Wifi, kodukontor ja reisimine

Moodul 5: Seadmed, tarkvara ja võrk · Lugemisaeg: 11 minutit

Õpieesmärk: Pärast seda õppetundi oskad turvaliselt seadistada wifit kontoris ja kodus, eraldada nutiseadmed ja külalised oma töövõrgust ning töötada turvaliselt teel olles, sealhulgas mõista, mida VPN sinu jaoks teeb ja mida mitte.
Põhimõisted: ruuter, halduspaswall, WPA2, WPA3, SAE, üleminekurežiim, WPS, UPnP, külalisvõrk, avalik wifi, võltshotspot, https, VPN, telefoni hotspot

Ruuter on sinu esiuks

Kõik, mis ühendab su kontori või koduse töökoha internetiga, läheb läbi ruuteri (sageli ühes karbis koos operaatori modemiga). Ruuter teeb kolme asja: ühendab su võrgu internetiga, tõkestab väljastpoolt tulevat liiklust, mida sa pole küsinud (tulemüür), ja tavaliselt ka edastab wifi-võrku.

Ruuterit vaadatakse harva pärast seda, kui paigaldaja on lahkunud. Seetõttu on seal tihti veel tehaseseaded. Neli asja, mida tasub kohe korda ajada:

1. Muuda halduspaswalli. See on parool ruuteri seadistuslehele, mitte wifi parool. Vaikeparoolid on sageli tootja või seeria kaupa teada. Kasuta pikka, unikaalset parooli oma paroolihaldurist.
2. Lülita välja haldus väljastpoolt, välja arvatud juhul, kui operaator seda tõesti vajab. Siis on seadistusleht kättesaadav ainult sinu enda võrgust.
3. Lülita UPnP välja, kui sa seda ei vaja. UPnP võimaldab igal võrguseadmel endal tulemüüris pordi avada, ka turvaaugulisel kaameral. Madalmaade NCSC soovitab selle välja lülitada.
4. Uuenda püsivara (firmware) või kontrolli, et operaator teeb seda automaatselt (õppetund 5.1). Kui ruuter enam uuendusi ei saa, vaheta see välja.

WPA2 ja WPA3: kuidas sinu wifi krüpteeritud on

Wifi liigub õhu kaudu. Igaüks läheduses saab signaali kätte. Seetõttu krüpteeritakse see. Selle standardit haldab Wi-Fi Alliance.

Wi-Fi Alliance'i sõnul on WPA3 kohustuslik seadmetele, millel on sertifikaat Wi-Fi CERTIFIED, seega peaaegu iga uus ruuter ja telefon toetab seda. Vali WPA3, kui kõik su seadmed seda toetavad, muidu üleminekurežiim.

Kasuta igal juhul pikka wifi-parooli, näiteks neljast-viiest eraldiseisvast sõnast koosnevat paroolifraasi (õppetund 2.1). See on nagunii su seadmetesse salvestatud; sa pead seda harva sisestama.

WPS (Wi-Fi Protected Setup) on nupp või PIN-kood, mis lihtsustab seadmete sidumist. PIN-koodi variandil on tuntud disainiviga: kuna ruuter vastab teatud viisil, ei pea ründaja proovima sadat miljonit kombinatsiooni, vaid ligikaudu üksteist tuhat, ja leiab seejärel wifi parooli (CERT/CC, 2011). Lülita WPS välja, kui su ruuter seda lubab.

Külalisvõrk: eralda see, mis kokku ei kuulu

Juba väikeses kontoris on kiiresti koos väga erineva usaldusväärsusega seadmed samas võrgus: raamatupidamisega sülearvutid, kliendidokumentidega NAS, aga ka külaliste telefonid, nutitelevisioon ootesaalis, termostaat ja mõned kaamerad. Kui need kõik on ühes võrgus, saab häkitud kaamera otse NAS-iga suhelda.

Seetõttu loo külalisvõrk: teine wifi-võrk omaenda nime ja parooliga, mis annab internetiühenduse, aga mitte ligipääsu su põhivõrgu seadmetele. Peaaegu iga ruuter oskab seda. Pane sinna:

• külalised ja nende telefonid;
• nutiseadmed: teler, termostaat, uksekell, kõlar ja, kui võimalik, kaamerad. Madalmaade NCSC soovitab seda otseselt;
• töötajate isiklikud seadmed, kui need ei vaja ligipääsu ettevõtte andmetele.

Pärast seadistamist kontrolli, et see töötab: telefonist külalisvõrgus ei tohiks sa leida printerit ega NAS-i.

Kodukontor

Kodus töötad võrgus, mida sa ettevõttena ei halda, sageli koos pereliikmetega, mängukonsooliga ja naabri nutikõlariga võrgude nimekirjas. Lepi oma meeskonnaga kokku:

• koduruuter saab sama baaskohtlemise: oma halduspaswall, WPA2 või WPA3 pika parooliga, uuendatud püsivara;
• tööarvuti on tööks: ei kasuta lapsed ega pereliikmed, ja lukusta see, kui lahkud (õppetund 5.2);
• uuendused toimuvad ka kodus edasi. Sülearvuti, mis nädalaid kontorisse ei jõua, jääb vahel ilma keskselt hallatavatest uuendustest. Kontrolli seda;
• ligipääs ettevõtte süsteemidele käib turvalise ühenduse kaudu: pilveteenus https ja kaheastmelise autentimisega (2FA), või VPN kontorisse. Ära kunagi lihtsalt ava porti, et "korra" kodust NAS-ile ligi pääseda.

