Jak zabezpieczyć sieć wifi przed nieautoryzowanym dostępem?

Bezpieczeństwo sieci WiFi zaczyna się od routera, bo to on oddziela domowe urządzenia od internetu. Samo silne hasło nie wystarczy. Trzeba zabezpieczyć panel administracyjny, użyć aktualnego szyfrowania, odizolować urządzenia IoT i regularnie sprawdzać, co dzieje się w sieci.

1. Zabezpiecz dostęp do routera

Najpierw zmień dwa różne hasła: hasło do sieci WiFi oraz hasło do panelu administracyjnego routera. Nie powinny być identyczne ani podobne. Hasło WiFi może być długą frazą, której nie da się łatwo powiązać z domownikami, adresem lub nazwą zwierzęcia. Hasło administratora powinno być unikalne i nieużywane w żadnej innej usłudze.

Jeżeli router pozwala zmienić domyślny login administratora, zrób to. Ogranicza to skuteczność automatycznych prób logowania, choć nie zastępuje silnego hasła. Sprawdź też, czy w panelu nie pozostały domyślne dane zapisane na naklejce lub w instrukcji.

W ustawieniach znajdź funkcję nazywaną zwykle Remote Management, WAN Management albo zdalnym dostępem do administracji. Jeśli nie musisz zarządzać routerem spoza domu, wyłącz ją. Włączenie panelu administracyjnego od strony internetu wystawia go na ciągłe próby logowania i zwiększa skutki ewentualnej luki w oprogramowaniu.

Ostrzeżenie: zdalne zarządzanie nie jest tym samym co bezpieczne połączenie VPN do własnej sieci. Jeśli rzeczywiście potrzebujesz dostępu zdalnego, lepiej użyć rozwiązania wymagającego uwierzytelnienia i ograniczenia dostępu, a nie otwartego panelu administracyjnego dostępnego z całego internetu.

2. Wybierz właściwy standard szyfrowania

W ustawieniach WiFi zwróć uwagę na protokół zabezpieczeń, a nie tylko na oznaczenie WiFi 5 lub WiFi 6. Te nazwy opisują głównie możliwości radiowe, takie jak szybkość i wydajność. O ochronie dostępu decyduje między innymi WPA2 lub WPA3.

Ustaw WPA3-Personal, jeśli wszystkie ważne urządzenia go obsługują. Gdy starszy telewizor, drukarka lub urządzenie IoT nie może się połączyć, wybierz tryb mieszany WPA2/WPA3. Jest to rozsądny kompromis kompatybilności, ale nie ideał. Urządzenia korzystające z WPA2 pozostają chronione na poziomie WPA2, a nie WPA3.

Jeżeli router pokazuje wybór algorytmu szyfrowania, wybierz AES. Unikaj trybów opartych na TKIP oraz ustawień zawierających WEP. Nie obniżaj poziomu ochrony dla całej sieci tylko dlatego, że jedno stare urządzenie nie działa. Lepszym rozwiązaniem jest podłączenie go do osobnej sieci IoT lub wymiana sprzętu.

Uwaga ekspercka: WPA2 i WPA3 nie sprawiają, że sieć staje się niewidzialna ani całkowicie odporna na ataki. Ich zadaniem jest ochrona uwierzytelnienia i transmisji danych radiowych. Dlatego standard szyfrowania musi działać razem z aktualnym firmware, silnym hasłem i ograniczeniem dostępu administracyjnego.

3. Aktualizuj firmware routera

Router działa dzięki oprogramowaniu układowemu, czyli firmware. W nim mogą znajdować się błędy i luki bezpieczeństwa, dlatego aktualizacje są równie ważne jak w telefonie czy komputerze. Zaloguj się do panelu administracyjnego i sprawdź dostępność nowej wersji.

Jeśli producent oferuje automatyczne aktualizacje, włącz je, o ile możesz zaakceptować krótkie przerwy w działaniu sieci. W przeciwnym razie ustaw przypomnienie i sprawdzaj firmware regularnie, na przykład raz w miesiącu. Przed instalacją upewnij się, że pobierasz plik z oficjalnej strony producenta i że model urządzenia zgadza się z wersją oprogramowania.

Przy wyborze nowego routera sprawdź nie tylko szybkość i zasięg, ale też historię wsparcia producenta. Sprzęt, który po kilku latach nie otrzymuje poprawek, może stać się słabym punktem całej sieci. W niektórych modelach alternatywą bywa OpenWrt, ale instalację trzeba poprzedzić sprawdzeniem zgodności sprzętu i funkcji, których potrzebujesz.

4. Odseparuj gości i urządzenia IoT

Sieć gościnna nie służy wyłącznie do wygodnego podawania hasła odwiedzającym. Jej najważniejszą funkcją jest izolacja. W zależności od routera może być zrealizowana jako Guest Network albo przez VLAN. Urządzenia w tej sieci powinny mieć dostęp do internetu, ale nie do laptopów, serwerów, drukarek i innych sprzętów w sieci głównej.

Ten sam mechanizm dobrze sprawdza się dla urządzeń IoT. Kamerka, inteligentny głośnik czy robot sprzątający często wymagają dostępu do internetu, ale nie powinny widzieć komputera z dokumentami. Jeśli jedno z takich urządzeń zostanie przejęte, segmentacja ograniczy możliwość przemieszczania się atakującego po sieci.

