O teu router tem duas palavras-passe, e quase ninguém sabe.
Uma é a do Wi-Fi: a que ditas ao telefone, a que está apontada num papel na cozinha, a que lês ao canalizador. A outra é a de administração do próprio aparelho, a que abre o painel onde se configura tudo. Nessa segunda quase nunca se mexe, e se tu não lhe mexeste continua a ser exactamente a que veio impressa no autocolante de baixo.
As duas protegem coisas diferentes e falham de maneiras diferentes. Vale a pena separá-las, porque vinte anos de conversa sobre «a palavra-passe do Wi-Fi» serviram, entre outras coisas, para tapar a outra.
A que sabes de cor e a que nunca olhaste
A chave do Wi-Fi decide quem se pode ligar à rede. É uma autorização de entrada: com ela, um dispositivo entra na tua rede local e convive com os restantes.
A palavra-passe de administração decide quem pode mudar como a rede funciona. É a partir desse painel que se mexe no nome da rede, no tipo de cifra, nos servidores DNS que a casa inteira usa, nas portas abertas para fora e na possibilidade de administrar o router a partir da internet. Não é mais uma porta: é a porta a partir da qual se reconfiguram as outras.
Aí está a assimetria incómoda. Se alguém tem a chave do Wi-Fi, está na tua rede. Se alguém tem a de administração, a tua rede é dele: pode mudar a chave do Wi-Fi, baixar a cifra ou desviar por onde sai o teu tráfego, e tu davas por isso pelo efeito, nunca por um aviso.
A recomendação da CISA sobre isto não tem meios-termos: muda o utilizador e a palavra-passe de acesso ao router, porque a informação que ele traz de fábrica pode ser pública e estar ao alcance de qualquer pessoa, e põe uma longa, aleatória e única. E acrescenta outra que quase toda a gente incumpre sem dar por isso: que não seja a mesma que a do Wi-Fi. São duas coisas distintas e partilham-se de forma muito distinta —uma sabe-a meio bairro; a outra não devia saber ninguém.
2011 o botão que parecia cómodo
Há um terceiro segredo no teu router de que quase nunca se fala: o PIN do WPS, o sistema de emparelhamento rápido que aparece como um botão no aparelho e como um número de oito algarismos no autocolante.
Em Dezembro de 2011, o CERT/CC publicou a nota de vulnerabilidade VU#723755, a partir do trabalho de Stefan Viehböck, sobre uma fragilidade de desenho na verificação desse PIN. O que te interessa não é o pormenor técnico: é a resposta oficial, que continua igual quinze anos depois. Não havia correcção; havia um interruptor. A recomendação era —e é— entrar na configuração e desactivar o WPS. A CISA repete-o hoje no seu guia para redes domésticas, na mesma lista onde pede que se desactive a administração remota.
É a parte mais rentável deste artigo todo: duas caixas que se desmarcam uma vez e não voltam a incomodar.
2015 quando a chave de fábrica já vinha calculada
Uma palavra-passe de fábrica não é um segredo teu. É um valor que o fabricante escolheu, que está impresso no aparelho, que sai no manual e que muitas vezes se repete em todas as unidades de um modelo.
E há casos publicados de coisa pior: chaves de fábrica que não eram aleatórias mas sim calculadas a partir de dados que o próprio router emite para o ar. No catálogo do NIST está o CVE-2015-0558, sobre um router doméstico que gerava a sua chave WPA a partir de uma cadeia fixa e do seu endereço MAC. Pouco depois, um aviso público da SEARCH-LAB sobre um modem de cabo muito difundido na Europa dizia-o com uma frase que resume tudo: «o SSID e a palavra-passe por omissão derivam apenas do endereço MAC. Como o endereço MAC é emitido por Wi-Fi, a palavra-passe por omissão pode ser calculada facilmente.» O operador acabou por escrever aos clientes a pedir-lhes que a mudassem.
Não é preciso saber como aquilo se fazia —e aqui não se vai contar— para ficar com a única coisa que importa: uma chave que o fabricante conseguiu gerar, outra pessoa conseguiu reproduzir. A tua chave de fábrica não é aleatória por ser comprida e feia. É feia porque saiu de um procedimento, e os procedimentos estudam-se.
A palavra-passe mais fácil de fazer comprida que vais ter
Agora a boa notícia, e é rara, porque quase nenhum conselho de segurança sai de graça.
Todas as palavras-passe da tua vida arrastam o mesmo inimigo escondido: há que as escrever. Muitas vezes à mão, num telemóvel, à pressa. É por isso que as pessoas as fazem curtas, e é por isso que «põe uma de trinta caracteres» soa a castigo.
