Zure bideratzaileak —routerrak— bi pasahitz ditu, eta ia inork ez daki.
Bata wifiarena da: telefonoz diktatzen duzuna, sukaldeko paper batean idatzita daukazuna, iturginari irakurtzen diozuna. Bestea aparatuaren beraren administraziokoa da, dena konfiguratzen den panela irekitzen duena. Bigarren hori ia inoiz ez da ukitzen, eta zuk ukitu ez baduzu, azpiko eranskailuan inprimatuta zetorren bera da oraindik.
Biek gauza desberdinak babesten dituzte eta modu desberdinean huts egiten dute. Merezi du bereiztea, “wifiaren pasahitza” gaiaz hogei urtez hitz egiteak, beste gauza batzuen artean, bestea estaltzeko balio izan duelako.
Dakizuna eta inoiz begiratu ez duzuna
Wifiaren gakoak nor konekta daitekeen erabakitzen du sarera. Sartzeko baimena da: gako horrekin, gailu bat zure sare lokalean sartzen da eta besteekin batera bizi.
Administrazioko pasahitzak sareak nola funtzionatzen duen nork alda dezakeen erabakitzen du. Panel horretatik ukitzen dira sarearen izena, zifratze mota, etxe osoak zein DNS zerbitzari erabiltzen dituen, zein ataka dauden kanporantz irekita eta bideratzailea internetetik administra daitekeen ala ez. Ez da ate bat gehiago: beste ateak birkonfiguratzen diren atea da.
Hor dago asimetria deserosoa. Norbaitek wifiaren gakoa badu, zure sarean dago. Norbaitek administraziokoa badu, zure sarea berea da: wifiaren gakoa alda dezake, zifratzea jaitsi edo zure trafikoa nondik ateratzen den desbideratu, eta zu ondorioengatik konturatuko zinateke, inoiz ez abisu batengatik.
CISAren gomendioak ez du ñabardurarik honetan: aldatu bideratzailera sartzeko erabiltzailea eta pasahitza, fabrikatik dakarren informazioa publikoa izan baitaiteke eta edonoren eskura egon, eta jarri luze, ausazko eta bakar bat. Eta beste bat gehitzen du, ia mundu guztiak konturatu gabe hausten duena: ez dadila wifiarena bera izan. Bi gauza desberdin dira eta oso modu desberdinean partekatzen dira —bata auzo erdiak daki; bestea ez luke inork jakin behar.
2011 erosoa zirudien botoia
Hirugarren sekretu bat dago zure bideratzailean, ia inoiz aipatzen ez dena: WPSaren PINa, aparatuan botoi gisa eta eranskailuan zortzi zifrako zenbaki gisa agertzen den parekatze azkarreko sistema.
2011ko abenduan, CERT/CCk VU#723755 ahultasun-oharra argitaratu zuen, Stefan Viehböcken lanetik abiatuta, PIN hori egiaztatzeko diseinu-ahulezia bati buruz. Zuri axola zaizuna ez da xehetasun teknikoa: erantzun ofiziala da, hamabost urte geroago berdin-berdina dena. Ez zegoen adabakirik; etengailu bat zegoen. Gomendioa hau zen —eta hau da—: konfiguraziora sartu eta WPS desaktibatu. CISAk gaur egun errepikatzen du etxeko sareetarako gidan, urruneko administrazioa desaktibatzeko eskatzen duen zerrenda berean.
Artikulu honetako zatirik errentagarriena da: behin desmarkatzen diren eta berriz gogaitzen ez duten bi lauki.
2015 fabrikako gakoa kalkulatuta zetorrenean
Fabrikako pasahitz bat ez da zure sekretua. Fabrikatzaileak aukeratutako balio bat da, aparatuan inprimatuta dagoena, eskuliburuan ageri dena eta askotan modelo bateko unitate guztietan errepikatzen dena.
