Sieć Wi-Fi to jedna z niewielu rzeczy w obiekcie, którą gość ocenia w pierwszych trzech minutach pobytu i o której napisze w recenzji. Jednocześnie jest to element infrastruktury, o którym menedżer zwykle wie najmniej, bo "tym zajmuje się informatyk". Problem w tym, że część błędów widać z zewnątrz — z parkingu, bez żadnych specjalnych narzędzi.
Poniżej osiem konkretnych, powtarzalnych problemów, które spotyka się w hotelach, pensjonatach i apartamentach na wynajem. Do każdego dopisane, co z tym zrobić.
1. Jedno hasło, które nie zmieniło się od lat
Hasło typu nazwa obiektu plus rok, ustawione przy uruchomieniu i niezmieniane, zna każdy gość z ostatnich kilku sezonów, cała okoliczna obsługa i połowa sąsiadów. Osoba, która kiedyś nocowała, może korzystać z sieci z parkingu.
Co zrobić: ustal cykl rotacji hasła sieci gościnnej i — co ważniejsze — zaplanuj wcześniej, jak przekażesz nowe hasło gościom bez paraliżowania recepcji. To najczęstszy powód, dla którego rotacja nigdy nie następuje.
2. Brak izolacji klientów w sieci gościnnej
Gdy izolacja jest wyłączona, urządzenia gości widzą się nawzajem. Laptop z włączonym udostępnianiem plików, telewizor, konsola, telefon z otwartym serwerem multimediów — wszystko to jest dostępne dla każdego, kto siedzi w tej samej sieci. CISA w zaleceniach dotyczących sieci bezprzewodowych wskazuje wykorzystanie mechanizmów izolacji bezprzewodowej jako jedno z podstawowych zabezpieczeń sieci gościnnej.
Co zrobić: w konfiguracji punktu dostępowego znajdź opcję opisaną jako client isolation, AP isolation lub guest isolation i włącz ją dla SSID-u gościnnego.
3. Wspólna sieć dla gości i systemów hotelowych
Klasyk. PMS, terminal płatniczy, rejestrator monitoringu i telefony gości w jednej przestrzeni adresowej. To temat na osobny tekst i taki właśnie napisaliśmy — dlaczego sieć gościnna musi być oddzielona od firmowej. Tu tylko przypomnienie: wytyczne PCI Security Standards Council zaznaczają, że sama separacja na VLAN-y bez kontroli ruchu między nimi nie jest wystarczająca.
4. Domyślne hasło administratora na sprzęcie sieciowym
Routery, punkty dostępowe, rejestratory monitoringu i sterowniki zamków przychodzą z fabrycznymi danymi logowania, które są publicznie dostępne w instrukcjach. Jeśli nikt ich nie zmienił, dostęp do konfiguracji ma każdy, kto znajdzie się w sieci.
Co zrobić: zrób inwentaryzację urządzeń sieciowych i przy każdym potwierdź, że hasło administratora zostało zmienione. To zadanie na jedno popołudnie, wykonywane raz.
5. Aktywny WPS
WPS, czyli parowanie przyciskiem lub ośmiocyfrowym PIN-em, miał ułatwiać podłączanie urządzeń. Skończył jako podręcznikowy przykład niebezpiecznego ułatwienia. Wi-Fi Alliance zastąpiło go mechanizmem Wi-Fi Easy Connect, a system Android wycofał wsparcie dla WPS w wersji 9 — informuje o tym wprost dokumentacja Android Open Source Project poświęcona Wi-Fi Easy Connect.
Co zrobić: wyłącz WPS na wszystkich punktach dostępowych. Nie ma scenariusza w obiekcie noclegowym, w którym byłby potrzebny.
6. Otwarta sieć bez szyfrowania
Sieć bez hasła jest wygodna, ale w klasycznej postaci przesyła ruch otwartym tekstem. Warto tu znać dwa fakty. Po pierwsze, Wi-Fi Alliance wprowadziło program Wi-Fi Enhanced Open, który — jak opisuje organizacja — zachowuje wygodę sieci otwartych, dodając nieuwierzytelnione szyfrowanie danych, bez konieczności zarządzania publicznym hasłem. Po drugie, ten sam mechanizm w wersji technicznej opisuje RFC 8110 (Opportunistic Wireless Encryption) i dokument stawia sprawę jasno: szyfrowanie oportunistyczne nie zapewnia uwierzytelnienia — klient nie ma potwierdzonej tożsamości punktu dostępowego ani odwrotnie.
