Защита Wi‑Fi-роутера

Помимо выбора надёжного шифрования, можно применить множество практических настроек, чтобы усилить защиту беспроводного маршрутизатора и усложнить атаки. Усиление защиты означает сокращение числа способов, которыми злоумышленник может проникнуть в сеть или использовать её неправомерно. В этом уроке рассматриваются конкретные шаги, важные для экзамена, которые должен выполнить любой администратор для защиты маршрутизатора Wi-Fi: от настройки паролей до обновления микропрограммы.

Начните с основы: включите WPA3 или, если WPA3 недоступен, WPA2 с AES; не используйте WEP или WPA-TKIP. Затем задайте надёжную уникальную парольную фразу — длинную и случайную, не являющуюся словом из словаря или паролем по умолчанию. Слабый PSK можно взломать в автономном режиме даже при использовании WPA2, поэтому качество парольной фразы напрямую определяет реальную безопасность сети.

Маршрутизаторы поставляются с широко известными именами пользователей и паролями администратора, например admin/admin, которые публикуются в интернете для каждой модели. Злоумышленник, получивший доступ к странице администрирования, может захватить управление маршрутизатором. Немедленно измените стандартные учётные данные администратора на надёжный уникальный пароль. Это защищает конфигурацию самого маршрутизатора и не связано с парольной фразой Wi-Fi, которую вводят пользователи при подключении.

Микропрограмма маршрутизатора содержит программное обеспечение, которое управляет device, и со временем получает исправления безопасности. Устаревшая микропрограмма может содержать известные уязвимости, пригодные для эксплуатации. Регулярно обновляйте микропрограмму, чтобы устранять эти уязвимости, и включите автоматические обновления, если они доступны. Непропатченный маршрутизатор — лёгкая цель, даже если всё остальное настроено правильно, поэтому поддерживать микропрограмму в актуальном состоянии необходимо.

WPS (защищённая настройка Wi-Fi) позволяет подключаться нажатием кнопки или вводом короткого PIN. Это удобно, но метод с PIN крайне небезопасен: злоумышленники могут перебрать 8-значный PIN и восстановить пароль Wi-Fi. Рекомендуется отключить WPS, особенно функцию PIN, чтобы устранить простой путь атаки в обход надёжной парольной фразы.

Настройте отдельную гостевую сеть для посетителей. Она предоставляет доступ в интернет и одновременно изолирует гостей от устройств основной сети, поэтому гость не сможет получить доступ к Вашим компьютерам, принтерам или общим файлам. Такая изоляция также ограничивает последствия взлома гостевого device. Гостевая сеть с собственным паролем — простой и эффективный способ уменьшить риски, связанные с ненадёжными пользователями.

Продумайте имя сети — SSID. Избегайте имён, раскрывающих личные сведения или модель маршрутизатора, поскольку они могут помочь злоумышленнику. Иногда рекомендуют скрывать SSID, то есть не передавать его в широковещательном режиме, но это почти не повышает реальную безопасность: имя всё равно можно обнаружить, а подключение становится сложнее. Надёжное шифрование гораздо важнее сокрытия имени сети.

Фильтрация MAC разрешает подключаться только устройствам с аппаратными адресами из заданного списка. Это звучит безопасно, но обеспечивает слабую защиту: злоумышленник может легко подменить MAC-адрес, перехватив допустимый адрес. Кроме того, такая фильтрация может усложнить администрирование. Считайте фильтрацию MAC лишь небольшим препятствием и никогда не используйте её вместо надёжного шифрования и аутентификации.

Соберите всё в один контрольный список. Приведённый ниже фрагмент содержит наиболее важные шаги. Выполненные вместе, они значительно уменьшают поверхность атаки беспроводной сети. Наибольший эффект дают надёжное шифрование с надёжной парольной фразой, изменённые учётные данные администратора, обновлённая микропрограмма и отключённый WPS; остальные меры обеспечивают дополнительную многоуровневую защиту.

Многие маршрутизаторы поддерживают удалённое управление, позволяя открывать страницу администрирования из интернета. Это удобно, но делает страницу входа в маршрутизатор доступной злоумышленникам по всему миру, которые сканируют интернет в её поисках. Если удалённое управление действительно не требуется, отключите удалённое администрирование, чтобы интерфейс управления был доступен только из Вашей сети. Также отключите другие неиспользуемые службы, например UPnP, если она не нужна, чтобы ещё больше уменьшить поверхность атаки.

Усиление защиты превращает маршрутизатор с настройками по умолчанию, уязвимый для атак, в гораздо более сложную цель. Используйте WPA3 или WPA2-AES с надёжной парольной фразой, измените стандартные учётные данные администратора, обновляйте микропрограмму, отключите WPS и добавьте гостевую сеть. Помните, что фильтрация MAC и скрытые SSID дают лишь небольшую дополнительную защиту. Вместе эти меры представляют собой практический и проверенный на экзамене способ защиты любой беспроводной сети.

Проверьте свои знания об усилении защиты.

Усиливайте защиту маршрутизатора Wi-Fi многоуровневыми мерами: включите WPA3 или WPA2-AES с надёжной уникальной парольной фразой; измените стандартные учётные данные администратора; регулярно обновляйте микропрограмму; отключите WPS (PIN можно подобрать перебором); добавьте изолированную гостевую сеть. Помните, что фильтрация MAC (адрес можно подменить) и скрытие SSID дают лишь небольшое повышение безопасности. Наибольший эффект обеспечивают надёжное шифрование, надёжная парольная фраза, исправленная микропрограмма и отключённый WPS.