Router stojí u většiny domácností v předsíni nebo za televizí a nikdo o něm nepřemýšlí, dokud internet funguje. Přitom přes něj projde všechno: bankovnictví v telefonu, pracovní e-mail, kamera v dětském pokoji i chytrá televize. Dobrá zpráva je, že základní zabezpečení zvládnete za jedno odpoledne bez odborných znalostí. Tenhle text vás provede pěti kroky v pořadí, v jakém dávají největší smysl.
Nejdřív dvě hesla, ne jedno
Se sítí souvisí dvě různá hesla a lidé je často zaměňují.
- Heslo k Wi-Fi zadáváte do telefonů a počítačů, když se připojují k síti.
- Heslo správce routeru otevírá nastavení routeru přes prohlížeč. Kdo ho zná, může změnit cokoli: přesměrovat vás na falešné stránky, otevřít porty dovnitř sítě nebo vám heslo k Wi-Fi vyměnit.
Americká agentura pro kybernetickou bezpečnost CISA ve svém návodu na zabezpečení domácí sítě doporučuje změnit administrátorské heslo routeru, aby ho nebylo možné prolomit pomocí továrních údajů. Ty bývají u celé řady zařízení stejné a dají se dohledat na internetu. Pokud router dosud přihlašujete údaji ze štítku na spodní straně, začněte právě tady.
Praktický postup: přihlaste se do nastavení (adresa a továrně nastavené údaje bývají na štítku nebo v návodu výrobce), najděte sekci správy nebo systému a nastavte nové, dlouhé a jedinečné heslo. Nejjednodušší je uložit ho do správce hesel nebo si ho zapsat na papír a schovat doma.
Šifrování: WPA3, nebo aspoň WPA2
Šifrování určuje, jak dobře je chráněn provoz mezi vašimi zařízeními a routerem. V nastavení Wi-Fi ho najdete pod názvy jako „zabezpečení“, „režim zabezpečení“ nebo „ověřování“.
| Označení | Zhruba z jaké doby | Co s ním |
|---|---|---|
| WEP | nahrazen kvůli prolomení v roce 2001 | Nepoužívat vůbec |
| WPA (s TKIP) | 2002 až 2003 | Přechodné řešení po WEP, dnes se za bezpečné nepovažuje |
| WPA2 (AES) | od roku 2006 povinné u nových zařízení | Stále rozšířené, při dobrém hesle a aktuálním firmwaru v pořádku |
| WPA3 | 2018 | Nejlepší dostupná volba, pokud ji zvládají všechna vaše zařízení |
WPA3 přináší hlavně to, že si útočník nemůže heslo tiše zkoušet offline z odposlechnutého provozu: každý pokus vyžaduje komunikaci se samotnou sítí. Wi-Fi Alliance také uvádí, že WPA3 vyžaduje ochranu řídicích rámců (PMF). CISA pro domácí sítě přímo doporučuje WPA3 Personal s šifrou AES.
Nastavení je jednoduché, ale má jednu past. Starší telefony, tiskárny nebo chytré zásuvky WPA3 neumějí a po přepnutí se k síti nepřipojí. Řada routerů proto nabízí smíšený režim WPA2 a WPA3. Ten je rozumný kompromis, dokud nevyměníte nejstarší zařízení. Šifrování WEP a WPA s TKIP vypněte, pokud je router ještě nabízí.
Ani WPA3 není nepropustné. Wikipedie zmiňuje například útok Dragonblood z roku 2019 a v případě WPA2 útok KRACK z roku 2017. Proto nestačí šifrování, které jednou zapnete, ale je třeba také udržovat aktuální software, o tom je další oddíl.
Heslo k Wi-Fi: dlouhé věty místo složitých znaků
Silné šifrování nepomůže, když je heslo „heslo123“ nebo jméno psa s rokem narození. U sítí s režimem sdíleného klíče se dá heslo zkoušet slovníkovým útokem a slabá hesla padnou první. Odolnost hesla roste hlavně s jeho délkou, takže dlouhé a náhodné heslo je vždy lepší než krátké se speciálními znaky.
Pro domácí síť se osvědčí víceslovná fráze: čtyři až pět náhodných slov, která spolu nedávají smysl, třeba „lampa-kamen-ryba-oblak“ bez háčků, pokud by vám dělaly potíže při zadávání. Snadno se diktuje hostům, ovládá se na televizi a je dlouhá. Vyhněte se jménům, datu narození, adrese a heslům, která jste už někde použili.
Heslo změňte také po výměně routeru od poskytovatele a vždy, když víte, že ho znal někdo, kdo už u vás nebydlí, například bývalý spolubydlící nebo brigádník.
Aktualizace firmwaru, na kterou se zapomíná
Firmware je program uvnitř routeru. Výrobci v něm opravují chyby, včetně bezpečnostních. CISA doporučuje pravidelně kontrolovat na stránkách výrobce, jestli běží nejnovější verze, a uvádí, že aktualizace opravují chyby a zranitelnosti. Mnoho novějších routerů zvládá automatické aktualizace, což je nejpohodlnější varianta.
Co udělat prakticky:
- V nastavení najděte sekci aktualizací a zjistěte, jestli je zapnutá automatika. Pokud ano, ověřte, kdy proběhla poslední.
