Zaščita Routerja

Pozdravljeni.

Mene pa zanima, kako se naredi, da se ne bi na moj brezžični router povezovali še drugi?
Router je pa Linksys WRV 200.
Navodila sem dobil sicer zraven, ampak, ker se v sloveniji inšpektorji pač ne zmenijo za take zadeve, so samo v angleškem jeziku v slovenskem pa ne... :-(
Ne da se mi pa it nazaj v trgovino in jim težit. :-)

Lep pozdrav.

Nič drugega ne pomaga, kot vklopit WPA (WPA 2, če ti to omogoča vsa oprema) in uporabit dolgo geslo. Geslo naj bo sestavljeno iz 63 naključnih znakov (poguglaj za strong password generatorji).

Zatem lahko pozabiš na problem varnosti (vsaj v razumnih mejah - dokler ne stopiš na prst FBIju npr.) in se lotiš pomembnejših opravil.

Na zaklepanje MAC adres in posameznih računalnikov, ali WEP enkripcijo pozabi, so za povprečnega mulca mala malca.

+ še nekaj kar zmede druge

WEP, skrivanje SSID, zaklepanje na MAC naslove in večina ostalih idej tukaj je b***sh*t kar se tiče varnosti. Edino, kar RES pomaga, je, kot je že nekdo napisal WPA ali WPA2 s 63 naključnimi znaki kot geslo. Potem se nimaš kaj bati, vse ostalo ne bo ustavilo napadalca.

Hm, glede mnenj expertov imam jaz drugačne informacije. In jaz nekoga, ki bi se zanašal na voljo napadalca, ne bi imenoval varnostni "expert". V glavnem, kar se tiče tega, da omrežje ni vidno (skrivanje SSID) - to bo za hekerja s pravimi orodji hitro postalo vidno in ne nudi nikakršne zaščite. Fake AP sicer res do neke mere pomaga, vendar to ni enostavna rešitev, ker znajo imeti tudi legitimni klienti probleme pri povezavi na omrežje - to sem nekje zasledil. Na koncu koncev je tudi nepotrebno, zato ker ti nihče ne more vdreti, če nastaviš omrežje tako, kot sem napisal zgoraj. Je enostavno nemogoče, ker če imaš res 63 naključnih znakov za geslo, je možnih kombinacij preveč, da bi lahko uspel brute force napad pred iztekom življenjske dobe vesolja.
Računanje šifrirnega ključa seveda tudi ne pomaga, ker se le-ta (za razliko od WEP) sproti spreminja. Zato dejansko zaenkrat še nihče ni pogruntal načina, kako vdreti v tako zaščiteno mrežo. Če pa kdo ima kako tako informacijo, na plan z besedo, vendar sem sam 100%, da ni takega junaka. Vsi doslej znani uspešno izvedeni napadi na omrežje z WPA so namreč temeljili na neki vrsti brute force napada na geslo.

hehe, zanimivo.

No, pa začnimo:

He he , glede da je ni stvari na svetu , ki bi bila 100% , ti tudi tvojih 63 ključev nič ne pomaga , če ima napadalec prava orodja

Taka orodja NE obstajajo, no, res, zaenkrat ne. Sem že omenil, da ne obstajajo? Obstajajo samo orodja, ki izvajajo brute force napade.

1. Če skriješ , svoj SSID , da ga napadalec ne more videt , mu s tem otežiš delo , ker mora vedet , da na tistem območju , na tem in tem kanalu je eno omrežje .

No, tukaj pa res obstajajo orodja, za katera to ni noben problem.

2. Odkrit - uganit mora tvoj SSID , da sploh lahko začne napad.

Če ima prava orodja, ne rabi dosti ugibat.

4. Zakleneš omrežje na svoje MAC naslove

MAC naslove je mala malica ponarediti in tudi ugotoviti, kateri naslovi legitimno nastopajo v omrežju. Odpade.

5. Nobeden ti ne brani , da vsega skupaj tudi ne zakodiraš (kar pa je pri upoštevanju zgornjih predpostavk , irelevantno)

Se ne strinjam.

6. In najpomembneje , nekdo v tvoji bljižini mora imeti čas , voljo , sredstva (orodja , ki premostijo vse zgoraj opisane metode), da vse to izvede - kar je malo verjetno

Se strinjam. Vendar če že imamo debato o varnosti...

Prej si rekel, da so enostavnejše rešitve dovolj dobre.

Torej, še vedno trdim, da je najvarnejša nastavitev obenem tudi najenostavnejša, to je izjemno dolgo naključno geslo v WPA načinu. Tu pa res ni nič težkega.

Strinjam se, da prijemi, o katerih govoriš, bodo upočasnili napad, vendar ga ne bodo ustavili. Ustavilo ga bo samo kodiranje z dobrim geslom.

