Как защитить домашний Wi-Fi от взлома и проверить, кто подключён

Чтобы защитить Wi-Fi от взлома, достаточно пяти шагов: пароль сети от 12 знаков, режим WPA3 или WPA2/WPA3, выключенный WPS, новый пароль администратора роутера и включённые обновления прошивки. Проверить, кто подключён, можно в списке клиентов роутера. Ниже пошагово, с расчётом стойкости паролей.

Признаки того, что вашим Wi-Fi пользуется кто-то ещё

Чужое подключение редко бросается в глаза. Сосед, подобравший пароль, просто смотрит фильмы через ваш канал. Хуже, если в сеть попал кто-то, кто хочет добраться до камер, сетевого хранилища или использовать ваш адрес для своих дел. Насторожиться стоит, если:

• скорость падает вечером, хотя дома никто не качает и не смотрит видео;
• индикатор Wi-Fi на роутере активно мигает, когда все ваши устройства выключены;
• в списке клиентов роутера есть устройства, которые вы не узнаёте;
• пароль от сети знают бывшие арендаторы, рабочие после ремонта, гости прошлых лет;
• роутер не обновлялся несколько лет и в нём всё ещё заводской пароль администратора.

Последние два пункта сами по себе не доказывают взлом, но это открытые двери. Закрыть их можно за 20-30 минут, и ниже мы пройдём этот путь по порядку.

Как узнать, кто подключён к моему Wi-Fi

Самый надёжный способ посмотреть список устройств в самом роутере. Сторонние приложения-сканеры тоже работают, но видят меньше и не всегда точно.

1. Подключитесь к домашней сети с компьютера или телефона.
2. Откройте браузер и введите адрес роутера. Чаще всего это 192.168.0.1 или 192.168.1.1, точный адрес и данные для входа указаны на наклейке снизу корпуса. У многих моделей есть фирменное приложение, оно делает то же самое.
3. Войдите под паролем администратора и найдите раздел с названием вроде "Клиенты", "Список устройств", "Карта сети" или "DHCP".
4. Сверьте список с тем, что есть дома. Помимо телефонов и ноутбуков там окажутся телевизор, приставка, колонка, робот-пылесос, умные розетки и лампы.
5. Если устройство не опознаётся по имени, посмотрите его MAC-адрес. Первые шесть символов указывают на производителя, это можно проверить в онлайн-базах OUI. На телефоне MAC-адрес для сети смотрите в настройках Wi-Fi: современные смартфоны используют случайный адрес для каждой сети, и он не совпадает с заводским.

Простой способ разобраться с неопознанным клиентом: по очереди выключайте свои устройства и смотрите, что исчезает из списка. Всё, что осталось при выключенной технике, чужое. Такое устройство можно заблокировать прямо в интерфейсе, но без смены пароля оно вернётся.

Пароль от Wi-Fi: почему длина важнее спецсимволов

Если злоумышленник перехватит момент подключения вашего телефона к сети с защитой WPA2, он сможет подбирать пароль у себя на компьютере, без ограничений по числу попыток. Скорость подбора на мощной видеокарте ориентировочно порядка миллиона вариантов в секунду. Посчитаем, что это значит.

Расчёт простой: число возможных символов в степени длины пароля, делённое на скорость перебора. Для 8 цифр это 10 в 8 степени, то есть 100 000 000 вариантов, делим на 1 000 000 в секунду и получаем 100 секунд. Каждый лишний символ умножает время в десятки раз, поэтому 12-14 знаков надёжнее, чем 8 с восклицательным знаком.

Однако перебор по словарю идёт первым: пароли вроде qwerty123, номер квартиры с фамилией или кличка собаки с годом находятся быстрее любых расчётов. Хороший пароль для дома это несколько несвязанных слов латиницей с цифрой между ними. Его легко продиктовать гостю и тяжело угадать.

WPA3, WPA2 и WPS: какой режим выбрать в настройках

В разделе безопасности беспроводной сети роутер предлагает несколько режимов. Разница существенная.

• WPA3-Personal. Современный стандарт. Использует другой способ обмена ключами, при котором перехват подключения не даёт возможности подбирать пароль у себя дома. Лучший выбор, если вся техника его поддерживает.
• WPA2/WPA3 (смешанный). Новые устройства подключаются по WPA3, старые по WPA2. Хороший компромисс, когда в доме есть принтер, старый телевизор или умные розетки.
• WPA2-Personal (AES). Допустим при длинном пароле. Вариант с TKIP устарел и снижает скорость.
• WEP и открытая сеть. Не использовать никогда. WEP взламывается за минуты.

Отдельно о WPS, кнопке быстрого подключения без пароля. Режим подключения по PIN-коду уязвим для подбора, поэтому WPS лучше выключить в настройках. При включённом чистом WPA3 он, как правило, и так не работает.

