Za provoz WiFi sítě jsme odpovědni, přestože to většina z nás odmítá akceptovat

Glosa, vydaná v Reseller magazine, 12.11.2018

Martin Medvěd, ředitel Miia SE, která řeší zabezpečení veřejných Wi-Fi sítí

 

Provoz veřejných Wi-Fi sítí není v legislativě procházka růžovým sadem. Nemůže za to záludnost legislativy jako takové, ale spíše její mylný výklad. Laik si může myslet, že veřejná Wi-Fi je prostě veřejná služba lidem bez pravidel. Omyl! A pořádný. Provoz Wi-Fi sítí má totiž stejně jako každá jiná služba svá pravidla, která při jejich nedodržování a nezajištění bezpečnosti Wi-Fi mohou jejímu provozovateli způsobit nemalé a dlouho se táhnoucí problémy.

 

Za provoz WiFi je totiž odpovědný vždy její provozovatel, tedy restaurace, hotel, úřad, nemocnice, škola atd. Jako u každé jiné služby, která je nabízena. Když ve vašem hotelu poteče závadná voda, odpovídáte za její kvalitu vy, přestože je zdarma… A na vás je pak prokázat, že voda byla zkažená již od jejího dodavatele. Jestliže vaše WiFi umožňuje připojení bez hesla, je lehce zneužitelná a přímo jako by potenciální problémy přivolávala. Pokud hacker někomu způsobí přes vaši WiFi škodu, její náhradu můžete platit vy – pokud prokazatelně neukážete na pachatele. Podvržené MAC adresy,  falešné e-maily… jak budete jejich majitele hledat?

 

Zkusme si uvést zdánlivě banální příklad. Pokud dojde k hmotné či nehmotné újmě pomocí vaší WiFi, například když se připojím jako hacker pomocí vaší WiFi do sousedova notebooku, stáhnu mu z něj erotické fotky jeho manželky a umístím je na pornoserver, pak bude prokázáno datovým přenosem, že to bylo pomocí vaší WiFi. Soused na vás podá žalobu jako poškozený a vy se musíte bránit, že jste to nebyl. Ale jak, když je nade vší pochybnost jasné, že to byla vaše WiFi a vaše zařízení, která se k WiFi připojovala? Jak prokážete, že to byl někdo jiný než vy, když nemáte WiFi zabezpečenou? Budete muset mít hodně dobrého právníka, aby vás z toho vysekal… Budete mít těžkou důkazní nouzi.

 

Anonymní prostředí WiFi pro pachatele totiž představuje skvělou příležitost k tomu, aby kradli, vydírali, stahovali soukromé fotografie nebo i prodávali drogy. Navíc bez většího strachu z odhalení. Na rizika anonymních veřejných sítí přitom upozorňuje i Evropská unie. Podle mezinárodních studií patří Česko v otázce kyberbezpečnosti mezi vůbec nejhůře zabezpečené státy. V tomto jsme na úrovni Albánie.

 

Buďme konkrétní. Mezi naše zákazníky patří například provozovatel významného zábavního parku pro rodiče s dětmi. Jednatele společnosti obeslala policie ČR s tím, že z jeho sítě dochází ke stalkingu. A měl doložit, kdo (a která zařízení) byla v určitý čas připojen k WiFi síti. Jednatel společnosti uvedl, že nic neloguje a nic o provozu své WiFi neví. Nakonec musel vše řešit několikrát na policii, aby vysvětlil, že nikdo z jeho firmy stalking skutečně neprováděl. Policie mu po čase sdělila, že to odkládá. Ale jen proto, že to kvalifikovala jako přestupek. Zároveň ho policisté upozornili na to, že kdyby se odehrál závažnější čin, tedy kvalifikovaný jako trestný, musel by doložit pachatele, jinak by odpovědnost šla za ním.

 

To už si policisté servítky neberou a zakročují mnohem razantněji. Znám případ majitele hotelu, z jehož veřejné sítě opakovaně docházelo k šíření nabídky prodeje drog. A protože šlo o opakovanou činnost, policisté podezřívali z nabízení drog přímo majitele hotelu. Tak ho šoupli do vazby… Šlo ale o zbytečné komplikace, kterým se dalo předejít poctivě zabezpečenou WiFi sítí.

 

Už mi rozumíte, proč je dobré mít zabezpečenou WiFi síť?

Provozovatelé veřejných WiFi se často dostávají do problémů a opletaček také se společnostmi, které po nich chtějí zaplatit za aplikace a programy, které si uživatelé z internetu stáhli nelegální cestou. S dobře zabezpečenou a autorizovanou veřejnou WiFi ale můžete takový problém lehce vyřešit. Vzpomínám si, jak si jeden student aktivoval nelegální zahraniční software přes hotelovou síť, kterou chránila naše firma. Softwarová firma se následně dožadovala platby za program. V tu chvíli jsme identifikovali pachatele a za celou věc jsme tím pádem my ani hotel nenesli žádnou zodpovědnost.

Opomíjet bychom neměli ani potenciální kyberšikanu. Na anonymní prostředí si často stěžují i ředitelé škol. Některé děti jsou například přes internet vydírány od spolužáků, přičemž je prokazatelné, že nenávistné e-maily odešly ze školní WiFi. Pokud má školní WiFi heslo, které má celá škola stejné, nepoznáte, kdo je kdo. I když má každý tablet, mobil i počítač svou vlastní MAC adresu, nelze jednoduše říct, čí je ta která MAC adresa. Tedy kdo je osoba vlastnící tuto MAC adresu.

 

Jednoznačný osobní identifikátor tu však je. Jde o telefonní číslo. Tedy pokud se žák či učitel ověří na WiFi telefonním číslem, dojde ke svázání MAC adresy a telefonního čísla a k přenosu dalších údajů o telefonním přístroji. Pak je identifikace velmi jednoduchá. V souvislosti s nařízením GDPR o ochraně osobních údajů je nutné takto získaná telefonní čísla pseudonymizovat a nakládat s nimi dle této normy, jelikož telefonní číslo je osobní údaj.

Po technické stránce je řešení velmi jednoduché. Provozovatel veřejné WiFi nemusí měnit WiFi, ale ani poskytovatele internetu. Vše lze vyřešit jednoduchou softwarovou instalací, která každého, kdo se chce připojit, autorizuje přes SMS kód. A pokud útočník ví, že se musí na WiFi identifikovat, bude se rizikovému jednání vyhýbat. A to za ten klid a bezpečí dle mého názoru stojí.