Zkontroloval jsem otevřené porty svého routeru a to, co jsem našel, bylo děsivé

Nastavení domácí sítě se zdá být poměrně jednoduchý úkol. Váš poskytovatel internetu už pro vás udělal všechny těžké práce a vše, co musíte udělat, je zadat heslo k Wi-Fi, abyste mohli začít. To je jistě vše, co musíte udělat, abyste se připojili k internetu, ale váš router není tak bezpečný, jak si myslíte.

Myslel jsem si, že moje Wi-Fi je bezpečná, dokud jsem nezkontroloval nastavení routeru, ale při prohledání otevřených portů jsem odhalil mnohem větší nebezpečí. Zvenčí vypadalo vše v pořádku, ale v zákulisí můj router tiše odpovídal na klepání z otevřeného internetu na porty, které jsem nikdy vědomě neotevřel.

Co vlastně otevřený port znamená pro vaši síť

Není to jen číslo—je to otevřené dveře

Přemýšlejte o své domácí síti jako o budově a o routeru jako o hlavní bráně. Každý port je jako číslované dveře do té budovy. Většinu času router dovolí provoz jen tehdy, když něco uvnitř vaší sítě zahájí konverzaci, například když váš prohlížeč načítá webovou stránku.

Otevřený port, který je vystaven internetu, znamená, že kdokoli tam venku může přímo „zaklepat“ na tyto dveře. To automaticky není špatné nebo nebezpečné, protože některé služby jej opravdu potřebují, například herní servery, vzdálený přístup nebo mediální servery. Ale každý otevřený port je potenciální cestou útoku, pokud je to, co za ním stojí, slabé, zastaralé nebo nesprávně nakonfigurované. Několik neopatrně zaškrtnutých políček nebo výchozích nastavení může tiše změnit tento abstraktní riziko na něco velmi reálného.

Jak skenovat váš router na otevřené porty

Jednoduché nástroje, které může používat každý

Chcete-li zjistit, co může dosáhnout vnější svět, musíte skenovat svou veřejnou IP z internetové strany, nikoli zevnitř vaší sítě nebo Wi-Fi. Nejsnazší způsob je prostřednictvím nástrojů založených na prohlížeči, jako je YouGetSignal's Open Port Check Tool, PortChecker nebo podobné stránky. Obvykle automaticky zjistí vaši veřejnou IP a prohledají běžný rozsah otevřených portů.

Pro hlubší, technický přehled můžete použít Nmap. Jakmile je nainstalován na Linuxu nebo macOS, lze rychlé skenování spustit následujícím příkazem:

nmap -Pn -F YOUR_PUBLIC_IP

Pro důkladnější skenování spusťte:

nmap -Pn --top-ports 1000 YOUR_PUBLIC_IP

A k identifikaci služeb a verzí:

nmap -Pn -sV --top-ports 1000 YOUR_PUBLIC_IP

Ve Windows, po instalaci Nmapu stejné příkazy fungují v PowerShellu nebo Windows Terminalu. Pokud preferujete grafické rozhraní, použijte Zenmap, zadejte svou externí IP a spusťte intenzivní sken. Abyste tyto výsledky přiřadili k skutečným aplikacím na vašich počítačích, použijte netstat -ano | findstr LISTENING ve Windows, ss -tulpn on v Linuxu nebo lsof -i -P | grep LISTEN v macOS.

Co jsem objevil na mém „běžném“ domácím routeru

Výchozí nastavení nebylo tak bezpečné, jak jsem předpokládal

Když jsem skenoval svůj vlastní průměrný domácí router, očekával jsem, že bude v pořádku. Místo toho jsem dostal pěkný seznam otevřených dveří. Byl tam otevřený webový port pro funkci vzdálené správy, kterou můj poskytovatel internetu tiše zapnul, aby mohl router spravovat zvenčí. Další náhodný vysoký port byl port pro funkci NAS cloudového zálohování, který jsem po testování nikdy nezavřel. Další vysoký port byl propojen s Minecraft serverem, který jsem sice před několika měsíci vypnul, ale nikdy jsem ho neodstranil z pravidel přesměrování portů na svém routeru.

