Twój router ma dwa hasła, i prawie nikt o tym nie wie.
Jedno to hasło do wi-fi: to, które dyktujesz przez telefon, to zapisane na karteczce w kuchni, to, które czytasz hydraulikowi. Drugie to hasło administracyjne samego urządzenia — to, które otwiera panel, gdzie konfiguruje się wszystko. Tego drugiego praktycznie się nie rusza, a jeśli ty go nie ruszałeś, to nadal jest dokładnie tym, co przyszło wydrukowane na naklejce od spodu.
Oba chronią co innego i psują się na różne sposoby. Warto je rozdzielić, bo dwadzieścia lat rozmów o „haśle do wi-fi“ posłużyło między innymi do tego, żeby przykryć to drugie.
To, które znasz na pamięć, i to, na które nigdy nie spojrzałeś
Hasło do wi-fi rozstrzyga, kto może się połączyć z siecią. To przepustka: z nią urządzenie wchodzi do twojej sieci lokalnej i żyje w niej obok wszystkich pozostałych.
Hasło administracyjne rozstrzyga, kto może zmienić sposób działania sieci. Z tego panelu ustawia się nazwę sieci, rodzaj szyfrowania, z jakich serwerów DNS korzysta cały twój dom, które porty są otwarte na zewnątrz i czy routerem da się zarządzać z internetu. To nie kolejne drzwi: to drzwi, zza których przestawia się wszystkie inne.
Tu leży niewygodna asymetria. Jeśli ktoś ma hasło do wi-fi, jest w twojej sieci. Jeśli ktoś ma hasło administracyjne, twoja sieć należy do niego: może zmienić hasło wi-fi, osłabić szyfrowanie albo przekierować to, którędy wychodzi twój ruch, a ty dowiesz się po skutkach, nigdy z powiadomienia.
Zalecenie CISA nie zna tu odcieni: zmień nazwę użytkownika i hasło logowania do routera, bo fabryczne dane routera mogą być publicznie dostępne dla każdego, a nowe ustaw długie, losowe i niepowtarzalne. I dołóż jeszcze jedną zasadę, którą prawie wszyscy łamią, nawet tego nie zauważając: to nie może być to samo hasło co do wi-fi. To dwie różne rzeczy, udostępniane w zupełnie różny sposób — jedno zna pół osiedla, drugiego nie powinien znać nikt.
2011 przycisk, który wydawał się wygodny
W twoim routerze jest jeszcze trzeci sekret, o którym niemal się nie mówi: PIN WPS, czyli system szybkiego parowania, widoczny jako przycisk na obudowie i jako ośmiocyfrowa liczba na naklejce.
W grudniu 2011 roku CERT/CC opublikował notę o podatności VU#723755, opartą na pracy Stefana Viehböcka, dotyczącą słabości projektowej w sposobie sprawdzania tego PIN-u. Dla ciebie istotny jest nie szczegół techniczny, tylko oficjalna odpowiedź — ta sama piętnaście lat później. Nie było łatki; był przełącznik. Zalecenie brzmiało — i brzmi — wejść w ustawienia i wyłączyć WPS. CISA powtarza to dziś w swoim poradniku dla sieci domowych, na tej samej liście, na której każe wyłączyć zdalne zarządzanie.
To najbardziej opłacalny fragment całego tego tekstu: dwa pola, które odklikujesz raz i które nigdy więcej ci nie zawracają głowy.
2015 kiedy fabryczny klucz przychodził wyliczony
Hasło fabryczne nie jest twoim sekretem. To wartość, którą wybrał producent, wydrukowana na urządzeniu, wypisana w instrukcji i bardzo często powtórzona we wszystkich egzemplarzach danego modelu.
