Zo scheid je het IoT van je thuisnetwerk

Door: Jochem de Goede | 09 mei 2017 09:38

How To

Inhoudsopgave

  1. Inleiding
  2. Pagina 2

Het Internet of Things heeft op het gebied van veiligheid geen goede reputatie. Om dergelijke apparaten dan zomaar te mixen met je eigen computers en tablets, zorgt voor een groot risico. Een veilige aanpak is om je IoT- en domotica-apparaten te scheiden van de rest van het thuisnetwerk, iets wat je op verschillende manieren kunt doen. Zo kun je je eigen IoT beveiligen.

Het probleem met domotica en IoT is natuurlijk veiligheid. Alle fabrikanten zijn nu eerst zo druk bezig om toepassingen te vinden voor hun IoT-apparaten, dat ze niet nadenken over de veiligheid ervan. Een koelkast of wasmachine met Android, of zelfs een broodrooster aangesloten op internet. Deze apparaten vormen potentie enorme veiligheidsproblemen als ze verbonden worden met wifi. De grootste ddos-aanval tot nog toe was bijvoorbeeld niet mogelijk geweest zonder alle met het internet verbonden camera’s.

Waarom is het Internet of Things dan zo onveilig? Daar zijn verschillende redenen voor. Veel van die apparaten hebben geen automatische updates. Dat is op z’n zachtst gezegd niet zo’n goed idee voor een apparaat dat met internet verbonden is. Veel van die apparaten worden bovendien gebouwd door start-ups; door nieuwe bedrijven die veiligheid niet hoog op de prioriteitenlijst hebben staan. De standaardinstellingen zijn vaak onveilig en moeten handmatig veranderd worden, iets wat maar weinig gebruikers überhaupt weten, laat staan dat ze het doen. Sowieso is het niet eenvoudig om dat soort apparaten goed te beveiligen, dat kost veel extra moeite van de fabrikant. Bovendien komt het volgende product alweer snel uit, dus waarom zou de fabrikant de oudere versie dan nog van updates voorzien? In veel gevallen gebeurt dat dan ook niet.

Daarom laten we je in deze masterclass zien hoe je voor je domotica- en IoT-apparaten een gescheiden netwerk op kunt zetten. We beginnen eerst met een gastnetwerk, voor als je een enkele router hebt of veel draadloze apparaten. Daarna laten we zien hoe je een firewall kunt gebruiken, en hoe je een aparte router kunt gebruiken om je slimme apparaten mee te verbinden. Na die stap pakken we het helemaal professioneel aan met een apart vlan (oftewel virtual lan) voor je IoT-apparaten. Als laatste bekijken we nog een andere oplossing, namelijk speciale routers bedoeld voor het scannen van internetverkeer gericht op veiligheid van IoT.

01 Gastnetwerk opzetten

Een van de eenvoudigere stappen om je IoT-apparaten te beveiligen en te scheiden is door een gastnetwerk op te zetten. Op die manier splits je het internetverkeer. Dat heeft als voordeel dat je het gastnetwerk op softwareniveau kunt scheiden en beter kunt beheren. Via een gastnetwerk is het namelijk niet mogelijk om bij apparaten op het lokale netwerk te komen of bij andere wifi-apparaten. Bij sommige routers kun je zelfs limieten instellen op het gastnetwerk. Dat is handig, want zo voorkom je dat de IoT-apparaten opeens al je bandbreedte in beslag nemen. Let er bij het opzetten van een gastnetwerk op dat al je eigen apparaten verbinding maken met het normale wifi-netwerk. Stel alleen de ‘risico-apparaten’ zo in dat ze verbinding maken met het gastnetwerk. Als je dan toch verbinding wilt maken met een van je IoT-apparaten, dan hoef je alleen te wisselen van wifi-netwerk. Of je houdt een oude telefoon of tablet bij de hand die je wel permanent onderdeel maakt van het gastnetwerk.

