جلوگیری از هک وای فای مودم دی لینک D-Link

بسیاری از خانه‌ها یک رمز وای‌فای دارند که به مهمان، همسایه، تعمیرکار و حتی تلویزیون هوشمند داده شده است. هر دستگاهی که به شبکه اصلی وصل شود، در صورت آلودگی به بدافزار می‌تواند سایر دستگاه‌ها را ببیند و به آن‌ها دسترسی بگیرد.

شبکه مهمان برای شکستن همین زنجیره طراحی شده است. در بیشتر مودم‌های D-Link امروزی هم یک گزینه ساده در تنظیمات بی‌سیم دارد.

نام این قابلیت بسته به مدل و نسخه فریمور فرق می‌کند. معمولاً Guest Zone یا Guest Network نام دارد و در بخش تنظیمات وای‌فای پیدا می‌شود. بعد از فعال‌سازی، برای آن نام شبکه و رمز جداگانه بگذارید.

رمز مهمان را شبیه رمز شبکه اصلی انتخاب نکنید، چون هدف جداسازی است. اگر گزینه‌ای برای جلوگیری از ارتباط با شبکه داخلی وجود دارد، آن را فعال کنید و فقط دسترسی به اینترنت را باقی بگذارید.

دستگاه‌های اینترنت اشیا بهترین کاندیدای شبکه مهمان هستند. دوربین مداربسته، جاروبرقی رباتیک، پریز هوشمند و تلویزیون معمولاً به‌روزرسانی امنیتی کمی می‌گیرند و گاهی سال‌ها با یک نقص شناخته‌شده کار می‌کنند. اگر یکی از آن‌ها آلوده شود، مهاجم از طریق آن نمی‌تواند به لپ‌تاپ، گوشی کاری یا پوشه‌های اشتراکی شما برسد.

چند نکته عملی هم وجود دارد. اول، رمز شبکه مهمان را هر چند ماه یک‌بار عوض کنید، مخصوصاً بعد از مهمانی‌ها یا حضور افرادی که برای کار به منزل آمده‌اند.

دوم، اگر مدل شما محدودیت زمانی یا سقف پهنای باند برای مهمان دارد، از آن استفاده کنید تا یک دستگاه آلوده یا پرمصرف سرعت کل خانه را پایین نیاورد. سوم، قابلیت جداسازی کلاینت‌ها (Client Isolation) را روشن کنید تا مهمان‌ها همدیگر را هم نبینند.

اگر مودم قدیمی شما شبکه مهمان ندارد، این خودش نشانه‌ای است که سخت‌افزار از استانداردهای امنیتی روز عقب مانده است. در این حالت دست‌کم دستگاه‌های هوشمند را به یک روتر دوم با شبکه جداگانه وصل کنید، یا تعویض مودم را در برنامه خود بگذارید.

هزینه یک روتر ساده بسیار کمتر از هزینه پاک‌کردن ردپای یک نفوذ کامل است.

دو توصیه بسیار رایج در فروم‌ها و کانال‌های آموزشی این است که SSID را مخفی کنید و فقط آدرس MAC دستگاه‌های خودتان را مجاز بدانید. این دو روش حس امنیت خوبی می‌دهند، اما در عمل مانع جدی برای مهاجم نیستند.

شناخت محدودیت آن‌ها کمک می‌کند وقت و توجه خود را روی اقدام‌های مؤثرتر بگذارید.

آدرس MAC در هدر بسته‌های بی‌سیم ارسال می‌شود و حتی در شبکه رمزگذاری‌شده هم برای هر شنودکننده‌ای در برد سیگنال قابل مشاهده است. مهاجم فقط باید چند دقیقه ترافیک را بشنود، یکی از MACهای مجاز را بردارد و آدرس کارت شبکه خود را با آن یکسان کند.

نتیجه این است که فیلتر MAC در برابر یک مهاجم آگاه تقریباً مقاومتی ندارد.

مخفی‌کردن SSID هم نام شبکه را حذف نمی‌کند و فقط آن را از بسته‌های beacon برمی‌دارد. نام شبکه هنگام اتصال هر دستگاه مجاز دوباره در بسته‌های مدیریتی ظاهر می‌شود و ابزارهای رایگان آن را در چند ثانیه نشان می‌دهند.