Warto też wiedzieć, że sieć z publicznym, wspólnym hasłem drukowanym na ulotce daje w praktyce mniej, niż się wydaje. RFC 8110 zwraca uwagę, że przy znanym wszystkim kluczu współdzielonym pasywny obserwator, który podsłucha nawiązanie połączenia, potrafi odtworzyć klucze szyfrujące ruch.
Co zrobić: jeśli sprzęt to obsługuje, rozważ Enhanced Open albo WPA3 w trybie przejściowym. Jeśli nie — przynajmniej WPA2 z hasłem, które faktycznie rotujesz.
7. Fałszywe punkty dostępowe (evil twin)
Atak polega na uruchomieniu własnego punktu dostępowego z nazwą łudząco podobną do hotelowej i przechwytywaniu danych osób, które się do niego podłączą. To nie jest teoria. Australijska policja federalna (AFP) poinformowała w maju 2024 roku o postawieniu zarzutów mężczyźnie, który miał tworzyć fałszywe darmowe sieci Wi-Fi przy użyciu przenośnego urządzenia — dane związane z korzystaniem z tych sieci zidentyfikowano na lotniskach w Perth, Melbourne i Adelajdzie oraz na krajowych rejsach. Po podłączeniu użytkownik trafiał na spreparowaną stronę logowania proszącą o adres e-mail lub dane do mediów społecznościowych, które następnie zapisywano na urządzeniach sprawcy. AFP podało, że było to pierwsze takie postępowanie w jej historii.
Co zrobić: nie da się temu zapobiec w stu procentach, ale można utrudnić. Trzymaj jedną, jednoznaczną nazwę sieci i komunikuj ją w obiekcie w formie, której nie da się łatwo podmienić. Trwały nośnik przy recepcji jest tu lepszy niż kartka na taśmie klejącej.
8. Captive portal, który prosi o za dużo
Portal wymagający logowania przez Facebooka, podania numeru telefonu, daty urodzenia i zgody marketingowej to jednocześnie problem prawny i problem bezpieczeństwa. Prawny — bo zbierasz dane, których nie potrzebujesz. Bezpieczeństwa — bo przyzwyczajasz gości do podawania danych logowania w sieci, do której właśnie się podłączyli, czyli dokładnie do zachowania wykorzystywanego w opisanym wyżej ataku.
Dochodzą do tego problemy techniczne. RFC 8952, opisujące architekturę captive portali, krytykuje rozwiązania oparte na podmienianiu odpowiedzi DNS i HTTP oraz próby przechwytywania połączeń HTTPS, i zaznacza, że użytkownicy nie powinni być zmuszani do ręcznego zatwierdzania wyjątków bezpieczeństwa. Więcej o stronie danych osobowych w tekście o RODO a Wi-Fi dla gości.
Podsumowanie: pięć rzeczy na ten tydzień
- Podłącz telefon do sieci gościnnej i sprawdź, czy widzisz drukarkę, komputer recepcji lub panel routera.
- Włącz izolację klientów na SSID gościnnym.
- Wyłącz WPS na wszystkich punktach dostępowych.
- Zweryfikuj, że żadne urządzenie sieciowe nie ma fabrycznego hasła administratora.
- Zmień hasło sieci gościnnej i ustal, jak będziesz je przekazywać gościom po każdej kolejnej zmianie.
Ostatni punkt decyduje o tym, czy pozostałe cztery mają szansę się utrzymać. Jeśli przekazanie nowego hasła oznacza godziny pracy recepcji, hasło nie zmieni się nigdy. Stały punkt informacyjny w obiekcie — stand z bazą z PETG, wypukłym nadrukiem UV, nieścieralnym kodem QR i programowalnym chipem NFC, ustawiony przy recepcji lub w pokoju — sprawia, że rotacja hasła przestaje być operacją logistyczną; pracujemy B2B, na fakturę, z wyceną przygotowywaną indywidualnie.