Osobna sieć Wi-Fi dla smart home – czy warto odseparować urządzenia IoT od komputerów i telefonów?

Jeszcze kilka lat temu domowa sieć Wi-Fi obsługiwała głównie komputery, telefony i telewizor. Dziś coraz częściej podłączamy do niej również kamery, wideodomofony, odkurzacze, oczyszczacze powietrza, gniazdka, żarówki, centrale alarmowe, sterowniki ogrzewania, lodówki czy bramki automatyki domowej. W efekcie w jednym mieszkaniu może działać kilkadziesiąt urządzeń mających dostęp do sieci.

Wygodnym rozwiązaniem jest podłączenie wszystkiego do jednego Wi-Fi. Z punktu widzenia bezpieczeństwa nie zawsze jest to jednak najlepszy pomysł. Urządzenia Internetu Rzeczy, określane skrótem IoT, mogą być aktualizowane rzadziej niż komputery i telefony, korzystać ze starszego oprogramowania, a część z nich pozostaje w domu przez wiele lat. Dlatego coraz częściej zaleca się oddzielenie smart home od najważniejszych urządzeń użytkownika.

Po co właściwie dzielić domową sieć?

Podstawowa idea jest bardzo prosta. Jeśli wszystkie urządzenia znajdują się w jednej sieci lokalnej, mogą w określonych warunkach komunikować się między sobą. Jeżeli jedno z nich zostanie przejęte przez atakującego, może stać się punktem wyjścia do dalszego rozpoznawania sieci.

Segmentacja polega na podzieleniu sieci na odrębne części oraz ograniczeniu komunikacji pomiędzy nimi. Takie podejście jest od lat stosowane w sieciach firmowych, ale może mieć sens również w domu.

Przykładowo komputer, na którym przechowujemy dokumenty, korzystamy z bankowości internetowej i logujemy się do poczty, nie musi mieć bezpośredniego połączenia lokalnego z tanim inteligentnym gniazdkiem znajdującym się za szafą. Gniazdko zwykle potrzebuje dostępu do internetu i ewentualnie do wybranej bramki lub systemu automatyki. Dostęp do komputera nie jest mu do niczego potrzebny.

Podobnie wygląda sytuacja z kamerą IP. Jeżeli do jej działania wystarcza połączenie z określonym serwerem lub rejestratorem, nie ma powodu, aby mogła swobodnie komunikować się z każdym laptopem, drukarką i dyskiem sieciowym w domu.

Osobne Wi-Fi nie zawsze oznacza osobną sieć

Tutaj pojawia się ważne rozróżnienie. Samo utworzenie drugiej nazwy Wi-Fi, czyli drugiego SSID, nie gwarantuje jeszcze pełnego odseparowania urządzeń.

Router może udostępniać dwie różne nazwy sieci bezprzewodowych, ale nadal umieszczać wszystkich użytkowników w tej samej sieci lokalnej. W takiej konfiguracji zmienia się nazwa Wi-Fi, lecz nie powstaje rzeczywista granica bezpieczeństwa.

Skuteczniejsze rozwiązanie wymaga funkcji pozwalającej oddzielić grupy urządzeń. W zależności od routera może być ona realizowana jako sieć dla urządzeń IoT, sieć gościnna z odpowiednią izolacją, osobna podsieć albo VLAN. W bardziej rozbudowanych systemach można dodatkowo tworzyć reguły zapory sieciowej określające, które urządzenia mogą się ze sobą komunikować.

Dlatego przed konfiguracją warto sprawdzić dokumentację konkretnego routera. Nazwy funkcji różnią się pomiędzy producentami i nie każda „sieć gościnna” działa w taki sam sposób.

Najprostszy podział, który ma sens

W typowym domu nie trzeba od razu budować infrastruktury przypominającej sieć małej firmy. Dla wielu użytkowników wystarczający będzie prosty podział na dwie lub trzy grupy.

Do głównej sieci można podłączyć komputery, telefony, tablety, serwer NAS i inne urządzenia zawierające ważne dane. Drugą sieć można przeznaczyć na elementy smart home, takie jak żarówki, gniazdka, odkurzacze, kamery czy urządzenia AGD.

Jeżeli router na to pozwala, osobna sieć może obsługiwać również gości. Dzięki temu osoba odwiedzająca dom może korzystać z internetu bez otrzymywania dostępu do komputerów czy pamięci sieciowej.

Nie chodzi przy tym o stworzenie rozwiązania absolutnie odpornego na każdy atak. Segmentacja ma przede wszystkim ograniczyć skutki ewentualnego przejęcia jednego urządzenia. Jeśli podatna kamera znajduje się w wydzielonej części sieci, potencjalnemu napastnikowi trudniej wykorzystać ją jako bezpośrednią drogę do innych zasobów.

Problem: urządzenia smart home muszą czasem ze sobą rozmawiać

Teoretycznie najbezpieczniej byłoby całkowicie zablokować komunikację pomiędzy poszczególnymi częściami sieci. W praktyce może to spowodować problemy.

Telefon może potrzebować lokalnego dostępu do telewizora, głośnika, centrali automatyki czy urządzenia korzystającego z lokalnego sterowania. Niektóre systemy wykrywają urządzenia w sieci automatycznie i mogą przestać je widzieć po przeniesieniu do innej podsieci.

