolja ki a kívülről történő kezelést, hacsak a szolgáltatójának valóban szüksége nincs rá. Így a beállítási oldal csak a saját hálózatáról érhető el.
- Kapcsolja ki az UPnP-t, ha nincs rá szüksége. Az UPnP lehetővé teszi, hogy a hálózat bármely eszköze önállóan nyisson portot a tűzfalon, akár egy sebezhető kamera is. Az NKI (Hollandia nemzeti kiberbiztonsági központja, NCSC) azt tanácsolja, hogy kapcsolja ki.
- Frissítse a firmware-t, vagy ellenőrizze, hogy ezt a szolgáltató automatikusan megteszi (5.1. lecke). Ha a routere már nem kap frissítést, cserélje le.
WPA2 és WPA3: hogyan titkosított a wifije
A wifi a levegőn keresztül közlekedik. A közelben bárki elfoghatja a jeleket. Ezért titkosítják. A szabványt a Wi-Fi Alliance kezeli.
| Mód | Értékelés | Magyarázat |
|---|---|---|
| Nyitott (nincs jelszó) | Nem megfelelő a vállalkozásnak | Bárki csatlakozhat, és https nélkül bárki olvashatja a forgalmat. |
| WEP, WPA (az első), TKIP | Nem biztonságos | Elavult és feltört. Ha ilyet lát, cserélje le a routert vagy módosítsa a beállítást. |
| WPA2-Personal (AES) | Megfelelő, hosszú jelszóval | Aki elfogja egy eszköz kapcsolatát, utána otthon, a közelben maradás nélkül, végtelenségig próbálgathatja a jelszavakat. Egy rövid vagy kiszámítható wifi-jelszó hamar elbukik. |
| WPA3-Personal | A legjobb választás | A SAE-t használja a régi, megosztott kulcsos rendszer helyett. A Wi-Fi Alliance szerint ezzel a támadó már nem tud offline jelszavakat próbálgatni: minden egyes próbálkozás magánál a routernél zajlik. És még ha később valaki megismeri is a jelszót, nem tudja visszafejteni a korábban elfogott forgalmat (forward secrecy). |
| WPA2/WPA3 átmeneti mód | Jó átmeneti megoldás | Az új eszközök WPA3-mal, a régebbiek WPA2-vel csatlakoznak. Hasznos, amíg még régebbi eszközei vannak; azok viszont csak a WPA2 szintű védelmet kapják. |
A Wi-Fi Alliance szerint a WPA3 kötelező a Wi-Fi CERTIFIED tanúsítvánnyal rendelkező eszközöknél, így szinte minden új router és telefon támogatja. Válassza a WPA3-at, ha minden eszköze támogatja, egyébként az átmeneti módot.
Minden esetben használjon hosszú wifi-jelszót, például egy négy vagy öt különálló szóból álló jelmondatot (2.1. lecke). Úgyis el van mentve az eszközeiben; ritkán kell begépelnie.
A WPS (Wi-Fi Protected Setup) egy gomb vagy PIN-kód az eszközök egyszerű párosítására. A PIN-kódos változatnak van egy ismert tervezési hibája: a router válaszadási módja miatt a támadónak nem száz millió, hanem körülbelül tizenegyezer kombinációt kell kipróbálnia, és utána megtalálja a wifi-jelszót (CERT/CC, 2011). Kapcsolja ki a WPS-t, ha a routere ezt lehetővé teszi.
Vendéghálózat: ami nem tartozik össze, azt válassza szét
Egy kis iroda hamar olyan eszközökkel telik meg, amelyek megbízhatósága nagyon eltérő, és mégis ugyanazon a hálózaton vannak: a könyvelést kezelő laptopok, az ügyféldossziékat tartalmazó NAS, de a látogatók telefonjai, egy okostévé a váróteremben, egy termosztát és néhány kamera is. Ha mindezek egy hálózaton vannak, egy feltört kamera közvetlenül kommunikálhat a NAS-szal.
Ezért hozzon létre egy vendéghálózatot: egy második wifi-hálózatot, saját névvel és jelszóval, amely internetet biztosít, de nem enged hozzáférést a fő hálózat eszközeihez. Szinte minden router tudja ezt. Helyezze erre:
- a látogatókat és telefonjaikat;
- az okoseszközöket: tévé, termosztát, ajtócsengő, hangszóró, és ahol lehet, kamerák. Az NKI (Hollandia nemzeti kiberbiztonsági központja, NCSC) kifejezetten ezt ajánlja;
- a munkatársak személyes eszközeit, ha azoknak nincs szükségük a vállalati adatokhoz való hozzáférésre.
