Jak zabezpečit domácí Wi-Fi a router: krok za krokem

OdLibor Výborný

Kdo řeší, jak zabezpečit domácí Wi-Fi, má začít u routeru, ne u hesla k síti. Nejdřív změň výchozí heslo správce, zapni šifrování WPA3 nebo WPA2 AES, vypni WPS, vzdálenou správu a UPnP a nastav automatické aktualizace firmwaru. Hosty a chytrá zařízení pošli do oddělené sítě. Router, pro který výrobce už nevydává bezpečnostní aktualizace, vyměň.

Ve zkratce

  • Výchozí přihlašovací údaje správce routeru změň jako první, útočníci zneužívají hlavně zařízení s továrním heslem.
  • Šifrování nastav na WPA3 Personal nebo WPA2 AES. WEP, WPA a WPA2 TKIP nejsou bezpečné.
  • Vypni WPS, vzdálenou správu z internetu a UPnP, pokud je výslovně nepotřebuješ.
  • Zapni automatické aktualizace firmwaru. Router bez podpory výrobce už nastavením nezachráníš.
  • Návštěvy a chytrá zařízení patří do sítě pro hosty s vlastním heslem.
  • Seznam připojených zařízení najdeš v administraci routeru.

Jak zabezpečit domácí Wi-Fi: pořadí kroků

Nejvíc útoků na domácí routery stojí na výchozím hesle správce a na neopravených chybách ve firmwaru, proto jsou tyhle dva kroky na začátku. Česká kybernetická agentura NÚKIB upozornila na kampaň ruské skupiny APT28, která ovládla síť domácích a kancelářských routerů po celém světě včetně Česka a přesměrovávala provoz připojených počítačů a telefonů přes vlastní servery. Největší riziko podle úřadu hrozilo zařízením, u kterých majitel nikdy nezměnil tovární heslo.

Krok Kde v routeru Co nastavit
Heslo správce Systém, Administrace Nové jméno a dlouhé jedinečné heslo
Firmware Systém, Aktualizace Nejnovější verze, automatické aktualizace zapnout
Šifrování Bezdrátová síť, Zabezpečení WPA3 Personal, případně WPA2 AES
Heslo k Wi-Fi Bezdrátová síť Fráze aspoň 16 znaků
WPS Bezdrátová síť Vypnout
Vzdálená správa Správa, WAN, Remote Management Vypnout nebo omezit
UPnP Pokročilé, NAT Vypnout
Síť pro hosty Bezdrátová síť, Host Zapnout s vlastním heslem

Názvy položek se liší podle výrobce, proto hledej v návodu k přesnému modelu. Model zjistíš ze štítku na spodní straně routeru, kde bývá i adresa administrace a výchozí přihlašovací údaje.

Přístup do routeru a heslo správce

Jak se dostat do administrace

Administrace routeru je webová stránka, kterou otevřeš v prohlížeči zařízení připojeného k domácí síti. Adresu najdeš na štítku nebo v návodu. Přihlašuješ se jménem a heslem správce, které nejsou totéž co heslo k Wi-Fi. Kdo heslo správce nikdy neměnil, většinou ho má vytištěné na štítku, a přesně to je problém: výchozí údaje bývají veřejně známé.

Výchozí heslo správce změň jako první

Americká agentura CISA i NÚKIB řadí změnu výchozích přihlašovacích údajů na první místo. Pokud router dovolí změnit i uživatelské jméno, změň ho taky. Heslo má být dlouhé, náhodné a nikde jinde nepoužité, nejlépe vygenerované a uložené ve správci hesel. Jde o stejný princip, jakým chráníš e-mail nebo bankovnictví, a pokud ti k tomu chybí přehled, podívej se, jak funguje dvoufázové ověření u online účtů; pokud ho nabízí účet v aplikaci výrobce routeru, zapni ho i tam.

Router měj fyzicky pod kontrolou

CISA připomíná, že kdo má k routeru fyzický přístup, může ho tlačítkem resetovat do továrního nastavení a pak se přihlásit výchozími údaji ze štítku. Router proto nepatří do společné chodby ani na místo, kam běžně chodí cizí lidé. NÚKIB navíc doporučuje občas zkontrolovat, že kabel od poskytovatele vede opravdu do portu WAN routeru a že mezi ním a routerem není nic navíc.