Wydzielenie osobnej sieci ma sens szczególnie dla:

• kamer, telewizorów i inteligentnych głośników
• sprzętu gości, którego stanu bezpieczeństwa nie możesz zweryfikować
• starszych urządzeń, które nie obsługują WPA3 lub nie otrzymują już aktualizacji

Po utworzeniu sieci sprawdź opcję izolacji klientów. Sama dodatkowa nazwa WiFi nie zawsze wystarczy, ponieważ niektóre routery pozwalają urządzeniom z sieci gościnnej komunikować się z siecią główną.

5. Ogranicz funkcje zwiększające wygodę

Wyłącz WPS

WPS ułatwia dodawanie urządzeń przez przycisk lub kod PIN, ale wariant PIN może być podatny na próby odgadnięcia. Jeśli nie potrzebujesz tej funkcji, wyłącz ją całkowicie, a nowe urządzenia podłączaj przy użyciu hasła WiFi.

Wyłącz UPnP i przejrzyj przekierowania portów

UPnP pozwala urządzeniom automatycznie tworzyć przekierowania portów. Jest wygodne dla części gier i aplikacji, ale może otworzyć dostęp z internetu bez świadomej decyzji użytkownika. Wyłącz UPnP, jeśli nie jest potrzebne, a w panelu sprawdź listę istniejących reguł port forwarding.

Usuń wpisy, których nie rozpoznajesz. Jeżeli konkretna usługa wymaga dostępu z internetu, utwórz tylko niezbędne przekierowanie i zabezpiecz samą usługę. Nie wystawiaj bez potrzeby paneli administracyjnych, kamer ani urządzeń IoT.

Skonfiguruj bezpieczny DNS

DNS tłumaczy nazwy domen na adresy IP. Serwer z filtrowaniem zagrożeń może blokować część domen związanych ze złośliwym oprogramowaniem, zanim urządzenie spróbuje nawiązać połączenie. Przykładem jest Cloudflare Malware Protection z adresami 1.1.1.2 i 1.0.0.2. Inną usługą nastawioną na blokowanie znanych zagrożeń jest Quad9, dostępny pod adresami 9.9.9.9 i 149.112.112.112.

DNS nie zastępuje programu antywirusowego ani aktualizacji. Jest dodatkową warstwą ochrony, a jego działanie zależy od jakości baz zagrożeń. Jeśli router obsługuje DNS over HTTPS lub DNS over TLS, możesz włączyć szyfrowanie zapytań DNS, o ile nie utrudni to lokalnego rozwiązywania nazw i diagnostyki sieci.

6. Sprawdź, czy ktoś nie korzysta z sieci

Zaloguj się do panelu routera i otwórz listę klientów, tabelę DHCP albo sekcję podłączonych urządzeń. Porównaj ją z własnym sprzętem. Telefony mogą pojawiać się pod techniczną nazwą, a współczesne systemy potrafią używać prywatnych, losowych adresów MAC, dlatego nieznana nazwa nie zawsze oznacza intruza.

Niepokój powinny wzbudzić przede wszystkim:

• urządzenia, których nikt w domu nie rozpoznaje
• nieoczekiwane logowania do panelu administracyjnego
• nowe przekierowania portów, których nie tworzono ręcznie
• nagłe spowolnienia lub nietypowe obciążenie łącza bez znanej przyczyny

Jeśli podejrzewasz nieautoryzowany dostęp, zmień hasło WiFi i hasło administratora, odłącz nieznane urządzenia oraz zaktualizuj firmware. Następnie sprawdź logi routera. Przy powtarzających się podejrzanych wpisach pomocna może być konsultacja z administratorem sieci lub specjalistą.

Filtrowanie adresów MAC może utrudnić dostęp przypadkowemu użytkownikowi, ale nie jest pełnoprawnym zabezpieczeniem. Adres MAC można podrobić, a część urządzeń korzysta z losowania tego identyfikatora. Traktuj tę funkcję jako dodatkowe ograniczenie, nigdy jako zamiennik WPA2 lub WPA3.

7. Utrzymuj ochronę w dłuższym terminie

Konfiguracja routera nie kończy się w dniu instalacji. Raz na kwartał wykonaj krótki przegląd ustawień i urządzeń:

• sprawdź dostępność aktualizacji firmware routera
• przejrzyj listę klientów DHCP i usuń nieużywane urządzenia
• sprawdź logi, przekierowania portów oraz stan UPnP
• zmień hasła, jeśli mogły zostać ujawnione lub udostępnione zbyt wielu osobom
• zweryfikuj, czy sieć gościnna i IoT nadal izolują urządzenia od sieci głównej

Nie ma potrzeby zmieniać silnego hasła według sztywnego kalendarza, jeśli nie ma oznak wycieku. Trzeba je zmienić natychmiast po podejrzeniu nieautoryzowanego dostępu, zgubieniu urządzenia z zapisanym hasłem albo udostępnieniu go osobie, której nie chcesz już wpuszczać do sieci.

Ukrywanie SSID nie zastępuje szyfrowania, ponieważ sieć nadal może zostać wykryta przez narzędzia analizujące ruch radiowy. Podobnie zmniejszenie mocy nadajnika ogranicza zasięg, lecz nie chroni przed atakiem w miejscu, w którym sygnał pozostaje dostępny. Największą różnicę daje połączenie kilku warstw: WPA3 lub WPA2 z AES, unikalne hasła, wyłączone WPS i zdalne zarządzanie, aktualny firmware oraz segmentacja urządzeń.