Bezpečnost domácí Wi-Fi sítě

Proč řešit šifrování a hesla u domácí Wi-Fi

Domácí síť dnes přenáší nejen multimédia a hry, ale také chytrou domácnost, bankovnictví a práci na dálku. Bezpečnost Wi-Fi proto stojí na dvou pilířích: moderním šifrování a správě silných, správně nastavených hesel. Tento článek shrnuje osvědčené postupy pro přístupové body a routery, vysvětluje volbu režimů WPA, doporučuje parametry hesel a ukazuje, jak bezpečně oddělit IoT zařízení od zbytku sítě.

Standardy šifrování: WPA3, WPA2 a co vypnout

WPA3-Personal (SAE) – doporučené výchozí nastavení. Využívá výměnu klíčů SAE, která brání offline slovníkovým útokům. Povinně zapíná Protected Management Frames (PMF, 802.11w) a používá AES-CCMP/GCMP.
WPA2-Personal (AES/CCMP) – minimální akceptovatelný stupeň, pokud starší klienti nepodporují WPA3. Nikdy nepoužívejte TKIP.
Režim „WPA2/WPA3 Transition“ – dočasné řešení při postupné migraci; jakmile to lze, přejděte na čisté WPA3.
WEP, WPA (TKIP) a otevřené sítě – zakázat. Jsou kryptograficky prolomitelné nebo nešifrované.

PMF (Protected Management Frames) – proč je důležité

PMF chrání řídicí rámce, aby nešlo snadno vynutit odpojení klienta (deauthentication/disassociation útoky). V WPA3 je povinné, u WPA2 jej zapněte jako „required“, pokud to klienti zvládnou. Zlepší to odolnost proti „evil-twin“ útokům a rušení připojení.

Nastavení SSID: název, skrytí a oddělené sítě

SSID pojmenujte jednoznačně, neodvozujte jej od jména či adresy. Vyhněte se modelovému názvu routeru.
Skrytí SSID nezvyšuje bezpečnost; rámce stejně unikají. Spíše komplikuje roaming a připojení IoT zařízení. Nechte SSID viditelné.
Oddělené SSID: vytvořte Guest síť a IoT síť. Zapněte pro ně Client/AP Isolation, omezte přístup do LAN a povolte jen internet.

Hesla k Wi-Fi: délka, složitost, formát

Nejsilnější vliv na bezpečnost má kvalita PSK (předsdíleného klíče) u WPA2/3-Personal.

Délka: minimálně 14–16 znaků; doporučeno 18–24 znaků. Dlouhé heslo nahrazuje nutnost extrémní složitosti.
Forma: používejte náhodná slova (tzv. diceware) nebo náhodný generátor v password manageru. Příklad: spisovna-most-paprika-dálka-vřeteno.
Znaky: držte se běžné ASCII sady (písmena, čísla, pomlčky). Některá IoT zařízení špatně snášejí diakritiku či exotické znaky.
Unikátnost: jiné heslo pro hlavní SSID, jiné pro Guest/IoT, jiné pro administraci routeru.
Rotace: měňte při podezření na únik, po servisním zásahu nebo jednou za 1–2 roky. U WPA3 SAE není rotace tak kritická, přesto je rozumná.

Správa hesel: kam je uložit a jak sdílet bezpečně

Password manager (KeePass, 1Password, Bitwarden…) – generujte a ukládejte hesla, synchronizujte mezi zařízeními.
QR kód pro hosty – mnoho routerů a operačních systémů umí vygenerovat QR kód s WPA konfigurací. Umístěte jej v domácnosti místo diktování hesla.
Papírová „nouzová“ záloha – uložte do obálky mimo dosah kamer a návštěvníků.

Administrace routeru: oddělené přístupové údaje a 2FA

Změňte výchozí admin jméno a heslo (silné, 16+ znaků). Nepoužívejte stejné heslo jako pro Wi-Fi.
Aktualizace firmware – zapněte automatické aktualizace, případně pravidelně kontrolujte nové verze. Opravují kritické zranitelnosti.
Správa z internetu – vypněte vzdálenou administraci (WAN management). Pokud je nutná, použijte VPN (WireGuard) a 2FA na cloudovém účtu výrobce.
Protokoly – zakažte Telnet/HTTP, povolte jen HTTPS/SSH, pokud jsou k dispozici.

WPS, MAC filtry a další „falešná bezpečnost“

WPS (hlavně PIN) zakázat. Usnadňuje neautorizovaný přístup. PBC (tlačítko) rovněž raději vypněte.
MAC filtrování je obchvatné (MAC lze podvrhnout). Nepovažujte jej za bezpečnostní prvek.
Skryté SSID – viz výše, neposkytuje reálné zabezpečení.