Šifrování a heslo k síti

WPA3, nebo WPA2 AES

V nastavení bezdrátové sítě vyber WPA3 Personal. Podle Wi-Fi Alliance, která standard spravuje, dává WPA3 lepší ochranu proti opakovaným pokusům o uhádnutí hesla a zakazuje zastaralé protokoly. Pro nová certifikovaná zařízení je WPA3 povinné. Když některé starší zařízení doma s WPA3 nespolupracuje, použij WPA2 s šifrováním AES, které CISA stále uvádí jako bezpečnou volbu.

Co znamená, když router nabízí jen WEP nebo TKIP

Otevřená síť bez hesla, WEP, původní WPA a WPA2 s šifrováním TKIP podle CISA bezpečné nejsou. Pokud router nic lepšího nenabízí, zkus nejdřív aktualizovat firmware. Když ani potom WPA2 AES nebo WPA3 v nabídce není, kontaktuj poskytovatele kvůli výměně, nebo kup nový router.

Heslo k Wi-Fi a název sítě

CISA doporučuje heslo jako frázi z pěti až sedmi nesouvisejících slov, dlouhou aspoň 16 znaků a použitou jen tady. Změň také výchozí název sítě. Do nového názvu nedávej jméno, adresu ani číslo bytu, protože síť vidí každý v dosahu.

Funkce, které je lepší vypnout

WPS: tlačítko a PIN

WPS slouží k připojení zařízení stiskem tlačítka nebo zadáním osmimístného PINu. Koordinační centrum CERT popsalo chybu, kvůli které se PIN ověřuje po polovinách a poslední číslice je jen kontrolní. Místo sta milionů kombinací tak útočníkovi v dosahu stačí nejvýš 11 000 pokusů a mnoho routerů je neomezuje. Výsledkem může být heslo k síti. Praktická oprava neexistuje, doporučení zní funkci vypnout.

Vzdálená správa z internetu

Vzdálená správa, v menu často jako Remote Management nebo přístup z WAN, zpřístupní přihlašovací stránku routeru z celého internetu. NÚKIB i CISA doporučují ji vypnout, případně omezit na konkrétní adresy. Pokud router spravuje poskytovatel na dálku, zeptej se ho, jak je přístup chráněný.

UPnP

UPnP dovoluje zařízením v síti samy otevírat porty v routeru, bez tvého vědomí. CISA upozorňuje, že toho útočníci zneužívají k šíření škodlivého softwaru a ovládání zařízení. Některé herní konzole nebo aplikace UPnP chtějí při prvním nastavení. V takovém případě ho zapni jen na dobu přidání zařízení a pak znovu vypni.

Aktualizace firmwaru a konec podpory

Jak firmware aktualizovat

Firmware je software routeru a jeho aktualizace opravují bezpečnostní chyby. V administraci najdi položku aktualizace, zkontroluj nabídku nové verze a pokud router umí automatické aktualizace, zapni je. CISA doporučuje kontrolovat aktualizace pravidelně, FTC radí stahovat je jen z webu výrobce. Pokud máš router od poskytovatele internetu, zeptej se ho, kdo a jak aktualizace instaluje.

Kdy router vyměnit

NÚKIB doporučuje zvážit výměnu zařízení na konci životnosti, které už nedostává bezpečnostní aktualizace. Takový router zůstane zranitelný bez ohledu na to, jak dobře ho nastavíš. Konec podpory zjistíš na stránce modelu u výrobce, kde bývá seznam verzí firmwaru s daty vydání. Když výrobce model označuje jako ukončený, plánuj výměnu. Při výběru nového se vyplatí řešit i pokrytí bytu, protože rychlost a stabilita domácí Wi-Fi závisí hlavně na umístění a typu routeru.

Síť pro hosty a chytrá zařízení

Síť pro hosty

Síť pro hosty je samostatná bezdrátová síť se svým názvem a heslem. Zařízení v ní se dostanou na internet, ale ne k tvým počítačům, tiskárně ani k nastavení routeru. CISA doporučuje ji zapnout s vlastním dlouhým heslem a dávat ji návštěvám a všem, kdo domácí síť běžně nepoužívají.

Chytrá zařízení a IoT

Chytré žárovky, zásuvky, kamery nebo robotický vysavač potřebují obvykle jen internet. CISA radí připojit je do sítě pro hosty, kde nenajdou ostatní zařízení ani nastavení routeru. Háček je v tom, že zařízení v síti pro hosty spolu často nekomunikují. Pokud ovládáš domácnost z telefonu přes místní síť, vyzkoušej to dřív, než přesuneš všechno.

