Ενότητα 5 · 5.3
Wifi, τηλεργασία και μετακινήσεις
Ενότητα 5: Συσκευές, λογισμικό και δίκτυο · Χρόνος ανάγνωσης: 11 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να ρυθμίσετε με ασφάλεια το wifi στο γραφείο και στο σπίτι, να διαχωρίζετε τις έξυπνες συσκευές και τους επισκέπτες από το δίκτυο εργασίας σας, και να εργάζεστε με ασφάλεια εκτός έδρας, συμπεριλαμβανομένου του τι κάνει και τι δεν κάνει ένα VPN για εσάς.
Βασικές έννοιες: router, κωδικός πρόσβασης διαχείρισης, WPA2, WPA3, SAE, λειτουργία μετάβασης, WPS, UPnP, δίκτυο επισκεπτών, δημόσιο wifi, ψεύτικο hotspot, https, VPN, hotspot του τηλεφώνου σας
Το router είναι η εξώπορτά σας
Όλα όσα συνδέουν το γραφείο σας ή τον χώρο τηλεργασίας σας με το internet περνούν από το router (συχνά σε ένα κουτί μαζί με το modem του παρόχου σας). Κάνει τρία πράγματα: συνδέει το δίκτυό σας με το internet, σταματά την κίνηση από έξω που δεν έχετε ζητήσει (το firewall), και συνήθως εκπέμπει επίσης το δίκτυο wifi.
Ένα router σπάνια ελέγχεται αφού φύγει ο τεχνικός. Γι' αυτό συχνά παραμένουν οι εργοστασιακές ρυθμίσεις. Τέσσερα πράγματα να ρυθμίσετε αμέσως:
- Αλλάξτε τον κωδικό πρόσβασης διαχείρισης. Αυτός είναι ο κωδικός πρόσβασης για τη σελίδα ρυθμίσεων του router, όχι ο κωδικός πρόσβασης του wifi. Οι προεπιλεγμένοι κωδικοί πρόσβασης είναι συχνά γνωστοί ανά μάρκα ή σειρά. Χρησιμοποιήστε έναν μεγάλο, μοναδικό κωδικό πρόσβασης από τον διαχειριστή κωδικών πρόσβασής σας.
- Απενεργοποιήστε τη διαχείριση από έξω, εκτός αν ο πάροχός σας την χρειάζεται πραγματικά. Έτσι η σελίδα ρυθμίσεων είναι προσβάσιμη μόνο από το δικό σας δίκτυο.
- Απενεργοποιήστε το UPnP αν δεν το χρειάζεστε. Με το UPnP κάθε συσκευή στο δίκτυό σας μπορεί να ανοίξει μόνη της μια θύρα στο firewall, ακόμη και μια κάμερα με ευπάθεια. Η Εθνική Αρχή Κυβερνοασφάλειας της Ολλανδίας (NCSC) συνιστά να το απενεργοποιείτε.
- Ενημερώστε το firmware ή βεβαιωθείτε ότι ο πάροχος το κάνει αυτόματα (μάθημα 5.1). Αν το router σας δεν λαμβάνει πλέον ενημερώσεις, αντικαταστήστε το.
WPA2 και WPA3: πώς κρυπτογραφείται το wifi σας
Το wifi ταξιδεύει μέσω αέρα. Οποιοσδήποτε βρίσκεται κοντά μπορεί να συλλάβει τα σήματα. Γι' αυτό κρυπτογραφείται. Το πρότυπο γι' αυτό διαχειρίζεται η Wi-Fi Alliance.
