Zabezpieczyć sieć Wi-Fi w domu można w kilkanaście minut i sprowadza się to do kilku ustawień w panelu routera, a nie do kupowania czegokolwiek. Najważniejsze są trzy: najnowszy dostępny standard szyfrowania, długie hasło i wyłączony WPS. To właśnie WPS jest najsłabszym ogniwem, bo jego ośmiocyfrowy kod da się złamać w około 11 000 prób zamiast stu milionów, przez sposób, w jaki router go weryfikuje.
Skrót: włącz WPA3 albo tryb mieszany z WPA2, ustaw hasło dłuższe niż standardowe minimum 8 znaków, wyłącz WPS i zdalny dostęp do panelu z internetu, zmień domyślne hasło administratora i aktualizuj oprogramowanie routera. Filtrowanie adresów MAC i ukrywanie nazwy sieci pomiń, bo dają złudzenie ochrony, a nie ochronę.
Jak zabezpieczyć sieć Wi-Fi: hasło i standard szyfrowania
W ustawieniach sieci bezprzewodowej wybierz WPA3, a jeśli starsze urządzenia w domu go nie obsługują, tryb mieszany łączący WPA3 z WPA2. Różnica jest zasadnicza: WPA3 używa mechanizmu SAE, który uniemożliwia zgadywanie hasła w nieskończoność na przechwyconym wcześniej materiale.
Przy WPA2 atakujący może nagrać moment logowania urządzenia do sieci i potem spokojnie, bez kontaktu z twoim routerem, testować kolejne hasła na własnym komputerze. Przy WPA3 taki scenariusz odpada, bo każda próba wymaga interakcji z siecią.
Standard dopuszcza hasło od 8 znaków i dokładnie tyle mają naklejki na wielu routerach. Ustaw dłuższe, najlepiej złożone z kilku niepowiązanych słów, bo długość utrudnia atak bardziej niż wpleciony gdzieś wykrzyknik.
Wyłącz WPS, nawet jeśli jest wygodny
WPS miał ułatwiać podłączanie urządzeń kodem albo przyciskiem i przy okazji stał się najprostszą drogą do domowej sieci. Kod ma 8 cyfr, co daje sto milionów kombinacji, ale router sprawdza go w dwóch częściach osobno, a ostatnia cyfra jest sumą kontrolną.
Zamiast stu milionów prób wystarczy więc około 11 000, czyli kwestia godzin przy zautomatyzowanym ataku. Zabezpieczenie hasłem nie ma tu znaczenia, bo poprawny kod WPS pozwala poznać hasło sieci.
Sprawdź, jak nazywa się ta opcja u ciebie: producenci ukrywają ją pod nazwami WPS, Wi-Fi Protected Setup albo Easy Setup. Jeśli korzystasz z przycisku parowania na obudowie, opcja jest aktywna, nawet gdy nigdy nie wpisywałeś kodu.
Zabezpiecz sam panel routera
Hasło do sieci Wi-Fi i hasło do panelu administracyjnego to dwie różne rzeczy, a to drugie u wielu osób zostaje fabryczne. Domyślne pary logowania producentów krążą w publicznych listach, więc każdy, kto znajdzie się w twojej sieci, wchodzi do konfiguracji bez wysiłku.
Zmień je i przy okazji wyłącz zdalne zarządzanie, czyli dostęp do panelu z internetu. Ta funkcja bywa włączona fabrycznie u operatorów, a bez niej router przestaje być widoczny z zewnątrz jako cel.
Sprawdź też opcję automatycznego otwierania portów, opisaną jako UPnP. Ułatwia życie konsolom i programom wymieniającym pliki, ale pozwala też dowolnej aplikacji w sieci wystawić usługę na świat bez pytania cię o zgodę. Sposób poruszania się po ustawieniach opisałem w tekście o konfiguracji routera Wi-Fi.
Sieć gości zamiast dawania hasła
Osobna sieć dla odwiedzających rozwiązuje problem, o którym mało kto myśli: gość dostaje internet, ale nie widzi drukarki, dysku sieciowego, kamer ani komputera z dokumentami. Izolacja działa na poziomie routera i nie wymaga żadnej konfiguracji po stronie urządzeń.
Ta sama sieć nadaje się do sprzętu inteligentnego domu, który aktualizuje się rzadko i bywa najsłabszym punktem instalacji. Żarówka albo kamera z lukami nie ma wtedy dostępu do niczego, co ma znaczenie.
Włączając sieć gości, sprawdź jeszcze jedną opcję, często ukrytą pod nazwą izolacji klientów albo AP isolation. Bez niej urządzenia w sieci gości widzą się nawzajem, więc laptop znajomego i kamera z chińskiego sklepu trafiają do jednej piaskownicy, w której nadal mogą sobie zaszkodzić. Warto też ustawić dla tej sieci osobne, prostsze hasło, żeby nie kusiło do podawania głównego.