- Když automatika chybí, přidejte si do kalendáře připomínku zhruba na každé tři měsíce (jde o naše doporučení, ne o pevně stanovenou lhůtu).
- Pokud router patří poskytovateli internetu, zjistěte, jestli ho aktualizuje na dálku. U některých modelů to dělá poskytovatel a vy nemusíte nic.
- Když výrobce už pro váš model žádné aktualizace nevydává, počítejte s výměnou. Nový router je levnější než průšvih s napadenou sítí.
Vypněte WPS a další funkce, které nepotřebujete
WPS (Wi-Fi Protected Setup) je funkce, která má zjednodušit připojení: stisknete tlačítko na routeru nebo zadáte krátký osmimístný kód a zařízení se připojí bez psaní hesla. Pohodlné, jenže právě u kódu se na konci roku 2011 objevila zásadní slabina. Podle české Wikipedie umožňoval několikahodinový útok hrubou silou zjistit PIN a z něj i heslo k Wi-Fi. Podle Wikipedie novější zařízení tímto konkrétním problémem už netrpí, ale doporučení funkci vypnout zůstalo. CISA ho výslovně uvádí: WPS vypněte.
Stejný návod doporučuje ještě tři úpravy:
- Vypnout vzdálenou správu. Většina routerů umí zobrazit a měnit nastavení i přes internet. Pokud to nepotřebujete, vypněte to, aby se do konfigurace nemohl dostat nikdo cizí.
- Vypnout UPnP, když ho nepotřebujete. Umožňuje zařízením v síti samostatně se najít a navázat komunikaci. Pohodlné, ale je to další cesta dovnitř.
- Změnit výchozí název sítě. Tovární název často prozradí značku routeru a tím i to, jaké slabiny má. Do názvu ale nedávejte jméno, adresu ani číslo bytu.
Hostovská síť: návštěvy a chytré věci zvlášť
Hostovská síť je druhá Wi-Fi, kterou router vysílá vedle té hlavní. Má vlastní název a heslo a hlavní síť od ní odděluje. Návštěva na ní projde na internet, ale neuvidí vaše sdílené složky, tiskárnu ani síťové úložiště.
Proč ji nastavit, když nikdo nechodí?
- Návštěvy a kamarádi dětí. Nevíte, co mají v telefonech. Nemusíte jim dávat heslo do hlavní sítě, které pak zůstane v jejich zařízení navždy.
- Chytrá domácnost. Žárovky, zásuvky, televize nebo kamery (více o nich píšeme v textu o hlasových asistentech v chytré domácnosti) mívají slabší zabezpečení a málokdy dostávají aktualizace. Když je dáte do hostovské sítě, případné napadení se nedostane k počítači s doklady a fotografiemi. Do stejné kategorie patří i chytré zámky, u kterých ale zkontrolujte, zda s hostovskou sítí budou fungovat, jinak se přestanou ovládat.
Postup se liší podle výrobce, ale obvykle je stejný: v nastavení Wi-Fi zapněte „hostovskou síť“ (někdy „guest network“), vyberte jiný název a nové heslo a zapněte volbu, která hostům zakazuje přístup do místní sítě. Ta se může jmenovat třeba „izolace“ nebo „přístup jen k internetu“. Název volby se liší, proto ji v nabídce hledejte. Nakonec si ověřte, že se z telefonu připojeného k hostovské síti nedostanete na tiskárnu.
Kontrolní seznam na deset minut
- Heslo správce routeru je vaše, dlouhé a uložené ve správci hesel.
- Šifrování je WPA3 nebo WPA2 s AES, žádné WEP ani WPA s TKIP.
- Heslo k Wi-Fi je dlouhé a náhodné, například víceslovná fráze.
- Firmware je aktuální a víte, jak se aktualizuje.
- WPS a vzdálená správa jsou vypnuté.
- Návštěvy a chytré spotřebiče jsou v hostovské síti.
Časté otázky
Musím po nastavení WPA3 měnit všechna zařízení?
Ne. Pokud router nabízí smíšený režim WPA2 a WPA3, starší zařízení se připojí přes WPA2 a novější využijí WPA3. Čistý WPA3 zapněte, až budou všechna zařízení umět.
Je skrytý název sítě dobrá ochrana?
Ne. Skrytí názvu sítě není zabezpečení. Skutečnou ochranu tvoří šifrování a dobré heslo, a skrytý název navíc zhoršuje připojování zařízení.
Jak poznám, že se do sítě připojil někdo cizí?
V nastavení routeru najdete seznam připojených zařízení. Projděte ho a zkontrolujte, že znáte všechna. Když najdete neznámé zařízení, změňte heslo k Wi-Fi a heslo správce a zkontrolujte firmware. CISA doporučuje sledovat nepovolená zařízení v síti.
Musím po změně hesla k Wi-Fi všechno připojovat znovu?
Ano, každé zařízení se musí k síti znovu přihlásit s novým heslem. Připravte si seznam: telefony, televize, tiskárna, chytré zásuvky. Kdo si dá práci jednou, má klid na dlouho.
Stačí, když mám dobrý antivirus?
Antivirus chrání počítač, ne router ani ostatní zařízení v síti. Zabezpečení routeru je samostatný krok, který antivirus nenahradí.
