Bảo mật mạng Wi-Fi gia đình tránh bị nghe lén dữ liệu

Để mạng Wi-Fi gia đình không bị người lạ truy cập hay nghe lén, bạn cần làm năm việc chính: đổi mật khẩu quản trị router, dùng chuẩn mã hóa WPA3 hoặc WPA2 với mật khẩu Wi-Fi mạnh, tắt WPS, cập nhật firmware router, và tách thiết bị thông minh sang mạng khách. Phần lớn router bán ra đều có đủ các tùy chọn này, chỉ là chúng ít khi được bật hoặc cấu hình đúng. Bài viết hướng dẫn từng bước bằng ngôn ngữ dễ hiểu cho người không chuyên.

Rủi ro thực tế khi Wi-Fi gia đình không an toàn

• Người lạ dùng ké mạng: làm chậm mạng, và nếu họ dùng mạng của bạn cho hoạt động phạm pháp, địa chỉ IP dẫn về nhà bạn.
• Truy cập thiết bị trong nhà: người trong mạng có thể dò tìm camera, máy in, ổ cứng mạng có bảo mật yếu.
• Nghe lén lưu lượng không mã hóa: phần lớn website hiện nay dùng HTTPS nên nội dung được mã hóa, nhưng một số ứng dụng, thiết bị cũ vẫn truyền dữ liệu dạng rõ.
• Chiếm quyền router: kẻ tấn công thay đổi cài đặt DNS để chuyển hướng bạn tới trang giả mạo.

Bước 1: Đổi mật khẩu quản trị router

Router có hai mật khẩu khác nhau: mật khẩu Wi-Fi để kết nối, và mật khẩu quản trị để vào trang cài đặt. Nhiều router dùng mật khẩu quản trị mặc định in trên nhãn dán hoặc giống nhau cho cả dòng sản phẩm. Ai biết mật khẩu này có thể thay đổi mọi cài đặt.

1. Mở trình duyệt, nhập địa chỉ trang quản trị (thường in dưới đáy router, ví dụ 192.168.1.1 hoặc 192.168.0.1).
2. Đăng nhập bằng thông tin mặc định.
3. Tìm mục quản trị hoặc hệ thống, đổi mật khẩu thành chuỗi dài, riêng biệt.
4. Lưu mật khẩu trong trình quản lý mật khẩu.

Nếu router do nhà mạng cung cấp, một số mục có thể bị khóa; bạn vẫn nên đổi những gì được phép và liên hệ nhà mạng nếu cần.

Bước 2: Chọn chuẩn bảo mật Wi-Fi phù hợp

Với WPA2, chọn mã hóa AES (CCMP), tránh TKIP.

Bước 3: Đặt mật khẩu Wi-Fi mạnh

• Dài, ví dụ một cụm vài từ không liên quan ghép lại, dễ nhớ với bạn nhưng khó đoán.
• Không dùng số điện thoại, ngày sinh, tên nhà, số nhà.
• Đổi mật khẩu khi có người không còn nên truy cập, như người thuê trọ đã chuyển đi.

Tên mạng (SSID) cũng không nên chứa thông tin cá nhân như họ tên, số phòng.

Bước 4: Tắt WPS

WPS cho phép kết nối bằng cách nhấn nút hoặc nhập mã PIN ngắn. Phương thức PIN từng được chứng minh có điểm yếu cho phép dò ra trong thời gian ngắn trên nhiều router. Nếu không dùng, hãy tắt WPS trong cài đặt.

Bước 5: Cập nhật firmware router

Router là máy tính nhỏ chạy phần mềm, và phần mềm có lỗ hổng. Nhà sản xuất phát hành bản cập nhật để vá. Kiểm tra mục cập nhật firmware trong trang quản trị, bật tự động cập nhật nếu có. Router quá cũ không còn được hỗ trợ cập nhật nên được thay thế.

Bước 6: Tạo mạng khách và tách thiết bị IoT

Mạng khách là mạng Wi-Fi riêng, cách ly khỏi mạng chính. Dùng nó cho:

• Khách đến chơi nhà.
• Thiết bị thông minh: camera, loa, ổ cắm, tivi.

