Modul 5 · 5.3
Wifi, hjemmekontor og på reise
Modul 5: Enheter, programvare og nettverk · Lesetid: 11 minutter
Læringsmål: Etter denne leksjonen kan du sette opp trygg wifi på kontoret og hjemme, skille smartenheter og gjester fra arbeidsnettverket ditt, og jobbe trygt på reise, inkludert hva en VPN gjør og ikke gjør for deg.
Nøkkelbegreper: ruter, administrasjonspassord, WPA2, WPA3, SAE, overgangsmodus, WPS, UPnP, gjestenettverk, offentlig wifi, falsk hotspot, https, VPN, mobilens hotspot
Ruteren er inngangsdøren din
Alt som kobler kontoret eller hjemmekontoret ditt til internett, går gjennom ruteren (ofte i samme boks som leverandørens modem). Den gjør tre ting: den kobler nettverket ditt til internett, den stopper trafikk utenfra som du ikke har bedt om (brannmuren), og den sender som regel ut wifi-nettverket også.
En ruter blir sjelden sett til igjen etter at installatøren har dratt. Derfor står det ofte fortsatt fabrikkinnstillinger på den. Fire ting å ordne med en gang:
- Endre administrasjonspassordet. Det er passordet til innstillingssiden til ruteren, ikke wifi-passordet. Standardpassord er ofte kjent per merke eller serie. Bruk et langt, unikt passord fra passordbehandleren din.
- Skru av fjernadministrasjon, med mindre leverandøren din virkelig trenger det. Da er innstillingssiden bare tilgjengelig fra ditt eget nettverk.
- Skru av UPnP hvis du ikke trenger det. Med UPnP kan enhver enhet i nettverket ditt selv åpne en port i brannmuren, også et kamera med et sikkerhetshull. Det nederlandske NCSC anbefaler å skru det av.
- Oppdater fastvaren (firmware) eller kontroller at leverandøren gjør det automatisk (leksjon 5.1). Får ruteren din ikke flere oppdateringer, bytt den ut.
WPA2 og WPA3: hvordan wifien din er kryptert
Wifi går gjennom luften. Alle i nærheten kan fange opp signalene. Derfor krypteres det. Standarden for dette forvaltes av Wi-Fi Alliance.
| Innstilling | Vurdering | Forklaring |
|---|---|---|
| Åpent (uten passord) | Ikke for bedriften din | Alle kan koble seg til og, uten https, lese med. |
| WEP, WPA (den første), TKIP | Usikkert | Foreldet og knekket. Ser du dette, bytt ut ruteren eller endre innstillingen. |
| WPA2-Personal (AES) | Tilstrekkelig, med et langt passord | Den som fanger opp forbindelsen til én enhet, kan deretter, hjemmefra og uten å bli værende i nærheten, prøve passord i det uendelige. Et kort eller forutsigbart wifi-passord faller da raskt. |
| WPA3-Personal | Beste valg | Bruker SAE i stedet for det gamle delte-nøkkel-systemet. Ifølge Wi-Fi Alliance kan en angriper da ikke lenger prøve passord offline: hvert gjetteforsøk krever en ny forespørsel til selve ruteren. Og selv om noen senere får vite passordet, kan de ikke dekryptere trafikk de har fanget opp tidligere (forward secrecy). |
| WPA2/WPA3 overgangsmodus | Greit som mellomtrinn | Nye enheter kobler seg til med WPA3, eldre med WPA2. Praktisk så lenge du fortsatt har gamle enheter; de får da bare beskyttelsen fra WPA2. |
WPA3 er ifølge Wi-Fi Alliance obligatorisk for enheter med sertifikatet Wi-Fi CERTIFIED, så nesten alle nye rutere og telefoner støtter det. Velg WPA3 hvis alle enhetene dine støtter det, ellers overgangsmodus.
Bruk i alle tilfeller et langt wifi-passord, for eksempel en passordsetning med fire eller fem løse ord (leksjon 2.1). Det ligger likevel lagret på enhetene dine; du trenger sjelden å skrive det.
WPS (Wi-Fi Protected Setup) er en knapp eller PIN-kode for å koble enheter sammen enkelt. PIN-kode-varianten har en kjent designfeil: på grunn av måten ruteren svarer på, trenger en angriper ikke hundre millioner, men omtrent elleve tusen kombinasjoner, og finner deretter wifi-passordet (CERT/CC, 2011). Skru av WPS hvis ruteren din tillater det.
