Como proteger adequadamente uma rede doméstica sem fio

Question

Em breve, irei criar uma rede sem fio para mim e alguns amigos e (espero) torná-la segura. Eu tenho algumas dúvidas e preocupações sobre isso e imaginei que alguém aqui poderia me dar uma mão e me orientar na direção certa.

• Eu tenho um WRT55AG (versão 2) carregado com o firmware de fábrica. Ouvi dizer que é possível carregar seu próprio firmware em roteadores como esses. Vale a pena? O que pode ser alcançado com isso?

• Eu estava me perguntando que tipo de segurança eu deveria usar na minha rede sem fio. Idealmente, eu gostaria que todos os dispositivos fossem "aceitos", mas não sei como fazer isso. Eu estou supondo que tem algo a ver com endereços MAC, mas eu não sei a primeira coisa sobre eles. Seria ótimo que, juntamente com a criptografia (me disseram que o WPA2 é o melhor), cada dispositivo precisaria ser adicionado a uma lista de algum tipo antes mesmo de ser capaz de acessar o AP.

• Outro recurso que eu estava pensando seria completamente esconder meu wireless de aparecer no computador de outras pessoas. Isso é possível (como uma coisa de transmissão SSID). Vale a pena o problema?

• Mais uma opção que eu pretendia implementar seriam calculadoras de largura de banda. Idealmente, algo no roteador para medir a quantidade de largura de banda sendo usada e quanto foi usado naquele mês (isso tem a ver com contas e limites, obviamente). É possível reduzir a velocidade quando um determinado limite é atingido?

Estes são muitos pontos, mas eu esperava que alguém que tivesse mais conhecimento do que eu sobre esse assunto pudesse me dar uma mão e algumas dicas. Espero que tudo isso seja possível e eu não esteja sonhando:)

    

Answer 1

Ok, vou abordar os pontos que posso: Sim, é possível atualizar ou alterar o firmware do seu roteador para outro tipo. Ao fazer isso, você terá acesso a um conjunto muito maior de configurações que você não teria no firmware de fábrica. Dê uma olhada neste artigo para uma boa idéia de como fazê-lo usando o DD-WRT: link

O WPA2 é um ótimo método de criptografia que basicamente permite que qualquer pessoa que conheça sua frase-senha seja conectada. O que você está falando também é a filtragem de endereço MAC, que basicamente adiciona outra camada de segurança à conexão, o que significa que se você adicionar o filtro MAC à conexão, embora saiba a frase secreta se o seu endereço MAC não estiver na tabela, você não será capaz de se conectar. Um endereço MAC é basicamente um identificador único associado a uma peça específica de hardware. Você precisaria conhecer o endereço MAC dos dispositivos antes que eles pudessem se conectar, pois você teria que adicioná-los à tabela na seção de configurações de segurança do roteador.

Desativar seu SSID é facilmente possível. Dessa forma, sua rede não será exibida quando um computador ou dispositivo procurar redes disponíveis. As pessoas que tentam se conectar precisam fazer isso manualmente, tendo que digitar seu nome SSID na caixa de diálogo conectar-se. Vale a pena? Bem, é apenas outra camada de segurança, então sim, se é isso que você quer. Tenha em mente que qualquer hacker sério que se preze poderia evitar isso sem muito esforço.

Calculadoras de largura de banda. Se você quer isso, então isso praticamente toma a decisão sobre o ponto 1 para você. Você precisará alterar o firmware no roteador se quiser essa funcionalidade.

Eu gostaria de ler o artigo acima e decidir se você está confortável fazendo o que sugere. Boa sorte.

    

Answer 2

Algumas informações adicionais para as respostas já postadas:

• Sim, você deve usar a filtragem de endereços MAC como uma camada extra para dissuadir usuários casuais, no entanto, é trivialmente simples falsificar endereços MAC, portanto, não presuma que irá protegê-lo de qualquer pessoa com um nível de habilidade técnica razoável. Tudo o que um invasor precisa fazer é observar outros endereços MAC que os conectam e copiam: -)

• Sim, DD-WRT ou Tomate valem bem a pena conferir. Tomate, em particular, permite medir a largura de banda, etc.

• Ocultar seu SSID é inútil - ele ainda transmite o SSID em quadros, mas não nos quadros de beacon, portanto, qualquer ferramenta de ataque ainda o encontrará. Os SSIDs ocultos podem, na verdade, afetar seus usuários válidos, pois às vezes os drivers sem fio do Windows apresentam problemas se não conseguirem ver o SSID em um período de tempo curto o suficiente.

• Sim, o WP2 TKIP é atualmente recomendado como mínimo.

Answer 3

Se você não se sentir confortável com o flash do dispositivo com firmware alternativo (como o dd-wrt), o firmware Linksys é adequado para o usuário doméstico médio.

No que diz respeito à segurança, o WPA2-PSK (AES) é o melhor que o seu roteador em particular oferecerá, e é uma boa escolha. Você também pode fazer a filtragem de endereços MAC para que somente os dispositivos com endereços MAC especificados tenham a chance de autenticar com uma chave de segurança.

Seu roteador poderá ocultar o SSID (nome do roteador). Dessa forma, apenas aqueles que conhecem o SSID pelo nome podem tentar se conectar, essa é uma boa ideia em áreas densamente povoadas.

O próprio roteador não pode medir a largura de banda, mas você pode usar várias técnicas para fazer isso. Você pode fazer QoS para limitar ou priorizar a largura de banda com base em vários critérios (não baseados em um limite mensal, no entanto) nesse roteador, mas pela minha experiência com a Linksys, sua QoS não funciona muito bem. Softwares como o Wireshark e o Spiceworks, ou o monitoramento de SNMP, podem dar uma ideia do consumo de largura de banda.

    

Answer 4

Se você habilitar o WPA2 e tiver uma senha strong, o resto será um exagero na maioria dos casos. Os endereços MAC podem ser facilmente falsificados e os SSIDs ocultos podem ser detectados.

A desvantagem em fazer filtragem de MAC e ocultar o SSID é a complexidade e o aumento da carga administrativa. Mas eles podem ser facilmente feitos.

Eu recomendo o dd-wrt embora.