Wifi, distansarbete och på resande fot

Modul 5: Enheter, programvara och nätverk · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du ställa in wifi på kontoret och hemma på ett säkert sätt, skilja smarta enheter och gäster från ditt arbetsnätverk, och arbeta säkert på resande fot, inklusive vad en VPN faktiskt gör och inte gör för dig.
Nyckelbegrepp: router, administratörslösenord, WPA2, WPA3, SAE, övergångsläge, WPS, UPnP, gästnätverk, öppet wifi, falsk hotspot, https, VPN, hotspot från din telefon

Routern är din ytterdörr

Allt som kopplar ditt kontor eller din hemarbetsplats till internet går genom routern (ofta i samma låda som din operatörs modem). Den gör tre saker: den kopplar ditt nätverk till internet, den stoppar oönskad trafik utifrån (brandväggen), och den sänder oftast också ut wifinätverket.

En router kontrolleras sällan efter att installatören har gått. Därför står ofta fabriksinställningarna kvar. Fyra saker att åtgärda direkt:

Byt administratörslösenordet. Det är lösenordet till routerns inställningssida, inte wifilösenordet. Standardlösenord är ofta kända per märke eller serie. Använd ett långt, unikt lösenord från din lösenordshanterare.
Stäng av administration utifrån, om inte din operatör verkligen behöver det. Då går inställningssidan bara att nå från ditt eget nätverk.
Stäng av UPnP om du inte behöver det. Med UPnP kan vilken enhet som helst i ditt nätverk själv öppna en port i brandväggen, även en kamera med en säkerhetslucka. Det nederländska NCSC rekommenderar att stänga av det.
Uppdatera firmware eller kontrollera att operatören gör det automatiskt (lektion 5.1). Får din router inga uppdateringar längre, byt ut den.

WPA2 och WPA3: så krypteras ditt wifi

Wifi går genom luften. Alla i närheten kan fånga upp signalerna. Därför krypteras det. Standarden för detta förvaltas av Wi-Fi Alliance.

Läge	Bedömning	Förklaring
Öppet (inget lösenord)	Inte för ditt företag	Vem som helst kan ansluta och, utan https, läsa med.
WEP, WPA (den första), TKIP	Osäkert	Föråldrat och knäckt. Ser du det här, byt routern eller ändra inställningen.
WPA2-Personal (AES)	Tillräckligt, med ett långt lösenord	Den som fångar upp en enhets anslutning kan sedan hemifrån, utan att behöva stanna i närheten, fortsätta gissa lösenord i all oändlighet. Ett kort eller förutsägbart wifilösenord faller då snabbt.
WPA3-Personal	Bästa valet	Använder SAE istället för det gamla systemet med delad nyckel. Enligt Wi-Fi Alliance kan en angripare då inte längre gissa lösenord offline: varje gissning kräver ett nytt försök mot routern själv. Och även om någon senare får reda på lösenordet kan hen inte dekryptera tidigare uppfångad trafik (forward secrecy).
WPA2/WPA3 övergångsläge	Bra som mellansteg	Nya enheter ansluter med WPA3, äldre med WPA2. Praktiskt så länge du fortfarande har äldre enheter; de får då bara skyddet från WPA2.

WPA3 är enligt Wi-Fi Alliance obligatoriskt för enheter med certifieringen Wi-Fi CERTIFIED, så nästan alla nya routrar och telefoner klarar det. Välj WPA3 om alla dina enheter stödjer det, annars övergångsläget.

Använd i alla lägen ett långt wifilösenord, till exempel en lösenfras på fyra eller fem fristående ord (lektion 2.1). Det sparas ändå i dina enheter; du behöver sällan skriva in det.

WPS (Wi-Fi Protected Setup) är en knapp eller pinkod för att enkelt koppla ihop enheter. Pinkodsvarianten har ett känt designfel: genom sättet routern svarar på behöver en angripare inte prova hundra miljoner utan ungefär elva tusen kombinationer, och hittar därefter wifilösenordet (CERT/CC, 2011). Stäng av WPS om din router tillåter det.

Gästnätverk: skilja det som inte hör ihop

Ett litet kontor har snabbt enheter med väldigt olika tillförlitlighet på samma nätverk: bärbara datorer med bokföringen, NAS:en med kunddata, men också besökares telefoner, en smart-tv i väntrummet, en termostat och några kameror. Sitter allt på samma nätverk kan en hackad kamera prata direkt med NAS:en.

Därför skapar du ett gästnätverk: ett andra wifinätverk med eget namn och lösenord, som ger internet men ingen åtkomst till enheterna i ditt huvudnätverk. Nästan alla routrar klarar det. Lägg dit:

besökare och deras telefoner;
smarta enheter: tv, termostat, dörrklocka, högtalare, och där det går kameror. Det nederländska NCSC rekommenderar det här uttryckligen;
privata enheter som anställda använder, om de inte behöver åtkomst till företagsdata.

Kontrollera efter inställningen att det fungerar: från en telefon på gästnätverket ska du inte kunna hitta skrivaren eller NAS:en.

