Wi-Fi-reitittimen koventaminen

Vahvan salauksen valitsemisen lisäksi voitte käyttää monia käytännön asetuksia langattoman reitittimen harden-suojaamiseen ja hyökkäysten vaikeuttamiseen. Suojaaminen tarkoittaa niiden tapojen vähentämistä, joilla hyökkääjä voisi murtautua verkkoon tai käyttää sitä väärin. Tässä oppitunnissa käydään läpi konkreettiset ja kokeen kannalta olennaiset toimet, jotka jokaisen ylläpitäjän tulisi tehdä Wi-Fi-reitittimen suojaamiseksi salasanoista laiteohjelmistoon.

Aloittakaa perustasta: ottakaa käyttöön WPA3 tai, jos WPA3 ei ole käytettävissä, WPA2 with AES, älkääkä koskaan käyttäkö WEP:iä tai WPA-TKIP:tä. Asettakaa sitten vahva, yksilöllinen salalause, joka on pitkä ja satunnainen eikä ole sanakirjasana tai oletusarvo. Heikko PSK voidaan murtaa offline-tilassa jopa WPA2:n kanssa, joten salalauseen laatu määrittää suoraan, kuinka turvallinen verkko todella on.

Reitittimissä on toimitettaessa tunnetut oletusarvoiset ylläpitäjän käyttäjätunnukset ja salasanat, kuten admin/admin, jotka julkaistaan verkossa jokaiselle mallille. Jos hyökkääjä pääsee ylläpitosivulle, hän voi ottaa reitittimen hallintaansa. Vaihtakaa oletusarvoiset ylläpitäjän tunnistetiedot heti vahvaan ja yksilölliseen salasanaan. Tämä suojaa itse reitittimen asetuksia erillään Wi-Fi-salalauseesta, jolla käyttäjät muodostavat yhteyden.

Reitittimen firmware sisältää laitteessa suoritettavan ohjelmiston, johon julkaistaan ajan mittaan tietoturvakorjauksia. Vanhentuneessa laiteohjelmistossa voi olla tunnettuja ja hyödynnettäviä haavoittuvuuksia. Päivittäkää laiteohjelmisto säännöllisesti näiden aukkojen korjaamiseksi ja ottakaa automaattiset päivitykset käyttöön, jos ne ovat saatavilla. Korjaamaton reititin on helppo kohde, vaikka kaikki muu olisi määritetty oikein, joten laiteohjelmiston pitäminen ajan tasalla on välttämätöntä.

WPS (Wi-Fi Protected Setup) mahdollistaa yhteyden muodostamisen painiketta painamalla tai lyhyen PIN-koodin syöttämällä. Se on kätevää, mutta PIN-menetelmä on tunnetusti turvaton: hyökkääjä voi kokeilla 8-numeroista PIN-koodia systemaattisesti ja saada selville Wi-Fi-salasanan. Paras käytäntö on poistaa WPS käytöstä, erityisesti PIN-ominaisuus, jolloin vahvan salalauseen ohittava helppo hyökkäysreitti poistuu.

Määrittäkää vierailijoille erillinen guest network. Se tarjoaa internet-yhteyden ja eristää samalla vierailijat verkon tärkeimmistä laitteista, joten vieras ei pääse tietokoneisiin, tulostimiin tai jaettuihin tiedostoihin. Eristys rajoittaa myös mahdollisesti vaarantuneen vieraslaitteen aiheuttamia haittoja. Omalla salasanalla suojattu vierailijaverkko on yksinkertainen ja tehokas tapa rajoittaa epäluotettujen käyttäjien aiheuttamaa altistumista.

Harkitkaa SSID:tä eli verkon nimeä. Välttäkää nimiä, jotka paljastavat henkilötietoja tai reitittimen mallin, sillä ne voivat auttaa hyökkääjää. SSID:n piilottamista eli sen lähettämättä jättämistä joskus suositellaan, mutta se tarjoaa vain vähän todellista suojaa: nimi voidaan edelleen selvittää, ja yhteyksien muodostaminen voi vaikeutua. Vahvalla salauksella on paljon suurempi merkitys kuin nimen piilottamisella.

MAC-suodatus sallii yhteyden muodostamisen vain luetelluista laitteiden laiteosoitteista. Se kuulostaa turvalliselta, mutta tarjoaa heikon suojan, sillä hyökkääjä voi väärentää helposti MAC-osoitteen siepattuaan kelvollisen osoitteen. Lisäksi sen hallinta voi olla hankalaa. Pitäkää MAC-suodatusta korkeintaan pienenä hidasteena, älkääkä koskaan käyttäkö sitä vahvan salauksen ja todennuksen korvikkeena.

Kootaan asiat tarkistuslistaksi. Alla oleva katkelma sisältää tärkeimmät toimet. Yhdessä toteutettuina ne pienentävät langattomaan verkkoon kohdistuvien hyökkäysten pinta-alaa huomattavasti. Suurimmat hyödyt saadaan vahvasta salauksesta ja salalauseesta, vaihdetuista ylläpitäjän tunnistetiedoista, päivitetystä laiteohjelmistosta ja käytöstä poistetusta WPS:stä. Muut toimet täydentävät suojausta.

Monet reitittimet tarjoavat remote management -etähallinnan, jonka avulla ylläpitosivulle pääsee internetin kautta. Se on kätevää, mutta altistaa reitittimen kirjautumisen maailmanlaajuisesti sitä etsiville hyökkääjille. Ellette todella tarvitse sitä, poistakaa etähallinta käytöstä, jotta hallintaliittymään pääsee vain oman verkon sisältä. Poistakaa käytöstä myös muut tarpeettomat palvelut, kuten UPnP, jos sitä ei tarvita, jotta hyökkäyspinta pienenee entisestään.

Suojaaminen muuttaa oletusasetuksilla olevan haavoittuvan reitittimen huomattavasti vaikeammaksi kohteeksi. Käyttäkää WPA3:a tai WPA2-AES:ää vahvan salalauseen kanssa, vaihtakaa oletusarvoiset ylläpitäjän tunnistetiedot, päivittäkää laiteohjelmisto, poistakaa WPS käytöstä ja lisätkää vierailijaverkko. Muistakaa, että MAC-suodatus ja piilotetut SSID:t tarjoavat vain vähäistä lisäsuojaa. Nämä toimet yhdessä ovat käytännöllinen ja kokeissa testattu tapa suojata mikä tahansa langaton verkko.

Suojatkaa Wi-Fi-reititin kerroksittain: ottakaa käyttöön WPA3 tai WPA2-AES ja vahva, yksilöllinen salalause; vaihtakaa oletusarvoiset ylläpitäjän tunnistetiedot; päivittäkää laiteohjelmisto säännöllisesti; poistakaa WPS käytöstä (PIN voidaan murtaa kokeilemalla); ja lisätkää eristetty vierailijaverkko. Muistakaa, että MAC-suodatus (jonka voi ohittaa väärentämällä osoitteen) ja SSID:n piilottaminen lisäävät vain vähäistä suojaa. Suurimmat hyödyt saadaan vahvasta salauksesta, vahvasta salalauseesta, korjatusta laiteohjelmistosta ja käytöstä poistetusta WPS:stä.