Moduuli 5 · 5.3
Wifi, etätyö ja matkalla
Moduuli 5: Laitteet, ohjelmistot ja verkko · Lukuaika: 11 minuuttia
Oppimistavoite: Tämän oppitunnin jälkeen osaat suojata toimiston ja kodin wifin, erottaa älylaitteet ja vieraat yritysverkosta sekä työskennellä turvallisesti matkalla, mukaan lukien sen, mitä VPN tekee ja mitä se ei tee.
Keskeiset käsitteet: reititin, ylläpitäjän salasana, WPA2, WPA3, SAE, siirtymätila, WPS, UPnP, vierasverkko, julkinen wifi, väärennetty tukiasema, https, VPN, puhelimen mobiilitukiasema
Reititin on etuovesi
Kaikki, mikä yhdistää toimistosi tai kotitoimistosi internetiin, kulkee reitittimen kautta (usein samassa laatikossa operaattorisi modeemin kanssa). Se tekee kolme asiaa: se yhdistää verkkosi internetiin, se estää ulkopuolelta tulevan liikenteen jota et ole pyytänyt (palomuuri), ja useimmiten se myös lähettää wifi-verkkoa.
Reititintä harvoin katsotaan sen jälkeen, kun asentaja on lähtenyt. Siksi siinä on usein edelleen tehdasasetukset. Neljä asiaa hoidettavaksi heti:
- Vaihda ylläpitäjän salasana. Se on reitittimen asetussivun salasana, ei wifi-salasana. Oletussalasanat ovat usein tunnettuja merkeittäin tai sarjoittain. Käytä pitkää, uniikkia salasanaa salasanojen hallintaohjelmastasi.
- Poista etäkäyttö hallintapaneeliin käytöstä, ellei operaattorisi todella tarvitse sitä. Silloin asetussivu on tavoitettavissa vain omasta verkostasi.
- Poista UPnP käytöstä, jos et tarvitse sitä. UPnP:n avulla mikä tahansa verkkosi laite voi avata itse portin palomuurissa, myös haavoittuva kamera. Alankomaiden NCSC suosittelee sen poistamista käytöstä.
- Päivitä laiteohjelmisto tai varmista, että operaattori tekee sen automaattisesti (oppitunti 5.1). Jos reitittimesi ei enää saa päivityksiä, vaihda se uuteen.
WPA2 ja WPA3: miten wifisi on salattu
Wifi kulkee ilmassa. Kuka tahansa lähistöllä voi vastaanottaa signaalit. Siksi se salataan. Standardia hallinnoi Wi-Fi Alliance.
| Taso | Arvio | Selitys |
|---|---|---|
| Avoin (ei salasanaa) | Ei yrityksellesi | Kuka tahansa voi liittyä ja ilman https:ää lukea mukana. |
| WEP, WPA (ensimmäinen), TKIP | Turvaton | Vanhentunut ja murrettu. Jos näet tämän, vaihda reititin tai muuta asetusta. |
| WPA2-Personal (AES) | Riittävä, pitkällä salasanalla | Se, joka sieppaa yhden laitteen yhteyden, voi sen jälkeen kotonaan, ilman että pysyy lähistöllä, jatkaa salasanojen arvaamista loputtomiin. Lyhyt tai arvattava wifi-salasana murtuu silloin nopeasti. |
| WPA3-Personal | Paras valinta | Käyttää SAE-protokollaa vanhan jaetun avaimen järjestelmän sijaan. Wi-Fi Alliancen mukaan hyökkääjä ei voi enää kokeilla salasanoja offline-tilassa: jokainen arvaus vaatii uuden yrityksen reitittimeltä itseltään. Ja vaikka joku myöhemmin saisi selville salasanan, hän ei voi purkaa aiemmin siepattua liikennettä (forward secrecy). |
| WPA2/WPA3 siirtymätila | Hyvä välivaihe | Uudet laitteet yhdistyvät WPA3:lla, vanhemmat WPA2:lla. Kätevä niin kauan kuin sinulla on vielä vanhoja laitteita; ne saavat tällöin kuitenkin vain WPA2:n suojan. |
Wi-Fi Alliancen mukaan WPA3 on pakollinen laitteille, joilla on Wi-Fi CERTIFIED -sertifikaatti, joten lähes jokainen uusi reititin ja puhelin tukee sitä. Valitse WPA3, jos kaikki laitteesi tukevat sitä, muuten siirtymätila.
Käytä kaikissa tapauksissa pitkää wifi-salasanaa, esimerkiksi neljän tai viiden irrallisen sanan salauslausetta (oppitunti 2.1). Se on joka tapauksessa tallennettuna laitteisiisi; sinun tarvitsee kirjoittaa se harvoin.
WPS (Wi-Fi Protected Setup) on painike tai pin-koodi, jolla laitteet yhdistetään helposti. Pin-koodi-vaihtoehdossa on tunnettu suunnitteluvirhe: reitittimen vastaustavan vuoksi hyökkääjän ei tarvitse kokeilla sataa miljoonaa vaan noin yksitoistatuhatta yhdistelmää, minkä jälkeen hän löytää wifi-salasanan (CERT/CC, 2011). Poista WPS käytöstä, jos reitittimesi sallii sen.