Eta okerragoa den zerbaiten kasu argitaratuak daude: ausazkoak ez ziren fabrikako gakoak, bideratzaileak berak airera igortzen dituen datuetatik kalkulatuak baizik. NISTen katalogoan dago CVE-2015-0558, bere WPA gakoa kate finko batetik eta bere MAC helbidetik sortzen zuen etxeko bideratzaile bati buruzkoa. Handik gutxira, SEARCH-LABek Europan oso zabalduta zegoen kable-modem bati buruz argitaratutako ohar batek dena laburbiltzen zuen esaldi batekin: “SSID lehenetsia eta pasahitz lehenetsia MAC helbidetik bakarrik eratortzen dira. Gailuaren MAC helbidea wifiz igortzen denez, pasahitz lehenetsia erraz kalkula daiteke.” Operadoreak bezeroei idatzi behar izan zien azkenean, alda zezaten eskatzeko.
Ez da beharrezkoa hori nola egiten zen jakitea —eta hemen ez da kontatuko— axola duen gauza bakarrarekin gelditzeko: fabrikatzaileak sortu ahal izan zuen gako bat, beste batek erreproduzitu ahal izan zuen. Zure fabrikako gakoa ez da ausazkoa luzea eta itsusia izateagatik. Itsusia da prozedura batetik atera zelako, eta prozedurak aztertu egiten dira.
Luze egiten errazena izango duzun pasahitza
Orain albiste ona, eta bitxia da, segurtasun-aholku ia bat ere ez baita doan ateratzen.
Zure bizitzako pasahitz guztiek etsai ezkutu bera daramate atzetik: idatzi egin behar dira. Askotan eskuz, mugikor batean, presaka. Horregatik egiten ditu jendeak laburrak, eta horregatik dirudi zigor bat “jarri hogeita hamar karakterekoa” esateak.
Wifiarenak ez du arazo hori. Behin idazten duzu gailu bakoitzeko eta ez duzu berriz ikusten: mugikorrak, ordenagailu eramangarriak eta telebistak betiko gogoratzen dute. Eta norbaiti eman behar zaionean, mugikor ia guztiek eta bideratzaile moderno askok QR kode baten bidez partekatzen dute, inork ezer idatzi gabe.
Alegia: luzera ia doan ateratzen da, eta horregatik ez dago aitzakiarik laburra izateko. IEEE 802.11i estandarrak, 2004tik hau definitzen duenak, 63 karaktere arteko pasa-esaldiak onartzen ditu. Ia inor ez da erdira ere iristen.
Zer jarri, orduan? CISAk oso zehatza eta jarraitzen oso erraza den zerbait proposatzen du: elkarren arteko loturarik gabeko bost eta zazpi hitz arteko pasa-esaldi gogoangarri bat, guztira gutxienez hamasei karakterekoa, eta beste inongo kontutan erabiltzen ez duzuna. Diceware-ren logika da, zure egongelara ekarrita. Nahiago baduzu ausazko kate bat eta QRari lana uztea, hobeto oraindik: atera ezazu sortzailetik eta ez begiratu berriz. Eta orain duzunak zalantzak sortzen badizkizu, pasa ezazu egiaztatzailetik ezer erabaki aurretik.
2018 zer den WPA3 eta zergatik aldatzen dituen kontuak
2018an Wi-Fi Alliancek WPA3 aurkeztu zuen, WPA2ren ordezkoa. Gaur egun derrigorrezkoa da Wi-Fi CERTIFIED zigilua eraman nahi duen edozein ekiporentzat.
Funtsezko aldaketak izen itsusia du, SAE, eta ulertzen oso erraza den ondorio bat. WPA2rekin, gertu zegoen norbaitek zure mugikorraren eta bideratzailearen arteko hasierako agurra harrapatu zezakeen, etxera joan eta fitxategi horren aurka segundoko milioika gako probatu, saiakera-mugarik gabe eta inor konturatu gabe. Pasahitz-filtrazio baten arazo bera da zehazki: materiala erasotzailearen diskoan dagoenean, ez dago beste aldean ezetz esango duen inor.
WPA3k hori hausten du. Wi-Fi Allianceren beraren hitzetan, “WPA3-Personalek WPA2ren aurrez partekatutako gakoa (WPA2-PSK) Simultaneous Authentication of Equals (SAE) sistemarekin ordezkatzen du. WPA2-PSKrekin ez bezala, SAE erresistentea da lineaz kanpoko hiztegi-erasoen aurrean.” Saiakera bakoitzak bideratzailearekin hitz egitea eskatzen du berriz, eta milaka saiakera huts jasotzen dituen bideratzaile batek horretaz konturatu eta balaztatu dezake.