A są opublikowane przypadki czegoś gorszego: kluczy fabrycznych, które wcale nie były losowe, tylko wyliczone z danych, które sam router wysyła w eter. W katalogu NIST figuruje CVE-2015-0558, o domowym routerze generującym swój klucz WPA ze stałego ciągu znaków i własnego adresu MAC. Niedługo potem publiczne ostrzeżenie SEARCH-LAB o modemie kablowym rozpowszechnionym w Europie ujęło to w jednym zdaniu: „Domyślny SSID i hasło są wyprowadzane wyłącznie z adresu MAC. Ponieważ adres MAC urządzenia jest rozgłaszany przez wi-fi, hasło domyślne można łatwo wyliczyć.“ Operator skończył na wysyłaniu do klientów pisma z prośbą o zmianę.
Nie trzeba wiedzieć, jak się to robiło — i tutaj nie zostanie to opowiedziane — żeby zachować jedyną rzecz, która ma znaczenie: klucz, który producent potrafił wygenerować, ktoś inny potrafił odtworzyć. Twój fabryczny klucz nie jest losowy dlatego, że jest długi i brzydki. Jest brzydki, bo wyszedł z procedury, a procedury da się przestudiować.
Najłatwiejsze do wydłużenia hasło, jakie kiedykolwiek będziesz mieć
Teraz dobra wiadomość — rzadka, bo porady z dziedziny bezpieczeństwa prawie nigdy nie są za darmo.
Każde hasło w twoim życiu ciągnie za sobą tego samego ukrytego wroga: trzeba je wpisać. Często ręcznie, na telefonie, w pośpiechu. Dlatego ludzie robią je krótkie i dlatego „ustaw trzydzieści znaków“ brzmi jak kara.
Hasło do wi-fi tego problemu nie ma. Wpisujesz je raz na urządzenie i więcej go nie widzisz: telefon, laptop i telewizor pamiętają je na zawsze. A kiedy trzeba je komuś podać, prawie wszystkie telefony i spora część nowoczesnych routerów przekazują je kodem QR — nikt niczego nie wpisuje.
Czyli: długość jest tu praktycznie darmowa i dlatego nie ma wymówki, żeby hasło było krótkie. Standard IEEE 802.11i, który definiuje to od 2004 roku, dopuszcza frazy do 63 znaków. Prawie nikt nie dochodzi nawet do połowy.
Co więc ustawić? CISA proponuje coś bardzo konkretnego i bardzo łatwego do wykonania: zapadającą w pamięć frazę z pięciu do siedmiu niepowiązanych ze sobą słów, o łącznej długości co najmniej szesnastu znaków, nieużywaną na żadnym innym koncie. To logika diceware przeniesiona do twojego salonu. Jeśli wolisz losowy ciąg i zdanie się na kod QR, tym lepiej: weź go z generatora i nigdy więcej na niego nie patrz. A jeśli to, które masz teraz, budzi twoje wątpliwości, przepuść je przez sprawdzarkę, zanim cokolwiek zdecydujesz.
2018 czym jest WPA3 i dlaczego zmienia rachunek
W 2018 roku Wi-Fi Alliance przedstawiło WPA3, następcę WPA2. Dziś jest obowiązkowe dla każdego sprzętu, który chce nosić znak Wi-Fi CERTIFIED.
Zmiana u podstaw ma brzydką nazwę, SAE, i bardzo łatwą do zrozumienia konsekwencję. Przy WPA2 ktoś znajdujący się w pobliżu mógł przechwycić powitanie między twoim telefonem a routerem, wrócić do domu i sprawdzać wobec tego pliku miliony kluczy na sekundę, bez limitu prób i bez niczyjej wiedzy. To dokładnie ten sam problem, co przy wycieku haseł: kiedy materiał leży już na dysku atakującego, nie ma nikogo po drugiej stronie, kto powiedziałby „nie“.
WPA3 to przerywa. Słowami samego Wi-Fi Alliance: „WPA3-Personal zastępuje klucz współdzielony WPA2 (WPA2-PSK) mechanizmem Simultaneous Authentication of Equals (SAE). W odróżnieniu od WPA2-PSK, SAE jest odporne na offline’owe ataki słownikowe.“ Każda próba na nowo wymaga rozmowy z routerem, a router, który dostaje tysiące nieudanych prób, może to zauważyć i przyhamować.
