Com blindar el rúter per protegir el wifi de casa i evitar que te'l "robi" el veí

"El rúter, o encaminador, és l'aparell que connecta la xarxa de casa amb internet", explica Tomàs Moré, el cap de Cultura de l'Agència de Ciberseguretat de Catalunya. És indispensable: tot el que entra i surt de casa digitalment passa pel rúter:

"El nostre mòbil o ordinador pot ser molt bo, pot ser molt modern, però si el rúter no és estable i segur, tindrem problemes."

Mòbils, ordinadors, televisors, bombetes, endolls... ho tenim tot connectat i, davant les amenaces de ciberseguretat, cada cop és més rellevant protegir i optimitzar la nostra porta a internet, no només en l'àmbit de l'oci sinó també per al teletreball. Això es fa des del rúter.

 

Com fer el wifi invisible i canviar noms i contrasenyes

El primer pas per protegir el nostre rúter és canviar el nom del wifi (o SSID) i la contrasenya. Podeu trobar més informació de com fer-ho en aquest article.

De la mateixa manera, és molt recomanable canviar la contrasenya i l'usuari que donen accés al tauler de control des d'on podem configurar tots els aspectes del wifi (s'ha d'escriure 192.168.1.1 o 192.168.0.1 al navegador web), ja que sovint les credencials són públiques i molt poc segures.

Un cop fets aquests dos primers passos essencials, podem continuar augmentant la protecció del rúter de moltes altres maneres. Per exemple, posant el wifi invisible, en ocult.

No és infal·lible, però amagar completament el nom SSID del wifi és una opció que dificultarà que qualsevol persona s'hi connecti i és tan fàcil com seleccionar Hide SSID, Amagar SSID, Ocultar nombre WiFi o una opció similar dins la configuració del rúter.

És una alternativa més dràstica que obligarà a qualsevol que es vulgui connectar al wifi que conegui i escrigui l'SSID exacte. L'opció aquí seria deixar de tenir l'SSID públic per fer-lo privat.

Com fer un wifi per a convidats

També és possible --i recomanable-- crear una xarxa wifi per a convidats, per oferir-la a les visites que hi vulguin accedir o per donar cobertura als dispositius connectats de casa, que poden suposar un forat de seguretat.

La xarxa wifi de convidats ens protegirà la connexió principal (podem impedir-li l'accés a la intranet del sistema) i mantindrà la privacitat de les contrasenyes.

A més, podem crear-la amb un temps de vida limitat perquè acabi desapareixent al cap d'unes hores, desactivar-li l'accés a la intranet o limitar-li l'amplada de banda perquè no ens alenteixi la connexió, tal com ens explica el doctor en Telecomunicacions de Som Connexió, Ferran Orgal.

"En el cas que aquella contrasenya es faci servir malament, el risc queda minimitzat."

Tal com insisteix Tomàs Moré, "si una persona ve a casa, demana la connexió de wifi i li donem la de confiança, se'n va de casa amb la nostra contrasenya principal" i això exposa la teva connexió domèstica i els teus aparells connectats.

La millor opció per oferir connexió a internet a les visites és configurar i compartir una xarxa per a convidats.

Com actualitzar el rúter, per dins i per fora

Com qualsevol aparell electrònic, els rúters es comuniquen i es gestionen amb petits programes, els firmwares, que s'han d'anar actualitzant amb les darreres novetats en eficiència i en seguretat i amb les solucions als problemes que s'hi van detectant.

"Les operadores són responsables d'actualitzar el firmware", explica Moré, ja que en són els propietaris i els que cedeixen l'aparell. Si un rúter acaba patint un atac, normalment té a veure amb el fet que se'n coneixia "una vulnerabilitat que podia utilitzar qualsevol criminal".

Des del tauler de control sovint podem trobar una opció per actualitzar el dispositiu manualment, però si la nostra operadora ho impedeix o no ho facilita, i creiem que l'aparell pot estar exposat a una vulnerabilitat, cal contactar amb l'operador i demanar que l'actualitzin o que canviïn l'aparell per un de més modern, o canviar d'operador per rebre un aparell nou.

Com programar l'apagada automàtica del wifi?

La majoria de rúters permeten programar l'encesa i l'apagada automàtiques del senyal wifi. Apagar qualsevol senyal radioelèctric quan no l'utilitzem és una bona pràctica de seguretat passiva.

Dins el tauler de control, cal buscar una secció que tingui un nom similar a Programació horària o Controls parentals.

Segons el rúter que tinguis, pots escollir també que aquesta programació afecti tots els dispositius que tinguis a casa o que cada aparell tingui una programació diferent.