Je schakelt het gastnetwerk in door in te loggen in je router, als die de functie ondersteunt. Zoek daarvoor even het gateway-adres van je router (zie kader ‘Inloggen in je router’). Eenmaal ingelogd, zoek je in je router tussen de opties voor het draadloze netwerk een optie als Gastnetwerk (guest network). Schakel die optie in. Zorg ervoor dat je een wachtwoord instelt op het gastnetwerk en het gastnetwerk beveiligt met wpa2-aes.

01 Met een apart gastnetwerk kun je je IoT-apparaten scheiden. Zorg dat AP Isolation aan staat, bij Netgear is dat bijvoorbeeld standaard al het geval.

Inloggen in je router

Je logt als volgt in op je router: heb je een Netgear-router, dan typ je in de adresbalk simpelweg http://routerlogin.com. Log dan in met je gebruikersnaam en wachtwoord. Weet je die niet? Raadpleeg dan even de handleiding. Voor slimme Linksys-routers ga je naar http://myrouter.local. Voor TP-Link ga je naar http://192.168.1.1 in je browser en voor Asus typ je in http://router.asus.com. Voor een Synology-router kun je naar http://router.synology.com. Voor andere routers of modem-routers, moet je op zoek naar het gatewayadres. Dat vind je door rechts te klikken op de Startknop in Windows, kies voor Opdrachtprompt en typ ipconfig. Zoek naar de interface waarmee je verbonden bent. In de lijst zie je Default Gateway. Typ dat adres in de browser in.

02 AP Isolation & upnp

Handig is de optie AP Isolation bij een gastnetwerk. Met AP Isolation kunnen de apparaten op het gastnetwerk elkaar niet zien. Als op die manier dan een van je apparaten gehackt en besmet wordt met malware, kan dat zich moeilijker verspreiden naar de andere IoT-apparaten. Zet daarom bij het gastnetwerk de optie AP Isolation of Wireless isolation aan. Bij sommige routers kun je in het gastnetwerk upnp aan- of uitzetten. Met upnp zijn IoT-apparaten zelf in staat om poorten door te sturen, maar upnp is in veel routers niet heel veilig. Het beste laat je het uit staan en forward je zelf de poorten door in je router. Raadpleeg per apparaat de handleiding en bekijk welke poorten open moeten. In de router ga je dan naar Portforwarding of naar iets als Apps en games. Zorg er dan gelijk voor dat elk IoT-apparaat een statisch ip-adres heeft.

02 Upnp is gebruiksvriendelijk, maar wel onveilig. Als je het uitschakelt, moet je handmatig poorten forwarden.

03 DD-WRT firewall

Een andere oplossing waar je voor kunt gaan is om een firewall te gebruiken op je router. Je stelt dan een aantal firewallregels in, waardoor je IoT-apparaten alleen maar met de buitenwereld mogen communiceren en niet met het lokale netwerk. Veel consumentenrouters hebben hiervoor niet heel uitgebreide mogelijkheden. Je bent doorgaans het beste af met een router voorzien van DD-WRT, dan is het mogelijk om iptables te gebruiken, waarmee je veel meer configuratiemogelijkheden hebt dan normaal. Voordat je hiermee aan de slag gaat, stel je een statisch ip-adres in voor al je IoT- en domotica-apparaten. Daarvoor ga je in DD-WRT naar Services / Services / Static Leases. Vervolgens vul je het mac-adres in van het apparaat, een hostnaam en het gewenste ip-adres. Bij Client Lease Time vul je niets in, zodat dat apparaat altijd dat ip-adres zal krijgen. Scrol naar onderen en sla de wijzigingen op.

03 Hier stel je in DD-WRT een statisch ip-adres in.

04 DD-WRT ssh

Vervolgens is het nodig om ssh-toegang in te schakelen in je router. In DD-WRT ga je daarvoor naar Services / Services. Bij de sectie Secure Shell schakel je SSHd in. Je kunt er dan voor kiezen om wachtwoordautorisatie in te schakelen. Het alternatief is autorisatie met een publiek-privé-sleutelpaar. Zolang je de ssh-poort niet openzet voor de buitenwereld en als je zodra je klaar bent ssh niet vergeet uit te zetten, kan het wel even met wachtwoordautorisatie.