بدتر اینکه گوشی و لپ‌تاپ برای پیداکردن شبکه مخفی ممکن است نام آن را در هر مکانی جار بزنند و ردپای شبکه خانگی را بیرون از خانه هم فاش کنند.

با این حال این دو قابلیت کاملاً بی‌فایده نیستند. فیلتر MAC می‌تواند جلوی اتصال تصادفی یک دستگاه ناشناس را بگیرد، یا مانع شود کسی که رمز را می‌داند با دستگاه جدید وصل شود. SSID مخفی هم شبکه را از فهرست نزدیک‌ترین همسایه‌های کنجکاو حذف می‌کند.

فقط باید آن‌ها را لایه‌ای کمکی بدانید، نه جایگزین رمز قوی و رمزنگاری مناسب.

اگر فیلتر MAC را فعال می‌کنید، یک نکته مهم را در نظر داشته باشید. گوشی‌های جدید، چه آیفون و چه اندروید، می‌توانند برای هر شبکه آدرس MAC تصادفی بسازند.

در این حالت آدرسی که در فهرست مجاز ثبت کرده‌اید با آدرس واقعی اتصال فرق می‌کند و دستگاه بی‌دلیل قطع می‌شود. آدرسی را ثبت کنید که در تنظیمات همان شبکه نمایش داده می‌شود، و فهرست را هر چند ماه یک‌بار بازبینی کنید.

جمع‌بندی ساده است: این دو تنظیم را در صورت تمایل روشن کنید، اما هرگز به آن‌ها تکیه نکنید. امنیت واقعی از رمز طولانی، رمزنگاری جدید و مودمی با فریمور به‌روز می‌آید.

بیشتر نفوذها به مودم خانگی با علامت واضحی شروع نمی‌شوند. مهاجم معمولاً می‌خواهد ناشناخته بماند و از پهنای باند، ترافیک شما یا حتی خود مودم به‌عنوان بخشی از یک بات‌نت استفاده کند. بنابراین بررسی دوره‌ای نشانه‌ها مهم‌تر از انتظار برای یک خرابی آشکار است.

چند نشانه هشداردهنده را جدی بگیرید. کندی بی‌دلیل اینترنت در ساعاتی که کسی مصرف نمی‌کند، چشمک‌زدن چراغ داده وقتی همه دستگاه‌ها خاموش‌اند، کارنکردن رمز مدیریتی که خودتان تعیین کرده‌اید، بازشدن تبلیغات ناخواسته در سایت‌های معتبر و تغییر تنظیماتی که به یاد ندارید از این دسته‌اند.

هیچ‌کدام به‌تنهایی قطعی نیست، اما مجموع آن‌ها قابل‌تأمل است.

برای بررسی عملی، همه گوشی‌ها، لپ‌تاپ‌ها و تلویزیون‌ها را از وای‌فای جدا کنید و سپس وارد پنل مودم شوید. فهرست دستگاه‌های متصل را با نام Connected Clients یا DHCP Clients باز کنید. هر نام، IP و MAC را با دستگاه‌های واقعی خانه تطبیق دهید.

نام‌های عمومی مثل Android یا ESP همیشه مشکوک نیستند و ممکن است متعلق به پریز هوشمند یا ساعت شما باشند.

بخش‌های دیگر پنل هم ارزش بررسی دارند. در قسمت Virtual Server یا Port Forwarding دنبال قانون‌هایی بگردید که خودتان نساخته‌اید. در گزارش‌ها (System Log) ورودهای ناموفق مکرر یا ورود از آدرس‌های بیرونی را ببینید.

در تنظیمات اینترنت هم سرور DNS را نگاه کنید، چون تغییر آن یکی از رایج‌ترین ردپاهای نفوذ است.

اگر دستگاه ناشناسی پیدا کردید، قبل از هر چیز رمز وای‌فای را عوض کنید تا اتصال آن قطع شود. سپس رمز پنل مدیریت را هم تغییر دهید. اگر قانون یا تنظیم مشکوکی دیدید، از آن عکس بگیرید و بعد حذفش کنید.

وجود تنظیم دستکاری‌شده یعنی مهاجم به پنل دسترسی داشته است، و بهتر است ادامه کار را با بازنشانی کامل پیش ببرید.

