5. modulis · 5.3
Wifi, darbs no mājām un ceļojot
5. modulis: Ierīces, programmatūra un tīkls · Lasīšanas laiks: 11 minūtes
Mācīšanās mērķis: Pēc šīs nodarbības Jūs varēsiet droši iestatīt wifi birojā un mājās, nošķirt viedierīces un viesus no darba tīkla, kā arī droši strādāt ceļojot, tostarp zināsiet, ko VPN dara un ko nedara.
Pamatjēdzieni: ruteris, administrēšanas parole, WPA2, WPA3, SAE, pārejas režīms, WPS, UPnP, viesu tīkls, publiskais wifi, viltus tīklājs (hotspot), https, VPN, Jūsu tālruņa tīklājs
Ruteris ir Jūsu priekšdurvis
Viss, kas savieno Jūsu biroju vai mājas darba vietu ar internetu, iet caur rateri (bieži vienā kastē kopā ar Jūsu pakalpojumu sniedzēja modemu). Tas dara trīs lietas: savieno Jūsu tīklu ar internetu, aptur no ārpuses nākošo trafiku, ko neesat pieprasījuši (ugunsmūris), un parasti arī raida wifi tīklu.
Rateri reti pārskata pēc tam, kad meistars ir aizbraucis. Tāpēc tajos bieži vien vēl ir rūpnīcas iestatījumi. Četras lietas, kas jāsakārto uzreiz:
- Nomainiet administrēšanas paroli. Tā ir parole rutera iestatījumu lapai, nevis wifi parole. Noklusējuma paroles bieži ir zināmas pēc zīmola vai sērijas. Izmantojiet garu, unikālu paroli no sava paroļu pārvaldnieka.
- Izslēdziet administrēšanu no ārpuses, ja vien Jūsu pakalpojumu sniedzējam tā patiešām nav nepieciešama. Tad iestatījumu lapa ir pieejama tikai no Jūsu paša tīkla.
- Izslēdziet UPnP, ja tas Jums nav vajadzīgs. Ar UPnP jebkura ierīce Jūsu tīklā var pati atvērt ugunsmūrī portu, arī kamera ar ievainojamību. Nīderlandes NCSC iesaka to izslēgt.
- Atjauniniet aparātprogrammatūru (firmware) vai pārbaudiet, ka pakalpojumu sniedzējs to dara automātiski (4. nodarbība modulī 5 [5.1]). Ja Jūsu ruteris vairs nesaņem atjauninājumus, nomainiet to.
WPA2 un WPA3: kā ir šifrēts Jūsu wifi
Wifi pārraida ēterā. Ikviens tuvumā var uztvert signālus. Tāpēc tas tiek šifrēts. Šo standartu pārvalda Wi-Fi Alliance.
| Režīms | Vērtējums | Skaidrojums |
|---|---|---|
| Atvērts (bez paroles) | Nav piemērots Jūsu uzņēmumam | Ikviens var pievienoties un, ja nav https, nolasīt saturu. |
| WEP, WPA (pirmais), TKIP | Nedrošs | Novecojis un uzlauzts. Ja to redzat, nomainiet rateri vai mainiet iestatījumu. |
| WPA2-Personal (AES) | Pietiekams, ja parole ir gara | Tas, kurš noklausās kādas ierīces savienojumu, var pēc tam mājās, nepaliekot tuvumā, bezgalīgi mēģināt uzminēt paroli. Īsa vai paredzama wifi parole tad ātri padodas. |
| WPA3-Personal | Labākā izvēle | Izmanto SAE vecās koplietotās atslēgas sistēmas vietā. Pēc Wi-Fi Alliance teiktā, uzbrucējs vairs nevar bezsaistē mēģināt paroles: katrs mēģinājums prasa jaunu pieprasījumu pie paša rutera. Un pat ja kāds vēlāk uzzina paroli, viņš nevar atšifrēt agrāk noklausīto trafiku (forward secrecy). |
| WPA2/WPA3 pārejas režīms | Labs starpposms | Jaunas ierīces pieslēdzas ar WPA3, vecākas ar WPA2. Noderīgs, kamēr Jums vēl ir vecas ierīces; tās tad gan saņem tikai WPA2 līmeņa aizsardzību. |
Saskaņā ar Wi-Fi Alliance, WPA3 ir obligāts ierīcēm ar sertifikātu Wi-Fi CERTIFIED, tāpēc gandrīz katrs jauns ruteris un tālrunis to atbalsta. Izvēlieties WPA3, ja visas Jūsu ierīces to atbalsta, pretējā gadījumā pārejas režīmu.
