Nie daj się hakować, czyli jak zabezpieczyć router przed atakiem

Znasz tę rzecz podłączoną do głównego gniazda szerokopasmowego? Ma nadrukowany klucz Wi-Fi i uruchamiasz go ponownie, gdy twoje łącze szerokopasmowe przestaje działać. Router jest najważniejszym urządzeniem elektronicznym w domu i w biurze. Ta mała skrzynka kontroluje wszystko, co wchodzi i wychodzi z sieci domowej czy firmowej.

Router stoi na straży między bezpiecznym środowiskiem sieci wewnętrznej a Dzikim Zachodem nieuregulowanego Internetu – a mimo to często jest zaniedbywany i wyjątkowo niepewny. Warto wiedzieć, że większość routerów dostarczanych przez dostawców usług internetowych (ISP) w ramach umowy jest projektowana i dostarczana z naciskiem na budżet, a nie skuteczność i bezpieczeństwo. Nawet urządzenia, które mogą wykonywać przyzwoitą pracę, mogą mieć niezabezpieczone konfiguracje domyślne, a nawet tylne drzwi serwisowe i wadliwe oprogramowanie układowe.

Wszystkie nowoczesne routery posiadają funkcję zapory sieciowej. Łatwość, z jaką użytkownik może uzyskać dostęp do firewalla i zmienić jego ustawienia, różni się w zależności od producenta. W niektórych przypadkach użytkownik nie może nawet zobaczyć ustawień zapory. Są one dostarczane w postaci czarnej skrzynki, skonfigurowanej w uniwersalnym formacie.

Ci, którzy zezwalają na zmiany w konfiguracji, rzadko informują swoich użytkowników końcowych o takiej możliwości. A nawet gdy to robią, użytkownik prawie nigdy z tego nie korzysta.

Jeśli nieuregulowany Internet jest Dzikim Zachodem, to firewall jest szeryfem. Musi być odpowiednio wyposażony i uprawniony do prawidłowego wykonywania swojej roli. W przeciwnym razie każdy lub cokolwiek może dostać się do sieci. Może to być również twój pracodawca.

Przeczytaj drobny druk

Wiele organizacji zawiera w umowach o pracę i regulaminach sekcję, w której zastrzegają sobie prawo do skanowania wszystkiego, co jest podłączone do sieci firmowej. Brzmi to dość uczciwie. To ich sieć i muszą dbać o jej bezpieczeństwo. To oczywiste, że sprawdzają, co się z nią łączy.

Jednak wraz z powszechnym przejściem na pracę zdalną spowodowanym pandemią COVID-19, więcej pracowników łączy się z siecią firmową ze swoich sieci domowych niż kiedykolwiek wcześniej. Organizacje używają oprogramowania do skanowania portów i testów penetracyjnych do badania sieci, szukając luk w zabezpieczeniach dokładnie tak, jak robią to sprawcy zagrożeń.

Oczywiście, jeśli Twoi pracodawcy wykryją luki w Twoim domowym routerze i sieci, nie zainfekują Cię oprogramowaniem ransomware. Ale świadomość, że ktokolwiek testował zabezpieczenia routera – cyfrowy odpowiednik grzechotania drzwiami, próbowania okien i szukania klucza pod dywanikiem – może nadal wywoływać uczucie dyskomfortu i urazy.

Pierwsze pytanie, jakie prawdopodobnie zadasz, brzmi: czy pracodawcy wolno to robić? Jeśli jest to zapisane w umowie lub regulaminie, którym się kierujesz, i zostałeś zapoznany z odpowiednią polityką podczas wprowadzenia oraz za każdym razem, gdy była ona zmieniana i ponownie wydawana, to tak, mogą. Bez takiej deklaracji to nie, nie mogą. Przeprowadzanie skanowania portów i testów penetracyjnych w czyjejś sieci bez uprzedniej zgody jest nielegalne, nawet jeśli intencje są dobre.

Dlatego przypominamy, aby czytać drobny druk. Taka deklaracja może być ukryta w dokumencie polityki czy regulaminie, z którym masz się zapoznać przed podpisaniem. Ale nawet jeśli Twoja organizacja może to zrobić, byłoby uprzejmie i w porządku, gdyby najpierw Cię o tym powiadomiła.

Krótki komunikat wyjaśniający, że łagodne zdalne skanowanie zostanie przeprowadzone w sieciach pracowników domowych, aby upewnić się, że są one wystarczająco bezpieczne, aby połączyć się z siecią firmową, nie jest trudny do przygotowania. Ma to ogromny wpływ na morale. Niestety, takie wyjaśnienie często w ogóle nie pada.

Jak zwiększyć bezpieczeństwo routera

Niezależnie od tego, kto próbuje dostać się do sieci, co możemy zrobić, aby wzmocnić swoją ochronę i uczynić z naszego routera twierdzę praktycznie nie do zdobycia? Wszystko zależy od producenta i modelu routera, ale na tej liście powinno znaleźć się przynajmniej coś dla każdego.

