Reforçando a Segurança de um Roteador Wi-Fi

Além de escolher uma criptografia forte, é possível aplicar várias configurações práticas para fortalecer um roteador sem fio e dificultar ataques. Fortalecer significa reduzir as maneiras pelas quais um invasor poderia entrar ou usar a rede indevidamente. Esta lição apresenta etapas concretas e relevantes para o exame que todo administrador deve seguir para proteger um roteador Wi-Fi, desde as senhas até o firmware.

Comece pela base: habilite WPA3 ou WPA2 com AES se WPA3 não estiver disponível, e nunca use WEP ou WPA-TKIP. Em seguida, defina uma frase secreta forte e exclusiva, longa e aleatória, que não seja uma palavra de dicionário nem a padrão. Uma PSK fraca pode ser quebrada off-line mesmo com WPA2, portanto a qualidade da frase secreta determina diretamente o nível real de segurança da rede.

Os roteadores são fornecidos com nomes de usuário e senhas de administrador padrão bastante conhecidos, como admin/admin, publicados on-line para cada modelo. Um invasor que consiga acessar a página de administração poderá assumir o controle do roteador. Altere imediatamente as credenciais padrão de administrador para uma senha forte e exclusiva. Isso protege a própria configuração do roteador, separadamente da frase secreta do Wi-Fi usada pelos usuários para se conectar.

O firmware do roteador contém o software que executa o device e recebe correções de segurança ao longo do tempo. Um firmware desatualizado pode conter vulnerabilidades conhecidas e exploráveis. Atualize regularmente o firmware para corrigir essas brechas e habilite as atualizações automáticas, se disponíveis. Um roteador sem correções é um alvo fácil, mesmo que todo o restante esteja bem configurado; por isso, manter o firmware atualizado é essencial.

O WPS (Configuração Protegida de Wi-Fi) permite que os usuários se conectem pressionando um botão ou inserindo um PIN curto. É conveniente, mas o método do PIN é notoriamente inseguro: invasores podem tentar todas as combinações do PIN de 8 dígitos para recuperar a senha do Wi-Fi. A prática recomendada é desabilitar o WPS, especialmente o recurso de PIN, removendo um caminho fácil de ataque que ignora sua frase secreta forte.

Configure uma rede de convidados separada para visitantes. Ela fornece acesso à internet e, ao mesmo tempo, isola os convidados dos devices da sua rede principal, impedindo que um convidado acesse seus computadores, impressoras ou arquivos compartilhados. Esse isolamento também limita qualquer comprometimento de um device de convidado. Uma rede de convidados com sua própria senha é uma forma simples e eficaz de limitar a exposição causada por usuários não confiáveis.

Considere seu SSID (nome da rede). Evite nomes que revelem informações pessoais ou o modelo do roteador, pois isso pode ajudar um invasor. Às vezes recomenda-se ocultar o SSID (não transmiti-lo), mas isso oferece pouca segurança real: o nome ainda pode ser descoberto e as conexões podem ficar mais complicadas. Uma criptografia forte é muito mais importante do que ocultar o nome.

A filtragem de MAC permite a conexão apenas dos devices cujos endereços de hardware estejam listados. Parece segura, mas oferece proteção limitada, pois os endereços MAC podem ser facilmente falsificados por um invasor que capture um endereço válido. Ela também pode dificultar o gerenciamento. Considere a filtragem de MAC, no máximo, como um pequeno obstáculo; nunca a use como substituta de uma criptografia e autenticação fortes.

Reúna tudo em uma lista de verificação. O trecho abaixo resume as etapas mais importantes. Quando aplicadas em conjunto, elas reduzem drasticamente a superfície de ataque de uma rede sem fio. Os maiores ganhos vêm de uma criptografia forte com uma frase secreta forte, credenciais de administrador alteradas, firmware atualizado e WPS desabilitado; as demais medidas acrescentam uma camada útil de defesa.

Muitos roteadores oferecem gerenciamento remoto, permitindo acessar a página de administração pela internet. É conveniente, mas expõe o login do roteador a invasores do mundo todo que fazem varreduras em busca dele. A menos que você realmente precise desse recurso, desabilite a administração remota para que a interface de gerenciamento só possa ser acessada de dentro da sua própria rede. Desative também outros serviços não utilizados, como UPnP, se não forem necessários, para reduzir ainda mais a superfície de ataque.

Fortalecer transforma um roteador padrão e vulnerável em um alvo muito mais difícil. Use WPA3 ou WPA2-AES com uma frase secreta forte, altere as credenciais padrão de administrador, atualize o firmware, desabilite o WPS e adicione uma rede de convidados. Saiba que a filtragem de MAC e os SSIDs ocultos oferecem apenas uma ajuda limitada. Juntas, essas etapas constituem a abordagem prática, testada em exames, para proteger qualquer rede sem fio.

Teste seus conhecimentos sobre proteção.

Fortaleça um roteador Wi-Fi usando várias camadas: habilite WPA3 ou WPA2-AES com uma frase secreta forte e exclusiva; altere as credenciais padrão de administrador; atualize o firmware regularmente; desabilite o WPS (o PIN pode ser quebrado por tentativa exaustiva); e adicione uma rede de convidados isolada. Saiba que a filtragem de MAC (passível de falsificação) e a ocultação do SSID acrescentam apenas uma pequena camada de segurança. Os maiores ganhos vêm de uma criptografia forte, uma frase secreta forte, firmware corrigido e WPS desabilitado.