Modul 5 · 5.3
Wifi, hjemmearbejde og på farten
Modul 5: Enheder, software og netværk · Læsetid: 11 minutter
Læringsmål: Efter denne lektion kan du indrette wifi på kontoret og hjemme sikkert, adskille smarte enheder og gæster fra dit arbejdsnetværk, og arbejde sikkert på farten, herunder hvad en VPN rent faktisk gør og ikke gør for dig.
Nøglebegreber: router, administratoradgangskode, WPA2, WPA3, SAE, overgangstilstand, WPS, UPnP, gæstenetværk, offentlig wifi, falsk hotspot, https, VPN, hotspot fra din telefon
Routeren er din hoveddør
Alt der forbinder dit kontor eller din hjemmearbejdsplads til internettet, går gennem routeren (ofte i samme boks som din udbyders modem). Den gør tre ting: den forbinder dit netværk til internettet, den stopper trafik udefra som du ikke har bedt om (firewallen), og den udsender som regel også wifi-netværket.
En router bliver sjældent tjekket efter at teknikeren er gået igen. Derfor står der ofte stadig fabriksindstillinger på. Fire ting du bør ordne med det samme:
- Skift administratoradgangskoden. Det er adgangskoden til routerens indstillingsside, ikke wifi-adgangskoden. Standardadgangskoder er ofte kendt pr. mærke eller serie. Brug en lang, unik adgangskode fra din adgangskodeadministrator.
- Slå administration udefra fra, medmindre din udbyder virkelig har brug for det. Så kan indstillingssiden kun tilgås fra dit eget netværk.
- Slå UPnP fra hvis du ikke har brug for det. Med UPnP kan enhver enhed i dit netværk selv åbne en port i firewallen, også et kamera med et sikkerhedshul. Det nederlandske NCSC anbefaler at slå det fra.
- Opdater firmwaren eller kontrollér at udbyderen gør det automatisk (lektion 5.1). Får din router ikke flere opdateringer, så udskift den.
WPA2 og WPA3: sådan er din wifi krypteret
Wifi sendes gennem luften. Alle i nærheden kan opfange signalerne. Derfor bliver det krypteret. Standarden styres af Wi-Fi Alliance.
| Tilstand | Vurdering | Forklaring |
|---|---|---|
| Åben (ingen adgangskode) | Ikke til din virksomhed | Alle kan deltage og, uden https, læse med. |
| WEP, WPA (den første), TKIP | Usikkert | Forældet og knækket. Ser du dette, skift routeren ud eller ændr indstillingen. |
| WPA2-Personal (AES) | Tilstrækkeligt, med en lang adgangskode | Den der opfanger forbindelsen fra én enhed, kan bagefter hjemmefra, uden at blive i nærheden, blive ved med at prøve adgangskoder i det uendelige. En kort eller forudsigelig wifi-adgangskode falder så hurtigt. |
| WPA3-Personal | Bedste valg | Bruger SAE i stedet for det gamle system med delt nøgle. Ifølge Wi-Fi Alliance kan en angriber så ikke længere prøve adgangskoder offline: hvert gæt koster et nyt forsøg hos selve routeren. Og selv hvis nogen senere kender adgangskoden, kan vedkommende ikke dekryptere tidligere opsnappet trafik (forward secrecy). |
| WPA2/WPA3 overgangstilstand | Godt som mellemtrin | Nye enheder forbinder med WPA3, ældre med WPA2. Praktisk så længe du stadig har gamle enheder; de får så kun beskyttelsen fra WPA2. |
WPA3 er ifølge Wi-Fi Alliance obligatorisk for enheder med certifikatet Wi-Fi CERTIFIED, så næsten enhver ny router og telefon understøtter det. Vælg WPA3 hvis alle dine enheder understøtter det, ellers overgangstilstanden.
Brug under alle omstændigheder en lang wifi-adgangskode, for eksempel en adgangskodesætning med fire eller fem løse ord (lektion 2.1). Den står alligevel gemt i dine enheder; du skal sjældent skrive den.
WPS (Wi-Fi Protected Setup) er en knap eller pinkode til nemt at parre enheder. Pinkode-varianten har en kendt designfejl: på grund af måden routeren svarer på, behøver en angriber ikke hundrede millioner men cirka elleve tusind kombinationer, og finder derefter wifi-adgangskoden (CERT/CC, 2011). Slå WPS fra hvis din router tillader det.