Interfejs administracyjny, menu i ustawienia różnią się w zależności od marki i modelu, więc nie możemy w tej kwestii udzielić ci szczegółowego instruktażu. Ale znalezienie odpowiednich ustawień routera dla elementów z naszej listy nie powinno być zbyt trudne – jeśli masz do nich dostęp. Jeśli dostawca usług internetowych zablokował urządzenie i uniemożliwił dostęp do krytycznych ustawień, patrz punkt 1.

1. Trafił ci się kiepski router od dostawcy usług internetowych?

Ogólnie rzecz biorąc, routery dostarczane przez dostawców usług internetowych są mniej bezpieczne niż te, które są sprzedawane – często przez tych samych producentów – bezpośrednio konsumentom. Zakodowane na stałe backdoory są powszechne, a poprawki bezpieczeństwa i aktualizacje firmware’u często pojawiają się znacznie później niż poprawki i łatki dla modeli sprzedawanych bezpośrednio konsumentom. Wynika to z faktu, że oprogramowanie układowe routerów dostarczanych przez dostawców usług internetowych jest dostosowane do potrzeb danego dostawcy i wymaga niestandardowych poprawek.

Nic nie stoi na przeszkodzie, aby kupić własny router i używać go zamiast tego, który proponuje ci dostawca internetu. Zachowaj ten wysłany przez dostawcę i używaj go jako hot spare. Jeśli masz problem z łączem szerokopasmowym i zastanawiasz się, czy jest to problem z routerem, czy z zewnętrzną infrastrukturą szerokopasmową, możesz odłączyć router dostawcy usług internetowych i sprawdzić, czy problem zniknie. Jeśli tak, to problem leży po stronie routera; jeśli nie, to problem jest zewnętrzny.

2. Zmiana domyślnego hasła administratora

Ponieważ wiele routerów opuszcza fabrykę z domyślnymi hasłami administratora, jest to otwarta furtka dla hakerów. Ich oprogramowanie skanujące będzie próbowało zidentyfikować markę i model routera – badając metadane w odpowiedziach routera na ich sondowanie – i wyszukać domyślne poświadczenia administratora.

Przy pierwszym podłączeniu routera w celu jego konfiguracji należy zmienić hasło administratora na bezpieczne i niezawodne. A najlepiej na hasło składające się z trzech słów połączonych znakami interpunkcyjnymi. Skoro już o tym mowa, upewnij się, że interfejs sieciowy administratora nie jest dostępny z Internetu. Nie zamierzasz wykonywać zdalnej administracji na swoim routerze, więc nie dawaj nikomu innemu takiej szansy.

3. Używaj routera obsługującego VPN

Jeśli naprawdę, ale to naprawdę potrzebujesz zdalnego dostępu do routera, użyj urządzenia obsługującego połączenia wirtualnej sieci prywatnej (VPN). Ogranicz połączenia VPN do tych z listy zatwierdzonych adresów IP lub do zakresu adresów IP. Jeśli zatem wiesz, że możesz potrzebować VPN do routera z biura, dodaj swoje biuro do białej listy adresów IP.

4. Bądź incognito nawet w domu

Nawet podczas łączenia się z routerem z sieci domowej, dobrze jest korzystać z anonimowego przeglądania lub trybu incognito. W ten sposób przeglądarka nie będzie buforować żadnych poświadczeń ani adresów IP, których inni mogą użyć na komputerze, aby dostać się do routera. Nigdy nie pozwól przeglądarce zapamiętać danych uwierzytelniających do routera. To ty musisz je zapamiętać i każdorazowo wprowadzać. Można też użyć specjalnego menedżera haseł.

5. Akceptuj tylko połączenia z określonego adresu IP

Niektóre routery można powiązać tak, aby akceptowały połączenia administratora z jednego lokalnego adresu IP i odrzucały połączenia z dowolnego innego adresu. Jeśli zamierzasz to zrobić, użyj adresu IP, który nie jest częścią puli protokołu DHCP (Dynamic Host Configuration Protocol). Jeśli komputer utraci swój adres IP, wydzierżawi go, a router przydzieli mu nowy adres IP, wówczas nie uzyskasz już dostępu do routera.

6. Używaj silnego hasła Wi-Fi

Wybierz solidne hasło Wi-Fi i użyj najsilniejszego ustawienia szyfrowania urządzenia. Najnowsze routery mogą obsługiwać Wi-Fi Protected Access 3 (WPA3), ale większość będzie ograniczona do Wi-Fi Protected Access 2 (WPA2).

7. Wyłącz WPS

Wyłącz funkcję Wi-Fi Protected Setup (WPS). Założeniem WPS było uproszczenie konfiguracji Wi-Fi i łączenia się z sieciami Wi-Fi dla użytkowników nietechnicznych. Funkcja ta była rzadko używana i zawierała lukę, która umożliwiała podmiotom stanowiącym zagrożenie włamywanie się do sieci Wi-Fi.

Wprowadzono łatki i poprawki, ale nie wszystkie modele zostały załatane i nie wszyscy producenci zareagowali na ten problem. Najbezpieczniej jest wyłączyć WPS i używać połączenia przewodowego do konfiguracji.

