Ako zabezpečiť router: WPA3, WPS a vzdialený prístup

Router je brána do celej vašej siete, a teda aj prvý cieľ útočníkov. Ak ostane v továrenskom nastavení, je zraniteľný. Dobrá správa je, že jeho zabezpečenie zvládnete za pár minút. Poďme si prejsť kroky, na ktorých naozaj záleží.

Zmeňte predvolené heslo do administrácie

Routery sa predávajú s továrenským prihlasovacím menom a heslom, často niečím ako admin a admin. Tieto údaje sú verejne známe pre každý model. Prvá vec po zapojení preto je zmeniť heslo do administrácie routra na vlastné a silné. Nezamieňajte si ho s heslom do wifi, sú to dve rôzne veci.

Šifrovanie wifi: WPA3, prípadne WPA2

Spôsob, akým je zabezpečená vaša wifi, rozhoduje o tom, či sa k nej niekto dostane:

• WPA3 je najnovší a najbezpečnejší štandard. Ak ho router aj zariadenia podporujú, použite ho.
• WPA2 (s šifrovaním AES) je stále v poriadku a použite ho tam, kde staršie zariadenia WPA3 nezvládajú.
• WEP ani otvorenú sieť bez hesla nepoužívajte nikdy. WEP sa dá prelomiť za pár minút a otvorená sieť je dokorán pre kohokoľvek.

K wifi nastavte dlhé a unikátne heslo, ideálne celú frázu.

Vypnite WPS

WPS je funkcia, ktorá mala uľahčiť pripájanie, buď stlačením tlačidla na routri, alebo zadaním osemmiestneho PIN kódu. Problém je v tom, že tento PIN sa dá uhádnuť hrubou silou a útočník sa tak dostane do siete aj bez znalosti hesla. Preto WPS v nastaveniach routra vypnite, pohodlie nestojí za to riziko.

Administrácia routra nikdy nesmie byť dostupná z internetu

Toto je kľúčové. Mnohé routery majú funkciu vzdialenej správy (remote management), vďaka ktorej sa do administrácie dá prihlásiť cez internet zvonku. Túto funkciu vypnite. Ak je zapnutá, útočníci z celého sveta môžu na váš router skúšať heslá. Administrácia má byť dostupná len z vašej domácej siete. Keď potrebujete prístup zvonku, použite radšej VPN.

Aktualizujte firmvér

Výrobcovia priebežne opravujú bezpečnostné diery cez aktualizácie firmvéru. Zapnite automatické aktualizácie, alebo občas skontrolujte, či je dostupná novšia verzia. Zastaraný firmvér je častou cestou útoku.

Ďalšie užitočné kroky

• Hosťovská sieť pre návštevy a zariadenia smart domácnosti, oddelená od vašich počítačov.
• Zmena názvu siete (SSID) tak, aby neprezrádzal model routra.
• Vypnutie nepoužívaných služieb, napríklad UPnP, ak ho nepotrebujete.

Praktický postup krok za krokom

Ak router nastavujete prvýkrát, prejdite si tento postup pekne po poradí. Zaberie zhruba pätnásť minút:

1. Pripojte sa k routru káblom alebo cez wifi a do prehliadača zadajte jeho adresu, najčastejšie 192.168.1.1 alebo 192.168.0.1. Nájdete ju aj na štítku na spodnej strane zariadenia.
2. Prihláste sa továrenskými údajmi zo štítku a hneď v prvom kroku zmeňte heslo do administrácie na vlastné, dlhé a jedinečné.
3. V sekcii bezdrôtovej siete nastavte WPA3, prípadne režim WPA2/WPA3, ak máte aj staršie zariadenia. Zvoľte dlhé wifi heslo, ideálne celú vetu.
4. Vypnite WPS, obvykle v rovnakej sekcii ako nastavenia wifi.
5. V pokročilých nastaveniach vypnite vzdialenú správu (remote management, prístup z WAN) a UPnP, ak ho nič nevyžaduje.
6. Skontrolujte firmvér a nainštalujte najnovšiu verziu. Ak router ponúka automatické aktualizácie, zapnite ich.
7. Vytvorte hosťovskú sieť pre návštevy a smart zariadenia.
8. Na záver reštartujte router a v zozname pripojených zariadení skontrolujte, či tam nevidíte nič neznáme.

Prehľad odporúčaných nastavení

Časté chyby a mýty

• „Skryjem názov siete a som neviditeľný.“ Nie ste. Skrytý SSID zistí útočník bežným nástrojom za pár sekúnd, navyše si tým skomplikujete pripájanie vlastných zariadení.
• „Filtrovanie MAC adries ma ochráni.“ MAC adresu pripojeného zariadenia vidno v éteri a dá sa jednoducho napodobniť. Ako ochrana je to skôr ilúzia.
• „Som obyčajný človek, o moju sieť nikto nestojí.“ Útoky sú automatizované a skúšajú všetko, čo nájdu. Napadnutý router sa zneužíva na ďalšie útoky, rozosielanie spamu či odpočúvanie.
• „Heslo na štítku od poskytovateľa je dosť dobré.“ Býva krátke a niekedy odvodené od modelu či sériového čísla. Vždy si nastavte vlastné.
• „Stačí to nastaviť raz a mám pokoj.“ Bez aktualizácií firmvéru sa router časom stáva zraniteľným, aj keď ste všetko nastavili správne.

Riešenie problémov

Zabudli ste heslo do administrácie? Podržte resetovacie tlačidlo na routri zhruba desať sekúnd. Router sa vráti do továrenského stavu, prihlásite sa údajmi zo štítku a celé nastavenie zopakujete.

Staršie zariadenie sa po zapnutí WPA3 nepripojí? Prepnite router do zmiešaného režimu WPA2/WPA3. Nové zariadenia použijú WPA3, staré zostanú na WPA2 a sieť bude fungovať pre všetky.

Po zmene hesla sa nepripája nič? To je v poriadku, každé zariadenie musí staré uložené pripojenie zabudnúť a prihlásiť sa novým heslom. Na zariadení zvoľte „odstrániť sieť“ a pripojte sa nanovo.

Neviete, či je vzdialená správa vypnutá? Hľadajte položky ako Remote Management, Web Access from WAN alebo Cloud Access. Všetko, čo umožňuje prístup zvonku, má byť vypnuté, prípadne nahradené VPN.

Zhrnutie

Silné heslo do administrácie, WPA3 alebo WPA2, vypnuté WPS, vypnutý vzdialený prístup a aktuálny firmvér. Týchto pár krokov spraví z vášho routra oveľa tvrdší cieľ. Viac súvislostí nájdete v článku o zásadách kybernetickej bezpečnosti.

Tento článok je súčasťou prehľadu Kybernetická bezpečnosť.