A beállítás után ellenőrizze, hogy működik: a vendéghálózaton lévő telefonról nem szabad megtalálnia a nyomtatót vagy a NAS-t.
Otthoni munkavégzés
Otthon olyan hálózaton dolgozik, amelyet nem a vállalkozásként kezel, gyakran megosztva a családtagokkal, egy játékkonzollal és a szomszéd okoshangszórójával a hálózatok listáján. Beszéljék meg a csapatával:
- az otthoni router ugyanazt az alapkezelést kapja: saját admin jelszó, WPA2 vagy WPA3 hosszú jelszóval, frissített firmware;
- a munkalaptop munkára való: ne használják gyerekek vagy lakótársak, és zárolja, ha elmegy mellőle (5.2. lecke);
- a frissítések otthon is folytatódnak. Egy laptop, amely hetekig nem jár be az irodába, néha lemarad a központilag kezelt frissítésekről. Ellenőrizze ezt;
- a vállalati rendszerekhez való hozzáférés biztonságos kapcsolaton keresztül történjen: egy https-sel és kétlépcsős azonosítással védett felhőszolgáltatás, vagy VPN az irodához. Soha ne nyisson meg csak úgy egy portot, hogy "gyorsan" elérje otthonról a NAS-t.
Utazás közben: nyilvános wifi
Egy szállodában, vonaton vagy kávézóban nem tudja, ki kezeli a hálózatot. A legnagyobb kockázat egy hamis hotspot: egy támadó egy ugyanolyan nevű hálózatot hoz létre, mint az igazi, például "Hotel-Vendegek". A telefonja magától csatlakozik, és minden forgalma az ő eszközén keresztül megy.
Szerencsére a forgalom nagy része manapság https-en (4.2. lecke) keresztül megy, és az e-mailek is titkosított kapcsolaton. A támadó így látja ugyan, mely oldalakat látogatja, de azt nem, mit ír be. Mégis maradnak kockázatok: egy bejelentkezési oldal, amely hamis oldalra irányítja, egy "telepítse ezt a tanúsítványt" üzenet, vagy régi alkalmazások, amelyek nem titkosítanak.
Az NKI (Hollandia nemzeti kiberbiztonsági központja, NCSC) azt tanácsolja:
- inkább mobiladatot vagy a saját telefonja hotspotját használja, mint nyilvános wifit;
- ne engedje, hogy az eszköze automatikusan csatlakozzon wifi-hálózatokhoz;
- ne végezzen banki ügyeket vagy bizalmas munkát nyilvános wifin, és ne töltsön le vagy telepítsen rajta semmit;
- kapcsolja ki a fájlmegosztást, és jelentkezzen ki, ha végzett.
Ha nyilvános wifin egy jól ismert oldalon tanúsítványfigyelmeztetést kap, ne folytassa. Ez pontosan az a jel, hogy valaki figyeli a forgalmát.
Mit tud és mit nem tud egy VPN
A VPN szót két különböző dologra használják. Egy céges VPN titkosítva köti össze a laptopját az iroda hálózatával, így kívülről is eléri a NAS-t vagy a könyvelőprogramot. Egy kereskedelmi VPN-szolgáltatás titkosítva küldi az Ön teljes internetforgalmát egy szolgáltató szerverére, amely onnan továbbítja az internetre.
| Egy VPN ezt megteszi | Egy VPN ezt nem teszi meg |
|---|---|
| Titkosítja a forgalmát az eszköze és a VPN-szerver között, így a helyi (wifi-)hálózat nem tudja figyelni | Nem védi meg a phishingtől: egy hamis oldal VPN-en keresztül is ugyanúgy hamis |
| Biztonságos hozzáférést ad az irodai hálózathoz (céges VPN) | Nem állítja meg a kártevőket, és nem tisztítja meg a fertőzött laptopot |
| Elrejti az IP-címét a felkeresett oldalak elől | Nem teszi anonimmá: egy szolgáltatásba való bejelentkezés továbbra is elárulja, ki Ön |
| Nem szünteti meg a bizalmi kérdést: a VPN-szolgáltató most láthatja azt, amit korábban a szállodai hálózat láthatott |
Egy VPN tehát áthelyezi azt a pontot, ahol bíznia kell valakiben. Egy ismeretlen hálózaton ennek lehet értelme. A saját otthoni hálózatán, https-oldalakkal, egy kereskedelmi VPN kevés biztonsági hozzáadott értéket jelent.