یک عادت ساده به شما کمک می‌کند: هر ماه یک‌بار فهرست دستگاه‌ها و قوانین پورت را مرور کنید. وقتی وضعیت عادی شبکه را بشناسید، هر تغییر غیرعادی زودتر به چشم می‌آید.

DNS مثل دفترچه تلفن اینترنت عمل می‌کند و نام سایت را به آدرس عددی تبدیل می‌کند. مودم شما معمولاً سرور DNS را به همه دستگاه‌های خانه می‌دهد.

اگر مهاجم این مقدار را در مودم عوض کند، بدون نفوذ به تک‌تک گوشی‌ها می‌تواند ترافیک کل خانه را به سرورهای خودش هدایت کند. به این حمله DNS Hijacking می‌گویند.

خطر اصلی آن است که نشانی در مرورگر درست دیده می‌شود، اما صفحه‌ای که باز می‌شود جعلی است. یک صفحه پرداخت یا ورود به حساب بانکی که شبیه نسخه اصلی ساخته شده، می‌تواند نام کاربری، رمز و حتی رمز دوم پیامکی را جمع کند.

چون مشکل در مودم است، تعویض مرورگر یا پاک‌کردن گوشی چیزی را درست نمی‌کند.

کنترل آن ساده است. در پنل D-Link به بخش تنظیمات اینترنت یا WAN بروید و فیلد DNS را ببینید. مقدار باید یا خودکار از ارائه‌دهنده اینترنت دریافت شود، یا آدرسی باشد که خودتان آگاهانه وارد کرده‌اید، مثل یک سرویس عمومی معتبر.

هر آدرس ناشناخته‌ای که منشأ آن را نمی‌شناسید، دلیل کافی برای بازنشانی و بررسی بیشتر است.

به هشدارهای مرورگر هم اهمیت بدهید. اگر هنگام ورود به سایت بانک پیام خطای گواهی (Certificate Error) یا هشدار ناامنی دیدید، هرگز گزینه ادامه را نزنید، چون معمولاً نشانه دخالت شخص ثالث بین شما و سایت است.

پیش از هر پرداخت، دامنه دقیق را در نوار آدرس بخوانید و ترجیحاً از اپلیکیشن رسمی بانک استفاده کنید.

برای لایه دفاعی دوم می‌توانید DNS رمزنگاری‌شده (DNS over HTTPS) را در مرورگر یا سیستم‌عامل فعال کنید. در این حالت درخواست‌ها حتی با دستکاری DNS مودم از مسیر مستقل عبور می‌کنند.

توجه کنید که در برخی شبکه‌ها یا اپراتورها ممکن است این قابلیت محدود باشد، پس بعد از فعال‌سازی، باز شدن سایت‌ها را آزمایش کنید.

در نهایت، DNS را فقط یک‌بار بررسی نکنید. بعد از هر به‌روزرسانی فریمور، ریست یا مشکوک‌شدن به رفتار شبکه، دوباره نگاهی به آن بیندازید. این بررسی کمتر از یک دقیقه طول می‌کشد و جلوی خطرناک‌ترین نوع فریب را می‌گیرد.

وقتی مطمئن یا مشکوک هستید مهاجم به تنظیمات مودم دسترسی داشته، تغییر چند رمز کافی نیست. ممکن است قانون‌ها، حساب‌ها یا DNS دستکاری‌شده‌ای باقی مانده باشد که فقط با بازگرداندن مودم به حالت کارخانه پاک می‌شود.

اما ترتیب کارها مهم است، وگرنه مودم تازه‌ریست‌شده در همان دقایق اول دوباره آلوده می‌شود.

قبل از ریست، اطلاعات اتصال اینترنت خود را یادداشت کنید. نوع اتصال، نام کاربری و رمز PPPoE و در مودم‌های ADSL یا VDSL مقادیر VPI/VCI یا VLAN را بنویسید. اگر این اطلاعات را ندارید، از پشتیبانی ارائه‌دهنده اینترنت بگیرید.

فایل پشتیبان تنظیمات قدیمی را بازیابی نکنید، چون ممکن است همان تنظیمات دستکاری‌شده را دوباره وارد کند.

سپس دکمه Reset را در حالی که مودم روشن است با سوزن یا نوک خودکار حدود ده ثانیه نگه دارید تا چراغ‌ها خاموش و روشن شوند. زمان دقیق در دفترچه هر مدل ممکن است کمی متفاوت باشد.