Eta gero dago zati zintzoa, dokumentu berak esaten arduratzen dena. Erresistentzia horrek esan nahi du “pasahitzaren segurtasunaren pisua ez dela erabiltzaileen gain uzten”, eta maiuskulak eta ikurrak eskatzea jada ez dela baldintza baliozkoa SAErekin. Baina ez da txar bat jartzeko baimena: eraso aktiboak hor jarraitzen du, eta espezifikazioak biribiltzen du zalantzarik gabe —SAErekin erabiltzen diren pasahitzek izugarri zailak izan behar dute asmatzen. NISTek zure gainerako pasahitzez urteak daramatzan gauza bera da: luzerak agintzen du bihurdurak baino gehiago.
Bi ohar praktiko. Zure bideratzailea WPA3ra iristen ez bada, CISAk onartzat ematen ditu WPA3 Personal eta WPA2 AESrekin, eta bi horiek bakarrik; sare ireki bat, WEP edo TKIP ez dira pasahitz ahul bat, bat ere ez izatea baizik. Eta trantsizio modua aktibatzen baduzu, zure sareak WPA3 eta WPA2 aldi berean onartzen ditu aparatu zaharrak sar daitezen: erabaki zentzuzkoa da 2013ko inprimagailu bat duen etxe batean, baina komeni da zer den jakitea —jarrita dagoen bitartean, zure sareak WPA2 ate bat gordetzen du—. Zure guztia WPA3tik sartzen bada, kendu.
2024 legea eranskailuaren azpian sartzen da
Hamarkadetan aholku kontu bat izan da hau. Orain araudi kontu bat ere bada.
2024ko apirilaren 29an PSTI araubidea sartu zen indarrean Erresuma Batuan, konektatutako produktuen segurtasunari buruzko legea, kontsumoko aparatuetan pasahitz lehenetsi unibertsalak debekatzen dituena: bukatu da produktu baten unitate guztiak fabrikatik gako berarekin ateratzen ziren eredua. Legeak onartzen du, bai, unitate bakoitzeko bakarra den pasahitz lehenetsi bat, eta hori da hain zuzen bideratzaile bakoitzean kate desberdin bat duen eranskailuaren kasua. Europar Batasunean, Irrati Ekipoen Zuzentarauaren zibersegurtasun-baldintzak —2022/30 (EB) Erregelamendu Delegatua— nahitaez bete behar dira 2025eko abuztuaren 1etik.
Handik bi gauza ondorioztatzen dira, eta ez dira berdinak. Lehena: bideratzaile berriak hobeto iritsiko dira fabrikatik. Bigarrena, zuri dagokizuna: honetako ezer ez zaio atzeraeraginez aplikatzen egongelan jada duzun aparatuari. Sei urte badaramatza han, zure etxean lehengo mundua dago indarrean oraindik.
Gonbidatuen sarea, edo zure gakoa diktatzeari uztea
Pentsa zenbat jendek dakien zure wifiaren gakoa. Koinatuak, haurtzainak, 2022an afaltzera etorri eta oraindik mugikorra konfiguratuta duen lagunak, zerbait instalatzera igo zen teknikariak.
Horietako inork ez du internetera ateratzeko baimena bakarrik: gailu bat du zure sare lokalaren barruan, zure sareko diskoaren, inprimagailuaren eta kameren ondoan. Eta ez daukazu ideiarik ere gailu hori nola dagoen.
Gonbidatuen sarea da erantzuna, eta jada duzun eta erabiltzen ez duzun funtzio bat da. CISAk letra guztiekin esaten du: zure bideratzaileak gonbidatuen sarea badu, aktiba ezazu, jarri berezko pasahitz bat —luzea, ausazkoa eta bakarra— eta erabil dezala zure wifira ohiko moduan konektatzen ez den orok. Eta ia inork egiten ez duen zerbait gehitzen du: bidali hara gailu konektatuak ere —entxufe adimenduna, telebista, robota— internetera ateratzea besterik behar ez badute, etxeko gainerako aparatuak aurkitu ezin ditzaten.