Что почти не помогает

Скрытие имени сети и фильтрация по MAC-адресам создают ощущение защиты, но не останавливают знающего человека: скрытая сеть видна сканерам, а MAC-адрес легко подменить. Эти меры можно оставить как дополнение, но не вместо пароля и шифрования.

Пароль администратора и удалённое управление

У роутера два разных пароля: от Wi-Fi и от его настроек. Второй важнее. Если он заводской, любой, кто подключился к сети, может зайти в настройки, поменять DNS-серверы и незаметно подменять сайты.

1. Смените пароль администратора на длинный и уникальный, не совпадающий с паролем Wi-Fi.
2. Отключите удалённое управление через интернет (Remote Management, доступ из WAN), если вы им не пользуетесь. Управление через фирменное облачное приложение обычно защищено лучше, но и его включайте только при необходимости.
3. Выключите UPnP, если у вас нет игровой приставки или программ, которым он нужен. Эта функция позволяет устройствам в сети самим открывать порты наружу.
4. Проверьте раздел DNS: там должно быть автоматическое получение от провайдера или серверы, которые вы указали сами.
5. Сохраните пароли в менеджере паролей, а не на стикере на роутере.

Гостевая сеть и отдельная сеть для умной техники

Гостевая сеть это вторая точка доступа на том же роутере, изолированная от основной. Гость получает интернет, но не видит ваши компьютеры, принтер и сетевое хранилище. Включается она в отдельном разделе настроек, у неё собственное имя и пароль.

Что стоит перенести в гостевую или отдельную сеть:

• телефоны гостей, нянь, мастеров;
• умные лампы, розетки, датчики, недорогие камеры с китайскими облаками;
• телевизоры и приставки, если вам не нужно передавать на них файлы с компьютера.

Умные устройства обновляются редко, а их уязвимости находят часто. Если такая лампа окажется в одной сети с ноутбуком, где хранятся документы, это лишний риск. Часть экосистем умного дома требует, чтобы телефон и устройства были в одной сети для первичной настройки, поэтому проверьте это до переноса. Подробнее о том, как собрать умный дом с учётом сети, рассказано в статье про умный дом с нуля, а о камерах и датчиках в материале о безопасности умного дома.

Если в гостевой сети есть ограничение скорости и расписание, его удобно использовать и для детской техники, хотя для полноценного контроля лучше подходят инструменты из статьи о безопасном интернете для детей.

Прошивка роутера: как обновить и когда пора менять устройство

Прошивка закрывает найденные уязвимости. Многие роутеры умеют обновляться сами, но эта функция бывает выключена по умолчанию.

1. Зайдите в раздел "Система", "Обновление" или "Микропрограмма".
2. Включите автоматическую проверку обновлений, если она есть.
3. Если обновлять нужно вручную, скачивайте файл только с официального сайта производителя, строго для вашей модели и аппаратной ревизии, она указана на наклейке.
4. Не выключайте роутер во время прошивки. Делайте это, подключившись кабелем, если есть такая возможность.
5. После обновления проверьте, что настройки безопасности сохранились.

Если производитель перестал выпускать обновления для модели, а ей больше пяти-семи лет, её стоит заменить. Старые роутеры часто не поддерживают WPA3 и уступают по скорости. Как подобрать новый под площадь и стены, рассказано в материале о выборе роутера.

Если провайдер выдал роутер в аренду, обновлениями обычно управляет он. Уточните в поддержке, как часто это происходит и можно ли поменять пароль администратора самостоятельно.

Нашли чужое устройство: порядок действий

1. Сохраните фото или скриншот списка клиентов, если хотите разобраться потом.
2. Если есть подозрение, что изменены настройки роутера (DNS, перенаправление портов, незнакомые учётные записи), сделайте полный сброс кнопкой Reset на 10-15 секунд.
3. Обновите прошивку до последней версии.
4. Задайте новый пароль администратора и новый пароль Wi-Fi, включите WPA3 или смешанный режим, выключите WPS, удалённое управление и UPnP.
5. Заново подключите свои устройства, гостей и умную технику переведите в гостевую сеть.
6. Смените пароли от почты и важных сервисов, если в последнее время на них заходили из этой сети без защищённого соединения, и включите двухфакторную защиту.

Если в сети есть сетевое хранилище с семейными фото, проверьте, не открыт ли к нему доступ из интернета, и сделайте резервную копию. Как это организовать, описано в статье о домашнем NAS.

Частые вопросы

Нормативы и источники

• WPA3 Specification, Wi-Fi Alliance, 2018 (последующие версии)
• NIST Special Publication 800-63B Digital Identity Guidelines: Authentication and Lifecycle Management, National Institute of Standards and Technology, 2017

Материал носит справочный характер. Цены, нормы и характеристики материалов меняются, а работы с электрикой, газом и несущими конструкциями выполняют специалисты.