Vierasverkko: eri asioiden erottaminen toisistaan
Pienessä toimistossa on nopeasti hyvin eri luotettavuustason laitteita samassa verkossa: kirjanpidon kannettavat, asiakastietoja sisältävä NAS, mutta myös vierailijoiden puhelimet, odotustilan älytelevisio, termostaatti ja muutama kamera. Jos ne kaikki ovat samassa verkossa, hakkeroitu kamera voi puhua suoraan NAS:n kanssa.
Siksi luot vierasverkon: toisen wifi-verkon, jolla on oma nimi ja salasana, joka tarjoaa internetin mutta ei pääsyä pääverkkosi laitteisiin. Lähes jokainen reititin osaa tämän. Laita sinne:
- vierailijat ja heidän puhelimensa;
- älylaitteet: televisio, termostaatti, ovikello, kaiutin ja mahdollisuuksien mukaan kamerat. Alankomaiden NCSC suosittelee tätä nimenomaisesti;
- työntekijöiden henkilökohtaiset laitteet, jos ne eivät tarvitse pääsyä yritystietoihin.
Tarkista asetuksen teon jälkeen, että se toimii: vierasverkossa olevalta puhelimelta ei saa löytää tulostinta tai NAS:ia.
Etätyö
Kotona työskentelet verkossa, jota et hallitse yrityksenä, usein yhdessä perheenjäsenten, pelikonsolin ja naapurin älykaiuttimen kanssa verkkoluettelossasi. Sopikaa tiimisi kanssa:
- kotireititin saa saman perushoidon: oma ylläpitäjän salasana, WPA2 tai WPA3 pitkällä salasanalla, laiteohjelmisto päivitettynä;
- työkannettava on työtä varten: lapset tai perheenjäsenet eivät saa käyttää sitä, ja se lukitaan kun poistut paikalta (oppitunti 5.2);
- päivitykset jatkuvat myös kotona. Kannettava, joka ei ole käynyt toimistolla viikkoihin, saattaa jäädä paitsi keskitetysti hallinnoiduista päivityksistä. Tarkista tämä;
- pääsy yritysjärjestelmiin tapahtuu turvallisen yhteyden kautta: pilvipalvelu https:llä ja kaksivaiheisella tunnistautumisella, tai VPN toimistoon. Älä koskaan avaa porttia vain "nopeasti" päästäksesi kotoa NAS:iin.
Matkalla: julkinen wifi
Hotellissa, junassa tai kahvilassa et tiedä kuka hallinnoi verkkoa. Suurin riski on väärennetty tukiasema: hyökkääjä perustaa verkon, jolla on sama nimi kuin oikealla, esimerkiksi "Hotel-Gasten". Puhelimesi yhdistää automaattisesti, ja kaikki liikenteesi kulkee hänen laitteensa kautta.
Onneksi suurin osa liikenteestä kulkee nykyään https:n kautta (oppitunti 4.2) ja sähköposti salattujen yhteyksien kautta. Hyökkääjä näkee silloin kyllä, mitä sivustoja vierailet, mutta ei mitä kirjoitat. Riskejä on silti: kirjautumissivu, joka ohjaa sinut väärennetylle sivustolle, ilmoitus "asenna tämä sertifikaatti", tai vanhat sovellukset, jotka eivät salaa.
Alankomaiden NCSC suosittelee:
- käytä mieluummin mobiilidataa tai oman puhelimesi tukiasemaa kuin julkista wifiä;
- älä anna laitteesi yhdistää automaattisesti wifi-verkkoihin;
- älä hoida pankkiasioita tai luottamuksellista työtä julkisessa wifissä, äläkä lataa tai asenna siellä mitään;
- poista tiedostonjako käytöstä ja kirjaudu ulos kun olet valmis.
Jos saat julkisessa wifissä sertifikaattivaroituksen hyvin tuntemallasi sivustolla, älä jatka. Se on juuri se merkki, että joku seuraa mukana.
Mitä VPN tekee ja mitä se ei tee
Sanaa VPN käytetään kahdesta eri asiasta. Yrityksen VPN yhdistää kannettavasi salatusti toimistosi verkkoon, jotta pääset ulkopuolelta käsiksi NAS:iin tai kirjanpito-ohjelmaan. Kaupallinen VPN-palvelu lähettää kaiken internetliikenteesi salattuna palveluntarjoajan palvelimelle, joka lähettää sen sitten eteenpäin internetiin.
| VPN tekee | VPN ei tee |
|---|---|
| Salaa liikenteesi laitteesi ja VPN-palvelimen välillä, jotta paikallinen (wifi-)verkko ei voi nähdä sitä | Suojaa sinua tietojenkalastelulta: väärennetty sivusto on VPN:n kautta yhtä väärennetty |
| Antaa sinulle turvallisen pääsyn toimistoverkkoon (yrityksen VPN) | Pysäytä haittaohjelmaa tai puhdista tartunnan saaneen kannettavan |
| Piilottaa IP-osoitteesi sivustoilta, joilla vierailet | Tee sinusta anonyymin: kirjautuminen palveluun paljastaa edelleen kuka olet |
| Poista luottamuksen tarvetta: VPN-palveluntarjoaja näkee nyt sen, minkä hotellin verkko näki aiemmin |
VPN siis siirtää kohdan, johon sinun täytyy luottaa. Tuntemattomassa verkossa tästä voi olla hyötyä. Omassa kotiverkossasi https-sivustoilla kaupallinen VPN ei tuo turvallisuuteen juurikaan lisäarvoa.