| Ρύθμιση | Αξιολόγηση | Εξήγηση |
|---|---|---|
| Ανοιχτό (χωρίς κωδικό πρόσβασης) | Όχι για την επιχείρησή σας | Οποιοσδήποτε μπορεί να συνδεθεί και, χωρίς https, να διαβάσει την κίνηση. |
| WEP, WPA (το πρώτο), TKIP | Ανασφαλές | Ξεπερασμένο και παραβιασμένο. Αν το δείτε αυτό, αντικαταστήστε το router ή αλλάξτε τη ρύθμιση. |
| WPA2-Personal (AES) | Επαρκές, με έναν μεγάλο κωδικό πρόσβασης | Όποιος συλλάβει τη σύνδεση μιας συσκευής, μπορεί στη συνέχεια από το σπίτι του, χωρίς να παραμείνει κοντά, να συνεχίσει να δοκιμάζει κωδικούς πρόσβασης επ' άπειρον. Ένας σύντομος ή προβλέψιμος κωδικός πρόσβασης wifi πέφτει τότε γρήγορα. |
| WPA3-Personal | Η καλύτερη επιλογή | Χρησιμοποιεί SAE αντί του παλιού συστήματος κοινού κλειδιού. Σύμφωνα με τη Wi-Fi Alliance, ένας επιτιθέμενος δεν μπορεί πλέον να δοκιμάζει κωδικούς πρόσβασης offline: κάθε προσπάθεια απαιτεί νέα απόπειρα απευθείας στο ίδιο το router. Και ακόμη κι αν κάποιος μάθει αργότερα τον κωδικό πρόσβασης, δεν μπορεί να αποκρυπτογραφήσει κίνηση που συνέλαβε νωρίτερα (forward secrecy). |
| Λειτουργία μετάβασης WPA2/WPA3 | Καλό ως ενδιάμεσο βήμα | Οι νέες συσκευές συνδέονται με WPA3, οι παλαιότερες με WPA2. Χρήσιμο όσο έχετε ακόμη παλιές συσκευές· αυτές λαμβάνουν τότε μόνο την προστασία του WPA2. |
Το WPA3 είναι, σύμφωνα με τη Wi-Fi Alliance, υποχρεωτικό για συσκευές με την πιστοποίηση Wi-Fi CERTIFIED, οπότε σχεδόν κάθε νέο router και τηλέφωνο το υποστηρίζει. Επιλέξτε WPA3 αν όλες οι συσκευές σας το υποστηρίζουν, διαφορετικά τη λειτουργία μετάβασης.
Σε κάθε περίπτωση, χρησιμοποιήστε έναν μεγάλο κωδικό πρόσβασης wifi, για παράδειγμα μια φράση κωδικού από τέσσερις ή πέντε ξεχωριστές λέξεις (μάθημα 2.1). Είναι ούτως ή άλλως αποθηκευμένος στις συσκευές σας· σπάνια χρειάζεται να τον πληκτρολογήσετε.
Το WPS (Wi-Fi Protected Setup) είναι ένα κουμπί ή κωδικός PIN για εύκολη σύζευξη συσκευών. Η παραλλαγή με κωδικό PIN έχει ένα γνωστό σχεδιαστικό ελάττωμα: λόγω του τρόπου με τον οποίο απαντά το router, ένας επιτιθέμενος δεν χρειάζεται να δοκιμάσει εκατό εκατομμύρια αλλά περίπου έντεκα χιλιάδες συνδυασμούς, και στη συνέχεια βρίσκει τον κωδικό πρόσβασης wifi (CERT/CC, 2011). Απενεργοποιήστε το WPS αν το router σας το επιτρέπει.
Δίκτυο επισκεπτών: διαχωρίστε αυτά που δεν πρέπει να είναι μαζί
Ένα μικρό γραφείο αποκτά γρήγορα συσκευές πολύ διαφορετικής αξιοπιστίας στο ίδιο δίκτυο: τα laptop με τη λογιστική, το NAS με φακέλους πελατών, αλλά και τα τηλέφωνα επισκεπτών, μια έξυπνη τηλεόραση στον χώρο αναμονής, έναν θερμοστάτη και μερικές κάμερες. Αν όλα αυτά βρίσκονται στο ίδιο δίκτυο, μια παραβιασμένη κάμερα μπορεί να επικοινωνήσει απευθείας με το NAS.
Γι' αυτό δημιουργείτε ένα δίκτυο επισκεπτών: ένα δεύτερο δίκτυο wifi με δικό του όνομα και κωδικό πρόσβασης, που παρέχει μεν internet αλλά όχι πρόσβαση στις συσκευές του κύριου δικτύου σας. Σχεδόν κάθε router το υποστηρίζει. Τοποθετήστε εκεί:
- επισκέπτες και τα τηλέφωνά τους·
- έξυπνες συσκευές: τηλεόραση, θερμοστάτη, κουδούνι πόρτας, ηχείο, και όπου είναι εφικτό, κάμερες. Η Εθνική Αρχή Κυβερνοασφάλειας της Ολλανδίας (NCSC) το συνιστά ρητά·
- προσωπικές συσκευές εργαζομένων, εφόσον δεν χρειάζονται πρόσβαση σε δεδομένα της επιχείρησης.