در این مرحله کابل اینترنت یا خط تلفن را وصل نکنید و با کابل شبکه به مودم وصل شوید تا مهاجم از بیرون راهی برای نفوذ دوباره نداشته باشد.

حالا و قبل از اتصال به اینترنت، رمز مدیریت را عوض کنید، نام و رمز جدید وای‌فای با رمزنگاری مناسب بگذارید و سرویس‌های غیرضروری را خاموش کنید. آخرین فریمور را از سایت رسمی D-Link روی یک دستگاه دیگر دانلود کنید و به‌صورت دستی بارگذاری کنید.

بعد از آن خط اینترنت را وصل کنید و تنظیمات ارائه‌دهنده را وارد نمایید.

بازسازی مودم فقط نیمی از کار است. اگر دستگاهی در شبکه آلوده بوده، رمز ایمیل، شبکه‌های اجتماعی و حساب‌های بانکی را از یک دستگاه سالم عوض کنید و تأیید دومرحله‌ای را فعال کنید.

گوشی‌ها و رایانه‌ها را هم با یک ضدبدافزار معتبر بررسی کنید، چون ممکن است آلودگی از دستگاه به مودم آمده باشد و نه برعکس.

اگر مدل شما پس از چند روز دوباره همان نشانه‌ها را نشان داد، به احتمال زیاد آسیب‌پذیری وصله‌نشده دارد. در این وضعیت ریست‌های مکرر فقط وقت‌گذرانی است و جایگزینی دستگاه تنها راه مطمئن به شمار می‌رود.

مهاجم همیشه از رمز ضعیف وارد نمی‌شود. گاهی از سرویسی استفاده می‌کند که شما حتی نمی‌دانید روی مودم روشن است. بسیاری از مودم‌ها برای سهولت مدیریت یا عیب‌یابی سرویس‌های جانبی فعال دارند. بستن همین دریچه‌های فراموش‌شده بدون هیچ هزینه‌ای سطح حمله را کم می‌کند.

در صورت وجود، سرویس‌های Telnet و SSH را برای دسترسی از سمت اینترنت خاموش کنید. این پروتکل‌ها هدف اصلی حدس رمز توسط بات‌نت‌ها هستند و Telnet اساساً رمز را بدون رمزنگاری منتقل می‌کند.

همچنین گزینه پاسخ به Ping از سمت WAN را غیرفعال کنید تا مودم شما در اسکن‌های عمومی به‌سادگی دیده نشود.

فایروال داخلی (SPI) را روشن نگه دارید و گزینه DMZ را خاموش بگذارید. DMZ یک دستگاه را کاملاً بی‌دفاع در معرض اینترنت قرار می‌دهد و اگر آن دستگاه آسیب‌پذیر باشد، کل شبکه در خطر می‌افتد.

فهرست Port Forwarding را هم مرور کنید و قانون‌هایی را که برای بازی، دوربین یا نرم‌افزار قدیمی باز شده‌اند حذف کنید. هر پورت باز یک در ورودی است.

درباره TR-069 احتیاط کنید. این پروتکل به ارائه‌دهنده اینترنت اجازه می‌دهد مودم را از راه دور پیکربندی کند، بنابراین خاموش‌کردن بی‌مشورت آن ممکن است پشتیبانی یا تنظیمات خودکار را مختل کند.

بهتر است ابتدا با ارائه‌دهنده خود تماس بگیرید و بپرسید آیا برای سرویس شما لازم است یا نه. اگر لازم نیست، با تأیید آن‌ها خاموشش کنید.

برای خود پنل مدیریت، اگر مدل شما گزینه HTTPS دارد آن را فعال کنید و زمان انقضای نشست (Session Timeout) را کوتاه بگذارید. پس از پایان کار حتماً Logout کنید.

پنل را فقط از دستگاه‌های مطمئن و روی شبکه خانگی باز کنید، نه از وای‌فای عمومی یا رایانه‌ای که به آن اعتماد ندارید.

یک عادت مفید دیگر، ثبت تغییرات است. هر بار تنظیمی را عوض می‌کنید، آن را در یک یادداشت کوتاه بنویسید. وقتی بعداً قانونی ببینید که در یادداشت شما نیست، تشخیص دستکاری ناخواسته بسیار آسان‌تر می‌شود.