Защищаем домашний Wi-Fi, шаг за шагом

Защита домашнего Wi-Fi в основном сводится к пяти настройкам роутера: включить шифрование WPA3 (или WPA2), задать длинный пароль от сети, сменить логин администратора роутера, обновить прошивку и вынести умные устройства в отдельную сеть. Сделайте это, и вы закроете бреши, которые действительно используют злоумышленники. Дальше в статье разбираем каждый пункт, плюс мелкие улучшения, которые стоит сделать, и несколько популярных советов, на которые не стоит тратить время.

Почему домашний Wi-Fi стоит закрыть на замок

Любой, кто подключён к вашей основной сети Wi-Fi, обычно может достучаться до других устройств в ней: до ноутбука, телефона, принтера, любых общих папок. Это большой кредит доверия тому, кто угадал пароль. Большая часть веб-трафика зашифрована по HTTPS, поэтому тот, кто подслушивает трафик, не сможет просто его прочитать. Но он всё равно видит, к каким сайтам и сервисам обращаются ваши устройства, может сканировать их в поисках открытых портов и слабых паролей и открывать админ-панели, которые должны быть доступны только из дома. В открытой сети или сети с WEP читается и весь трафик, который не зашифрован сам по себе.

Отдельная история — сам роутер. Это небольшой компьютер, который работает круглосуточно, часто на прошивке многолетней давности. Если в него забраться, можно подменить DNS и перенаправлять вас на поддельные сайты, следить, куда подключается каждое устройство, или превратить роутер в часть ботнета. У умных устройств та же проблема в миниатюре: дешёвая камера или розетка с известной уязвимостью становится точкой входа, как только кто-то оказывается в вашей сети Wi-Fi.

С чего начать: самые важные изменения

Если у вас есть только полчаса, потратьте их здесь. Эти пять изменений закрывают слабые места, из-за которых сети и взламывают в первую очередь.

Включите самое сильное шифрование, которое поддерживает роутер

Откройте настройки роутера и выберите режим безопасности WPA3. Если часть старых устройств не подключается, используйте WPA2 (иногда он подписан как WPA2-PSK или WPA2-Personal) или смешанный режим WPA2/WPA3. Точно стоит избегать WEP и обычного WPA. Оба взломаны, и ключ WEP восстанавливается за минуты бесплатными утилитами.

Шифрование не даёт тому, кто в радиусе приёма, читать ваш трафик прямо из воздуха. Важно и то, какую версию вы используете. В WPA2 тот, кто знает пароль и записал трафик в момент подключения устройства, потом может расшифровать активность этого устройства, а сам пароль можно подбирать офлайн, хотя длинный держится нормально. WPA3 закрывает обе эти лазейки. Если WPA3 в списке вообще нет, поищите обновление прошивки. Если WPA3 не появился и после обновления, роутер уже достаточно стар, чтобы его замена была разумным шагом.

Замените пароль Wi-Fi по умолчанию

Пароль, напечатанный на роутере, лучше, чем ничего, но вы не знаете, как он сгенерирован, насколько широко известен этот способ и кто уже видел наклейку. Свой пароль снимает эту неопределённость. Ориентируйтесь минимум на 16 символов или на парольную фразу из четырёх-пяти не связанных между собой слов: её проще набрать на пульте телевизора, а угадать так же трудно.

Вводить его вы будете нечасто, только когда добавляете новое устройство, так что длина почти ничего вам не стоит. Храните его в менеджере паролей и делитесь с гостями через него или просто запишите где-нибудь дома. Спецсимволы и цифры не обязательны, если он достаточно длинный. Значение имеет длина.

Смените логин администратора роутера

Это отдельные учётные данные, а не тот же самый пароль от Wi-Fi, и про них постоянно забывают. Это логин и пароль, которыми вы заходите на страницу настроек роутера, обычно набирая в браузере адрес вроде 192.168.1.1 или 192.168.0.1. На многих роутерах он по-прежнему поставляется как admin / admin или admin / password.

