De beheerdersinterface van uw internetbox is een controlepaneel dat toegankelijk is via een webbrowser, op een lokaal IP-adres zoals 192.168.1.1. Het stelt u in staat om de wifi-netwerkinstellingen te wijzigen, verbonden apparaten te beheren of de beveiliging van de verbinding te configureren. Toegang tot deze interface zonder voorzorgsmaatregelen stelt het thuisnetwerk bloot aan ongewenste wijzigingen of indringingen.
Lokaal aanvalspunt: wat de beheerdersinterface blootlegt
Wanneer een apparaat verbinding maakt met het lokale netwerk, kan het de standaardinterface van de box bereiken. Dit betreft computers, tablets, maar ook minder gecontroleerde verbonden objecten.
Een praktisch rapport van Kaspersky heeft aangetoond dat een gecompromitteerde TV-decoder of verbonden box kan dienen als een relais naar het beheerderspaneel van de router, zelfs als deze niet op internet is blootgesteld. Een aanvaller die dit soort apparaten exploiteert, krijgt toegang tot de DNS-instellingen, het wifi-wachtwoord en de poortdoorverwijzingen.
De eerste maatregel is om het standaard beheerderswachtwoord te wijzigen. De inloggegevens die bij de box worden geleverd (vaak “admin” / “admin” of een code die op het etiket staat) zijn publiek gedocumenteerd. Deze vervangen door een lang en uniek wachtwoord sluit de meest voorkomende aanvalsvector af. Verschillende handleidingen aangeboden door Hebdo Linux beschrijven deze procedure stap voor stap, afhankelijk van de modellen van de box.
IP-adres van de box en toegang volgens de provider
Elke provider kent een standaard lokaal IP-adres toe aan zijn box. Dit invoeren in de adresbalk van de browser (niet in het zoekveld) opent de authenticatiepagina van de interface.
- Livebox Orange: voer 192.168.1.1 of http://livebox/ in de browser in, en log in met het admin-account en het aangepaste wachtwoord of datgene dat op het etiket van de box staat.
- Bbox Bouygues Telecom: het standaardadres is 192.168.1.254, toegankelijk vanaf elk apparaat dat verbonden is met het lokale bedrade of wifi-netwerk.
- Freebox (Free): de lokale interface is toegankelijk via mafreebox.freebox.fr of het toegewezen IP-adres, met een specifieke authenticatie die is ingesteld vanuit Freebox OS.
- Box SFR: het adres 192.168.1.1 geeft toegang tot de webbeheerdersinterface, na invoer van de inloggegevens die tijdens de installatie zijn ingesteld.
Als de pagina niet verschijnt, controleer dan of het apparaat goed is verbonden met het netwerk van de box (en niet met een mobiele hotspot). Een bijgewerkte browser is vereist: recente interfaces kunnen verbindingen weigeren vanuit te oude versies van Firefox of Chrome.
Beveilig de externe toegang en de cloudaccount van de box
Externe administratie en de cloudaccount van de provider vormen twee verschillende aanvalspunten. Het uitschakelen van externe toegang tot de lokale interface is niet voldoende als de box nog steeds beheerd kan worden via een mobiele app of een online portal.
Een gecompromitteerd provideraccount (hergebruik van wachtwoorden, gebrek aan dubbele authenticatie) stelt een derde partij in staat om de instellingen van de box te wijzigen zonder fysiek op het netwerk te zijn. De oplossing: activeer multi-factor authenticatie op het klantaccount van de provider wanneer de optie beschikbaar is, of gebruik een passkey als deze wordt aangeboden.
Externe administratie uitschakelen
In de interface van de box is er meestal een optie om toegang van buiten het lokale netwerk toe te staan of te blokkeren. Deactiveer deze functie als u deze niet specifiek nodig heeft. Het opent een poort op internet en stelt de inlogpagina bloot aan brute force-aanvallen.
Gastwifi-netwerk: controleer de werkelijke isolatie
De meeste recente boxen bieden de mogelijkheid om een gastwifi-netwerk te creëren. Het idee lijkt eenvoudig: bezoekers verbinden zich met een gescheiden netwerk, zonder toegang te hebben tot de apparaten in de woning.
In de praktijk garandeert een gastnetwerk niet altijd de isolatie van het hoofdnetwerk. Afhankelijk van de modellen kan het voorkomen dat gastapparaten niet met elkaar kunnen communiceren, terwijl er toch een open toegang is tot printers, NAS of camera’s die met het lokale netwerk zijn verbonden. De enige manier om dit te controleren is door een telefoon met het gastnetwerk te verbinden en te proberen toegang te krijgen tot het IP-adres van een apparaat op het hoofdnetwerk.
Instellingen om te controleren in de interface
- Controleer of de optie “isolatie van klanten” of “AP-isolatie” is ingeschakeld in de instellingen van het gastnetwerk.
- Ken een ander wachtwoord toe aan het gastnetwerk, verschillend van het hoofdnetwerk.
- Beperk de bandbreedte die aan het gastnetwerk is toegewezen als de box dit toestaat, om te voorkomen dat een apparaat de verbinding overbelast.
DNS en firmware: twee vaak verwaarloosde instellingen in de interface
De beheerdersinterface stelt u in staat om de DNS-servers te wijzigen die door alle apparaten op het netwerk worden gebruikt. Standaard gebruikt de box de DNS van de provider. Deze vervangen door externe servers (zoals die aangeboden door filterdiensten) kan de naamresolutie versnellen of bepaalde kwaadaardige domeinen blokkeren.
De firmware van de box wordt meestal automatisch bijgewerkt. Controleer echter in de interface of de laatste versie van de firmware goed is geïnstalleerd. Een router waarvan de interne software niet meer wordt onderhouden, kan kwetsbaarheden bevatten die vanuit het lokale netwerk kunnen worden geëxploiteerd. Als uw box al jaren geen updates heeft ontvangen, rijst de vraag van vervanging.
Toegang tot de interface van uw box blijft een snelle operatie, maar het in de fabrieksinstellingen laten staan, komt neer op het openlaten van de voordeur van het netwerk. Aangepast admin-wachtwoord, externe toegang uitgeschakeld, getest gastnetwerk en gecontroleerde firmware: deze vier punten dekken de meeste veelvoorkomende risico’s op een thuisnetwerk.