8. Wyłącz usługi, których nie używasz

Routery obsługują różnego rodzaju protokoły i typy połączeń. Prawie na pewno większości z nich nie potrzebujesz, więc je wyłącz. Im mniej drzwi i okien ma budynek, tym trudniej włamywaczowi dostać się do środka. To samo dotyczy routera. Zamknij wszystkie porty i otwórz tylko te, których używasz. Im mniej typów połączeń akceptuje twoje urządzenie, tym bezpieczniej.

Możesz wyłączyć usługi takie jak Ping, Telnet, Universal Plug and Play (UPnP), Secure Shell (SSH) i Home Network Administration Protocol (HNAP).

9. Nie używaj zarządzania routerem w chmurze

Jeśli router obsługuje tę funkcję, wyłącz ją. Nie chcesz, aby router komunikował się z chmurą producenta. To stawia kolejną warstwę między tobą a routerem, której musisz zaufać. Zamierzasz zarządzać routerem lokalnie, więc wyłącz tę opcję.

10. Regularnie aktualizuj swój router

Wszyscy zdążyliśmy się przyzwyczaić do regularnego otrzymywania aktualizacji komputerów i smartfonów. Dokładnie ten sam proces ma miejsce w przypadku routera. W przypadku większości routerów jest to proces ręczny, ale niektóre można ustawić tak, aby co jakiś czas kontaktowały się z bazą i sprawdzały dostępność aktualizacji.

Jeśli będziesz wykonywać ręczne aktualizacje, sprawdź stronę pomocy technicznej producenta routera. Zazwyczaj wystarczy to robić raz w miesiącu.

11. Kontrola dostępu do sieci Wi-Fi

Wiele routerów umożliwia skonfigurowanie listy identyfikatorów urządzeń zwanych adresami MAC (Media Access Control). Są one unikalne dla każdego urządzenia podłączonego do sieci. Oznacza to, że tylko rozpoznane i autoryzowane urządzenia mogą łączyć się z siecią Wi-Fi.

Skonfiguruj Wi-Fi dla gości, jeśli router na to pozwala. Zapewni to odwiedzającym dostęp do Internetu przez Wi-Fi bez ujawniania lub narażania jakiegokolwiek innego urządzenia w sieci.

12. Segmentacja sieci

Niektóre routery klasy konsumenckiej mają możliwość konfigurowania wirtualnych sieci lokalnych (VLAN) wewnątrz innych sieci. Na przykład można odizolować urządzenia Internetu rzeczy (IoT) od reszty sieci.

Urządzenia IoT są notorycznie niezabezpieczone. Wiele z nich narusza najbardziej podstawowe środki bezpieczeństwa, takie jak wystawianie się na działanie Internetu za pomocą niezabezpieczonych protokołów i niezmiennych haseł administratora. Trzymanie ich w oddzielnej sieci VLAN to świetny sposób na ich ograniczenie.

13. Zmień ustawienia DNS

Zmień ustawienia systemu nazw domen, aby nie używały wartości domyślnych dostarczonych przez dostawcę usług internetowych.

Polecane usługi, z których można korzystać, to

– OpenDNS: 208.67.220.220 lub 208.67.222.222

– Google DNS: 8.8.8.8 lub 8.8.4.4

– Cloudflare: 1.1.1.1 lub 1.0.0.1

14. Rozważ niestandardowe oprogramowanie sprzętowe routera

Zaawansowani użytkownicy mogą rozważyć całkowite usunięcie oprogramowania układowego producenta i zastąpienie go bezpłatną alternatywą typu open source. Zazwyczaj są one oparte na dystrybucjach Linuksa lub Berkeley Software Distribution (BSD). Mogą one być bezpieczniejsze, w pełni funkcjonalne i konfigurowalne niż domyślne oprogramowanie producenta, często obsługując natywnie protokoły VPN.

Dwie z bardziej znanych opcji to OpenWRT i DD-WRT, ale dostępnych jest ich więcej. Te wspierane przez społeczność projekty często wyprzedzają producentów w wydawaniu łatek i poprawek.

Postawmy sprawę jasno. Flashowanie oprogramowania sprzętowego wymaga specjalistycznej wiedzy technicznej. Jeśli zrobisz to na routerze w ramach jego cyklu wsparcia, spowoduje to utratę gwarancji. A jeśli wydarzy się najgorsze, całkiem zablokujesz swoje urządzenie, czyniąc je niezdatnym do użytku. Upewnij się, że wiesz, co robisz, zanim przystąpisz do działania lub zwrócisz się o pomoc techniczną.

Podsumowanie

Router jest punktem styku między użytkownikiem a światem zewnętrznym – dbałość o ten obszar ma kluczowe znaczenie dla bezpieczeństwa w sieci! W zależności od potrzeb związanych z siecią i łącznością, marki routera, elastyczności ustawień routera i zapory sieciowej oraz poziomu komfortu technicznego, zastosuj jak najwięcej z tych kroków i zabezpiecz swój dom przed atakami cyfrowymi. A przy okazji również przed szpiegowaniem przez pracodawców!