Gjestenettverk: skille det som ikke hører sammen
Et lite kontor har fort enheter med svært ulik pålitelighet på samme nettverk: bærbarene med regnskapet, NAS-en med kundemapper, men også telefonene til besøkende, en smart-TV på venterommet, en termostat og noen kameraer. Er alt dette på ett nettverk, kan et hacket kamera snakke direkte med NAS-en.
Derfor lager du et gjestenettverk: et eget wifi-nettverk med eget navn og passord, som gir internett men ikke tilgang til enhetene på hovednettverket ditt. Nesten alle rutere kan gjøre dette. Sett følgende på gjestenettverket:
- besøkende og telefonene deres;
- smartenheter: TV, termostat, dørklokke, høyttaler, og der det er mulig kameraer. Det nederlandske NCSC anbefaler dette eksplisitt;
- private enheter til ansatte, hvis de ikke trenger tilgang til bedriftsdata.
Kontroller etter oppsettet at det fungerer: fra en telefon på gjestenettverket skal du ikke kunne finne skriveren eller NAS-en.
Hjemmekontor
Hjemme jobber du på et nettverk du ikke administrerer som bedrift, ofte sammen med familiemedlemmer, en spillkonsoll og naboens smarte høyttaler i listen over nettverk. Avtal med teamet ditt:
- hjemmeruteren får samme grunnbehandling: eget administrasjonspassord, WPA2 eller WPA3 med et langt passord, oppdatert fastvare;
- jobb-laptopen er til jobb: ikke bruk den til barn eller husholdningsmedlemmer, og lås den når du går fra den (leksjon 5.2);
- oppdateringer fortsetter også hjemme. En laptop som ikke er på kontoret på flere uker, går noen ganger glipp av oppdateringer som styres sentralt. Kontroller dette;
- tilgang til bedriftssystemer går via en sikker forbindelse: en skytjeneste med https og tofaktorautentisering (2FA), eller en VPN til kontoret. Åpne aldri en port bare for å "raskt" komme til NAS-en hjemmefra.
På reise: offentlig wifi
På et hotell, i et tog eller på en kafé vet du ikke hvem som administrerer nettverket. Den største risikoen er en falsk hotspot: en angriper setter opp et nettverk med samme navn som det ekte, for eksempel «Hotel-Gjester». Telefonen din kobler seg til automatisk, og all trafikken din går via angriperens enhet.
Heldigvis går det meste av trafikken i dag via https (leksjon 4.2) og e-post via krypterte forbindelser. Angriperen ser da riktignok hvilke nettsteder du besøker, men ikke hva du skriver inn. Likevel finnes det risikoer: en innloggingsside som sender deg til et falskt nettsted, en melding om «installer dette sertifikatet», eller gamle apper som ikke krypterer.
Det nederlandske NCSC anbefaler:
- bruk heller mobildata eller hotspoten til din egen telefon enn offentlig wifi;
- la ikke enheten din koble seg automatisk til wifi-nettverk;
- gjør ikke banksaker eller konfidensielt arbeid på offentlig wifi, og last ikke ned eller installer noe der;
- skru av fildeling og logg ut når du er ferdig.
Får du en sertifikatadvarsel på offentlig wifi for et nettsted du kjenner godt, ikke fortsett. Det er nettopp signalet på at noen ser med.
Hva en VPN gjør og ikke gjør
Ordet VPN brukes om to forskjellige ting. En bedrifts-VPN kobler laptopen din kryptert til nettverket på kontoret, slik at du kan nå NAS-en eller regnskapsprogrammet utenfra. En kommersiell VPN-tjeneste sender all internetttrafikken din kryptert til serveren til en leverandør, som deretter sender den videre ut på internett.
| En VPN gjør | En VPN gjør ikke |
|---|---|
| Krypterer trafikken din mellom enheten din og VPN-serveren, slik at det lokale (wifi-)nettverket ikke kan se med | Beskytter deg mot phishing: et falskt nettsted er like falskt via en VPN |
| Gir deg sikker tilgang til kontornettverket (bedrifts-VPN) | Stopper skadevare eller rydder opp i en infisert laptop |
| Skjuler IP-adressen din for nettstedene du besøker | Gjør deg anonym: å logge inn på en tjeneste avslører fortsatt hvem du er |
| Fjerner behovet for tillit: det er nå VPN-leverandøren som kan se det hotellnettverket kunne se før |
En VPN flytter altså punktet der du må ha tillit. På et ukjent nettverk kan det være nyttig. På ditt eget hjemmenettverk med https-nettsteder tilfører en kommersiell VPN lite for sikkerheten.