Distansarbete

Hemma arbetar du på ett nätverk du inte administrerar som företag, ofta tillsammans med familjemedlemmar, en spelkonsol och grannens smarta högtalare i listan över nätverk. Kom överens i ditt team om att:

hemroutern får samma grundbehandling: eget administratörslösenord, WPA2 eller WPA3 med ett långt lösenord, uppdaterad firmware;
arbetsdatorn är för jobbet: ska inte användas av barn eller andra i hushållet, och låses när du lämnar den (lektion 5.2);
uppdateringar fortsätter även hemifrån. En bärbar dator som inte varit på kontoret på flera veckor missar ibland uppdateringar som hanteras centralt. Kontrollera det;
åtkomst till företagssystem sker via en säker anslutning: en molntjänst med https och tvåfaktorsautentisering (2FA), eller en VPN till kontoret. Öppna aldrig en port för att "snabbt" komma åt NAS:en hemifrån.

På resande fot: öppet wifi

På ett hotell, tåg eller café vet du inte vem som administrerar nätverket. Den största risken är en falsk hotspot: en angripare sätter upp ett nätverk med samma namn som det riktiga, till exempel "Hotell-Gäster". Din telefon ansluter automatiskt, och all din trafik går via angriparens enhet.

Lyckligtvis går det mesta av trafiken numera via https (lektion 4.2) och mail via krypterade anslutningar. Angriparen ser då visserligen vilka sidor du besöker, men inte vad du fyller i. Ändå finns det risker kvar: en inloggningssida som skickar dig till en falsk webbplats, ett meddelande om att "installera det här certifikatet", eller gamla appar som inte krypterar.

Det nederländska NCSC rekommenderar:

använd hellre mobildata eller din egen telefons hotspot än öppet wifi;
låt inte din enhet ansluta automatiskt till wifinätverk;
sköt inga bankärenden eller konfidentiellt arbete på öppet wifi, och ladda inte ner eller installera något där;
stäng av fildelning och logga ut när du är klar.

Får du en certifikatvarning på öppet wifi för en webbplats du känner väl, fortsätt då inte. Det är precis signalen på att någon läser med.

Vad en VPN gör och inte gör

Ordet VPN används för två olika saker. En företags-VPN kopplar din bärbara dator krypterat till kontorets nätverk, så att du utifrån kan komma åt NAS:en eller bokföringsprogrammet. En kommersiell VPN-tjänst skickar all din internettrafik krypterat till en leverantörs server, som sedan skickar den vidare ut på internet.

En VPN gör	En VPN gör inte
Krypterar din trafik mellan din enhet och VPN-servern, så att det lokala (wifi-)nätverket inte kan läsa med	Skyddar dig mot phishing: en falsk webbplats är lika falsk via en VPN
Ger dig säker åtkomst till kontorsnätverket (företags-VPN)	Stoppar skadlig kod eller rensar en infekterad dator
Döljer din IP-adress för webbplatserna du besöker	Gör dig anonym: att logga in på en tjänst avslöjar fortfarande vem du är
	Tar bort behovet av förtroende: VPN-leverantören kan nu se det som hotellnätverket tidigare kunde se

En VPN flyttar alltså punkten där du måste ha förtroende. På ett okänt nätverk kan det vara meningsfullt. På ditt eget hemnätverk med https-webbplatser tillför en kommersiell VPN lite för säkerheten.

Och tänk på: en VPN-server på ditt kontor är själv en randenhet som går att nå från internet. Föråldrade VPN-servrar är en känd ingång för ransomware (lektion 1.3). Håll den uppdaterad, aktivera tvåfaktorsautentisering, och stäng av den när du inte använder den.

I praktiken: så ser det ut

Även din mail går via nätverket när du är på resande fot. Ställ därför in ditt mailprogram med krypterade anslutningar. Hos WebOké är det till exempel IMAP på port 993 med SSL/TLS och SMTP på port 587 med STARTTLS (eller 465 med SSL/TLS); hos andra leverantörer brukar portarna vara desamma. Står det i ditt mailprogram "ingen säkerhet" eller port 143 eller 25 utan kryptering, ändra det då.

Sammanfattning

Ge din router ett eget administratörslösenord, stäng av administration utifrån, UPnP och WPS, och uppdatera firmware.
Välj WPA3, eller övergångsläget WPA2/WPA3, med ett långt wifilösenord. Aldrig WEP, WPA eller TKIP.
Lägg besökare och smarta enheter på ett gästnätverk, skilt från dina arbetsenheter.
På resande fot: hellre mobildata eller din egen hotspot, anslut inte automatiskt, och avbryt vid en certifikatvarning.
En VPN krypterar sträckan fram till VPN-servern, men skyddar inte mot phishing eller skadlig kod och gör dig inte anonym.

Quiz

Uppgift

Uppgift D5.3: Gå igenom din router och ditt wifi. Logga in på inställningssidan för din router (hemma eller på kontoret). Kontrollera administratörslösenordet, krypteringen, WPS, UPnP, administration utifrån, firmware och gästnätverket. Bocka av checklistan, testa gästnätverket och svara på reflektionsfrågorna.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

DirectAdmin-guide 8.1: Alla inställningar på ett ställe: servrar, portar och säkerhet
Nederländska NCSC, Wifi-hotspots (nederländska): https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
Nederländska NCSC, Grundläggande säkerhetsåtgärder för smarta enheter (nederländska): https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
Nederländska NCSC, 6 punkter att tänka på vid distansarbete (nederländska): https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
Wi-Fi Alliance, säkerhet för wifi (engelska): https://www.wi-fi.org/discover-wi-fi/security
CERT/CC, svagheten i WPS (engelska): https://www.kb.cert.org/vuls/id/723755

Cookies på WebOké

Cookieinställningar

Nödvändiga

Marknadsföring