Если этот логин всё ещё стандартный, любой, кто попал в вашу сеть, может открыть панель управления роутера и менять всё, что захочет. На роутерах, где админ-страница доступна из интернета, риск выходит за пределы локальной сети. Задайте для этого логина надёжный уникальный пароль и заодно на той же странице поищите опцию, которая ограничивает доступ к панели только проводными подключениями или конкретными устройствами.

Обновите прошивку и включите автообновление

Прошивка роутера получает исправления безопасности так же, как ваш телефон, и точно так же эти исправления помогают, только когда установлены. Зайдите в роутер, найдите раздел обновления прошивки или системы и установите всё, что ожидает установки. Если есть переключатель автообновления, включите его. На большинстве роутеров последних лет он есть.

Раз в несколько месяцев проверяйте и вручную, особенно на старой модели. В какой-то момент производитель вообще перестаёт выпускать обновления. Когда роутер доходит до этой точки, новые уязвимости так и остаются незакрытыми, и это самый явный сигнал, что пора брать новый.

Вынесите умные устройства и гостей в отдельную сеть

Большинство роутеров умеет поднять поверх основной сети вторую, её обычно называют гостевой. Устройства в ней выходят в интернет, но не видят вашу основную сеть, а с включённой изоляцией клиентов не видят и друг друга. Используйте её для двух групп: для гостей и для умных устройств.

Смысл выносить гаджеты в том, что умная розетка, дверной звонок или недорогая камера обычно защищены хуже всего в доме. Такое устройство может вообще не получать обновлений прошивки и поставляться с зашитыми учётными данными. Если оно скомпрометировано и сидит в основной сети, до вашего ноутбука один шаг. В изолированной сети взломанная камера — это просто взломанная камера. Одни роутеры называют это IoT-сетью, другие делают изоляцию клиентов отдельной опцией. Любой из этих вариантов даёт нужное разделение.

Стандарты шифрования Wi-Fi вкратце

WPA2 и WPA3 — программы сертификации Wi-Fi Alliance; в столбце «Появился» указан год выхода стандарта.

Дальше: уменьшаем поверхность атаки

Когда с основами покончено, следующий набор изменений отключает функции и убирает детали, которыми злоумышленник может воспользоваться, а вам они, скорее всего, не нужны.

Отключите WPS

Wi-Fi Protected Setup позволяет подключить устройство нажатием кнопки на роутере или вводом восьмизначного PIN-кода. У способа с PIN-кодом есть известные слабости: на многих роутерах его удаётся подобрать намного быстрее, чем позволяли бы восемь цифр, иногда за часы, а вместе с ним открывается и ваш настоящий пароль Wi-Fi. Отключите WPS. Один раз ввести парольную фразу на каждом устройстве не так уж сложно.

Отключите удалённое управление

Удалённое управление, оно же удалённое администрирование или удалённый доступ, позволяет заходить в настройки роутера снаружи домашней сети. Если у вас нет конкретной причины заходить в роутер, пока вас нет дома, выключите его. Это страница входа, открытая всему интернету, а такие сканируют и атакуют круглосуточно.

Отключите UPnP

Universal Plug and Play позволяет устройствам в сети автоматически открывать порты в брандмауэре роутера, не спрашивая вас. Это удобно для игровых приставок и части P2P-приложений, но так же вредонос на уже заражённом устройстве может открыть себя для доступа из интернета. Если вы не играете и не держите серверы, отключите его. Если играете и что-то перестаёт работать, можно включить обратно или настроить проброс портов вручную только для того приложения, которому это нужно.

Переименуйте сеть

Имя сети, или SSID, по умолчанию часто выдаёт производителя и модель роутера: что-нибудь вроде NETGEAR58 или ARRIS-A1B2. Это даёт тому, кто ищет цели, фору в том, какие уязвимости пробовать. Смените его на такое, которое не выдаёт ни оборудования, ни вас. Иногда имя, выставленное монтажником, содержит фамилию или адрес, так что проверьте и это. Прятать сеть не нужно: это отдельная настройка, о ней ниже, и возни с ней больше, чем толку. Достаточно транслировать нейтральное имя.