Download dan PuTTY voor Windows. Voer het gedownloade bestand uit. Bij Host Name voer je het ip-adres van je router in. Klik dan op Open. Typ dan bij Username de gebruikersnaam root en bij wachtwoord het wachtwoord dat je gebruikt om in de router in te loggen. Op sommige andere routers is het ook mogelijk om ssh-toegang te verkrijgen, bijvoorbeeld op de routers van Synology. Zolang de router iptables gebruikt, zit je goed.

04 Vul bij Host Name het ip-adres van je router in PuTTY in en klik op Open.

05 DD-WRT firewallregels

In SSH, voer je dan het volgende commando in:

iptables -t filter -I FORWARD -s 192.168.1.xx -d 192.168.1.0/24 -j DROP

Vervang 192.168.1.xx door het correcte ip-adres van het apparaat dat je de toegang tot je lan wilt ontzeggen. We gaan ervan uit dat je router ip-adressen uitdeelt in 192.168.1.0 reeks. Is dat niet het geval, wijzig het commando hierboven dan, bijvoorbeeld naar 10.1.0.0/24. Om te controleren welke regels er op dit moment actief zijn in iptables, voer je het volgende commando uit: iptables -L

Als je een regel weer wilt verwijderen uit de firewall, doe je dat op basis van wat die doet. Stel je wilt de bovenstaande regel verwijderen, dan voer je het commando uit:

iptables -D FORWARD -s 192.168.1.xx -d 192.168.1.0/24 -j DROP

05 Na het toevoegen van de regel zien we in het overzicht dat de regel actief is.

Alternatief: ouderlijk toezicht

Niet elke router heeft ssh-toegang of kan DD-WRT draaien. Als je dan toch zelf wát actie wilt ondernemen, zou je nog op z’n minst ouderlijk toezicht in kunnen schakelen. Routers met die functie hebben dan de optie om kwaadaardige en phishingwebsites te blokkeren. Als je die filters toepast op je IoT-apparaten, heb je in ieder geval één vorm van bescherming. Sommige apparaten kun je bovendien alleen lokaal gebruiken. Je kunt ze dan aan het netwerk hangen en via ouderlijk toezicht in de router alle verbindingen met de buitenwereld ontzeggen. Dan ben je ook veilig.

Met ouderlijk toezicht blokkeer je op z’n minst toegang tot kwaadaardige websites.

06 Twee extra routers

Een gastnetwerk is een goede oplossing, maar in de praktijk zit er een aantal haken en ogen aan. Het werkt sowieso alleen met wifi, niet voor bedrade apparaten. Ook hebben sommige routerfabrikanten het gastnetwerk niet (veilig) geïmplementeerd. Het probleem is soms dat je het gastnetwerk niet kunt versleutelen met wpa2-aes, maar dat je een open netwerk opzet en dan eenmaal in een portal een wachtwoord in moet voeren om verbinding te maken. Dat is onveilig, want dan kan iedereen met het verkeer van je netwerk meekijken.

Een veiligere oplossing is om één of twee extra routers te gebruiken. De eerste situatie is dat we ervan uitgaan dat je een modem-router (in één apparaat) hebt van je provider plus nog twee extra routers. Dan kun je het beste je netwerk scheiden. Wat je dan doet, is dat je je twee routers aansluit op je modem-router van je provider. Normaal zouden we je dan aanraden om de DMZ-modus in te schakelen, maar die kan het verkeer maar naar één host doorsturen. In plaats daarvan schakel je in beide routers de firewall uit. Zolang de modem-router dan een actieve firewall heeft, is er niets aan de hand. Anders is het namelijk nodig om elke poort twee keer door te sturen. Vervolgens hang je al je IoT-apparaten aan de ene router en je eigen netwerkapparaten aan de andere. Op die manier heb je een gescheiden netwerk, waarbij de IoT-apparaten niet bij je lokale apparaten kunnen.

0 Reactie(s) op: Zo scheid je het IoT van je thuisnetwerk

  • Om te reageren moet je ingelogd zijn. Nog geen account? Registreer je dan en praat mee!
  • Er zijn nog geen reacties op dit artikel.

Wanneer je een reactie plaatst ga je akoord
met onze voorwaarden voor reacties.