A potem jest część uczciwa, o którą ten sam dokument sam się upomina. Ta odporność oznacza, że „ciężar bezpieczeństwa hasła nie spoczywa już na użytkownikach“ i że wymaganie wielkich liter oraz znaków specjalnych przestało być przy SAE zasadnym wymogiem. Ale to nie jest przyzwolenie na ustawienie kiepskiego: atak aktywny nadal istnieje, a specyfikacja mówi to bez ogródek — hasła używane z SAE muszą być wyjątkowo trudne do odgadnięcia. Czyli to samo, co NIST od lat mówi o reszcie twoich haseł: długość bije wykręcanie znaków.
Dwie praktyczne uwagi. Jeśli twój router nie dochodzi do WPA3, CISA uznaje za dobre WPA3 Personal i WPA2 z AES, i tylko te dwa; sieć otwarta, WEP albo TKIP to nie jest słabe hasło, to brak hasła. A jeśli włączysz tryb przejściowy, twoja sieć przyjmuje jednocześnie WPA3 i WPA2, żeby weszły starsze urządzenia — w domu z drukarką z 2013 roku to rozsądna decyzja, ale trzeba wiedzieć, czym jest: dopóki jest włączony, w twojej sieci zostają drzwi WPA2. Jeśli wszystko, co masz, wchodzi po WPA3, wyłącz go.
2024 prawo sięga pod naklejkę
Przez dekady był to problem porad. Teraz jest też problemem przepisów.
29 kwietnia 2024 roku w Wielkiej Brytanii weszły w życie regulacje PSTI, ustawy o bezpieczeństwie produktów podłączanych do sieci, które zakazują uniwersalnych haseł domyślnych w konsumenckim sprzęcie: koniec z modelem, w którym wszystkie egzemplarze produktu wychodziły z fabryki z tym samym kluczem. Prawo dopuszcza natomiast hasło domyślne unikatowe dla każdego egzemplarza — czyli dokładnie przypadek naklejki z innym ciągiem znaków na każdym routerze. W Unii Europejskiej wymogi cyberbezpieczeństwa dyrektywy o urządzeniach radiowych — rozporządzenie delegowane (UE) 2022/30 — obowiązują od 1 sierpnia 2025 roku.
Wynikają z tego dwie rzeczy, i nie są tym samym. Pierwsza: nowe routery będą przychodzić w lepszym stanie. Druga, ta, która dotyczy ciebie: nic z tego nie działa wstecz na urządzenie, które już stoi w twoim salonie. Jeśli siedzi tam od sześciu lat, u ciebie w domu wciąż obowiązuje dawny świat.
Sieć dla gości, czyli koniec z dyktowaniem hasła
Pomyśl, ile osób zna twoje hasło do wi-fi. Szwagier, opiekunka, kolega, który przyszedł na kolację w 2022 roku i wciąż ma skonfigurowany telefon, technik, który wpadł coś zainstalować.
Żadne z nich nie dostało samego dostępu do internetu: każde ma urządzenie wewnątrz twojej sieci lokalnej, obok twojego dysku sieciowego, drukarki i kamer. A ty nie masz pojęcia, w jakim stanie jest to urządzenie.
Sieć dla gości jest odpowiedzią i jest funkcją, którą już masz, a z której nie korzystasz. CISA mówi to wprost: jeśli twój router ma sieć dla gości, włącz ją, nadaj jej własne hasło — długie, losowe i niepowtarzalne — i niech używa jej każdy, kto nie łączy się z twoim wi-fi na co dzień. I dołóż to, czego prawie nikt nie robi: wyślij tam też podłączone gadżety — inteligentne gniazdko, telewizor, odkurzacz — jeśli jedyne, czego potrzebują, to wyjście do internetu, żeby nie mogły wykryć reszty sprzętu w domu.
