Zabezpečení Wi-Fi routeru: šifrování, heslo, aktualizace

Zabezpečení domácího Wi-Fi routeru stojí na čtyřech krocích: změnit výchozí heslo ke správě, zapnout šifrování WPA2 nebo WPA3 se silným heslem k síti, vypnout WPS a udržovat aktuální firmware. Zabere to půl hodiny a většina domácností to nikdy neudělala, protože router po instalaci funguje a nikdo se k němu nevrací.

Proč na routeru záleží

Routerem prochází veškerá komunikace domácnosti. Kdo se dostane do sítě, vidí zařízení v ní a může se pokoušet o přístup ke sdíleným složkám, kamerám či tiskárnám. Kdo ovládne router samotný, může provoz přesměrovávat, například na napodobeniny webů.

Napadený router se navenek chová normálně. Internet běží a nic nenasvědčuje problému, a tak takový stav trvá měsíce.

Heslo ke správě

Do nastavení routeru se vstupuje přes webové rozhraní nebo aplikaci. Starší zařízení měla z výroby stejné přihlašovací údaje pro všechny kusy a seznamy těchto údajů jsou veřejné. Novější mívají unikátní heslo na štítku, i to ovšem doporučuji změnit.

Zvolte dlouhé unikátní heslo a uložte ho do správce hesel. Heslo ke správě je něco jiného než heslo k Wi-Fi a obě mají být různá.

Zkontrolujte také, zda je vypnutá správa z internetu. Rozhraní routeru má být dostupné jen z domácí sítě.

Šifrování sítě

Standard určuje, jak se chrání provoz mezi zařízeními a routerem. Zastaralé WEP a původní WPA lze prolomit snadno a neměly by se používat vůbec. WPA2 s šifrou AES je solidní základ. Nejnovější WPA3 lépe odolává hádání hesla.

Pokud router WPA3 umí, zapněte ho. Starší zařízení v domácnosti ho nemusí podporovat, a pro ten případ existuje smíšený režim WPA2/WPA3.

Heslo k Wi-Fi

U WPA2 lze zachycený provoz podrobit hádání hesla mimo síť, bez omezení počtu pokusů. Krátké nebo slovníkové heslo tak padne rychle. Použijte dlouhou frázi z několika náhodných slov, která se dobře diktuje návštěvám a přitom odolá.

Název sítě změňte tak, aby neprozrazoval výrobce routeru ani vaše příjmení nebo číslo bytu. Skrývání názvu sítě se nevyplácí. Bezpečnost nezvýší a zařízením komplikuje připojování.

Vypněte WPS

Funkce WPS umožňuje připojit zařízení stiskem tlačítka nebo zadáním osmimístného kódu. Varianta s kódem má dlouho známou slabinu, která dovoluje kód uhodnout v řádu hodin. V nastavení ji vypněte. Tlačítková varianta je méně riziková, ale kdo ji nepoužívá, může vypnout i tu.

Aktualizace firmwaru

Software routeru obsahuje chyby jako každý jiný a výrobci vydávají opravy. Některé routery se aktualizují samy, u jiných je třeba otevřít správu a kontrolu spustit. Zapněte automatické aktualizace, pokud je volba k dispozici.

Router, pro který výrobce přestal aktualizace vydávat, je třeba vyměnit. Platí to i pro zařízení zapůjčená od poskytovatele. Zeptejte se ho, zda se o aktualizace stará a zda váš model ještě podporuje.

Síť pro hosty a chytrá zařízení

Většina routerů umí vytvořit oddělenou síť pro návštěvy. Hosté se dostanou na internet, ne však k vašim počítačům a úložištím. A heslo, které rozdáváte, není tím hlavním.

Stejnou síť doporučuji využít pro chytré žárovky, vysavače, televize a podobná zařízení. Jejich software bývá aktualizován sporadicky, a pokud některé z nich někdo napadne, zůstane oddělené od počítačů s vašimi daty.

Další nastavení, která se vyplatí zkontrolovat

Funkce UPnP dovoluje zařízením v síti samočinně otevírat porty směrem z internetu. Je pohodlná pro herní konzole, ale zneužitelná. Pokud ji nepotřebujete, vypněte ji. Projděte seznam přesměrovaných portů a zrušte ty, o kterých nevíte, k čemu jsou.

Filtrování podle adres MAC se jako ochrana neosvědčilo, protože adresu lze snadno napodobit. Čas věnujte raději silnému heslu.

V seznamu připojených zařízení uvidíte vše, co je v síti. Jednou za čas se na něj podívejte. Neznámé zařízení je důvod změnit heslo k Wi-Fi.

Umístění a signál

Router uprostřed bytu pokryje domácnost lépe a vyzařuje méně signálu ven než router u okna do ulice. S bezpečností to souvisí jen okrajově, na silné heslo to vliv nemá, ale poslouží to rychlosti.

Co udělat dnes večer

Najděte na štítku routeru adresu správy a přihlaste se. Změňte heslo správce, zkontrolujte šifrování, vypněte WPS a spusťte kontrolu aktualizací. Nová hesla si zapište. Častou chybou je nastavit silné heslo k Wi-Fi a nechat výchozí heslo ke správě, takže každý, kdo se do sítě jednou dostane, může nastavení změnit. Jak domácí síť zapadá do celkového obrazu, popisuje přehled o soukromí na internetu, a čím se liší od sítí, které nespravujete, text o veřejné Wi-Fi v kavárnách a hotelech.

Zdroje

• Specifikace zabezpečení WPA3, Wi-Fi Alliance
• Doporučení pro zabezpečení domácího routeru, Národní úřad pro kybernetickou a informační bezpečnost
• Projekt Turris a doporučení k bezpečnosti domácích sítí, sdružení CZ.NIC
• Securing Wireless Networks, Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury USA (CISA)