No pa da zaključimo , tisti zgoraj opisani načini so za povprečnega uporabnika čisto zadosti (razno šifriranje ti samo poje prepotrebno pasovno širino) , seveda če nimaš na disku kakih hudih skrivnost - kot naprimer "Kdo je ubil Kenediya" ... in podobni stuff ... potem si seveda dovolj zanimljiv za vdiranje.
Tisto kar si napisal , da SSID in MAC ni težko odkriti (z pravimi orodji seveda) drži - RABIŠ ČAS ...
In kot sem že zapisal nobeden od nas tukaj prisotnih ni dovolj zanimljiv - pomemben , da bi bil vreden tega časa (napadalec mora dalj časa spremljat promet , da izlušči uporabne podatke - pridobi SSID in MAC naslove) , s tem pa se napadalec po nepotrebnem izpostavlja nevarnosti , da ga dobijo - VDOR V TUJE OMREŽJE SE PREGANJA Z ZAKONOM.
Razen če je napadalec neumen in bo zaradi par slik , muzike , filmov tvegal kazenski pregon. (no ja tudi taki se najdejo , samo za take se navadno slabo konča , slej ko prej)

Neposredno tvoje podatke je morda res nepomembno ukrasti, lahko pa uporabi tvoje nezaščiteno omrežje za anonimni dostop do spleta in vdiranje naprej v ostala omrežja, ter tako zakrije svojo identiteto.

@martinsm3:

kar praviš je veljalo mogoče kakšni dve leti nazaj. Sedaj je na mreži že preveč podatkov in opisov vloma v nezaščitene mreže (skrivanje SSID ni zaščita - Netstumbler ti jo kar pokaže) . Orodja za llinux pa so precej močnejša.
WEP kodiranje bolj obremenjuje širino prenosa kot WPA in ga je nesmiselno uporabljati. MAC naslov pa se na mreži pojavi ob prometu vsakih nekaj sekund.

Zares, vse razen WPA je brez zveze. Edino, če imaš staro opremo (več kot dve ali skoraj tri leta, ki ne podpira WPA kodiranja) se lahko zafrkavaš s tem.

Kar se tiče interesa za vlom - nekateri bodo poskusili vse kar se le da. Za zabavo! Lahko pa tudi s slabim namenom.

Tak bom reko.
"wardriving je moj velik hobi... In lahko rečem da glede na to koliko odprtih mrež je po sloveniji se je brezveze zajebavat s tem :)
Jaz imam namensko odprto mrežo(imam nareto na MAC blokado) in se mi logira kdo je bil vse na moji mreži in še nikoli ni bilo nobenega Pravzaprav kaj bi koga motlo če bi recimo nekdo hotel odpret kaki page, ali pogledat kake maile. Mene nebi. Edini problem je pač zloraba povezave za kakšna nelegalna početja.(zato imam v mojem SSID napisano telefonsko da me lahko mrebitini uporabnik neta pokliče)

Seveda drugače je če bi hotel določenemu osebku/podjetju vdret v sistem preko wifi... WPA se da tudi nahekat(sem nekaj bral na netu) Najboljša rešitev je pomojem uporaba žične mreže :) Vendar mislim da nekomu ki bi mel interes vdret v sistem da si pridobi kakšne informacije lahko stori tudi na druge(lažje) načine kot preko wifija.

Hmja meni je pa to ql.. Recimo zadnjič ko sem se nekaj rabil net, sem v mariboru zapelal na najbljižje parkirišče, vzel mojo orinoco pcmcia kartico, laptop in zunanjo anteno z magnetnim podnožjem ki jo daš na sterho avta, in izbral na katero izmed petih mrež se bom povezal

Sicer smo rahlo offtopic...
Je še nekaj zanimivo.. Vprašanje je ali je to nelegalno početje ali ne. (če se ne internet povežeš)
Namreč nekje sem bral da je nekdo zagovarjal če nekdo pusti odprto mrežo ti da s tem povedat da se lahko gor povežeš...
No če predvidevamo da je prejšni primer nelegalen. Ampak ali je nelegalno če si recimo izklopiš ip protokol in imaš samo netstumbler ali kismet in iščeš mreže?

Vse od nastetga je prelahko za tistega, ki se spozna na to.

Da ne boste rekli, da samo na pamet govorim. Preberite si malo, kaj piše v tem članku: Unbreakable Wifi security. Ta tip ve o teh stvareh več, kot mi vsi skupaj in tudi sledi nova odkritja. Zaenkrat še ni prišlo do kakega preboja, da bi te trditve popravil.

En citat iz članka:

The reason I make this point is that WPA, even the weakest form of WPA encryption, if it's done properly, is absolutely uncrackable as long as no one gets your key

A obstaja kak howto ( v slovenščini po možnost) kako nastaviti zaščito za wifi na tomatu ?

Tam imaš na voljo kup zaščit (wep, wpa(2) enterprise, wpa(2) personal, radius). Pa še cel kup nastavitev za vsako posamezno zaščito.
Trenutno imam sicer MAC filter, samo po vašem pisanju, sem se odločit, da še malo bolj zaščitim mrežo.

WPA2 + Radius s Certifikatom na na klientu, s katerim se authenticiraš na radius.
Za SSID, pa je bilo tudi na Slo-techu enkrat novica, in skrivanje le tega je zgolj za res lene uporabnike. Bistveno več dela je z WPA2, kot pa minutko za SSID...

Za SSID napišeš ZELJe, PA mi povej koga napada. Moraš res biti zelo specifičen da v SSID daš svoje ime in priimek...
Zakaj Radius, zato, ker morajo najprej radius, ali pa klienta hekniti, da padejo v omrežje. Verjetno je laže najti exploit ruterja, kot pa hakniti RADIUS, do katerega razen s fizičnim kablom nimaš dostopa, ali pa pobrati certifikat na mašini klienta...

WPA2 Personal + AES je najbolje.

+1

The six dumbest ways to secure a wireless LAN
Wireless LAN security guide
...