Μετά τη ρύθμιση, ελέγξτε ότι λειτουργεί: από ένα τηλέφωνο στο δίκτυο επισκεπτών δεν θα πρέπει να μπορείτε να βρείτε τον εκτυπωτή ή το NAS.
Τηλεργασία
Στο σπίτι εργάζεστε σε ένα δίκτυο που δεν διαχειρίζεστε ως επιχείρηση, συχνά μαζί με μέλη της οικογένειας, μια κονσόλα παιχνιδιών και το έξυπνο ηχείο των γειτόνων στη λίστα δικτύων. Συμφωνήστε με την ομάδα σας:
- το router του σπιτιού λαμβάνει την ίδια βασική μεταχείριση: δικό του κωδικό πρόσβασης διαχείρισης, WPA2 ή WPA3 με μεγάλο κωδικό πρόσβασης, ενημερωμένο firmware·
- το laptop εργασίας είναι για εργασία: δεν το χρησιμοποιούν παιδιά ή συγκάτοικοι, και κλειδώνει όταν απομακρύνεστε (μάθημα 5.2)·
- οι ενημερώσεις συνεχίζονται και στο σπίτι. Ένα laptop που δεν εμφανίζεται στο γραφείο για εβδομάδες μπορεί να χάσει ενημερώσεις που διαχειρίζονται κεντρικά. Ελέγξτε το·
- η πρόσβαση σε συστήματα της επιχείρησης γίνεται μέσω μιας ασφαλούς σύνδεσης: μιας υπηρεσίας cloud με https και έλεγχο ταυτότητας δύο παραγόντων, ή ενός VPN προς το γραφείο. Ποτέ μην ανοίγετε απλώς μια θύρα για να φτάνετε «γρήγορα» στο NAS από το σπίτι.
Εκτός έδρας: δημόσιο wifi
Σε ένα ξενοδοχείο, τρένο ή καφέ δεν γνωρίζετε ποιος διαχειρίζεται το δίκτυο. Ο μεγαλύτερος κίνδυνος είναι ένα ψεύτικο hotspot: ένας επιτιθέμενος δημιουργεί ένα δίκτυο με το ίδιο όνομα με το πραγματικό, για παράδειγμα «Hotel-Gasten». Το τηλέφωνό σας συνδέεται αυτόματα, και όλη η κίνησή σας περνά μέσω της συσκευής του.
Ευτυχώς, η περισσότερη κίνηση σήμερα γίνεται μέσω https (μάθημα 4.2) και το email μέσω κρυπτογραφημένων συνδέσεων. Ο επιτιθέμενος βλέπει τότε μεν ποιες ιστοσελίδες επισκέπτεστε, αλλά όχι τι πληκτρολογείτε. Ωστόσο παραμένουν κίνδυνοι: μια σελίδα σύνδεσης που σας στέλνει σε μια ψεύτικη ιστοσελίδα, μια ειδοποίηση «εγκαταστήστε αυτό το πιστοποιητικό», ή παλιές εφαρμογές που δεν κρυπτογραφούν.
Η Εθνική Αρχή Κυβερνοασφάλειας της Ολλανδίας (NCSC) συμβουλεύει:
- χρησιμοποιήστε κατά προτίμηση κινητά δεδομένα ή το hotspot του δικού σας τηλεφώνου αντί για δημόσιο wifi·
- μην αφήνετε τη συσκευή σας να συνδέεται αυτόματα σε δίκτυα wifi·
- μην κάνετε τραπεζικές συναλλαγές ή εμπιστευτική εργασία σε δημόσιο wifi, και μην κατεβάζετε ή εγκαθιστάτε τίποτα εκεί·
- απενεργοποιήστε την κοινή χρήση αρχείων και αποσυνδεθείτε όταν τελειώσετε.
