Wi-Fi w małej firmie: sieć dla gości, WPA3 i router

W małej firmie jedna sieć Wi-Fi często obsługuje wszystko naraz: komputer księgowej, drukarkę, terminal płatniczy, kamerę i telefony klientów. To wygodne, ale oznacza, że każdy, kto zna hasło, jest w tej samej sieci co firmowe dane. Poniżej ustawienia, które zalecają CISA, CERT Polska i niemieckie BSI, oraz to, co o routerach mówią nowe przepisy UE. Większość z nich zrobisz w panelu routera, bez kupowania nowego sprzętu.

1. WPA3 zamiast WPA2 i pułapka trybu przejściowego

Wi-Fi Alliance ogłosiła WPA3 25 czerwca 2018. W wersji Personal zastępuje ono wymianę kluczy WPA2 mechanizmem SAE, który ma chronić sieć nawet przy słabszym haśle. Od 1 lipca 2020 obsługa WPA3 jest obowiązkowa w nowo certyfikowanych urządzeniach. CISA zaleca WPA3 Personal albo WPA2 z szyfrowaniem AES i odradza WEP oraz TKIP.

Starsze urządzenia, na przykład drukarki czy terminale, mogą nie łączyć się przez WPA3. Dlatego routery oferują tryb przejściowy WPA2/WPA3. Wi-Fi Alliance przyznaje, że w tym trybie klient może paść ofiarą ataku, który wymusza słabsze zabezpieczenia. Badacze opisali taki atak w 2019 roku jako część podatności Dragonblood. Jeśli wszystkie twoje urządzenia obsługują WPA3, ustaw tryb tylko WPA3.

2. Osobna sieć dla gości

Sieć dla gości oddziela telefony klientów i urządzenia, którym nie ufasz, od komputerów z danymi firmy. BSI pisze, że taka sieć ogranicza szkody w sieci głównej, i zaleca przenieść do niej także urządzenia typu smart, z dala od bankowości i pracy zdalnej. CISA radzi podłączać do sieci gościnnej urządzenia IoT, na przykład kamery.

Większość routerów, także tych od operatorów, ma funkcję sieci dla gości w panelu administracyjnym. Ustaw w niej inne hasło niż w sieci firmowej. BSI zaleca szyfrowanie co najmniej WPA2, a jeśli to możliwe WPA3, oraz hasło z co najmniej 20 przypadkowych znaków. Dla sieci otwartych bez hasła Wi-Fi Alliance oferuje Wi-Fi Enhanced Open, który szyfruje ruch także bez logowania.

3. WPS do wyłączenia

WPS pozwala podłączyć urządzenie przyciskiem albo 8-cyfrowym PIN-em. W grudniu 2011 CERT/CC opisał błąd projektowy tego PIN-u (CVE-2011-5053). Router potwierdza osobno pierwszą połowę PIN-u, a ostatnia cyfra jest sumą kontrolną, więc liczba prób spada ze 100 mln do około 11 000. Wiele routerów nie blokuje kolejnych nieudanych prób.

CERT/CC i CISA zalecają wyłączenie WPS. To jedno pole w ustawieniach sieci bezprzewodowej routera.

4. Hasło administratora i domyślne ustawienia

Hasło do Wi-Fi i hasło do panelu administracyjnego routera to zwykle dwa różne hasła. CERT Polska ostrzega, że urządzenia często mają hasła producenta, nierzadko takie same na wielu egzemplarzach, a przestępcy automatycznie sprawdzają znane dane logowania. Nawet unikalne hasło z naklejki mogły widzieć osoby, które miały kontakt z routerem. Reset do ustawień fabrycznych przywraca hasło producenta, więc po każdym resecie zmień je ponownie.

CISA zaleca też wyłączenie zdalnej administracji routerem z internetu i fizyczną ochronę urządzenia, bo osoba z dostępem do routera może go zresetować.

5. Aktualizacje i koniec wsparcia routera

Router, który nie dostaje aktualizacji, zostaje z dziurami na zawsze. W maju 2025 FBI ostrzegło, że przestępcy przejmują routery po końcu wsparcia i używają ich jako serwerów pośredniczących. Według FBI routery z 2010 roku i starsze najpewniej nie dostają już poprawek. FBI zaleca wymianę takiego routera, instalowanie poprawek i wyłączenie zdalnej administracji.

Sprawdź w panelu routera wersję oprogramowania i datę ostatniej aktualizacji, a na stronie producenta, czy model jest jeszcze wspierany. Część routerów ma aktualizacje automatyczne, które warto włączyć.

6. Co zmieniają przepisy UE

Od 1 sierpnia 2025 routery i inne urządzenia radiowe sprzedawane w UE muszą spełniać wymagania cyberbezpieczeństwa z rozporządzenia delegowanego do dyrektywy RED, dotyczące ochrony sieci, danych osobowych i przed oszustwami. Kolejny krok to Cyber Resilience Act, stosowany w całości od 11 grudnia 2027. Wtedy wymagania RED zastąpią przepisy CRA.

CRA zalicza routery do produktów ważnych klasy I. Wymaga bezpiecznej konfiguracji domyślnej, bezpłatnych aktualizacji bezpieczeństwa i okresu wsparcia co najmniej 5 lat, chyba że przewidywany czas używania produktu jest krótszy. Obowiązki dotyczą producentów, importerów i dystrybutorów, a nie firmy, która router kupuje, i nie obejmują sprzętu kupionego wcześniej. Przy zakupie nowego routera warto jednak sprawdzić, jak długo producent deklaruje wsparcie.

7. Darmowe Wi-Fi dla klientów a odpowiedzialność

Trybunał Sprawiedliwości UE orzekł w 2016 roku w sprawie Mc Fadden, że bezpłatne Wi-Fi udostępniane przez sklep, żeby przyciągnąć klientów, jest usługą społeczeństwa informacyjnego. Właściciel sieci nie odpowiada odszkodowawczo za naruszenia praw autorskich popełnione przez użytkowników. Sąd może jednak nakazać zabezpieczenie sieci hasłem i wydawanie go dopiero po podaniu przez użytkownika tożsamości. Nie może nakazać monitorowania przesyłanych treści.

Wyrok zapadł na gruncie dyrektywy o handlu elektronicznym w brzmieniu z 2016 roku. Sieć dla gości z hasłem, którą zalecamy w sekcji 2, spełnia też warunek, który sąd mógłby nałożyć.

8. Podsumowanie

Na koniec lista kontrolna do przejścia w panelu routera:

• szyfrowanie WPA3, a przy starszych urządzeniach WPA2 z AES, bez WEP i TKIP,
• osobna sieć dla gości z innym, długim hasłem,
• wyłączony WPS i zdalna administracja,
• zmienione hasło administratora routera,
• włączone aktualizacje i sprawdzone wsparcie producenta.

Hasło administratora i do sieci najłatwiej przechowywać w menedżerze haseł.