Blog honen printzipio bera da, egongelara ekarrita: kredentzial bat leku bakoitzeko. Zure wifi nagusia leku bat da. Bisitak beste bat.
Zer egin, ordenan
- Sartu bideratzailearen panelean eta aldatu administrazioko pasahitza. Zerrenda honetan ziurrenik inoiz ukitu ez duzun bakarra da, eta gehien agintzen duena. Luzea, ausazkoa eta wifiarenaren desberdina.
- Jarri wifi-gako luze bat. Loturarik gabeko bost eta zazpi hitz artean, edo sortzailetik ateratako kate bat. Behin idazten duzu eta gero QRz partekatzen.
- Igo WPA3ra zure bideratzaileak uzten badu. Bestela, WPA2 AESrekin.
- Desaktibatu WPS eta urruneko administrazioa. Bi lauki, behin bakarrik.
- Piztu gonbidatuen sarea eta bidali hara bisitak eta gailuak.
- Eguneratu firmwarea eta utzi jarrita eguneratze automatikoak, baldin badaude.
- Ez berrerabili bietako bat ere beste inon. Jada erabiltzen dituzunetakoren batez zalantzak badituzu, pasa ezazu egiaztatzailetik.
Honek ez du hogei minutu baino gehiago eskatzen, eta behin bakarrik egiten diren hogei minutu dira.
Bideratzailea zure etxeko aparaturik garrantzitsuena da, eta inork administratzen ez duen bitartean bere kabuz administratzen den bakarra. Urteak daramatza izkina batean piztuta, bere lana kexatu gabe egiten, eta hain zuzen horregatik ez dirudi inoiz hari begiratzeko unea.
Fabrikako pasahitza ez da txarra laburra edo itsusia izateagatik. Txarra da ez delako zurea. Beste batek aukeratu zuen, eranskailu batean inprimatu eta zurea bezalako milaka etxetara bidali. Aldatzea da, etxeko informatikan, mudatzean sarraila aldatzearen antzekoena.
Iturriak: CISA, “Project Upskill · Module 5: Securing Your Home Wi-Fi”, Joint Cyber Defense Collaborative-rena —bideratzailera sartzeko erabiltzailea eta pasahitza aldatzea fabrikako informazioa publikoa izan daitekeelako, loturarik gabeko bost eta zazpi hitz arteko eta gutxienez hamasei karaktereko pasa-esaldia, WPA3 Personal edo WPA2 AES zifratze seguru bakartzat, WPS eta urruneko administrazioa desaktibatzea, eta gonbidatuen sarea aktibatzea gailu konektatuentzat ere— · Wi-Fi Alliance, “WPA3 Security Considerations Overview” (2019ko apirila), WPA2-PSK SAErekin ordezkatzeari, lineaz kanpoko hiztegi-erasoen aurkako erresistentziari eta pasahitzek izugarri zailak izaten jarraitu behar dutela dioen eskakizunari buruz · CERT/CC, VU#723755 ahultasun-oharra (2011ko abenduaren 27a), Stefan Viehböckek jakinarazia, zeinaren gomendatutako irtenbidea WPS desaktibatzea den · NVD (NIST), CVE-2015-0558, bere WPA gakoa kate finko batetik eta bere MAC helbidetik sortzen zuen etxeko bideratzaile bati buruz · SEARCH-LABen (Gergely Eberhardt) ohar publikoa Ubee EVW3226 modemari buruz, Full Disclosure-n 2016ko uztailean argitaratua · IEEE 802.11i, 8 eta 63 karaktere arteko pasa-esaldia definitzen duena · Erresuma Batua, Product Security and Telecommunications Infrastructure Act araubidea, 2024ko apirilaren 29tik indarrean · Europar Batasuna, Irrati Ekipoen Zuzentarauaren 2022/30 (EB) Erregelamendu Delegatua, 2025eko abuztuaren 1etik nahitaezkoa · NIST SP 800-63B, luzerari eta konplexutasunari buruz.
Argazkia: Jakub Zerdzicki · Pexels