Visos gadījumos izmantojiet garu wifi paroli, piemēram, paroles frāzi no četriem vai pieciem atsevišķiem vārdiem (nodarbība 2.1). Tā vienalga tiek saglabāta Jūsu ierīcēs; reti kad būs jāievada tā manuāli.
WPS (Wi-Fi Protected Setup) ir poga vai PIN kods, lai vienkārši sapārotu ierīces. PIN koda variantam ir zināma projektēšanas kļūda: tā dēļ, kā ruteris atbild, uzbrucējam nav jāmēģina simts miljoni, bet aptuveni vienpadsmit tūkstoši kombināciju, un pēc tam viņš atrod wifi paroli (CERT/CC, 2011. gads). Izslēdziet WPS, ja Jūsu ruteris to atļauj.
Viesu tīkls: nošķiriet to, kam nevajadzētu būt kopā
Mazā birojā ātri vien atrodas ļoti dažādas uzticamības pakāpes ierīces vienā tīklā: klēpjdatori ar grāmatvedību, NAS ar klientu lietām, bet arī apmeklētāju tālruņi, viedtelevizors uzgaidāmajā telpā, termostats un dažas kameras. Ja tās visas atrodas vienā tīklā, uzlauzta kamera var tieši sazināties ar NAS.
Tāpēc izveidojiet viesu tīklu: otru wifi tīklu ar savu nosaukumu un paroli, kas dod internetu, bet nedod piekļuvi ierīcēm Jūsu galvenajā tīklā. Gandrīz katrs ruteris to var. Tajā novietojiet:
- apmeklētājus un viņu tālruņus;
- viedierīces: televizoru, termostatu, durvju zvanu, skaļruni, un, kur iespējams, kameras. Nīderlandes NCSC to tieši iesaka;
- darbinieku privātās ierīces, ja tām nav vajadzīga piekļuve uzņēmuma datiem.
Pēc iestatīšanas pārbaudiet, vai tas darbojas: no tālruņa viesu tīklā nedrīkstētu izdoties atrast printeri vai NAS.
Darbs no mājām
Mājās Jūs strādājat tīklā, kuru Jūs kā uzņēmums nepārvaldāt, bieži kopā ar ģimenes locekļiem, spēļu konsoli un kaimiņu viedskaļruni tīklu sarakstā. Vienojieties ar savu komandu:
- mājas ruteris saņem tādu pašu pamata apstrādi: sava administrēšanas parole, WPA2 vai WPA3 ar garu paroli, atjaunināta aparātprogrammatūra;
- darba klēpjdators ir paredzēts darbam: to nedrīkst lietot bērni vai mājinieki, un tas jābloķē, ja no tā aizejat (nodarbība 5.2);
- atjauninājumi turpinās arī mājās. Klēpjdators, kas nedēļām ilgi neparādās birojā, dažkārt nesaņem atjauninājumus, kas tiek pārvaldīti centralizēti. Pārbaudiet to;
- piekļuve uzņēmuma sistēmām notiek caur drošu savienojumu: mākoņpakalpojumu ar https un divu faktoru autentifikāciju vai VPN uz biroju. Nekad bez pamata neatveriet portu, lai "vienkārši" no mājām piekļūtu NAS.