Gæstenetværk: adskil det der ikke hører sammen
Et lille kontor har hurtigt enheder af meget forskellig pålidelighed på det samme netværk: bærbare med bogføringen, NAS'en med kundesager, men også besøgendes telefoner, et smart-tv i venteværelset, en termostat og et par kameraer. Sidder de alle på ét netværk, kan et hacket kamera tale direkte med NAS'en.
Derfor opretter du et gæstenetværk: et andet wifi-netværk med eget navn og adgangskode, der giver internet men ikke adgang til enhederne i dit hovednetværk. Næsten enhver router kan det. Sæt derpå:
- besøgende og deres telefoner;
- smarte enheder: tv, termostat, dørklokke, højttaler, og hvor muligt kameraer. Det nederlandske NCSC anbefaler dette udtrykkeligt;
- private enheder fra medarbejdere, hvis de ikke har brug for adgang til virksomhedsdata.
Kontrollér efter opsætningen at det virker: fra en telefon på gæstenetværket må du ikke kunne finde printeren eller NAS'en.
Hjemmearbejde
Hjemme arbejder du på et netværk du ikke administrerer som virksomhed, ofte sammen med familiemedlemmer, en spillekonsol og naboens smarte højttaler på listen over netværk. Aftal med dit team:
- hjemmeroteren får samme grundbehandling: egen administratoradgangskode, WPA2 eller WPA3 med en lang adgangskode, opdateret firmware;
- den bærbare arbejdscomputer er til arbejde: må ikke bruges af børn eller husstandsmedlemmer, og lås den når du går fra den (lektion 5.2);
- opdateringer fortsætter også hjemme. En bærbar der i ugevis ikke er på kontoret, går nogle gange glip af opdateringer der styres centralt. Kontrollér det;
- adgang til virksomhedssystemer sker via en sikker forbindelse: en skytjeneste med https og totrinsbekræftelse, eller en VPN til kontoret. Åbn aldrig bare en port for at kunne tilgå NAS'en hjemmefra "lige hurtigt".
På farten: offentlig wifi
På et hotel, i toget eller en café ved du ikke hvem der administrerer netværket. Den største risiko er et falsk hotspot: en angriber opretter et netværk med samme navn som det rigtige, for eksempel "Hotel-Gæster". Din telefon forbinder automatisk, og al din trafik går via vedkommendes enhed.
Heldigvis går det meste trafik i dag via https (lektion 4.2) og mail via krypterede forbindelser. Angriberen kan så se hvilke sider du besøger, men ikke hvad du indtaster. Alligevel er der stadig risici: en login-side der sender dig til en falsk side, en besked "installer dette certifikat", eller gamle apps der ikke krypterer.
Det nederlandske NCSC råder:
- brug hellere mobildata eller hotspot fra din egen telefon end offentlig wifi;
- lad din enhed ikke forbinde automatisk til wifi-netværk;
- lav ikke bankforretninger eller fortroligt arbejde på offentlig wifi, og download eller installer intet der;
- slå fildeling fra og log ud når du er færdig.
Får du på offentlig wifi en certifikatadvarsel på en side du kender godt, så fortsæt ikke. Det er netop signalet om at nogen kigger med.
Hvad en VPN gør og ikke gør
Ordet VPN bruges om to forskellige ting. En erhvervs-VPN forbinder din bærbare krypteret til kontorets netværk, så du udefra kan tilgå NAS'en eller bogføringsprogrammet. En kommerciel VPN-tjeneste sender al din internettrafik krypteret til en udbyders server, som derefter sender den videre ud på internettet.
| En VPN gør | En VPN gør ikke |
|---|---|
| Kryptere din trafik mellem din enhed og VPN-serveren, så det lokale (wifi-)netværk ikke kan kigge med | Beskytte dig mod phishing: en falsk side er lige så falsk via en VPN |
| Give dig sikker adgang til kontorets netværk (erhvervs-VPN) | Stoppe malware eller rense en inficeret bærbar |
| Skjule din IP-adresse for de sider du besøger | Gøre dig anonym: at logge ind på en tjeneste afslører stadig hvem du er |
| Fjerne tilliden: VPN-udbyderen kan nu se det hotelnetværket før kunne se |
En VPN flytter altså det punkt hvor du skal have tillid. På et ukendt netværk kan det give mening. På dit eget hjemmenetværk med https-sider tilføjer en kommerciel VPN kun lidt sikkerhedsmæssigt.