Og legg merke til: en VPN-server på kontoret ditt er selv en randenhet som er tilgjengelig fra internett. Utdaterte VPN-servere er en kjent inngang for løsepengevirus (leksjon 1.3). Oppdater, skru på tofaktorautentisering (2FA), og skru av når du ikke bruker den.
I praksis: slik ser det ut
Også e-posten din går over nettverket når du er på reise. Still derfor inn e-postprogrammet ditt med krypterte forbindelser. Hos WebOké er dette for eksempel IMAP på port 993 med SSL/TLS og SMTP på port 587 med STARTTLS (eller 465 med SSL/TLS); hos andre leverandører er portene som regel de samme. Står det «ingen sikkerhet» eller port 143 eller 25 uten kryptering i e-postprogrammet ditt, endre det.
Oppsummering
- Gi ruteren din et eget administrasjonspassord, skru av fjernadministrasjon, UPnP og WPS, og oppdater fastvaren.
- Velg WPA3, eller overgangsmodusen WPA2/WPA3, med et langt wifi-passord. Aldri WEP, WPA eller TKIP.
- Sett besøkende og smartenheter på et gjestenettverk, atskilt fra arbeidsenhetene dine.
- På reise: bruk heller mobildata eller din egen hotspot, ikke automatisk tilkobling, og stopp ved en sertifikatadvarsel.
- En VPN krypterer strekningen frem til VPN-serveren, men beskytter ikke mot phishing eller skadevare og gjør deg ikke anonym.
Quiz
Oppgave
Oppgave D5.3: Gå gjennom ruteren og wifien din. Logg inn på innstillingssiden til ruteren din (hjemme eller på kontoret). Kontroller administrasjonspassordet, krypteringen, WPS, UPnP, fjernadministrasjon, fastvaren og gjestenettverket. Kryss av på sjekklisten, test gjestenettverket og svar på refleksjonsspørsmålene.
Oppgave D5.3: Gå gjennom ruteren og wifien din
Slik gjør du det: (1) Logg inn på innstillingssiden til ruteren (adresse og første passord står i bruksanvisningen eller på klistremerket) eller i appen til internettleverandøren din. Er det en ruter fra internettleverandøren din, sjekk hvilke innstillinger du kan endre selv. (2) Endre administratorpassordet til et langt, unikt passord fra passordbehandleren din. (3) Sjekk wifi-krypteringen: WPA3, eller WPA2/WPA3-overgangsmodus hvis du har eldre enheter; aldri WEP, WPA eller TKIP. Sett et langt wifi-passord (passordsetning). (4) Slå av WPS, UPnP og ekstern administrasjon hvis du ikke trenger dem. (5) Sjekk at fastvaren er oppdatert og oppdaterer automatisk. (6) Opprett et gjestenettverk og sett besøkende og smarte enheter (TV, termostat, høyttaler, kameraer der det er mulig) på det. (7) Test gjestenettverket: koble en telefon til gjestenettverket og prøv å finne skriveren, NAS-en eller en delt mappe. Det skal ikke være mulig. (8) Sjekk listen over tilkoblede enheter i ruteren. Kjenner du ikke igjen en enhet, finn ut hva det er. (9) Sjekk e-postprogrammet på laptop og telefon: innkommende og utgående med SSL/TLS eller STARTTLS (for eksempel IMAP 993, SMTP 587 eller 465).
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.
- DirectAdmin-veiledning 8.1: Alle innstillinger på én plass: servere, porter og sikkerhet
- Nederlandske NCSC, Wifi-hotspots: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Nederlandske NCSC, Grunnleggende sikkerhetstiltak for smartenheter: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Nederlandske NCSC, 6 oppmerksomhetspunkter for hjemmekontor: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, sikkerhet for wifi (engelsk): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, svakheten i WPS (engelsk): https://www.kb.cert.org/vuls/id/723755