Teel olles: avalik wifi

Hotellis, rongis või kohvikus ei tea sa, kes võrku haldab. Suurim risk on võltshotspot: ründaja loob võrgu sama nimega kui päris võrk, näiteks "Hotell-Külalised". Su telefon ühendub automaatselt ja kogu su liiklus läheb läbi tema seadme.

Õnneks liigub tänapäeval enamik liiklust https kaudu (õppetund 4.2) ja e-post krüpteeritud ühenduste kaudu. Ründaja näeb siis küll milliseid saite sa külastad, aga mitte seda, mida sa sisestad. Siiski jäävad riskid: sisselogimisleht, mis suunab sind võltssaidile, teade "paigalda see sertifikaat" või vanad rakendused, mis ei krüpteeri.

Madalmaade NCSC soovitab:

• kasuta pigem mobiilset internetti või oma telefoni hotspotti kui avalikku wifit;
• ära lase oma seadmel automaatselt ühenduda wifi-võrkudega;
• ära tee pangatoiminguid ega konfidentsiaalset tööd avalikus wifis, ja ära laadi ega paigalda seal midagi;
• lülita välja failijagamine ja logi välja, kui oled valmis.

Kui saad avalikus wifis sertifikaadihoiatuse saidi kohta, mida sa hästi tunned, ära jätka. See on täpselt märk sellest, et keegi jälgib su liiklust.

Mida VPN teeb ja mida mitte

Sõna VPN kasutatakse kahe erineva asja kohta. Ettevõtte VPN ühendab su sülearvuti krüpteeritult su kontori võrguga, nii et saad väljastpoolt ligi NAS-ile või raamatupidamisprogrammile. Kommertsiaalne VPN-teenus saadab kogu su internetiliikluse krüpteeritult teenusepakkuja serverisse, mis saadab selle seejärel edasi internetti.

VPN seega nihutab punkti, kus sul peab olema usaldus. Tundmatus võrgus võib see mõttekas olla. Oma koduvõrgus https-saitidega ei lisa kommertsiaalne VPN turvalisusele palju.

Ja pane tähele: VPN-server sinu kontoris on ise serviteade seade, mis on internetist kättesaadav. Vananenud VPN-serverid on tuntud sissepääsupunkt lunavarale (õppetund 1.3). Uuenda see, lülita sisse kaheastmeline autentimine (2FA) ja lülita välja, kui sa seda ei kasuta.

Praktikas: nii see välja näeb

Ka su e-post liigub teel olles üle võrgu. Seadista seepärast oma meiliprogramm krüpteeritud ühendustega. WebOké puhul on need näiteks IMAP pordil 993 SSL/TLS-iga ja SMTP pordil 587 STARTTLS-iga (või 465 SSL/TLS-iga); teiste pakkujate juures on pordid tavaliselt samad. Kui su meiliprogrammis on kirjas "turvalisus puudub" või port 143 või 25 ilma krüpteerimiseta, muuda see ära.

Kokkuvõte

• Anna oma ruuterile eraldi halduspaswall, lülita välja haldus väljastpoolt, UPnP ja WPS, ning uuenda püsivara.
• Vali WPA3 või üleminekurežiim WPA2/WPA3, pika wifi-parooliga. Mitte kunagi WEP, WPA ega TKIP.
• Pane külalised ja nutiseadmed külalisvõrku, eraldi töö seadmetest.
• Teel olles: pigem mobiilne internet või oma hotspot, ära ühendu automaatselt ja peatu sertifikaadihoiatuse korral.
• VPN krüpteerib tüki kuni VPN-serverini, aga ei kaitse andmepüügi ega pahavara eest ega muuda sind anonüümseks.

Test

Ülesanne

Ülesanne D5.3: Sinu ruuteri ja wifi ülevaatus. Logi sisse oma ruuteri (kodus või kontoris) seadistuslehele. Kontrolli halduspaswalli, krüpteerimist, WPS-i, UPnP-d, haldust väljastpoolt, püsivara ja külalisvõrku. Märgi checklist läbi, testi külalisvõrku ja vasta reflekteerivatele küsimustele.

Loe edasi

WebOké artiklites toodud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures töötab see sarnaselt.

• DirectAdmin juhend 8.1: Kõik seadistused ühes kohas: serverid, pordid ja turvalisus
• Madalmaade NCSC, Wifi-hotspotid: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
• Madalmaade NCSC, Nutiseadmete baasturvameetmed: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Madalmaade NCSC, 6 tähelepanupunkti kaugtööks: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
• Wi-Fi Alliance, wifi turvalisus (inglise keeles): https://www.wi-fi.org/discover-wi-fi/security
• CERT/CC, nõrkus WPS-is (inglise keeles): https://www.kb.cert.org/vuls/id/723755