Jak zabezpieczyć domową sieć Wi-Fi

Dlaczego router jest cennym celem

Domowy router robi więcej, niż tylko łączy Cię z internetem — kontroluje cały ruch między Twoimi urządzeniami a światem zewnętrznym. Przejęty router pozwala atakującemu przechwytywać sesje bankowe, przekierowywać Cię na fałszywe strony, monitorować wszystko w sieci i wykorzystywać Twoje łącze do nielegalnej działalności.

Większość domowych routerów ma słabe ustawienia domyślne i nigdy nie jest aktualizowana. Badania niezmiennie pokazują, że miliony domowych routerów działają na przestarzałym oprogramowaniu ze znanymi, możliwymi do wykorzystania lukami. Dobra wiadomość: jedno popołudnie konfiguracji radykalnie poprawia bezpieczeństwo.

Natychmiast zmień domyślne dane logowania

To krok zerowy. Każdy router ma domyślną nazwę użytkownika i hasło — często coś w rodzaju admin / password lub admin / admin. Te dane są publicznie udokumentowane i atakujący sprawdzają je w pierwszej kolejności.

1. Zaloguj się do panelu administracyjnego routera (zwykle pod adresem 192.168.1.1 lub 192.168.0.1 w przeglądarce)
2. Zmień nazwę użytkownika administratora, jeśli router na to pozwala
3. Ustaw długie, unikalne hasło — użyj menedżera haseł
4. Przy okazji zmień nazwę sieci Wi-Fi (SSID) na taką, która nie zdradza marki routera ani Twojego adresu

Nigdy nie zostawiaj domyślnych danych logowania. Ta jedna zmiana blokuje większość przypadkowych ataków na routery.

Używaj szyfrowania WPA3 (lub co najmniej WPA2)

Szyfrowanie Wi-Fi chroni dane przesyłane przez sieć bezprzewodową. Starsze protokoły mają dobrze znane słabości:

• WEP — całkowicie złamany, do rozbicia w kilka minut. Nigdy go nie używaj.
• WPA — przestarzały, unikaj.
• WPA2 — nadal akceptowalny, jeśli WPA3 jest niedostępne; używaj szyfrowania AES, nie TKIP
• WPA3 — obecny standard; używaj go, jeśli router i urządzenia go obsługują

W ustawieniach sieci bezprzewodowej routera ustaw tryb zabezpieczeń WPA3 lub WPA2-AES. Jeśli router obsługuje tylko WEP lub WPA, jest na tyle stary, że warto rozważyć jego wymianę.

Aktualizuj oprogramowanie routera

Producenci routerów wydają aktualizacje oprogramowania (firmware) łatające luki bezpieczeństwa. Wiele routerów nigdy ich nie otrzymuje, bo właściciel nie wie, że trzeba to sprawdzić.

• Zaloguj się do panelu i poszukaj opcji aktualizacji oprogramowania (zwykle w sekcji Administracja lub Ustawienia zaawansowane)
• Niektóre nowsze routery obsługują automatyczne aktualizacje — włącz tę funkcję
• Jeśli router ma ponad pięć lat i producent nie wydaje już aktualizacji, rozważ jego wymianę

Sprawdzaj aktualizacje co kilka miesięcy lub zawsze, gdy usłyszysz w mediach o poważnej luce w routerach.

Utwórz osobną sieć dla gości

Sieć dla gości to druga sieć Wi-Fi, która daje dostęp do internetu, ale jest odizolowana od sieci głównej. Ma to dwie duże zalety:

1. Goście mają internet, ale nie widzą Twoich prywatnych urządzeń
2. Urządzenia inteligentnego domu (IoT) można oddzielić od komputerów i telefonów

Większość nowoczesnych routerów obsługuje sieci gościnne. Włącz ją, nadaj jej inną nazwę i hasło niż sieci głównej i włącz opcję izolowania gości od sieci lokalnej.

Umieść w sieci gościnnej wszystkie telewizory smart, kamery, dzwonki, asystentów głosowych i inne urządzenia IoT. Często mają słabe zabezpieczenia i nigdy nie powinny mieć dostępu do Twoich głównych urządzeń.

Wyłącz nieużywane funkcje

Routery mają domyślnie włączonych wiele funkcji, których większość użytkowników domowych nigdy nie potrzebuje — a każda z nich to dodatkowa powierzchnia ataku:

• Zdalne zarządzanie — pozwala administrować routerem spoza Twojej sieci. Wyłącz je, chyba że go naprawdę potrzebujesz.
• WPS (Wi-Fi Protected Setup) — łączenie przyciskiem lub kodem PIN ma poważne podatności. Wyłącz je.
• UPnP (Universal Plug and Play) — automatycznie otwiera porty dla aplikacji. Wygodne, ale ryzykowne; jeśli możesz, wyłącz.
• Telnet i SSH — protokoły dostępu administracyjnego; wyłącz je, jeśli nie korzystasz z nich zdalnie

Używaj silnego hasła do Wi-Fi

Hasło do Wi-Fi to pierwsza linia obrony przed nieautoryzowanym dostępem do sieci. Wymagania:

• Co najmniej 16 znaków
• Mieszanka liter, cyfr i symboli
• Nieoparte na adresie, nazwisku ani niczym łatwym do odgadnięcia
• Unikalne — nieużywane nigdzie indziej

Wygeneruj je w menedżerze haseł i tam przechowuj. Możesz też zapisać je na kartce trzymanej przy routerze dla gości — fizyczna kradzież kartki to znacznie mniejsze ryzyko niż słabe hasło.

Regularnie sprawdzaj podłączone urządzenia

Co jakiś czas przeglądaj listę urządzeń podłączonych do sieci. Większość paneli routerów pokazuje ją w sekcji „Podłączone urządzenia”, „Klienci DHCP” lub podobnej.

• Nazwij lub rozpoznaj każde urządzenie na liście
• Nieznane urządzenia mogą oznaczać sąsiadów, którzy złamali Twoje hasło, lub przejęte urządzenie, które połączyło się bez Twojej wiedzy
• Jeśli znajdziesz coś, czego nie rozpoznajesz, natychmiast zmień hasło do Wi-Fi

Rozważ filtr DNS

Zmiana serwera DNS w routerze na dostawcę nastawionego na bezpieczeństwo dodaje warstwę ochrony przed złośliwymi stronami i pozwala blokować reklamy oraz trackery na poziomie całej sieci:

• Cloudflare (1.1.1.1) — szybki i nastawiony na prywatność
• Quad9 (9.9.9.9) — blokuje znane złośliwe domeny
• NextDNS — konfigurowalne filtrowanie ze szczegółowymi logami

Ustaw to w ustawieniach WAN lub DNS routera. Każde urządzenie w sieci automatycznie na tym skorzysta.

Umieść router centralnie

Praktyczna, choć często pomijana kwestia: ustaw router bliżej środka mieszkania, a nie przy ścianach zewnętrznych. Ograniczy to zasięg Wi-Fi na ulicy czy w sąsiednich budynkach, utrudniając atakującym spoza domu w ogóle dotarcie do Twojej sieci.

Po wykonaniu tych kroków Twoja domowa sieć będzie znacznie bezpieczniejsza niż zdecydowana większość domowych instalacji. Wracaj do tych ustawień raz w roku i przy każdym dodaniu nowego urządzenia.