Draadloos netwerk: hoe het wordt gekraakt en hoe je het beveiligt

Een draadloos netwerk zendt door de muren van je woning naar buiten, en iedereen die in de buurt is, ziet dat het er is. Dat is het uitgangspunt van dit onderwerp: de beveiliging van je wifi is de enige deur tussen de straat en je thuisnetwerk, en het is een deur die veel mensen nooit hebben nagekeken. Hieronder wat de zwakke plekken zijn en wat je eraan doet — voor je eigen netwerk; het netwerk van iemand anders binnendringen is strafbaar, ook als het slecht beveiligd is.

De beveiligingsmethoden op een rij

De oudste methode voor draadloze versleuteling is al lang volledig gebroken. Het onderliggende ontwerp lekt informatie, en met voldoende opgevangen verkeer is de sleutel te herleiden, ongeacht hoe lang je wachtwoord is. Staat dit nog op je apparatuur, dan is je netwerk in de praktijk open.

De opvolger daarvan met de gangbare vooraf gedeelde sleutel is bruikbaar, met één belangrijke beperking: iemand kan het aanmeldmoment opvangen en daarna buiten jouw netwerk om zoveel wachtwoorden proberen als hij wil. Een kort of gewoon woord als sleutel houdt dan niets tegen; een lange, willekeurige sleutel wel.

De nieuwste generatie lost precies dat op: het aanmelden is zo opgezet dat een opgevangen poging niet kan worden gebruikt om er offline op los te rekenen. Als je apparatuur en je apparaten het ondersteunen, is dit wat je wil.

De zwakke plekken die niet in de versleuteling zitten

De aanmeldknop voor gemakkelijk koppelen van apparaten, met een code van cijfers, is een bekende zwakke plek: de code kan in delen worden geraden, waardoor het aantal pogingen dramatisch kleiner wordt. Zet die functie uit; het koppelen via de knop is iets gunstiger maar blijft een ingang.

Het beheerderswachtwoord van de router. Veel apparaten worden met een standaardwachtwoord geleverd, en iemand die op je netwerk zit, komt daarmee in de instellingen. Verander het.

Verouderde firmware. Routers en versterkers krijgen beveiligingsupdates, en er zijn kwetsbaarheden waarbij een apparaat van buiten de woning is over te nemen. Zet automatisch bijwerken aan, en vervang apparatuur die geen updates meer krijgt.

Beheer op afstand. Staat de beheerpagina van je router open naar het internet, dan is dat een ingang die niemand thuis nodig heeft. Uitzetten.

En het gastnetwerk dat er niet is. Alles wat bij jou binnen op het netwerk zit, kan bij je andere apparaten: je netwerkschijf, je printer, je camera's. Een bezoeker of een slim apparaat hoort daar niet bij.

Wat niet helpt

De netwerknaam verbergen. Het apparaat zendt hem hoe dan ook uit zodra er verkeer is, en het maakt je eigen apparaten onhandiger.

Filteren op hardware-adres. Die adressen zijn uit te lezen uit het verkeer en zijn na te bootsen; het houdt niemand tegen die iets van de zaak weet.

Het zendvermogen verlagen tot het net binnen je huis reikt. Klinkt slim, en een antenne buiten is beter dan de antenne in je telefoon, dus het bereik is groter dan je denkt.

Wat je vanavond instelt

Zet de nieuwste beveiligingsmethode aan die je apparatuur en je apparaten ondersteunen, eventueel in de gemengde stand als er oud spul is dat moet blijven werken.

Neem een lange sleutel: een reeks van vier of vijf willekeurige woorden, of een lange willekeurige regel uit een wachtwoordbeheerder. Lengte doet hier meer dan tekens door elkaar.

Wijzig het beheerderswachtwoord, zet de koppelfunctie met code uit, zet beheer op afstand uit, en werk de firmware bij.

Maak een gastnetwerk en zet daar al je bezoekers op, en ook je slimme lampen, camera's en speakers; dat is apparatuur waarvan de beveiliging buiten jouw invloed ligt.

Kijk in de lijst met aangesloten apparaten of je alles herkent, en verander je sleutel als iemand is vertrokken die hem kende.

En het punt dat het meest wordt vergeten: je netwerk is maar de buitenrand. Zet op je apparaten zelf tweestapsverificatie aan bij belangrijke accounts en houd ze bijgewerkt. Wie binnen is, komt namelijk vooral bij de dingen die daar onbeveiligd op staan.