Jak zjistit cizí zařízení v síti

Seznam připojených zařízení

V administraci routeru bývá přehled připojených zařízení nebo klientů, u některých výrobců i v mobilní aplikaci. Projdi ho a porovnej s tím, co doma máš: telefony, notebooky, televize, konzole, chytré reproduktory. Telefony a počítače někdy používají náhodnou hardwarovou adresu, takže se jedno zařízení může objevit pod nečekaným názvem. Ověř si to vypnutím Wi-Fi na konkrétním přístroji.

Co dělat, když najdeš neznámé zařízení

Pokud zařízení nepoznáš ani po kontrole všech svých přístrojů, změň heslo k Wi-Fi a zkontroluj, že je WPS vypnuté. Všechna tvoje zařízení se pak musí připojit znovu, cizí zůstane venku. Když se cizí zařízení vrací, změň i heslo správce a aktualizuj firmware. Při podezření, že je router napadený, pomůže reset do továrního nastavení a nová konfigurace od začátku.

Varování prohlížeče jako signál

NÚKIB upozorňuje, že při napadení routeru se provoz může přesměrovat přes servery útočníka. Projevit se to může varováním prohlížeče nebo e-mailového klienta o neplatném certifikátu. Taková hláška na běžné stránce, kterou navštěvuješ každý den, je důvod přestat se přihlašovat a router zkontrolovat. Na podobné varování se dívej stejně pozorně jako tehdy, když řešíš, jak bezpečně používat veřejnou Wi-Fi.

Nejčastější chyby při zabezpečení domácí sítě

  1. Heslo správce routeru zůstalo tovární, protože se změnilo jen heslo k Wi-Fi.
  2. Router používá WPA2 TKIP nebo dokonce WEP, protože nikdo nezkontroloval nastavení šifrování.
  3. WPS zůstalo zapnuté, i když ho doma nikdo nepoužívá.
  4. Vzdálená správa je otevřená do internetu bez důvodu.
  5. Firmware se neaktualizoval roky a router už výrobce nepodporuje.
  6. Kamery a chytré zásuvky sdílejí síť s pracovním notebookem.

Časté otázky

Jak zabezpečit domácí Wi-Fi, když nejsem technik?

Stačí projít pět položek v administraci routeru: heslo správce, šifrování WPA3 nebo WPA2 AES, vypnutí WPS, vypnutí vzdálené správy a automatické aktualizace. Názvy položek najdeš v návodu ke svému modelu. Pokud máš router od poskytovatele, můžeš ho o kontrolu nastavení požádat.

Stačí změnit heslo k Wi-Fi?

Nestačí, protože heslo k síti a heslo správce routeru jsou dvě různé věci. Útočníci zneužívají hlavně tovární heslo správce, se kterým mohou změnit celé nastavení routeru. Změň proto obě a každé jinak.

Je WPA2 ještě bezpečné?

WPA2 s šifrováním AES CISA stále uvádí jako bezpečnou volbu, pokud ho kombinuješ s dlouhým heslem. Lepší je WPA3, které chrání i před opakovaným hádáním hesla. Nebezpečná je varianta WPA2 TKIP a starší WEP nebo WPA.

Proč vypnout WPS, když je to pohodlné?

PIN u WPS se ověřuje po polovinách, takže útočníkovi v dosahu stačí nejvýš 11 000 pokusů a mnoho routerů je neomezuje. Praktická oprava podle koordinačního centra CERT neexistuje, jediná obrana je funkci vypnout. Heslo k síti zadáš ručně za pár vteřin.

Jak poznám, že je k mé Wi-Fi připojený soused?

Otevři v administraci routeru seznam připojených zařízení a porovnej ho se svými přístroji. Neznámé zařízení vyřešíš změnou hesla k Wi-Fi, po které se musí všichni připojit znovu. Pak už se dostanou dovnitř jen ti, komu nové heslo dáš.

Kdy je lepší router vyměnit než nastavovat?

Když výrobce pro model přestal vydávat bezpečnostní aktualizace nebo když router neumí lepší šifrování než WEP či TKIP. Takové zařízení zůstane zranitelné i s dokonalým nastavením. Stav podpory zjistíš na stránce modelu u výrobce.

Zdroje

Další články z této rubriky