Ja huomaa: toimistosi VPN-palvelin on itsekin reunalaite, joka on tavoitettavissa internetistä. Vanhentuneet VPN-palvelimet ovat tunnettu kiristyshaittaohjelmien sisäänpääsyreitti (oppitunti 1.3). Päivitä se, ota kaksivaiheinen tunnistautuminen käyttöön ja sammuta se kun et käytä sitä.
Käytännössä: näin se näyttää
Myös sähköpostisi kulkee matkalla verkon kautta. Aseta siis sähköpostiohjelmasi käyttämään salattuja yhteyksiä. WebOkéssa nämä ovat esimerkiksi IMAP portissa 993 SSL/TLS:llä ja SMTP portissa 587 STARTTLS:llä (tai 465 SSL/TLS:llä); muilla palveluntarjoajilla portit ovat yleensä samat. Jos sähköpostiohjelmassasi lukee "ei suojausta" tai portti 143 tai 25 ilman salausta, muuta se.
Yhteenveto
- Anna reitittimellesi oma ylläpitäjän salasana, poista etäkäyttö, UPnP ja WPS käytöstä ja päivitä laiteohjelmisto.
- Valitse WPA3 tai siirtymätila WPA2/WPA3 pitkällä wifi-salasanalla. Ei koskaan WEP, WPA tai TKIP.
- Laita vierailijat ja älylaitteet vierasverkkoon, erillään työlaitteistasi.
- Matkalla: mieluummin mobiilidata tai oma tukiasema, älä yhdistä automaattisesti ja pysähdy sertifikaattivaroituksen kohdalla.
- VPN salaa osuuden VPN-palvelimelle asti, mutta ei suojaa tietojenkalastelulta tai haittaohjelmilta eikä tee sinusta anonyymia.
Tietovisa (quiz)
Tehtävä
Tehtävä D5.3: Reitittimen ja wifin tarkistus. Kirjaudu reitittimesi asetussivulle (kotona tai toimistossa). Tarkista ylläpitäjän salasana, salaus, WPS, UPnP, etäkäyttö, laiteohjelmisto ja vierasverkko. Rastita tarkistuslista, testaa vierasverkko ja vastaa pohdintakysymyksiin.
Tehtävä D5.3: Reitittimen ja wifin tarkistus
Näin se tehdään: (1) Kirjaudu reitittimen asetussivulle (osoite ja ensimmäinen salasana löytyvät käyttöohjeesta tai tarrasta) tai operaattorisi sovellukseen. Jos kyseessä on operaattorin reititin, tarkista mitä asetuksia saat itse muuttaa. (2) Vaihda hallintasalasana pitkäksi, uniikiksi salasanaksi salasanojen hallintaohjelmastasi. (3) Tarkista wifin salaus: WPA3, tai WPA2/WPA3-siirtymätila jos sinulla on vanhempia laitteita; ei koskaan WEP, WPA tai TKIP. Aseta pitkä wifi-salasana (salasanalause). (4) Kytke WPS, UPnP ja etähallinta pois päältä, jos et niitä tarvitse. (5) Tarkista, että laiteohjelmisto on ajan tasalla ja päivittyy automaattisesti. (6) Luo vierasverkko ja siirrä sinne vieraat ja älylaitteet (televisio, termostaatti, kaiutin, kamerat mahdollisuuksien mukaan). (7) Testaa vierasverkko: yhdistä puhelin vierasverkkoon ja yritä löytää tulostin, NAS tai jaettu kansio. Sen ei pitäisi onnistua. (8) Tarkista reitittimesi yhdistettyjen laitteiden lista. Jos et tunnista jotain laitetta, selvitä mikä se on. (9) Tarkista sähköpostiohjelmasi läppärissä ja puhelimessa: saapuva ja lähtevä liikenne SSL/TLS- tai STARTTLS-suojattuna (esimerkiksi IMAP 993, SMTP 587 tai 465).
Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.
Lue lisää
WebOké-artikkeleiden vaiheet pätevät WebOkén ympäristössä; muilla palveluntarjoajilla toiminta on vastaavaa.
- DirectAdmin-ohje 8.1: Kaikki asetukset yhdessä paikassa: palvelimet, portit ja suojaus
- Alankomaiden NCSC, Wifi-tukiasemat: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Alankomaiden NCSC, Älylaitteiden perussuojaustoimenpiteet: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Alankomaiden NCSC, 6 huomioitavaa asiaa etätyössä: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, wifin suojaus (englanniksi): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, WPS:n heikkous (englanniksi): https://www.kb.cert.org/vuls/id/723755