Wifi, práce z domova a práce na cestách

Modul 5: Zařízení, software a síť · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete bezpečně nastavit wifi v kanceláři i doma, oddělit chytrá zařízení a hosty od pracovní sítě a bezpečně pracovat na cestách, včetně toho, co VPN dělá a co ne.
Klíčové pojmy: router, administrátorské heslo, WPA2, WPA3, SAE, přechodový režim, WPS, UPnP, hostovská síť, veřejná wifi, falešný hotspot, https, VPN, hotspot v telefonu

Router je Vaše vchodové dveře

Vše, co Vaši kancelář nebo domácí pracoviště propojuje s internetem, prochází přes router (často v jedné krabičce s modemem poskytovatele). Dělá tři věci: propojuje Vaši síť s internetem, zastavuje síťový provoz zvenčí, o který jste si nepožádali (firewall), a většinou také vysílá wifi síť.

Router se po odchodu technika málokdy znovu kontroluje. Proto na něm často zůstávají tovární nastavení. Čtyři věci, které je dobré vyřešit hned:

1. Změňte administrátorské heslo. Jde o heslo ke stránce s nastavením routeru, nikoli o heslo k wifi. Výchozí hesla bývají u jednotlivých značek či řad veřejně známá. Použijte dlouhé, jedinečné heslo ze správce hesel.
2. Vypněte vzdálenou správu zvenčí, pokud ji opravdu nepotřebuje Váš poskytovatel. Stránka s nastavením pak bude dostupná jen z Vaší vlastní sítě.
3. Vypněte UPnP, pokud ho nepotřebujete. Díky UPnP si může kterékoli zařízení ve Vaší síti samo otevřít port ve firewallu, i když jde o zranitelnou kameru. Nizozemské NCSC doporučuje tuto funkci vypnout.
4. Aktualizujte firmware nebo si ověřte, že to poskytovatel dělá automaticky (lekce 5.1). Pokud Váš router už aktualizace nedostává, vyměňte ho.

WPA2 a WPA3: jak je Vaše wifi šifrovaná

Wifi se šíří vzduchem. Signál může zachytit kdokoli v okolí. Proto se šifruje. Standard pro to spravuje Wi-Fi Alliance.

Podle Wi-Fi Alliance je WPA3 povinné pro zařízení s certifikátem Wi-Fi CERTIFIED, takže ho zvládá téměř každý nový router i telefon. Zvolte WPA3, pokud ho podporují všechna Vaše zařízení, jinak přechodový režim.

Ve všech případech používejte dlouhé wifi heslo, například heslovou frázi ze čtyř nebo pěti samostatných slov (lekce 2.1). Stejně je uložené ve Vašich zařízeních; zadávat ho budete málokdy.

WPS (Wi-Fi Protected Setup) je tlačítko nebo PIN kód, kterým se zařízení snadno spárují. Varianta s PIN kódem má známou konstrukční chybu: kvůli způsobu, jakým router odpovídá, nemusí útočník zkoušet sto milionů kombinací, ale jen přibližně jedenáct tisíc, a poté zjistí wifi heslo (CERT/CC, 2011). Pokud to router umožňuje, WPS vypněte.

Hostovská síť: oddělte to, co k sobě nepatří

V malé kanceláři se na stejné síti rychle ocitnou zařízení s velmi různou mírou důvěryhodnosti: notebooky s účetnictvím, NAS se zákaznickými spisy, ale i telefony návštěvníků, chytrá televize v čekárně, termostat a pár kamer. Pokud jsou všechna v jedné síti, může napadená kamera komunikovat přímo s NAS.

Proto si vytvořte hostovskou síť: druhou wifi síť s vlastním názvem a heslem, která poskytuje internet, ale ne přístup k zařízením ve Vaší hlavní síti. Zvládá to téměř každý router. Do ní umístěte:

• návštěvníky a jejich telefony;
• chytrá zařízení: televizi, termostat, zvonek, reproduktor a pokud možno i kamery. Nizozemské NCSC to výslovně doporučuje;
• soukromá zařízení zaměstnanců, pokud nepotřebují přístup k firemním datům.

Po nastavení ověřte, že to funguje: z telefonu připojeného k hostovské síti byste neměli dokázat najít tiskárnu ani NAS.

Práce z domova

Doma pracujete v síti, kterou jako firma nespravujete, často společně s rodinnými příslušníky, herní konzolí a chytrým reproduktorem sousedů v seznamu sítí. Dohodněte se s týmem na následujícím:

• domácí router dostane stejné základní ošetření: vlastní administrátorské heslo, WPA2 nebo WPA3 s dlouhým heslem, aktualizovaný firmware;
• pracovní notebook je určen k práci: nepoužívají ho děti ani další členové domácnosti a zamyká se, když od něj odcházíte (lekce 5.2);
• aktualizace probíhají i doma. Notebook, který týdny nezavítá do kanceláře, může přijít o aktualizace řízené centrálně. Ověřte si to;
• přístup k firemním systémům jde přes bezpečné připojení: cloudovou službu s https a dvoufázovým ověřením, nebo VPN do kanceláře. Nikdy jen tak neotevírejte port, abyste se "jen na chvíli" dostali z domova k NAS.