Dotyczy to również części rozwiązań smart home, w których poszczególne urządzenia lub bramki komunikują się lokalnie. Po włączeniu pełnej izolacji może się okazać, że aplikacja w telefonie przestanie odnajdywać centralę albo stracimy możliwość przesyłania obrazu czy sterowania wybranym sprzętem bezpośrednio w sieci domowej.

Dlatego segmentację najlepiej wprowadzać stopniowo. Najpierw można przenieść do wydzielonej sieci jedno lub kilka urządzeń i sprawdzić wszystkie używane funkcje. Dopiero później warto przenosić kolejne.

W bardziej zaawansowanych routerach można pozostawić domyślną blokadę komunikacji pomiędzy sieciami, a następnie dopuścić tylko konkretne połączenia, które rzeczywiście są potrzebne. Jest to rozwiązanie bardziej pracochłonne, ale daje znacznie większą kontrolę.

Czy VLAN jest konieczny?

VLAN pozwala logicznie rozdzielić urządzenia korzystające nawet z tej samej infrastruktury sieciowej. Technologia ta daje duże możliwości, ale dla przeciętnego użytkownika może być niepotrzebnie skomplikowana.

Jeżeli domowy router ma gotowaną funkcję sieci IoT lub izolowanej sieci gościnnej i umożliwia określenie, czy jej urządzenia mogą kontaktować się z siecią główną, takie rozwiązanie może być całkowicie wystarczające.

VLAN-y mają większy sens w rozbudowanych instalacjach, w których działa kilka punktów dostępowych, przełączniki zarządzalne, serwery, monitoring i wiele urządzeń smart home. Pozwalają wtedy precyzyjnie rozdzielać ruch bez budowania kilku niezależnych sieci fizycznych.

Sama segmentacja nie załatwia wszystkiego

Oddzielna sieć dla smart home jest dodatkową warstwą ochrony, a nie zamiennikiem podstawowych zasad bezpieczeństwa. Nadal należy aktualizować router oraz urządzenia, jeśli producent udostępnia poprawki. Warto zmieniać fabryczne hasła administracyjne i stosować unikalne hasła do kont.

W przypadku Wi-Fi należy korzystać ze współczesnych metod szyfrowania obsługiwanych przez posiadany sprzęt. Należy również wyłączać funkcje zdalnego dostępu, których faktycznie nie używamy.

Istotny jest także wybór urządzeń. Przy zakupie kolejnego elementu smart home warto sprawdzić nie tylko cenę i listę funkcji, ale również to, czy producent zapewnia aktualizacje i jak długo deklaruje wsparcie produktu. Inteligentna żarówka czy sterownik ogrzewania mogą działać znacznie dłużej niż typowy smartfon.

Szczególnej uwagi wymagają kamery, elektroniczne zamki i inne urządzenia związane bezpośrednio z bezpieczeństwem domu lub prywatnością mieszkańców. Ich niewłaściwa konfiguracja może mieć znacznie poważniejsze konsekwencje niż awaria inteligentnej żarówki.

Czy warto więc tworzyć osobną sieć dla IoT?

Jeżeli router umożliwia łatwe utworzenie rzeczywiście odizolowanej sieci dla urządzeń smart home, zazwyczaj warto z tej możliwości skorzystać. Szczególnie gdy w domu znajduje się wiele urządzeń różnych producentów, kamery IP, urządzenia działające przez chmurę lub sprzęt, który ma pozostawać w użyciu przez wiele lat.

Nie oznacza to jednak, że trzeba natychmiast kupować profesjonalny router, przełączniki zarządzalne i spędzić weekend na konfigurowaniu VLAN-ów. W dobrze zaprojektowanej sieci domowej najważniejsza jest proporcja pomiędzy bezpieczeństwem a użytecznością.

Najrozsądniejszy model jest prosty: urządzenia zawierające cenne dane znajdują się w głównej, dobrze chronionej sieci, urządzenia IoT trafiają do wydzielonego segmentu, a komunikacja pomiędzy tymi obszarami jest ograniczona do tego, co faktycznie potrzebne.

Im więcej inteligentnych urządzeń pojawia się w domu, tym bardziej takie rozdzielenie zaczyna mieć sens. Jedno inteligentne gniazdko nie jest jeszcze powodem do przebudowy całej sieci. Kilkadziesiąt urządzeń różnych producentów, kilka kamer, serwer NAS i komputery używane do pracy to już jednak zupełnie inna sytuacja. Wtedy oddzielenie smart home przestaje być rozwiązaniem dla pasjonatów sieci komputerowych, a staje się rozsądną zasadą cyfrowej higieny.

Źródła

https://www.nist.gov/publications/securing-small-business-and-home-internet-things-iot-devices-mitigating-network-based – National Institute of Standards and Technology: materiały dotyczące ograniczania zagrożeń sieciowych związanych z urządzeniami IoT i kontrolowania komunikacji wymaganej przez takie urządzenia.

https://consumer.ftc.gov/articles/securing-your-internet-connected-devices-home – Federal Trade Commission: zalecenia dotyczące zabezpieczania urządzeń podłączonych do internetu w domu, aktualizacji, ustawień routera i ochrony sieci.

https://consumer.ftc.gov/articles/how-secure-your-home-security-cameras – Federal Trade Commission: zalecenia dotyczące zabezpieczania kamer domowych, w tym umieszczania ich w sieci oddzielonej od komputerów i innych urządzeń.