Добавьте VPN для трафика, который роутер защитить не может

Всё перечисленное выше защищает вашу сеть. VPN защищает трафик после того, как он ушёл с устройства. Когда вы подключаетесь через VPN, трафик между вашим устройством и сервером VPN шифруется и упаковывается так, что его настоящий адрес назначения скрыт. Ваш интернет-провайдер и любой, кто между вами и этим сервером, видят, что вы пользуетесь VPN и примерно сколько данных идёт, но не содержимое и не сайты, к которым вы реально обращаетесь.

Дома это полезно по нескольким причинам. Провайдер больше не может собирать историю сайтов, которые вы посещаете, а некоторые провайдеры используют её для таргетинга рекламы или продают брокерам данных. Сайты, которые вы открываете, видят адрес сервера VPN, а не ваш настоящий. А роутер, в который влезли, не может прочитать содержимое и адреса трафика, который вы отправляете через туннель, хотя по-прежнему видит сам туннель, может его замедлять и вмешиваться в DNS до того, как VPN подключится. Плата за это в том, что теперь этот трафик видит ваш провайдер VPN, а не интернет-провайдер, так что стоит выбирать того, кто ясно говорит, что он логирует, а что нет. Если хотите полную картину, почитайте, что VPN умеет и где перестаёт помогать.

При этом чётко понимайте, чего он не делает. VPN не исправит слабый пароль Wi-Fi, не обновит прошивку роутера и не защитит другие устройства в сети. Это слой поверх защищённой сети, а не замена ей.

Запускать VPN можно двумя способами. Первый работает на уровне устройства: вы ставите приложение или расширение браузера на каждый телефон и ноутбук. Это просто, и VPN можно включать или выключать на каждом устройстве отдельно. Второй работает на уровне роутера: VPN настраивается на самом роутере, и тогда покрыто всё оборудование за ним, включая устройства, которые не умеют работать с VPN-приложениями. Настройка на роутере сложнее: она зависит от того, поддерживает ли её роутер, и покрывает устройство полностью только тогда, когда роутер пропускает через туннель весь его трафик, включая IPv6. В этом случае выбор протокола VPN влияет и на скорость, и на совместимость. Большинству достаточно варианта на уровне устройства. А как только вы выходите из дома, публичные сети несут риски, которых нет у домашнего Wi-Fi, так что вне дома его тем более стоит держать включённым.

Меры, которые звучат разумно, но почти не помогают

Они встречаются почти в каждом списке советов по Wi-Fi. Вреда от них нет, но времени они отнимают, а отдачи дают мало, так что относитесь к ним как к необязательным.

Скрытие SSID

Отключение трансляции имени сети ощущается как переход в невидимость, но ваш роутер и ваши устройства всё равно называют сеть при каждом подключении, и любой простой сканер подхватывает её за секунды. Основной эффект в том, что подключать собственные устройства становится муторнее, а некоторые плохо работают со скрытой сетью.

Фильтрация по MAC-адресам

Она позволяет составить белый список устройств по их аппаратному адресу. Загвоздка в том, что эти адреса видны любому, кто слушает локальный эфир, ещё до подключения к сети, так что злоумышленник может считать разрешённый адрес и выставить такой же на своём устройстве. Вы получаете список, который приходится обновлять при каждом новом устройстве в доме, в обмен на очень малое: проверка останавливает случайного любителя халявы и больше никого.

Выключение Wi-Fi на ночь

Нормально, если это несложно, и немного экономит электричество, но как защита это работает только те часы, когда вас нет дома, и всё возвращается на место, как только вы вернётесь. Обновления прошивки и надёжный пароль защищают вас всё время.

Кажется, что сеть уже взломали?

Если что-то подозреваете, вот порядок действий:

1. С устройства, которому доверяете, зайдите в роутер и смените пароль администратора.

2. Смените и пароль Wi-Fi. Это отключит все устройства, так что вы заново подключите те, что действительно ваши.