Na cestách: veřejná wifi

V hotelu, vlaku nebo kavárně nevíte, kdo síť spravuje. Největším rizikem je falešný hotspot: útočník vytvoří síť se stejným názvem jako ta skutečná, například "Hotel-Gasten". Váš telefon se k ní automaticky připojí a veškerý Váš provoz pak prochází přes jeho zařízení.

Naštěstí dnes většina provozu probíhá přes https (lekce 4.2) a pošta přes šifrovaná spojení. Útočník pak sice vidí, které stránky navštěvujete, ale ne co do nich vyplňujete. Přesto zůstávají rizika: přihlašovací stránka, která Vás přesměruje na falešný web, výzva "nainstalujte tento certifikát", nebo staré aplikace, které nešifrují.

Nizozemské NCSC radí:

• dávejte přednost mobilním datům nebo hotspotu ve vlastním telefonu před veřejnou wifi;
• nenechte své zařízení automaticky se připojovat k wifi sítím;
• na veřejné wifi nevyřizujte bankovní záležitosti ani důvěrnou práci a nic z ní nestahujte ani neinstalujte;
• vypněte sdílení souborů a po skončení se odhlaste.

Pokud na veřejné wifi dostanete upozornění na certifikát u stránky, kterou dobře znáte, nepokračujte. To je přesně signál, že Vás někdo odposlouchává.

Co VPN dělá a co ne

Slovo VPN se používá pro dvě různé věci. Firemní VPN propojí Váš notebook šifrovaně se sítí Vaší kanceláře, takže se zvenčí dostanete k NAS nebo účetnímu programu. Komerční VPN služba posílá veškerý Váš internetový provoz šifrovaně na server poskytovatele, který ho poté odesílá dál na internet.

VPN tedy jen přesouvá místo, kterému musíte důvěřovat. Na neznámé síti to může mít smysl. Ve vlastní domácí síti s https stránkami komerční VPN pro zabezpečení příliš nepřidá.

A pozor: VPN server ve Vaší kanceláři je sám o sobě síťové zařízení dostupné z internetu. Zastaralé VPN servery jsou známým vstupním bodem pro ransomware (lekce 1.3). Aktualizujte je, zapněte dvoufázové ověření a vypínejte je, když je nepoužíváte.

V praxi: jak to vypadá

I Vaše pošta cestou prochází přes síť. Nastavte si proto poštovní program na šifrovaná spojení. U WebOké je to například IMAP na portu 993 se SSL/TLS a SMTP na portu 587 se STARTTLS (nebo 465 se SSL/TLS); u jiných poskytovatelů jsou porty většinou stejné. Pokud máte v poštovním programu nastaveno "žádné zabezpečení" nebo port 143 či 25 bez šifrování, upravte to.

Shrnutí

• Nastavte routeru vlastní administrátorské heslo, vypněte vzdálenou správu zvenčí, UPnP a WPS a aktualizujte firmware.
• Zvolte WPA3, nebo přechodový režim WPA2/WPA3, s dlouhým wifi heslem. Nikdy WEP, WPA ani TKIP.
• Návštěvníky a chytrá zařízení umístěte do hostovské sítě, oddělené od pracovních zařízení.
• Na cestách: dávejte přednost mobilním datům nebo vlastnímu hotspotu, nepřipojujte se automaticky a při upozornění na certifikát se zastavte.
• VPN šifruje úsek k VPN serveru, ale nechrání před phishingem ani malwarem a neučiní Vás anonymním.

Kvíz

Úkol

Úkol D5.3: Kontrola routeru a wifi. Přihlaste se na stránku s nastavením svého routeru (doma nebo v kanceláři). Zkontrolujte administrátorské heslo, šifrování, WPS, UPnP, vzdálenou správu zvenčí, firmware a hostovskou síť. Projděte si checklist, otestujte hostovskou síť a odpovězte na reflexní otázky.

Doporučená literatura

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů je postup obdobný.

• Příručka k DirectAdmin 8.1: Všechna nastavení přehledně: servery, porty a zabezpečení
• Nizozemské NCSC, Wifi hotspoty: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
• Nizozemské NCSC, Základní bezpečnostní opatření pro chytrá zařízení: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Nizozemské NCSC, 6 bodů, na které myslet při práci z domova: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
• Wi-Fi Alliance, zabezpečení wifi (anglicky): https://www.wi-fi.org/discover-wi-fi/security
• CERT/CC, slabina ve WPS (anglicky): https://www.kb.cert.org/vuls/id/723755