Og bemærk: en VPN-server på dit kontor er selv en enhed der kan tilgås fra internettet. Forældede VPN-servere er en kendt indgang for ransomware (lektion 1.3). Opdater den, slå totrinsbekræftelse til, og sluk den når du ikke bruger den.
I praksis: sådan ser det ud
Også din mail går undervejs over netværket. Indstil derfor dit mailprogram med krypterede forbindelser. Hos WebOké er det for eksempel IMAP på port 993 med SSL/TLS og SMTP på port 587 med STARTTLS (eller 465 med SSL/TLS); hos andre udbydere er portene som regel de samme. Står der i dit mailprogram "ingen sikkerhed" eller port 143 eller 25 uden kryptering, så ret det.
Opsummering
- Giv din router en egen administratoradgangskode, slå administration udefra, UPnP og WPS fra, og opdater firmwaren.
- Vælg WPA3, eller overgangstilstanden WPA2/WPA3, med en lang wifi-adgangskode. Aldrig WEP, WPA eller TKIP.
- Sæt besøgende og smarte enheder på et gæstenetværk, adskilt fra dine arbejdsenheder.
- På farten: foretræk mobildata eller din egen hotspot, forbind ikke automatisk, og stop ved en certifikatadvarsel.
- En VPN krypterer stykket frem til VPN-serveren, men beskytter ikke mod phishing eller malware og gør dig ikke anonym.
Quiz
Opgave
Opgave D5.3: Gennemgå din router og wifi. Log ind på indstillingssiden for din router (hjemme eller på kontoret). Kontrollér administratoradgangskoden, krypteringen, WPS, UPnP, administration udefra, firmwaren og gæstenetværket. Afkryds tjeklisten, test gæstenetværket og besvar refleksionsspørgsmålene.
Opgave D5.3: Gennemgå din router og wifi
Sådan gør du: (1) Log ind på routerens indstillingsside (adresse og første adgangskode står i manualen eller på mærkaten) eller i din udbyders app. Er det en router fra din udbyder, så find ud af hvilke indstillinger du selv må ændre. (2) Ændr administratoradgangskoden til en lang, unik adgangskode fra din adgangskodeadministrator. (3) Kontrollér wifi-krypteringen: WPA3, eller WPA2/WPA3-overgangstilstand hvis du har ældre enheder; aldrig WEP, WPA eller TKIP. Sæt en lang wifi-adgangskode (adgangskodesætning). (4) Slå WPS, UPnP og fjernadministration fra, hvis du ikke har brug for dem. (5) Kontrollér om firmwaren er opdateret og opdaterer automatisk. (6) Opret et gæstenetværk, og læg gæster og smarte enheder (tv, termostat, højttaler, kameraer hvor det er muligt) på det. (7) Test gæstenetværket: forbind en telefon til gæstenetværket, og prøv at finde printeren, NAS'en eller en delt mappe. Det må ikke lykkes. (8) Tjek listen over tilsluttede enheder i din router. Kender du ikke en enhed, så find ud af hvad det er. (9) Kontrollér dit mailprogram på bærbar og telefon: indgående og udgående med SSL/TLS eller STARTTLS (fx IMAP 993, SMTP 587 eller 465).
Dine afkrydsninger og noter forbliver kun i denne browser; vi sender dem ingen steder hen. Er du logget ind, gemmer vi kun i Mine kurser, at du har udført opgaven.
Læs mere
Trinnene i WebOké-artiklerne gælder for WebOkés miljø; hos andre udbydere fungerer det tilsvarende.
- DirectAdmin vejledning 8.1: Alle indstillinger samlet: servere, porte og sikkerhed
- Det nederlandske NCSC, Wifi-hotspots (nederlandsk): https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Det nederlandske NCSC, grundlæggende sikkerhedsforanstaltninger for smarte enheder (nederlandsk): https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Det nederlandske NCSC, 6 opmærksomhedspunkter for hjemmearbejde (nederlandsk): https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, sikkerhed i wifi (engelsk): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, svagheden i WPS (engelsk): https://www.kb.cert.org/vuls/id/723755