Segmentace: hosté a IoT pod kontrolou

Největší riziko představují levná IoT zařízení se slabou podporou aktualizací. Proto:

Vytvořte Guest SSID (pouze internet) a IoT SSID s Client Isolation a bez přístupu do domácí LAN.
Pokročile: použijte VLAN a firewallová pravidla – IoT zařízení mohou přistupovat jen k internetu a případně k home hubu či mostu.
Potřebujete-li, aby telefon ovládal IoT v jiné síti, povolte jen mDNS/Bonjour přes mDNS repeater či specifické pravidlo, nikoliv kompletní „any-any“ povolení.

Další nastavení pro silnou Wi-Fi bezpečnost

Šifrovací sada: AES-CCMP (WPA2), GCMP/CCMP (WPA3). Zakázat TKIP.
Kanály a pásma: to není přímo bezpečnostní prvek, ale stabilní signál snižuje odpojování a opakované přihlašovací pokusy. Pásma 5 GHz/6 GHz (Wi-Fi 6/6E) preferujte, pokud jsou dostupná.
Firewall/DoS ochrany: ponechte aktivní na routeru, vypněte UPnP, pokud jej nepotřebujete.
Logování: zapněte základní systémové logy a uložte konfiguraci do zálohy po každé změně.

Bezpečné chování uživatelů a klientských zařízení

Automatické připojování: zakažte automatické připojování k „otevřeným sítím“. Preferujte připojení pouze k vašim SSID.
Aktualizace OS a ovladačů Wi-Fi – opravují chyby v handshake a šifrovacích knihovnách.
Správa sdílení: na noteboocích vypněte sdílení souborů ve veřejných a nezabezpečených profilech.
VPN: na cestách používejte VPN; doma není nutná kvůli šifrované Wi-Fi, ale může zjednodušit bezpečný vzdálený přístup.

Postup „15 minut k bezpečnější síti“

Přihlaste se do routeru a změňte admin heslo (16+ znaků).
Aktualizujte firmware na nejnovější verzi.
Nastavte WPA3-Personal (SAE); pokud nejde, použijte WPA2-AES a vypněte TKIP.
Zapněte PMF (u WPA2 jako „required“).
Změňte SSID na neutrální název; ponechte jej viditelné.
Nastavte silné Wi-Fi heslo (18–24 znaků, náhodná slova).
Vypněte WPS, vzdálenou administraci z internetu a UPnP (pokud není potřeba).
Vytvořte Guest a IoT síť s izolací klientů.
Uložte zálohu konfigurace a QR kód pro hosty.

Rotace a incident response: co dělat při podezření na kompromitaci

Změňte admin heslo a zkontrolujte, zda není aktivní vzdálená správa.
Vygenerujte nové Wi-Fi heslo a změňte jej ve všech SSID.
Zkontrolujte připojená zařízení; neznámá odpojte a proveďte factory reset podezřelých IoT zařízení.
Aktualizujte firmware. Pokud nelze, zvažte výměnu zařízení.
Prohlédněte logy, zda neprobíhají opakované neúspěšné pokusy či neobvyklý provoz.

Časté mýty a omyly

„Skrytí SSID mě ochrání.“ Neochrání – útočník SSID odhalí z provozu klienta.
„MAC filtr stačí.“ Nestačí, MAC adresu lze naklonovat během minut.
„Dám složité heslo, ale nechám WPS.“ WPS PIN zkratkou obejde jakékoli heslo.
„WPA2 s TKIP je v pořádku.“ Není – TKIP je zastaralý, držte se AES-CCMP.

Specifika pro Wi-Fi 6/6E/7

Novější standardy přinášejí vyšší kapacitu a často i lepší implementaci bezpečnostních funkcí. U Wi-Fi 6/6E/7 je běžně dostupné WPA3-Personal a kvalitnější řízení rádiových pásem. Při přechodu na 6E/7 (6 GHz) používejte čisté WPA3; starší klienti 6 GHz stejně nepodporují, takže nepotřebujete přechodový režim.

Doporučení pro malé domácí „mesh“ systémy

Všude jednotný bezpečnostní profil (WPA3, stejné SSID a heslo), backbone mezi uzly ideálně drátový (Ethernet) – stabilnější a s méně přihlašovacími cykly.
Guest a IoT SSID nastavte na všech uzlech, aby platila izolace i při roamingu.

Kontrolní checklist

WPA3-Personal zapnuto (nebo WPA2-AES jako minimum), PMF jako „required“.
WPS vypnuto; vzdálená správa z WAN vypnuta; UPnP vypnuto, pokud není potřeba.
Silná, unikátní hesla pro SSID a administraci; hesla uložená ve správci hesel.
Guest/IoT sítě izolované; IDS/Firewall pravidla alespoň základní.
Firmware aktuální; konfigurace zálohovaná; logy zapnuté.

Závěr

Pevné šifrování a kvalitní správa hesel tvoří základ bezpečné domácí Wi-Fi. Preferujte WPA3-Personal s PMF, používejte dlouhá náhodná hesla, vypněte WPS, oddělte hosty a IoT a udržujte zařízení aktuální. Tato kombinace minimalizuje riziko prolomení a udrží domácí síť bezpečnou i při rostoucím počtu připojených zařízení.