Αν λάβετε σε δημόσιο wifi μια προειδοποίηση πιστοποιητικού σε μια ιστοσελίδα που γνωρίζετε καλά, μην προχωρήσετε. Αυτό είναι ακριβώς το σήμα ότι κάποιος παρακολουθεί.
Τι κάνει και τι δεν κάνει ένα VPN
Η λέξη VPN χρησιμοποιείται για δύο διαφορετικά πράγματα. Ένα εταιρικό VPN συνδέει το laptop σας κρυπτογραφημένα με το δίκτυο του γραφείου σας, ώστε να μπορείτε από έξω να φτάσετε στο NAS ή στο λογιστικό πρόγραμμα. Μια εμπορική υπηρεσία VPN στέλνει όλη την κίνηση internet σας κρυπτογραφημένη στον διακομιστή ενός παρόχου, ο οποίος στη συνέχεια την προωθεί στο internet.
| Τι κάνει ένα VPN | Τι δεν κάνει ένα VPN |
|---|---|
| Κρυπτογραφεί την κίνησή σας μεταξύ της συσκευής σας και του διακομιστή VPN, ώστε το τοπικό δίκτυο (wifi) να μην μπορεί να παρακολουθήσει | Σας προστατεύει από phishing: μια ψεύτικη ιστοσελίδα παραμένει εξίσου ψεύτικη μέσω VPN |
| Σας δίνει ασφαλή πρόσβαση στο δίκτυο του γραφείου (εταιρικό VPN) | Σταματά το malware ή καθαρίζει ένα μολυσμένο laptop |
| Κρύβει τη διεύθυνση IP σας από τις ιστοσελίδες που επισκέπτεστε | Σας κάνει ανώνυμους: η σύνδεση σε μια υπηρεσία εξακολουθεί να αποκαλύπτει ποιος είστε |
| Αφαιρεί την ανάγκη εμπιστοσύνης: ο πάροχος VPN μπορεί τώρα να δει αυτό που μπορούσε να δει πριν το δίκτυο του ξενοδοχείου |
Ένα VPN μετατοπίζει λοιπόν το σημείο όπου πρέπει να έχετε εμπιστοσύνη. Σε ένα άγνωστο δίκτυο αυτό μπορεί να έχει νόημα. Στο δικό σας οικιακό δίκτυο με ιστοσελίδες https, μια εμπορική υπηρεσία VPN προσθέτει ελάχιστα στην ασφάλεια.
Και προσέξτε: ένας διακομιστής VPN στο γραφείο σας είναι ο ίδιος μια περιμετρική συσκευή προσβάσιμη από το internet. Οι ξεπερασμένοι διακομιστές VPN είναι γνωστή είσοδος για ransomware (μάθημα 1.3). Ενημερώστε τον, ενεργοποιήστε έλεγχο ταυτότητας δύο παραγόντων, και απενεργοποιήστε τον όταν δεν τον χρησιμοποιείτε.
Στην πράξη: έτσι μοιάζει
Και το email σας περνά στην πορεία του από το δίκτυο. Γι' αυτό ρυθμίστε το πρόγραμμα email σας με κρυπτογραφημένες συνδέσεις. Στο WebOké αυτές είναι για παράδειγμα IMAP στη θύρα 993 με SSL/TLS και SMTP στη θύρα 587 με STARTTLS (ή 465 με SSL/TLS)· σε άλλους παρόχους οι θύρες είναι συνήθως οι ίδιες. Αν στο πρόγραμμα email σας αναγράφεται «καμία ασφάλεια» ή θύρα 143 ή 25 χωρίς κρυπτογράφηση, αλλάξτε το.
Σύνοψη
- Δώστε στο router σας δικό του κωδικό πρόσβασης διαχείρισης, απενεργοποιήστε τη διαχείριση από έξω, το UPnP και το WPS, και ενημερώστε το firmware.
- Επιλέξτε WPA3, ή τη λειτουργία μετάβασης WPA2/WPA3, με μεγάλο κωδικό πρόσβασης wifi. Ποτέ WEP, WPA ή TKIP.
- Τοποθετήστε τους επισκέπτες και τις έξυπνες συσκευές σε ένα δίκτυο επισκεπτών, ξεχωριστό από τις συσκευές εργασίας σας.
