Aby zabezpieczyć sieć bezprzewodową przed nieautoryzowanym dostępem, należy między innymi
A. włączyć filtrowanie adresów MAC.
B. zastosować nazwę identyfikatora sieci SSID o długości min. 16 znaków.
C. korzystać wyłącznie z kanałów używanych przez inne sieci WiFi.
D. wyłączyć szyfrowanie danych.
Pytanie z egzaminu CKE, styczeń 2020 (arkusz EE.08-SG-20.01).
Filtrowanie adresów MAC jest jedną z metod ograniczania dostępu do sieci WiFi, dlatego w tym pytaniu odpowiedź o jego włączeniu jest właściwa. Adres MAC to sprzętowy identyfikator karty sieciowej, np. telefonu, laptopa albo drukarki. W panelu administracyjnym routera można utworzyć listę dozwolonych urządzeń, czyli taką białą listę. W praktyce oznacza to, że nawet jeśli ktoś zna nazwę sieci i próbuje się połączyć, router sprawdzi, czy jego karta sieciowa znajduje się na liście. Jeśli nie, połączenie zostanie odrzucone. Moim zdaniem to dobre jako dodatkowa warstwa ochrony, szczególnie w małej sieci domowej albo w pracowni szkolnej, gdzie liczba urządzeń jest raczej stała. Trzeba jednak pamiętać, że filtrowanie MAC nie zastępuje szyfrowania WPA2-Personal, WPA3-Personal lub w firmach WPA2/WPA3-Enterprise z 802.1X. Adres MAC da się podszyć, więc samo filtrowanie nie jest zabezpieczeniem idealnym. Dobra praktyka branżowa to: włączyć silne szyfrowanie WPA2-AES lub WPA3, ustawić mocne hasło, wyłączyć WPS, aktualizować firmware routera, nie używać domyślnego hasła administratora i dopiero jako uzupełnienie zastosować filtrowanie MAC. Wtedy ochrona sieci jest bardziej sensowna, a nie oparta na jednym mechanizmie.
W zabezpieczaniu sieci bezprzewodowej najważniejsze jest zrozumienie, co realnie chroni transmisję i dostęp do infrastruktury. Wyłączenie szyfrowania danych działa dokładnie odwrotnie niż powinno. Sieć otwarta przesyła ruch bez ochrony radiowej, więc osoba znajdująca się w zasięgu może łatwiej analizować pakiety, przechwytywać dane logowania do nieszyfrowanych usług albo wykonywać ataki typu man-in-the-middle. W praktyce używa się WPA2 z AES albo nowszego WPA3, bo te standardy zapewniają uwierzytelnianie i szyfrowanie transmisji. Nazwa SSID o długości minimum 16 znaków sama w sobie nie jest mechanizmem bezpieczeństwa. SSID to tylko identyfikator sieci widoczny dla użytkowników, coś jak etykieta. Może być neutralny i nie powinien zdradzać właściciela czy lokalizacji, ale jego długość nie blokuje włamywacza. Typowy błąd myślowy polega tu na pomyleniu nazwy sieci z hasłem do sieci. To hasło powinno być długie, losowe i trudne do odgadnięcia, a nie koniecznie SSID. Korzystanie wyłącznie z kanałów używanych przez inne sieci WiFi też nie zwiększa ochrony. Kanał radiowy wpływa głównie na zakłócenia, przepustowość i stabilność połączenia. Jeśli wiele sieci nadaje na tym samym lub nakładającym się kanale, rośnie ryzyko kolizji, spadków prędkości i opóźnień. W paśmie 2,4 GHz zwykle dobiera się kanały 1, 6 i 11, a w 5 GHz wybór jest szerszy. Z mojego doświadczenia, przy konfiguracji routera warto oddzielać kwestie wydajności od kwestii bezpieczeństwa: kanał poprawia jakość sygnału, a szyfrowanie, mocne hasło, wyłączony WPS i ewentualne filtrowanie MAC ograniczają nieautoryzowany dostęp.