Ceļojot: publiskais wifi
Viesnīcā, vilcienā vai kafejnīcā Jūs nezināt, kurš pārvalda tīklu. Lielākais risks ir viltus tīklājs: uzbrucējs izveido tīklu ar tādu pašu nosaukumu kā īstais, piemēram, "Hotel-Gasten". Jūsu tālrunis pievienojas automātiski, un viss Jūsu trafiks iet caur viņa ierīci.
Par laimi, mūsdienās lielākā daļa trafika iet caur https (nodarbība 4.2) un pasts caur šifrētiem savienojumiem. Uzbrucējs tad gan redz, kuras vietnes Jūs apmeklējat, bet ne to, ko ievadāt. Tomēr riski paliek: pieteikšanās lapa, kas Jūs novirza uz viltus vietni, paziņojums "instalēt šo sertifikātu" vai vecas lietotnes, kas nešifrē.
Nīderlandes NCSC iesaka:
- labāk izmantojiet mobilos datus vai sava tālruņa tīklāju nekā publisko wifi;
- neļaujiet savai ierīcei automātiski pieslēgties wifi tīkliem;
- nedariet bankas darījumus vai konfidenciālu darbu publiskā wifi, un tur neko nelejupielādējiet vai neinstalējiet;
- izslēdziet failu koplietošanu un izrakstieties, kad esat pabeiguši.
Ja publiskā wifi saņemat sertifikāta brīdinājumu par vietni, kuru labi pazīstat, nerīkojieties tālāk. Tas ir tieši tāds signāls, ka kāds Jūs noklausās.
Ko VPN dara un ko nedara
Vārdu VPN lieto divās dažādās nozīmēs. Uzņēmuma VPN savieno Jūsu klēpjdatoru šifrēti ar biroja tīklu, lai Jūs no ārpuses varētu piekļūt NAS vai grāmatvedības programmai. Komerciāls VPN pakalpojums sūta visu Jūsu interneta trafiku šifrēti uz pakalpojumu sniedzēja serveri, kas to pēc tam nosūta tālāk uz internetu.
| VPN gan dara | VPN nedara |
|---|---|
| Šifrē Jūsu trafiku starp Jūsu ierīci un VPN serveri, lai vietējais (wifi) tīkls to nevarētu noklausīties | Nepasargā Jūs no pikšķerēšanas: viltus vietne caur VPN ir tikpat viltus |
| Droši nodrošina piekļuvi biroja tīklam (uzņēmuma VPN) | Neaptur ļaunprogrammatūru un neiztīra inficētu klēpjdatoru |
| Paslēpj Jūsu IP adresi no vietnēm, ko apmeklējat | Nepadara Jūs anonīmu: pieteikšanās kādā pakalpojumā joprojām atklāj, kas Jūs esat |
| Nenoņem uzticēšanās jautājumu, tikai pārceļ to: tagad VPN pakalpojumu sniedzējs var redzēt to, ko iepriekš varēja redzēt viesnīcas tīkls |
Tātad VPN pārceļ vietu, kurai Jums ir jāuzticas. Nepazīstamā tīklā tas var būt lietderīgi. Jūsu paša mājas tīklā, kur izmantojat https vietnes, komerciāls VPN drošībai pievieno maz.
Un ievērojiet: VPN serveris Jūsu birojā pats ir perifērijas ierīce, kas ir sasniedzama no interneta. Novecojuši VPN serveri ir zināma ieeja izspiedējvīrusiem (nodarbība 1.3). Atjauniniet, ieslēdziet divu faktoru autentifikāciju un izslēdziet, ja to nelietojat.
Praksē: šādi tas izskatās
Arī Jūsu pasts ceļojot pārvietojas pa tīklu. Tāpēc iestatiet savu pasta programmu ar šifrētiem savienojumiem. WebOké gadījumā, piemēram, tas ir IMAP portā 993 ar SSL/TLS un SMTP portā 587 ar STARTTLS (vai 465 ar SSL/TLS); pie citiem pakalpojumu sniedzējiem porti parasti ir tādi paši. Ja Jūsu pasta programmā redzams "nav drošības" vai ports 143 vai 25 bez šifrēšanas, nomainiet to.