D'aquesta manera, hi ha la possibilitat d'apagar el senyal wifi només en els dispositius dels menors de casa, o apagar-lo per a tothom menys per als gadgets domòtics, com els llums o els endolls intel·ligents.

WiFi 5, WiFi 6, WiFi 7... quin wifi tenim?

Els nous rúters també tenen compatibilitat amb certificats wifi més moderns. És allò que es coneix com a WiFi 5, WiFi 6, WiFi 6E o, darrerament, WiFi 7.

Cada nou certificat ofereix més amplada de banda, més estabilitat i més canals i, per tant, més opcions per separar els dispositius entre si per a connexions independents i guanyar en seguretat.

El WiFi 7 és l'estàndard més modern. Ofereix una banda de freqüència més, la 6 GHz, que redueix interferències, dona més estabilitat en la connexió, permet connectar-hi més dispositius al mateix temps, però, sobretot, actualitza els protocols de xifratge i redueix la possibilitat d'accedir a la nostra xarxa sense autorització. Ens protegeix d'intrusos.

Disposar de diferents bandes de freqüència també pot evitar que els problemes de seguretat que puguin néixer en un petit dispositiu es propaguin i afectin la resta d'aparells i senyals wifi.

"Una xarxa de freqüència més baixa, com la 2,4 GHz, ens pot servir per als dispositius de la internet de les coses (IdC o IoT, és a dir, endolls i bombetes intel·ligents, per exemple), i la xarxa 5 GHz o 6 GHz ens pot anar millor per fer amb tranquil·litat una videoconferència", posa d'exemple Tomàs Moré.

WPA 2, WPA 3... quina protecció de wifi tinc?

L'estàndard de protecció i de xifratge de la connexió també és configurable, des del menú de Xarxa i seguretat o similar, i protegeix la connexió wifi d'intrusions.

Hem d'assegurar-nos que tenim seleccionat l'estàndard més modern possible: WPA 2 o WPA 3, si ens ho permet, ja que aquest últim incorpora "una clau única per a cada dispositiu, de manera que es connecten a una mateixa xarxa amb claus per separat", ens explica Ferran Orgal. Així, si un dispositiu és compromès, no queden en perill la resta.

"Els WEP o WPA són protocols obsolets", puntualitza Moré, i a partir de "WPA 3 les nostres comunicacions sempre van xifrades".

A més, impedeix que ningú pugui enganyar els nostres dispositius amb un clon del nostre wifi perquè verifica que el senyal vingui del nostre rúter.

Altres serveis disponibles

Entretenir-se a mirar més opcions de seguretat que podem trobar dins el tauler de control del nostre rúter ens podria portar a descobrir més eines:

• Control parental, per tal de filtrar algunes pàgines web.
• Eines que poden funcionar com a tallafoc, per exemple per permetre que els dispositius es connectin a internet per descarregar informació, però no per compartir-la amb servidors externs (per exemple per a aspiradores que no volem que enviïn informació a l'exterior, però sí que es puguin actualitzar).
• Desactivar el botó WPS ("wifi protected setup"), que inhabilita temporalment la protecció wifi per facilitar noves connexions, però que ens deixa vulnerables mentre està actiu.

 

Com evitar que els veïns es connectin al wifi?

Impedir que qualsevol persona es connecti al senyal wifi del nostre rúter implica decidir quins dispositius s'hi poden connectar.

Com dèiem, cal canviar la contrasenya i el nom del wifi o fer el senyal invisible. Però, com a pas definitiu i últim, hi ha l'opció de bloquejar els dispositius desconeguts a través de la seva direcció MAC o "adreça física".

La direcció MAC ("media access control") és un codi únic que identifica de manera unívoca qualsevol dispositiu.

Per veure quins dispositius tens connectats al teu wifi, llistats en una relació de direccions MAC, cal buscar un apartat anomenat Dispositius connectats, Clients DHCP, Xarxa Wi-Fi, Dispositius enllaçats o similar.

També pots utilitzar aplicacions molt útils, com Fing o WiFi Analyzer.

Si detecteu una adreça MAC que no reconeixeu, introduïu-la en la secció Filtratge per MAC o MAC Filtering del tauler de control del rúter i indiqueu que voleu desactivar-la, amb l'opció Deny, No permetre o Don't allow.

Amb el filtratge per adreça física MAC, que es pot activar o desactivar en qualsevol moment, és possible crear llistes blanques o negres, depenent de si volem fer una llista d'aquells dispositius a qui permetrem connectar-se a la xarxa wifi (Allow) o fer-la sobre els aparells que no volem que hi accedeixin (Deny).