A do Wi-Fi não tem esse problema. Escreve-la uma vez por dispositivo e não voltas a vê-la: o telemóvel, o portátil e a televisão guardam-na para sempre. E quando é preciso dá-la a alguém, quase todos os telemóveis e boa parte dos routers modernos partilham-na com um código QR, sem que ninguém escreva nada.
Ou seja: o comprimento sai praticamente de graça, e por isso não há desculpa para ser curta. A norma IEEE 802.11i, que define isto desde 2004, admite frases de acesso até 63 caracteres. Quase ninguém chega a metade.
Então o que pôr? A CISA propõe algo muito concreto e muito fácil de seguir: uma frase memorável de cinco a sete palavras sem relação entre si, com pelo menos dezasseis caracteres no total, e que não uses em mais nenhuma conta. É a lógica do diceware aplicada à tua sala. Se preferes uma cadeia aleatória e deixar o QR fazer o trabalho, ainda melhor: tira-a do gerador e não voltes a olhar para ela. E se aquela que tens agora te deixa dúvidas, passa-a pelo verificador antes de decidires seja o que for.
2018 o que é o WPA3 e porque é que muda as contas
Em 2018 a Wi-Fi Alliance apresentou o WPA3, o sucessor do WPA2. Hoje é obrigatório para qualquer equipamento que queira o selo Wi-Fi CERTIFIED.
A mudança de fundo tem um nome feio, SAE, e uma consequência muito fácil de perceber. Com o WPA2, alguém que estivesse perto podia captar o cumprimento inicial entre o teu telemóvel e o router, ir para casa e testar contra esse ficheiro milhões de chaves por segundo, sem limite de tentativas e sem que ninguém desse por nada. É exactamente o problema de uma fuga de palavras-passe: quando o material está no disco do atacante, não há ninguém do outro lado a dizer que não.
O WPA3 quebra isso. Nas palavras da própria Wi-Fi Alliance, «o WPA3-Personal substitui a chave pré-partilhada do WPA2 (WPA2-PSK) por Simultaneous Authentication of Equals (SAE). Ao contrário do WPA2-PSK, o SAE é resistente aos ataques de dicionário fora de linha.» Cada tentativa volta a exigir falar com o router, e um router que recebe milhares de tentativas falhadas pode dar por isso e travar.
E depois há a parte honesta, que o próprio documento faz questão de dizer. Essa resistência significa que «o peso da segurança da palavra-passe deixa de recair sobre os utilizadores», e que exigir maiúsculas e símbolos já não é um requisito válido com SAE. Mas não é autorização para pôr uma má: o ataque activo continua a existir, e a especificação remata-o sem rodeios —as palavras-passe usadas com SAE têm de ser extremamente difíceis de adivinhar. É o mesmo que o NIST diz há anos do resto das tuas palavras-passe: o comprimento manda sobre a contorção.
Dois avisos práticos. Se o teu router não chega ao WPA3, a CISA dá por bons o WPA3 Personal e o WPA2 com AES, e só esses dois; uma rede aberta, WEP ou TKIP não são uma palavra-passe fraca, são não ter nenhuma. E se activares o modo de transição, a tua rede aceita ao mesmo tempo WPA3 e WPA2 para que entrem os aparelhos velhos: é uma decisão razoável numa casa com uma impressora de 2013, mas convém saber o que é —enquanto estiver ligado, a tua rede mantém uma porta WPA2—. Se tudo o que tens entra por WPA3, desliga-o.
2024 a lei mete-se por baixo do autocolante
Durante décadas isto foi um problema de conselhos. Agora é também um problema de regulamentação.
A 29 de Abril de 2024 entrou em vigor no Reino Unido o regime da PSTI, a lei de segurança dos produtos ligados, que proíbe as palavras-passe por omissão universais nos aparelhos de consumo: acabou o modelo em que todas as unidades de um produto saíam de fábrica com a mesma chave. A lei admite, isso sim, uma palavra-passe por omissão única por unidade, que é precisamente o caso do autocolante com uma cadeia diferente em cada router. Na União Europeia, os requisitos de cibersegurança da Directiva de Equipamentos de Rádio —o Regulamento Delegado (UE) 2022/30— são de aplicação obrigatória desde 1 de Agosto de 2025.
Daí deduzem-se duas coisas, e não são a mesma. A primeira: os routers novos vão chegar melhores de fábrica. A segunda, que é a que te toca: nada disto se aplica para trás ao aparelho que já tens na sala. Se está ali há seis anos, em tua casa continua a valer o mundo de antes.