To zasada całego tego bloga przeniesiona do salonu: jedno poświadczenie na jedno miejsce. Twoje główne wi-fi to jedno miejsce. Goście to drugie.
Co zrobić, po kolei
- Wejdź do panelu routera i zmień hasło administracyjne. Jako jedynego z tej listy pewnie nigdy go nie ruszałeś, a to ono rządzi najbardziej. Długie, losowe i inne niż to od wi-fi.
- Ustaw długie hasło wi-fi. Pięć do siedmiu niepowiązanych słów albo ciąg z generatora. Wpisujesz je raz, a potem udostępniasz kodem QR.
- Przejdź na WPA3, jeśli router pozwala. Jeśli nie — WPA2 z AES.
- Wyłącz WPS i zdalne zarządzanie. Dwa pola, jeden raz.
- Włącz sieć dla gości i wyślij tam gości oraz gadżety.
- Zaktualizuj firmware i zostaw włączone aktualizacje automatyczne, jeśli są.
- Nie używaj żadnego z tych dwóch haseł nigdzie indziej. Jeśli masz wątpliwości co do któregoś z już używanych, przepuść je przez sprawdzarkę.
Nic z tego nie zajmuje więcej niż dwadzieścia minut, a te dwadzieścia minut poświęca się raz.
Router jest najważniejszym urządzeniem w twoim domu i jedynym, które administruje się samo tak długo, jak długo nikt go nie administruje. Od lat stoi włączony w kącie, robi swoje bez narzekania — i właśnie dlatego nigdy nie wydaje się, że to odpowiedni moment, żeby na niego spojrzeć.
Hasło fabryczne nie jest złe dlatego, że jest krótkie albo brzydkie. Jest złe dlatego, że nie jest twoje. Wybrał je ktoś inny, wydrukował na naklejce i wysłał do tysięcy domów takich jak twój. Zmiana tego hasła to najbliższy odpowiednik, jaki domowa informatyka ma dla wymiany zamków przy przeprowadzce.
Źródła: CISA, „Project Upskill · Module 5: Securing Your Home Wi-Fi“ z Joint Cyber Defense Collaborative — zmiana nazwy użytkownika i hasła logowania do routera, bo fabryczne dane routera mogą być publicznie dostępne; fraza z pięciu do siedmiu niepowiązanych słów i co najmniej szesnastu znaków; WPA3 Personal albo WPA2 AES jako jedyne szyfrowania uznane za bezpieczne; wyłączenie WPS i zdalnego zarządzania; włączenie sieci dla gości, także dla urządzeń IoT · Wi-Fi Alliance, „WPA3 Security Considerations Overview“ (kwiecień 2019), o zastąpieniu WPA2-PSK mechanizmem SAE, jego odporności na offline’owe ataki słownikowe i o wymogu, by hasła nadal były wyjątkowo trudne do odgadnięcia · CERT/CC, nota o podatności VU#723755 (27 grudnia 2011), zgłoszona przez Stefana Viehböcka, której zalecanym rozwiązaniem jest wyłączenie WPS · NVD (NIST), CVE-2015-0558, o domowym routerze generującym klucz WPA ze stałego ciągu znaków i własnego adresu MAC · publiczne ostrzeżenie SEARCH-LAB (Gergely Eberhardt) dotyczące modemu Ubee EVW3226, opublikowane na Full Disclosure w lipcu 2016 · IEEE 802.11i, definiujący frazę o długości od 8 do 63 znaków · Wielka Brytania, regulacje Product Security and Telecommunications Infrastructure Act, obowiązujące od 29 kwietnia 2024 · Unia Europejska, rozporządzenie delegowane (UE) 2022/30 do dyrektywy o urządzeniach radiowych, obowiązujące od 1 sierpnia 2025 · NIST SP 800-63B, o długości ponad złożonością.
Zdjęcie: Jakub Zerdzicki · Pexels