تقوية أمان موجّه Wi-Fi

إلى جانب اختيار تشفير قوي، يمكنك تطبيق العديد من الإعدادات العملية من أجل hardening الموجّه اللاسلكي وجعل مهاجمته أصعب. ويعني Hardening تقليل الطرق التي قد يستخدمها المهاجم لاختراق الشبكة أو إساءة استخدامها. يستعرض هذا الدرس خطوات عملية مرتبطة بالاختبار ينبغي على كل مسؤول اتخاذها لتأمين موجّه Wi-Fi، بدءًا من كلمات المرور ووصولًا إلى firmware.

ابدأ بالأساسيات: فعّل WPA3، أو WPA2 with AES إذا لم يتوفر WPA3، ولا تستخدم مطلقًا WEP أو WPA-TKIP. بعد ذلك عيّن strong, unique passphrase طويلة وعشوائية، وليست كلمة موجودة في القاموس أو كلمة المرور الافتراضية. يمكن كسر PSK ضعيفة دون اتصال حتى مع استخدام WPA2، لذلك تحدد جودة عبارة المرور مباشرة مدى أمان الشبكة فعليًا.

تُشحن أجهزة التوجيه بأسماء مستخدمين وكلمات مرور افتراضية معروفة للمسؤول، مثل admin/admin، وتُنشر هذه البيانات عبر الإنترنت لكل طراز. ويمكن للمهاجم الذي يصل إلى صفحة الإدارة الاستيلاء على الموجّه. غيّر بيانات اعتماد المسؤول الافتراضية فورًا إلى كلمة مرور قوية وفريدة. يحمي ذلك إعدادات الموجّه نفسه، وهو أمر منفصل عن عبارة مرور Wi-Fi التي يستخدمها المستخدمون للاتصال.

يحتوي firmware الموجّه على البرنامج الذي يشغّل الجهاز، ويحصل هذا البرنامج على إصلاحات أمنية بمرور الوقت. قد يحتوي firmware القديم على ثغرات معروفة وقابلة للاستغلال. احرص بانتظام على update the firmware لسد هذه الثغرات، وفعّل التحديثات التلقائية إذا كانت متاحة. فالموجّه غير المصحح هدف سهل، حتى إذا كانت جميع الإعدادات الأخرى جيدة، ولذلك من الضروري إبقاء firmware محدثًا.

يتيح WPS ‏(Wi-Fi Protected Setup) للمستخدمين الاتصال بالضغط على زر أو بإدخال PIN قصير. قد يكون ذلك مريحًا، لكن طريقة PIN غير آمنة على نحو سيئ السمعة؛ إذ يمكن للمهاجمين تجربة جميع الاحتمالات بالقوة الغاشمة لـ PIN المكوّن من 8 أرقام واستعادة كلمة مرور Wi-Fi. وأفضل ممارسة هي disable WPS، ولا سيما ميزة PIN، لإزالة مسار سهل للهجوم يتجاوز عبارة المرور القوية.

أنشئ guest network منفصلة للزوار. فهي توفر الوصول إلى الإنترنت مع عزل الضيوف عن أجهزة شبكتك الرئيسية، بحيث لا يستطيع الضيف الوصول إلى أجهزة الكمبيوتر أو الطابعات أو الملفات المشتركة. كما يحصر هذا العزل تأثير أي جهاز ضيف مخترق. وتُعد شبكة الضيوف ذات كلمة المرور الخاصة بها طريقة بسيطة وفعالة للحد من التعرض للمستخدمين غير الموثوقين.

ضع SSID (اسم الشبكة) في الاعتبار. تجنب الأسماء التي تكشف تفاصيل شخصية أو طراز الموجّه، إذ قد تساعد المهاجم. يُقترح أحيانًا إخفاء SSID (عدم بثه)، لكنه يوفر قدرًا ضئيلًا من الأمان الفعلي؛ إذ يظل الاسم قابلًا للاكتشاف، وقد يؤدي ذلك إلى تعقيد الاتصالات. والتشفير القوي أهم بكثير من إخفاء الاسم.

تتيح MAC filtering اتصال عناوين الأجهزة المدرجة فقط. قد يبدو ذلك آمنًا، لكنه يوفر حماية ضعيفة؛ إذ يمكن للمهاجم بسهولة انتحال عناوين MAC بعد التقاط عنوان صالح. كما قد تصبح هذه الميزة عبئًا إداريًا. اعتبر MAC filtering عائقًا بسيطًا في أفضل الأحوال، ولا تستخدمه مطلقًا بديلًا عن التشفير والمصادقة القويين.

لنجمع ذلك في قائمة تحقق. يوجز المقتطف أدناه الخطوات ذات القيمة الأعلى. وعند تنفيذها معًا، فإنها تقلل بدرجة كبيرة من سطح هجوم الشبكة اللاسلكية. وتتمثل أكبر المكاسب في التشفير القوي مع عبارة مرور قوية، وتغيير بيانات اعتماد المسؤول، وتحديث firmware، وتعطيل WPS؛ أما الخطوات الأخرى فتضيف طبقات دفاع مفيدة.

توفر العديد من أجهزة التوجيه remote management، مما يتيح الوصول إلى صفحة الإدارة من الإنترنت. قد يكون ذلك مريحًا، لكنه يعرّض تسجيل الدخول إلى الموجّه لمهاجمين من جميع أنحاء العالم يبحثون عنه. ما لم تكن تحتاج إليه فعلًا، disable remote administration بحيث لا يمكن الوصول إلى واجهة الإدارة إلا من داخل شبكتك. عطّل أيضًا الخدمات الأخرى غير المستخدمة، مثل UPnP إذا لم يكن مطلوبًا، لتقليل سطح الهجوم أكثر.

يحوّل Hardening الموجّه الافتراضي الضعيف إلى هدف أصعب بكثير. استخدم WPA3 or WPA2-AES مع strong passphrase، وchange default admin credentials، وupdate firmware، وdisable WPS، وأضف guest network. واعلم أن تصفية MAC وإخفاء SSID لا يقدمان سوى مساعدة محدودة. وتشكل هذه الخطوات مجتمعة الأسلوب العملي الذي يختبره الاختبار لتأمين أي شبكة لاسلكية.

اختبر معرفتك بـ Hardening.

نفّذ Hardening لموجّه Wi-Fi عبر خطوات متعددة الطبقات: فعّل WPA3 or WPA2-AES مع strong, unique passphrase؛ وchange default admin credentials؛ وupdate firmware بانتظام؛ وdisable WPS (إذ يمكن كسر PIN بالقوة الغاشمة)؛ وأضف guest network معزولة. واعلم أن MAC filtering (القابل للانتحال) وhiding the SSID لا يضيفان سوى قدر محدود من الأمان. وتتمثل أكبر المكاسب في التشفير القوي، وعبارة المرور القوية، وfirmware المصحح، وتعطيل WPS.