3. Проверьте настройки DNS. Они должны быть пустыми, стоять на автомате или на провайдере, которого выбрали вы. Если там что-то незнакомое, сбросьте.

4. Обновите прошивку и перезагрузите роутер.

5. Если что-то всё равно не так, сделайте сброс к заводским настройкам и настройте роутер с нуля. Не восстанавливайте из сохранённого файла конфигурации: он может вернуть подменённые настройки обратно.

6. Когда сеть станет чистой, обновите каждое устройство в ней и прогоните проверку безопасности на компьютерах.

Если роутер старый или больше не получает обновлений прошивки, отнеситесь к взлому как к поводу его заменить, а не чинить дальше.

Короткий регулярный чек-лист

Безопасность Wi-Fi — это не разовая задача, но поддерживать её несложно. Раз в несколько месяцев:

• Ставьте ожидающие обновления прошивки или проверяйте, что автообновление всё ещё включено.

• Просматривайте список подключённых устройств и убирайте всё, чего не узнаёте.

• Проверяйте, что гостевая и IoT-сеть всё ещё отдельная и всё ещё со своим паролем.

• Проверяйте, поддерживается ли ещё ваш роутер. Если производитель перестал выпускать обновления, пора присматривать новый.

Как ориентир: подумайте о замене домашнего роутера примерно через пять лет, раньше, если он уже выпал из списка обновлений. Железо такого возраста обычно и так застряло на устаревших стандартах.

Частые вопросы

Стоит ли покупать новый роутер ради WPA3?

Сам по себе это не срочно. WPA2 с длинным уникальным паролем всё ещё нормально подходит для дома и на большинстве сетей не является слабым местом. Но если роутер достаточно стар, чтобы в нём не было WPA3, обычно в нём нет и свежих патчей безопасности и автообновлений, и вот тогда сам роутер стоит заменить. Считайте WPA3 одной причиной из нескольких, а не решающим доводом.

Как часто менять пароль Wi-Fi?

Жёсткого графика нет. Длинная парольная фраза, которую не знает никто за пределами вашего дома, может оставаться неизменной годами. Меняйте её, когда её получил кто-то, кого вы не хотите видеть в сети; когда устройство, где она сохранена, потеряно или продано; или когда вы подозреваете, что подключилось чужое устройство. Регулярная смена раз в месяц обычно лишь приводит к более коротким и слабым паролям.

Делает ли скрытие имени сети её безопаснее?

Почти нет. Скрытая сеть всё равно обозначает своё присутствие при каждом подключении устройств, и бесплатные утилиты выясняют имя почти сразу. В основном это лишь усложняет настройку ваших собственных устройств. Реально сеть защищают шифрование и надёжный пароль.

Нужен ли VPN, если на Wi-Fi уже есть пароль?

Это разные задачи. Пароль Wi-Fi определяет, кто может подключиться к сети. VPN шифрует ваш трафик после того, как он ушёл с устройств, и не даёт интернет-провайдеру записывать, какие сайты вы посещаете, а также прячет ваш IP от этих сайтов. Защищённая сеть ни того ни другого не делает, так что VPN всё равно полезен дома, а в сетях, которые вам не подконтрольны, тем более.

Безопасно ли оставлять пароль Wi-Fi напечатанным на роутере?

Это слабая защита по умолчанию. Вы не знаете, как этот пароль сгенерирован и кто видел наклейку, а каждый, кто бывал у вас дома, на неё поглядывал. Задайте свой длинный пароль, и гадать больше не придётся. Заодно смените отдельный логин администратора, он иногда напечатан на той же наклейке.

Может ли кто-то увидеть историю посещений через роутер?

Тот, кто управляет роутером, видит, к каким сайтам и сервисам подключается каждое устройство, но не содержимое зашифрованных страниц. Обычно это только вы. Если кто-то получил доступ к роутеру или направил его DNS на свой сервер, он может логировать эту активность. VPN этому мешает, потому что шифрует трафик ещё до того, как он дойдёт до роутера.