Aktualizacje, o których nikt nie pamięta
Router pracuje latami bez restartu i bez aktualizacji, mimo że jego oprogramowanie ma te same problemy co każde inne. Producenci publikują poprawki, ale w większości modeli nie instalują się same, dopóki nie włączysz takiej opcji w panelu.
Zajrzyj do sekcji aktualizacji, sprawdź wersję i włącz automatyczne pobieranie, jeśli jest dostępne. Przy sprzęcie starszym niż kilka lat warto sprawdzić, czy producent nadal go wspiera, bo brak aktualizacji przez długi czas jest wystarczającym powodem do wymiany.
Co zrobić, gdy ktoś już był w twojej sieci
Podejrzenie zwykle zaczyna się od drobiazgu: internet zwalnia o dziwnych porach, na liście urządzeń widnieje nazwa, której nikt nie rozpoznaje, albo ustawienia routera wyglądają inaczej niż je zostawiłeś. Sama zmiana hasła Wi-Fi w takiej sytuacji nie wystarczy.
Kolejność powinna być inna. Najpierw zmieniasz hasło do panelu administracyjnego, bo to ono decyduje o wszystkim pozostałym, potem hasło sieci bezprzewodowej, a na końcu restartujesz router, żeby wypchnąć z niego wszystkie aktywne połączenia. Dopiero wtedy podłączasz domowe urządzenia od nowa.
Jeśli ustawienia były zmieniane, bezpieczniej jest przywrócić ustawienia fabryczne i skonfigurować sprzęt od zera, zamiast szukać, co dokładnie ktoś przestawił. Podmieniony adres serwera nazw w routerze potrafi przekierowywać ruch całego domu i jest praktycznie niewidoczny w codziennym używaniu.
Czego nie warto robić
| Popularna porada | Realny efekt | Werdykt |
|---|---|---|
| Ukrycie nazwy sieci | nazwa i tak krąży w ramkach urządzeń | strata czasu |
| Filtrowanie adresów MAC | adres widać w eterze i da się go podszyć | strata czasu |
| Zmiana hasła co miesiąc | skłania do prostszych haseł | szkodliwe |
| Wyłączanie routera na noc | nie zmienia poziomu zabezpieczeń | bez wpływu |
| Wyłączenie WPS | zamyka najprostszą drogę do sieci | zrób to |
Filtrowanie adresów sprzętowych zasługuje na osobne zdanie, bo pojawia się w każdym poradniku. Adres MAC jest przesyłany otwartym tekstem i każdy, kto nasłuchuje ruchu, widzi listę urządzeń dopuszczonych do sieci, a podszycie się pod jeden z nich to jedna komenda.
Sprawdź, kto realnie korzysta z twojej sieci
Po zmianie ustawień zajrzyj do listy podłączonych urządzeń w panelu routera. Zobaczysz tam nazwy i adresy wszystkiego, co korzysta z sieci, a nierozpoznany sprzęt jest sygnałem do zmiany hasła i ponownego podłączenia domowników.
Historia połączeń w routerze pokaże więcej niż sama lista, bo obejmuje też urządzenia, które łączyły się wcześniej. Jak ją czytać, rozpisałem w tekście o tym, jak sprawdzić logi routera, a jeśli po zmianie hasła jakiś komputer nie chce wrócić do sieci, pomoże poradnik o tym, jak połączyć komputer z Wi-Fi.
Najczęstsze pytania
Czy WPA2 jest jeszcze bezpieczne?
Przy długim, nieoczywistym haśle nadal chroni sieć domową, ale ustępuje WPA3, bo dopuszcza testowanie haseł offline na wcześniej przechwyconym logowaniu. Jeśli router obsługuje tryb mieszany, włącz go i zostaw WPA2 tylko dla starszych urządzeń.
Jak długie powinno być hasło do Wi-Fi?
Standard dopuszcza minimum 8 znaków, ale to za mało wobec dzisiejszych metod łamania. Cztery przypadkowe, niepowiązane słowa dają hasło łatwe do podyktowania i jednocześnie odporne na atak słownikowy.
Czy sąsiad może korzystać z mojego internetu bez hasła?
Przy włączonym WPS to realny scenariusz, bo kod da się złamać w około 11 000 prób. Bez WPS i z odpowiednio długim hasłem szansa spada praktycznie do zera, o ile nie udostępniałeś hasła szerzej, niż pamiętasz.
Czy warto zmieniać hasło do Wi-Fi regularnie?
Nie w ustalonym rytmie, bo częste zmiany prowadzą do prostszych haseł. Zmień je wtedy, gdy podawałeś je osobom spoza domu, gdy widzisz nieznane urządzenie na liście albo gdy sprzedajesz router.
Czy sieć gości spowalnia internet?
Sama w sobie nie, bo korzysta z tego samego łącza i tych samych anten. Wpływ na prędkość ma dopiero liczba urządzeń nadających jednocześnie, niezależnie od tego, w której sieci się znajdują.
