נתתם ללקוח את סיסמת ה-Wi-Fi של העסק? נתתם לו גם גישה למחשב של הקופה

בקצרה: רשת אלחוטית אחת לעובדים, ללקוחות ולמכשירי העסק פירושה שכל טלפון שמתחבר יושב באותה רשת עם המחשב, המדפסת והמצלמות. רשת אורחים נפרדת, עם בידוד בין מכשירים וסיסמה שמתחלפת, נבנית בכרבע שעה ברוב הנתבים.

בבית קפה, במספרה או במשרד קטן זה נראה כמו מחווה של אירוח. הסיסמה כתובה על שלט ליד הקופה, וכל מי שמחכה מתחבר. הבעיה היא שהנתב לא יודע להבדיל בין הטלפון של הלקוח לבין המחשב של הנהלת החשבונות.

קראו גם: האתר שלכם, הדומיין של מישהו אחר: הבדיקה שלוקחת שתי דקות · העסק שלכם רווחי, ובכל זאת אין כסף בחשבון. תכירו את שוטף+60 · הנחה של 10% מחייבת אותך למכור פי שניים, וזה החישוב שרוב העסקים לא עושים

ברשת שטוחה, כל מכשיר רואה את כל השאר.

מה בדיוק חשוף כשכולם על אותה רשת

מכשיר שמחובר לרשת המקומית יכול לסרוק אותה ולגלות מה עוד מחובר. מדפסת משותפת, תיקייה פתוחה במחשב המשרד, מצלמת אבטחה עם סיסמת ברירת מחדל, ממשק הניהול של הנתב עצמו. לא צריך להיות האקר מקצועי בשביל זה. אפליקציות סריקה חינמיות עושות את זה מהטלפון בכמה שניות.

מספיק לקוח אחד עם מכשיר נגוע. נוזקה שיושבת על מחשב נייד של אורח יכולה לחפש ברשת מכשירים פגיעים בלי שהוא עצמו יודע על כך. ומי שחושב שהעסק קטן מכדי לעניין האקרים צריך לזכור שרוב הסריקות האלה אוטומטיות ולא בוחרות מטרה.

רשת אחת מול רשת אורחים: ההשוואה

נושא	רשת אחת לכולם	רשת אורחים נפרדת
גישה למחשבי העסק	כל מכשיר מחובר רואה אותם	חסומה
מדפסות ומצלמות	חשופות לסריקה	מחוץ להישג יד
החלפת סיסמה	מנתקת גם את מכשירי העסק	משפיעה רק על לקוחות
מסוף אשראי	באותה רשת עם זרים	מופרד, כפי שדורש תקן PCI DSS
עלות	אפס	אפס ברוב הנתבים מהשנים האחרונות

השורה של מסוף האשראי היא לא תיאורטית. תקן PCI DSS, שמחייב כל מי שמקבל תשלום בכרטיס, דורש להפריד את סביבת התשלום משאר הרשת. עסק שהלקוחות שלו גולשים לצד הקופה נמצא בבעיה מול הדרישה הזאת.

איך מגדירים את זה נכון

ברוב הנתבים יש בממשק הניהול סעיף בשם Guest Network. ההגדרה עצמה קצרה:

• הפעילו רשת אורחים עם שם שונה מהרשת הראשית, כך שעובדים לא יתחברו אליה בטעות.
• סמנו את האפשרות לבידוד לקוחות (Client Isolation או AP Isolation), כדי שמכשירי האורחים לא יראו זה את זה.
• בחרו הצפנת WPA3, ואם הנתב לא תומך, WPA2. לעולם לא רשת פתוחה בלי סיסמה.
• החליפו את סיסמת הניהול של הנתב עצמו. סיסמת המפעל מודפסת על מדבקה וקל למצוא אותה ברשת.
• קבעו תזכורת להחליף את סיסמת האורחים פעם בחודש או אחרי שעובד עוזב.

הנקודה האחרונה קשורה לבעיה רחבה יותר. סיסמה חזקה שלא מתחלפת לעולם הופכת עם הזמן לסוד שידוע לכל מי שעבר במקום. את הרשת הראשית כדאי לנעול עוד יותר, ולתת את הסיסמה שלה רק למי שבאמת צריך אותה.

ומה עם המכשירים "החכמים"

מצלמות, מזגנים מחוברים, טלוויזיה בחדר ההמתנה. המכשירים האלה מקבלים עדכוני אבטחה לעיתים רחוקות, ולפעמים בכלל לא. בנתבים שתומכים ביותר משתי רשתות, כדאי להעביר אותם לרשת שלישית משלהם. בנתב פשוט, לפחות שימו אותם ברשת האורחים ולא ליד מחשב הנהלת החשבונות.

והפרדה ברשת לא מחליפה גיבוי מסודר של הקבצים. היא מקטינה את הסיכוי שמשהו יגיע אליהם, לא מבטלת אותו.

הסבר מסודר על פרוטוקולי ההצפנה והפרצות שהובילו להחלפתם תמצאו בערך WPA בוויקיפדיה.

ההוראה המעשית: מחר בבוקר, לפני שהלקוח הראשון נכנס, היכנסו לממשק הנתב, הפעילו רשת אורחים עם בידוד לקוחות, והחליפו את השלט ליד הקופה כך שיציג רק את הסיסמה החדשה.