Sikre en Wi-Fi-ruter

I tillegg til å velge sterk kryptering kan du bruke mange praktiske innstillinger for å herde en trådløs ruter og gjøre den vanskeligere å angripe. Herding betyr å redusere antallet måter en angriper kan bryte seg inn på eller misbruke nettverket. Denne leksjonen går gjennom konkrete, eksamensrelevante tiltak som enhver administrator bør gjennomføre for å sikre en Wi-Fi-ruter, fra passord til fastvare.

Begynn med grunnlaget: aktiver WPA3, eller WPA2 med AES hvis WPA3 ikke er tilgjengelig, og bruk aldri WEP eller WPA-TKIP. Angi deretter en sterk, unik passfrase som er lang og tilfeldig, og ikke et ord fra en ordbok eller standardpassordet. En svak PSK kan knekkes offline selv med WPA2, så kvaliteten på passfrasen avgjør direkte hvor sikkert nettverket faktisk er.

Rutere leveres med velkjente standardbrukernavn og -passord, for eksempel admin/admin, som er publisert på nettet for hver modell. En angriper som får tilgang til administrasjonssiden, kan ta over ruteren. Endre standardlegitimasjonen for administrator umiddelbart til et sterkt og unikt passord. Dette beskytter selve ruterkonfigurasjonen, uavhengig av Wi-Fi-passfrasen brukerne kobler seg til med.

Ruterens fastvare inneholder programvaren som kjører enheten, og den får sikkerhetsoppdateringer over tid. Utdatert fastvare kan ha kjente sårbarheter som kan utnyttes. Oppdater fastvaren regelmessig for å tette disse hullene, og aktiver automatiske oppdateringer hvis det er mulig. En ruter som ikke er oppdatert, er et enkelt mål selv om alt annet er riktig konfigurert, så det er avgjørende å holde fastvaren oppdatert.

WPS (Wi-Fi Protected Setup) lar brukere koble seg til ved å trykke på en knapp eller skrive inn en kort PIN-kode. Det er praktisk, men PIN-metoden er beryktet for å være usikker: Angripere kan prøve seg frem med alle kombinasjoner av den 8-sifrede PIN-koden for å finne Wi-Fi-passordet. Beste praksis er å deaktivere WPS, særlig PIN-funksjonen, slik at en enkel angrepsvei som omgår den sterke passfrasen, fjernes.

Sett opp et separat gjestenettverk for besøkende. Det gir internettilgang samtidig som gjestene isoleres fra enhetene i hovednettverket, slik at en gjest ikke kan få tilgang til datamaskiner, skrivere eller delte filer. Denne isolasjonen begrenser også eventuelle kompromitterte gjesteenheter. Et gjestenettverk med eget passord er en enkel og effektiv måte å begrense eksponeringen fra brukere du ikke stoler på.

Vurder SSID-et ditt (nettverksnavnet). Unngå navn som avslører personopplysninger eller rutermodellen, siden dette kan hjelpe en angriper. Det blir noen ganger foreslått å skjule SSID-et (ikke kringkaste det), men dette gir liten reell sikkerhet. Navnet kan fortsatt oppdages, og det kan gjøre tilkoblinger mer kompliserte. Sterk kryptering er langt viktigere enn å skjule navnet.

MAC-filtrering lar bare oppførte maskinvareadresser koble seg til. Det høres sikkert ut, men gir svakt vern, fordi MAC-adresser enkelt kan forfalskes av en angriper som fanger opp en gyldig adresse. Det kan også være tungvint å administrere. Se på MAC-filtrering som en liten ekstra hindring i beste fall, aldri som en erstatning for sterk kryptering og autentisering.

Samle alt i en sjekkliste. Utdraget nedenfor oppsummerer de viktigste tiltakene. Gjennomført samlet reduserer de angrepsflaten til et trådløst nettverk betydelig. De største gevinstene får du med sterk kryptering og en sterk passfrase, endrede administratorlegitimasjonsopplysninger, oppdatert fastvare og deaktivert WPS; resten gir nyttig forsvar i dybden.

Mange rutere tilbyr fjernadministrasjon, slik at du kan åpne administrasjonssiden fra internett. Det er praktisk, men eksponerer ruterpåloggingen for angripere over hele verden som skanner etter den. Med mindre du faktisk trenger funksjonen, bør du deaktivere fjernadministrasjon, slik at administrasjonsgrensesnittet bare er tilgjengelig fra ditt eget nettverk. Slå også av andre ubrukte tjenester, for eksempel UPnP hvis det ikke er nødvendig, for å redusere angrepsflaten ytterligere.

Herding gjør en standardkonfigurert og sårbar ruter til et langt vanskeligere mål. Bruk WPA3 eller WPA2-AES med en sterk passfrase, endre standardlegitimasjonen for administrator, oppdater fastvaren, deaktiver WPS og legg til et gjestenettverk. Vær klar over at MAC-filtrering og skjulte SSID-er bare gir begrenset ekstra beskyttelse. Til sammen er disse tiltakene den praktiske, eksamensprøvde måten å sikre ethvert trådløst nettverk på.

Herd en Wi-Fi-ruter med flere lag av beskyttelse: aktiver WPA3 eller WPA2-AES med en sterk, unik passfrase; endre standardlegitimasjonen for administrator; oppdater fastvaren regelmessig; deaktiver WPS (PIN-koden kan knekkes med brute force); og legg til et isolert gjestenettverk. Vær klar over at MAC-filtrering (som kan forfalskes) og skjuling av SSID-et bare gir begrenset ekstra sikkerhet. De største gevinstene er sterk kryptering, en sterk passfrase, oppdatert fastvare og deaktivert WPS.