Een Wi-Fi-router beveiligen

Naast het kiezen van sterke versleuteling kun je veel praktische instellingen toepassen om een draadloze router te hardenen en aanvallen moeilijker te maken. Hardening betekent dat je de manieren beperkt waarop een aanvaller kan binnendringen of het netwerk kan misbruiken. In deze les leer je concrete, examengerichte stappen die iedere beheerder moet nemen om een wifirouter te beveiligen, van wachtwoorden tot firmware.

Begin bij de basis: schakel WPA3 in, of WPA2 met AES als WPA3 niet beschikbaar is, en gebruik nooit WEP of WPA-TKIP. Stel daarna een sterke, unieke wachtwoordzin in die lang en willekeurig is en geen woordenboekwoord of standaardwaarde bevat. Een zwakke PSK kan ook met WPA2 offline worden gekraakt, dus de kwaliteit van de wachtwoordzin bepaalt rechtstreeks hoe veilig het netwerk werkelijk is.

Routers worden geleverd met bekende standaardgebruikersnamen en -wachtwoorden zoals admin/admin, die voor elk model online gepubliceerd zijn. Een aanvaller die de beheerpagina bereikt, kan de router overnemen. Wijzig de standaardbeheergegevens onmiddellijk in een sterk, uniek wachtwoord. Hiermee bescherm je de routerconfiguratie zelf, los van de wifiwachtwoordzin waarmee gebruikers verbinding maken.

De firmware van een router bevat de software waarop het apparaat draait en krijgt na verloop van tijd beveiligingsupdates. Verouderde firmware kan bekende, misbruikbare kwetsbaarheden bevatten. Werk de firmware regelmatig bij om deze beveiligingslekken te dichten en schakel automatische updates in als die beschikbaar zijn. Een router zonder patches is een gemakkelijk doelwit, zelfs als al het andere goed is geconfigureerd. Actuele firmware is daarom essentieel.

Met WPS (Wi-Fi Protected Setup) kunnen gebruikers verbinding maken door op een knop te drukken of een korte pincode in te voeren. Dat is handig, maar de methode met een pincode is berucht onveilig: aanvallers kunnen de 8-cijferige pincode met brute force raden en zo het wifiwachtwoord achterhalen. De beste werkwijze is WPS uitschakelen, vooral de pincodefunctie. Daarmee verwijder je een gemakkelijke aanvalsmogelijkheid die je sterke wachtwoordzin omzeilt.

Stel een afzonderlijk gastnetwerk in voor bezoekers. Dit biedt internettoegang en houdt gasten tegelijk gescheiden van de apparaten op je hoofdnetwerk, zodat een gast je computers, printers of gedeelde bestanden niet kan bereiken. Deze isolatie beperkt ook de gevolgen van een geïnfecteerd gastapparaat. Een gastnetwerk met een eigen wachtwoord is een eenvoudige, effectieve manier om de blootstelling aan niet-vertrouwde gebruikers te beperken.

Denk na over je SSID (netwerknaam). Vermijd namen die persoonlijke gegevens of het routermodel onthullen, omdat die een aanvaller kunnen helpen. Soms wordt voorgesteld de SSID te verbergen (niet uit te zenden), maar dit biedt in de praktijk weinig beveiliging: de naam kan nog steeds worden achterhaald en verbinding maken kan lastiger worden. Sterke versleuteling is veel belangrijker dan het verbergen van de naam.

Met MAC-filtering kunnen alleen apparaten met vermelde hardwareadressen verbinding maken. Dat klinkt veilig, maar biedt slechts zwakke bescherming: MAC-adressen kunnen eenvoudig worden vervalst door een aanvaller die een geldig adres onderschept. Het kan bovendien lastig zijn om te beheren. Beschouw MAC-filtering hooguit als een kleine extra drempel, nooit als vervanging voor sterke versleuteling en authenticatie.

Breng alles samen in een checklist. Het onderstaande fragment bevat de belangrijkste stappen. Als je ze allemaal uitvoert, verklein je het aanvalsoppervlak van een draadloos netwerk aanzienlijk. De grootste winst behaal je met sterke versleuteling en een sterke wachtwoordzin, gewijzigde beheergegevens, bijgewerkte firmware en uitgeschakelde WPS; de overige maatregelen bieden extra beveiliging in lagen.

Veel routers bieden beheer op afstand, waarmee je de beheerpagina vanaf internet kunt bereiken. Dat is handig, maar het stelt de routerlogin bloot aan aanvallers over de hele wereld die ernaar zoeken. Tenzij je dit echt nodig hebt, moet je beheer op afstand uitschakelen, zodat de beheerinterface alleen vanaf je eigen netwerk bereikbaar is. Schakel ook andere ongebruikte diensten uit, zoals UPnP als dat niet nodig is, om het aanvalsoppervlak verder te verkleinen.

Hardening verandert een standaardrouter met kwetsbaarheden in een veel moeilijker doelwit. Gebruik WPA3 of WPA2-AES met een sterke wachtwoordzin, wijzig de standaardbeheergegevens, werk de firmware bij, schakel WPS uit en voeg een gastnetwerk toe. Weet dat MAC-filtering en verborgen SSID's slechts beperkte hulp bieden. Samen vormen deze stappen de praktische, op examens geteste manier om elk draadloos netwerk te beveiligen.

Hard een wifirouter met maatregelen in lagen: schakel WPA3 of WPA2-AES in met een sterke, unieke wachtwoordzin; wijzig de standaardbeheergegevens; werk de firmware regelmatig bij; schakel WPS uit (de pincode kan met brute force worden geraden); en voeg een geïsoleerd gastnetwerk toe. Weet dat MAC-filtering (die kan worden vervalst) en het verbergen van de SSID slechts beperkte extra beveiliging bieden. De grootste winst komt van sterke versleuteling, een sterke wachtwoordzin, firmware met patches en uitgeschakelde WPS.