A rede de convidados, ou deixar de ditar a tua chave
Pensa em quanta gente sabe a tua chave do Wi-Fi. O cunhado, a ama, o amigo que foi lá jantar em 2022 e ainda tem o telemóvel configurado, o técnico que subiu para instalar qualquer coisa.
Nenhum deles tem só uma autorização para chegar à internet: tem um dispositivo dentro da tua rede local, ao lado do teu disco em rede, da tua impressora e das tuas câmaras. E não fazes ideia do estado em que esse dispositivo está.
A rede de convidados é a resposta, e é uma função que já tens e não usas. A CISA di-lo com todas as letras: se o teu router tem rede de convidados, activa-a, põe-lhe uma palavra-passe própria —longa, aleatória e única— e que a use toda a gente que não se liga ao teu Wi-Fi de forma habitual. E acrescenta uma coisa que quase ninguém faz: manda para lá também as engenhocas ligadas —a tomada inteligente, a televisão, o aspirador robô— se a única coisa de que precisam é de sair para a internet, para que não possam descobrir os restantes aparelhos da casa.
É o princípio deste blogue todo aplicado à sala de estar: uma credencial por sítio. O teu Wi-Fi principal é um sítio. As visitas são outro.
O que fazer, por ordem
- Entra no painel do router e muda a palavra-passe de administração. É a única desta lista em que provavelmente nunca mexeste e a que mais manda. Longa, aleatória e diferente da do Wi-Fi.
- Põe uma chave de Wi-Fi comprida. Cinco a sete palavras sem relação, ou uma cadeia do gerador. Escreve-la uma vez e depois partilha-la por QR.
- Sobe para WPA3 se o teu router deixar. Se não, WPA2 com AES.
- Desactiva o WPS e a administração remota. Duas caixas, uma só vez.
- Liga a rede de convidados e manda para lá as visitas e as engenhocas.
- Actualiza o firmware e deixa ligadas as actualizações automáticas, se as houver.
- Não reutilizes nenhuma das duas noutro sítio. Se tens dúvidas sobre alguma das que já usas, passa-a pelo verificador.
Nada disto demora mais de vinte minutos, e são vinte minutos que se fazem uma vez.
O router é o aparelho mais importante da tua casa e o único que se administra sozinho enquanto ninguém o administrar. Está há anos ligado a um canto, a fazer o seu trabalho sem se queixar, e é precisamente por isso que nunca parece a altura de olhar para ele.
A palavra-passe de fábrica não é má por ser curta nem por ser feia. É má porque não é tua. Escolheu-a outra pessoa, imprimiu-a num autocolante e mandou-a para milhares de casas iguais à tua. Mudá-la é o mais parecido que existe, em informática doméstica, com mudar a fechadura quando te mudas.
Fontes: CISA, «Project Upskill · Module 5: Securing Your Home Wi-Fi», do Joint Cyber Defense Collaborative —mudar o utilizador e a palavra-passe de acesso ao router porque a informação de fábrica pode ser pública, frase de acesso de cinco a sete palavras sem relação e pelo menos dezasseis caracteres, WPA3 Personal ou WPA2 AES como únicas cifras consideradas seguras, desactivar o WPS e a administração remota, e activar a rede de convidados também para os dispositivos ligados— · Wi-Fi Alliance, «WPA3 Security Considerations Overview» (Abril de 2019), sobre a substituição do WPA2-PSK pelo SAE, a sua resistência aos ataques de dicionário fora de linha e a exigência de que as palavras-passe continuem a ser extremamente difíceis de adivinhar · CERT/CC, nota de vulnerabilidade VU#723755 (27 de Dezembro de 2011), reportada por Stefan Viehböck, cuja solução recomendada é desactivar o WPS · NVD (NIST), CVE-2015-0558, sobre um router doméstico que gerava a sua chave WPA a partir de uma cadeia fixa e do seu endereço MAC · aviso público da SEARCH-LAB (Gergely Eberhardt) sobre o modem Ubee EVW3226, publicado na Full Disclosure em Julho de 2016 · IEEE 802.11i, que define a frase de acesso entre 8 e 63 caracteres · Reino Unido, regime da Product Security and Telecommunications Infrastructure Act, em vigor desde 29 de Abril de 2024 · União Europeia, Regulamento Delegado (UE) 2022/30 da Directiva de Equipamentos de Rádio, de aplicação obrigatória desde 1 de Agosto de 2025 · NIST SP 800-63B, sobre o comprimento face à complexidade.
Foto de Jakub Zerdzicki · Pexels