Như vậy, nếu một thiết bị thông minh bị chiếm quyền, kẻ tấn công khó tiếp cận máy tính, điện thoại chứa dữ liệu quan trọng của bạn. Lý do thiết bị IoT là điểm yếu được giải thích trong bài nguy cơ mất an toàn thông tin từ IoT.

Bước 7: Tắt tính năng không cần thiết

• Quản trị từ xa: tắt truy cập trang quản trị từ Internet.
• UPnP: cho phép thiết bị tự mở cổng; tắt nếu không cần cho game hay ứng dụng cụ thể.
• Dịch vụ chia sẻ file, máy in qua Internet nếu không dùng.

Bước 8: Bảo vệ truy vấn DNS

DNS là "danh bạ" chuyển tên miền thành địa chỉ IP. Kẻ tấn công chiếm router có thể đổi DNS để chuyển hướng bạn. Kiểm tra cài đặt DNS trên router định kỳ. Bạn cũng có thể dùng DNS mã hóa trên thiết bị; xem bài DNS over HTTPS.

Kiểm tra thiết bị đang kết nối

Trang quản trị router hoặc ứng dụng đi kèm thường có danh sách thiết bị đang kết nối. Định kỳ xem qua, đặt tên cho thiết bị quen thuộc. Nếu thấy thiết bị lạ:

1. Xác minh không phải thiết bị của người nhà (tivi, máy hút bụi thông minh thường có tên khó nhận ra).
2. Chặn thiết bị đó trong router.
3. Đổi mật khẩu Wi-Fi và kết nối lại các thiết bị của bạn.

Những hiểu lầm phổ biến

• Ẩn SSID là an toàn: mạng ẩn vẫn có thể bị phát hiện bằng công cụ phân tích; ẩn không thay thế được mật khẩu mạnh.
• Lọc địa chỉ MAC là đủ: địa chỉ MAC có thể bị giả mạo; nhiều điện thoại hiện còn dùng địa chỉ MAC ngẫu nhiên.
• Có HTTPS thì không cần lo Wi-Fi: HTTPS bảo vệ nội dung, nhưng mạng không an toàn vẫn để lộ thiết bị trong nhà và có thể bị lợi dụng.

Dùng Wi-Fi công cộng an toàn hơn

Ngoài mạng ở nhà, nhiều người thường xuyên dùng Wi-Fi ở quán cà phê, sân bay, khách sạn. Những mạng này do người khác quản lý, có thể không đặt mật khẩu hoặc dùng chung một mật khẩu cho hàng trăm khách. Kẻ xấu cũng có thể dựng một điểm phát giả mang tên giống hệt mạng của quán để dụ người dùng kết nối. Một vài thói quen giúp giảm rủi ro:

• Hỏi nhân viên tên mạng chính xác trước khi kết nối.
• Tắt tính năng tự động kết nối với mạng mở trên điện thoại, laptop.
• Chỉ truy cập trang có HTTPS, không bỏ qua cảnh báo chứng chỉ của trình duyệt.
• Tránh đăng nhập ngân hàng hoặc làm việc với dữ liệu nhạy cảm; nếu cần, dùng dữ liệu di động của bạn hoặc VPN đáng tin cậy.
• Tắt chia sẻ file và đặt mạng ở chế độ công cộng trên máy tính.
• Chọn "quên mạng này" sau khi dùng xong để thiết bị không tự kết nối lại lần sau.

Những biện pháp này không thay thế được một mạng nhà được cấu hình tốt, nhưng giúp bạn an toàn hơn khi buộc phải dùng mạng chung.

Khi làm việc từ xa tại nhà

Nếu bạn làm việc với dữ liệu công ty tại nhà, mạng gia đình trở thành một phần của hệ thống công ty. Ngoài các bước trên, hãy dùng VPN do công ty cung cấp, không để người khác dùng chung máy tính làm việc, và khóa màn hình khi rời khỏi máy. Về phía doanh nghiệp, có thể tham khảo bài cấu hình VPN cho nhân viên.