Jednotlivě žádný z těchto problémů nevypadal dramaticky. Společně však znamenaly, že přihlašovací stránka mého routeru byla dostupná z internetu a dvě neaktualizovaná, zřídka kontrolovaná zařízení tam čekala na toho, kdo by prohledal správný rozsah ve správný den. Pokud prohledáte průměrně nastavený router, pravděpodobně uvidíte něco známého. Všechno to působí neškodně, dokud si neuvědomíte, že útočníci tyto prohledávání automatizují a mohou projít celé rozsahy portů během minut, přes stovky, ne-li tisíce IP adres.

Proč jsou otevřené porty vážným bezpečnostním rizikem

Někdy stačí jen jeden otevřený port

Útočníci nehádají vaši IP adresu a nemanipulují s ní ručně; spouštějí obrovské automatizované průzkumy po internetu, hledají cokoli, co odpoví na zajímavých portech. Jakmile dostanou odpověď, získají otisk služby, zkontrolují její verzi a začnou na ni házet známé exploity, výchozí přihlašovací údaje nebo pokusy o doplnění přihlašovacích údajů.

Slabá nebo výchozí hesla dělají routery a služby triviálními pro hrubou sílu, zvlášť když výchozí heslo vašeho routeru pravděpodobně leží ve veřejné databázi. Nepatchovaný firmware a serverový software často obsahují veřejné, kopírovací exploity. Náhodně vystavená administrátorská rozhraní efektivně předají vaše síťové klíče, pokud se někdo podaří přihlásit. Služby jako otevřený FTP (port 21), SMB (port 445) nebo RDP (port 3389) mohou unikat souborů nebo poskytnout ideální oporu pro postup hlouběji do vaší domácí sítě. Mezitím se uvnitř vše zdá být v pořádku: Wi-Fi funguje, streamování funguje a nemáte žádné zjevné známky, že by váš router tiše odpovídal na klepání z okolního světa.

Jak jsem uzavřel ty porty a zpevnili svůj router

Několik nastavení a budete relativně v bezpečí

Jakmile zjistíte, které porty jsou otevřené, je vaší úlohou zavřít vše, co výslovně nepotřebujete, a zbytku posílit zabezpečení. Přihlaste se na stránku administrace vašeho routeru z vaší sítě tak, že do prohlížeče zadáte IP adresu výchozí brány (obvykle 192.168.0.1 nebo 192.168.1.1). Pokud je administrační heslo stále výchozí, uvedené na štítku, okamžitě jej změňte na silné, unikátní heslo.

Dále najděte a deaktivujte jakékoli vzdálené ovládání z internetu. Tyto možnosti se obvykle nacházejí v nastavení správy, systému nebo řízení. Poté vyhledejte UPnP a NAT-PMP v pokročilém nastavení, síti nebo NAT/Přesměrování a deaktivujte je, aby zařízení nemohla tiše otvírat díry ve vašem firewallu.

Na stránce přesměrování portů nebo virtuálních serverů odstraňte pravidla, která neznáte nebo která již nepoužíváte, zejména ta směřující na kamery, NAS zařízení nebo počítače. Pokud je to možné, aktualizujte firmware svého routeru, aby byly opraveny známé chyby.

Pro cokoliv, co úmyslně necháte otevřené, používejte silná hesla, pokud je to možné, povolte dvoufaktorové ověřování, upřednostňujte zabezpečené protokoly jako SSH nebo VPN před Telnetem, FTP nebo otevřeným RDP a omezte přístup podle IP, kde to software umožňuje.

Pokud dnes uděláte jednu věc, zavřete tyto porty

Desetiminutové bezpečnostní vítězství

Začal jsem toto cvičení s myšlenkou, že to bude nudné potvrzení, že je všechno uzamčeno. Místo toho zapomenutá zařízení, zbytkové přesměrování a vzdálený přístup povolený poskytovatelem internetu tiše proměnily mou běžnou domácí síť v něco, na co by mohl narazit náhodný bot a zničit to.

Pokud jste ještě neskenovali svou síť na otevřené porty, vyhraďte si odpoledne, abyste tak učinili. Proveďte sken, vyčistěte přesměrování, deaktivujte vzdálenou správu a prosím změňte výchozí heslo na svém routeru. Cílem není být dokonale zabezpečený - prakticky to ani nejde - cílem je být natolik nezajímavý, aby útočníci přešli k dalšímu, snazšímu cíli.