És figyeljen: egy irodai VPN-szerver maga is egy peremeszköz, amely elérhető az internetről. Az elavult VPN-szerverek ismert belépési pontok zsarolóvírusok számára (1.3. lecke). Tartsa frissítve, kapcsolja be a kétlépcsős azonosítást, és kapcsolja ki, ha nem használja.
A gyakorlatban: így néz ki
Az Ön e-mailje is útban átmegy a hálózaton. Ezért állítsa be a levelezőprogramját titkosított kapcsolattal. A WebOké-nál ez például az IMAP a 993-as porton SSL/TLS-sel, és az SMTP az 587-es porton STARTTLS-sel (vagy a 465-ös porton SSL/TLS-sel); más szolgáltatóknál a portok általában ugyanazok. Ha a levelezőprogramjában "nincs biztonság" vagy a 143-as, illetve 25-ös port szerepel titkosítás nélkül, módosítsa ezt.
Összefoglalás
- Adjon saját admin jelszót a routerének, kapcsolja ki a kívülről történő kezelést, az UPnP-t és a WPS-t, és frissítse a firmware-t.
- Válassza a WPA3-at, vagy a WPA2/WPA3 átmeneti módot, hosszú wifi-jelszóval. Soha ne WEP-et, WPA-t vagy TKIP-et.
- Helyezze a látogatókat és az okoseszközöket vendéghálózatra, elválasztva a munkaeszközöktől.
- Utazás közben: inkább mobiladat vagy saját hotspot, ne automatikus csatlakozás, és álljon meg egy tanúsítványfigyelmeztetésnél.
- Egy VPN titkosítja a kapcsolatot a VPN-szerverig, de nem véd a phishing vagy a kártevők ellen, és nem teszi anonimmá.
Kvíz
Feladat
D5.3 feladat: A router és a wifi ellenőrzése. Jelentkezzen be a routere (otthoni vagy irodai) beállítási oldalára. Ellenőrizze az admin jelszót, a titkosítást, a WPS-t, az UPnP-t, a kívülről történő kezelést, a firmware-t és a vendéghálózatot. Pipálja ki a checklistát, tesztelje a vendéghálózatot, és válaszoljon a reflexiós kérdésekre.
D5.3. feladat: Router és wifi ellenőrzése
Így kezdjen hozzá: (1) Jelentkezzen be a router beállítási oldalára (a cím és az első jelszó a kézikönyvben vagy a matricán található) vagy a szolgáltatója alkalmazásába. Ha a routert a szolgáltatótól kapta, nézze meg, mely beállításokat módosíthatja. (2) Módosítsa a rendszergazdai jelszót egy hosszú, egyedi, jelszókezelőből származó jelszóra. (3) Ellenőrizze a wifi titkosítását: WPA3, vagy WPA2/WPA3 átmeneti mód, ha régebbi eszközei vannak; soha ne használjon WEP, WPA vagy TKIP titkosítást. Állítson be hosszú wifi jelszót (jelmondatot). (4) Kapcsolja ki a WPS-t, az UPnP-t és a távoli kezelést, ha nincs rájuk szüksége. (5) Ellenőrizze, hogy a firmware naprakész e, és automatikusan frissül e. (6) Hozzon létre vendéghálózatot, és a látogatókat, valamint az okoseszközöket (tévé, termosztát, hangszóró, kamerák, ahol lehetséges) tegye rá. (7) Tesztelje a vendéghálózatot: csatlakoztasson egy telefont a vendéghálózathoz, és próbálja meg elérni a nyomtatót, a NAS-t vagy egy megosztott mappát. Ennek nem szabad sikerülnie. (8) Ellenőrizze a routerhez csatlakoztatott eszközök listáját. Ha nem ismer fel egy eszközt, derítse ki, micsoda. (9) Ellenőrizze a laptopján és a telefonján a levelezőprogramot: bejövő és kimenő forgalom SSL/TLS vagy STARTTLS titkosítással (például IMAP 993, SMTP 587 vagy 465).
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
További olvasnivaló
A WebOké-cikkekben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.
- DirectAdmin útmutató 8.1: Minden beállítás egy helyen: szerverek, portok és biztonság
- Az NKI (Hollandia nemzeti kiberbiztonsági központja, NCSC) tájékoztatója a wifi-hotspotokról: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Az NKI (Hollandia nemzeti kiberbiztonsági központja, NCSC) alapvető biztonsági intézkedései okoseszközökhöz: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Az NKI (Hollandia nemzeti kiberbiztonsági központja, NCSC) 6 figyelmeztető pontja az otthoni munkavégzéshez: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, a wifi biztonsága (angolul): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, a WPS gyengesége (angolul): https://www.kb.cert.org/vuls/id/723755