- Εκτός έδρας: προτιμήστε κινητά δεδομένα ή το δικό σας hotspot, μην συνδέεστε αυτόματα, και σταματήστε σε μια προειδοποίηση πιστοποιητικού.
- Ένα VPN κρυπτογραφεί το τμήμα μέχρι τον διακομιστή VPN, αλλά δεν προστατεύει από phishing ή malware και δεν σας κάνει ανώνυμους.
Κουίζ
Άσκηση
Άσκηση D5.3: Έλεγχος του router και του wifi σας. Συνδεθείτε στη σελίδα ρυθμίσεων του router σας (στο σπίτι ή στο γραφείο). Ελέγξτε τον κωδικό πρόσβασης διαχείρισης, την κρυπτογράφηση, το WPS, το UPnP, τη διαχείριση από έξω, το firmware και το δίκτυο επισκεπτών. Συμπληρώστε τη λίστα ελέγχου, δοκιμάστε το δίκτυο επισκεπτών και απαντήστε στις ερωτήσεις αναστοχασμού.
Άσκηση D5.3: Έλεγχος του router και του wifi σας
Έτσι το κάνετε: (1) Συνδεθείτε στη σελίδα ρυθμίσεων του router σας (η διεύθυνση και ο αρχικός κωδικός πρόσβασης αναγράφονται στο εγχειρίδιο ή στην ετικέτα) ή στην εφαρμογή του παρόχου σας. Αν πρόκειται για router του παρόχου σας, ελέγξτε ποιες ρυθμίσεις επιτρέπεται να αλλάξετε εσείς. (2) Αλλάξτε τον κωδικό πρόσβασης διαχείρισης σε έναν μεγάλο, μοναδικό κωδικό από τον διαχειριστή κωδικών πρόσβασής σας. (3) Ελέγξτε την κρυπτογράφηση wifi: WPA3, ή λειτουργία μετάβασης WPA2/WPA3 αν έχετε παλαιότερες συσκευές. ποτέ WEP, WPA ή TKIP. Ορίστε έναν μεγάλο κωδικό πρόσβασης wifi (φράση κωδικού). (4) Απενεργοποιήστε το WPS, το UPnP και τη διαχείριση από το εξωτερικό δίκτυο αν δεν τα χρειάζεστε. (5) Ελέγξτε αν το firmware είναι ενημερωμένο και ενημερώνεται αυτόματα. (6) Δημιουργήστε ένα δίκτυο επισκεπτών και τοποθετήστε εκεί τους επισκέπτες και τις έξυπνες συσκευές (τηλεόραση, θερμοστάτη, ηχείο, κάμερες όπου είναι εφικτό). (7) Δοκιμάστε το δίκτυο επισκεπτών: συνδέστε ένα τηλέφωνο στο δίκτυο επισκεπτών και προσπαθήστε να βρείτε τον εκτυπωτή, το NAS ή έναν κοινόχρηστο φάκελο. Αυτό δεν θα πρέπει να είναι εφικτό. (8) Ελέγξτε τη λίστα συνδεδεμένων συσκευών στο router σας. Αν δεν αναγνωρίζετε κάποια συσκευή, διερευνήστε τι είναι. (9) Ελέγξτε το πρόγραμμα email σας σε laptop και τηλέφωνο: εισερχόμενα και εξερχόμενα με SSL/TLS ή STARTTLS (για παράδειγμα IMAP 993, SMTP 587 ή 465).
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.
- Εγχειρίδιο DirectAdmin 8.1: Όλες οι ρυθμίσεις με μια ματιά: servers, θύρες και ασφάλεια
- Η Εθνική Αρχή Κυβερνοασφάλειας της Ολλανδίας (NCSC), Wifi-hotspots: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Η Εθνική Αρχή Κυβερνοασφάλειας της Ολλανδίας (NCSC), Βασικά μέτρα ασφάλειας για έξυπνες συσκευές: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Η Εθνική Αρχή Κυβερνοασφάλειας της Ολλανδίας (NCSC), 6 σημεία προσοχής για την τηλεργασία: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, ασφάλεια του wifi (στα αγγλικά): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, η αδυναμία στο WPS (στα αγγλικά): https://www.kb.cert.org/vuls/id/723755