Kopsavilkums
- Iestatiet rateram savu administrēšanas paroli, izslēdziet administrēšanu no ārpuses, UPnP un WPS, un atjauniniet aparātprogrammatūru.
- Izvēlieties WPA3 vai pārejas režīmu WPA2/WPA3 ar garu wifi paroli. Nekad WEP, WPA vai TKIP.
- Novietojiet apmeklētājus un viedierīces viesu tīklā, nošķirtus no Jūsu darba ierīcēm.
- Ceļojot: labāk mobilie dati vai paša tālruņa tīklājs, nevis automātiska pieslēgšanās, un pārtrauciet, ja saņemat sertifikāta brīdinājumu.
- VPN šifrē posmu līdz VPN serverim, bet nepasargā no pikšķerēšanas vai ļaunprogrammatūras un nepadara Jūs anonīmu.
Tests
Uzdevums
Uzdevums D5.3: Jūsu rutera un wifi pārbaude. Piesakieties sava rutera iestatījumu lapā (mājās vai birojā). Pārbaudiet administrēšanas paroli, šifrēšanu, WPS, UPnP, administrēšanu no ārpuses, aparātprogrammatūru un viesu tīklu. Atzīmējiet kontrolsarakstu, pārbaudiet viesu tīklu un atbildiet uz pārdomu jautājumiem.
Uzdevums D5.3: Jūsu rūtera un wifi pārbaude
Rīkojieties šādi: (1) Pieslēdzieties rūtera iestatījumu lapai (adrese un sākotnējā parole ir norādīti rokasgrāmatā vai uz uzlīmes) vai pakalpojumu sniedzēja lietotnē. Ja tas ir pakalpojumu sniedzēja rūteris, pārbaudiet, kurus iestatījumus Jūs drīkstat mainīt. (2) Mainiet administratora paroli uz garu, unikālu paroli no sava paroļu pārvaldnieka. (3) Pārbaudiet wifi šifrēšanu: WPA3 vai WPA2/WPA3 pārejas režīms, ja Jums ir vecākas ierīces; nekad WEP, WPA vai TKIP. Iestatiet garu wifi paroli (paroles frāzi). (4) Izslēdziet WPS, UPnP un attālināto pārvaldību, ja tie nav vajadzīgi. (5) Pārbaudiet, vai aparātprogrammatūra ir aktuāla un vai tā atjauninās automātiski. (6) Izveidojiet viesu tīklu un pārvietojiet uz to apmeklētājus un viedierīces (televizoru, termostatu, skaļruni, kameras, kur tas iespējams). (7) Pārbaudiet viesu tīklu: pieslēdziet tālruni viesu tīklam un mēģiniet atrast printeri, NAS vai kopīgoto mapi. Tam nevajadzētu izdoties. (8) Pārbaudiet rūterim pieslēgto ierīču sarakstu. Ja kādu ierīci nepazīstat, noskaidrojiet, kas tā ir. (9) Pārbaudiet savu e-pasta programmu klēpjdatorā un tālrunī: ienākošā un izejošā pasta savienojumi ar SSL/TLS vai STARTTLS (piemēram, IMAP 993, SMTP 587 vai 465).
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Vairāk lasīšanai
Soļi WebOké rakstos attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.
- DirectAdmin rokasgrāmata 8.1: Visi iestatījumi pārskatāmi: serveri, porti un drošība
- Nīderlandes NCSC, wifi tīklāji: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Nīderlandes NCSC, viedierīču pamata drošības pasākumi: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Nīderlandes NCSC, 6 uzmanības punkti darbam no mājām: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, wifi drošība (angļu valodā): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, WPS ievainojamība (angļu valodā): https://www.kb.cert.org/vuls/id/723755