Вход в настройки роутера: предупреждение о сертификате и защита пароля администратора

Вы набрали адрес роутера в браузере, и вместо страницы входа появилось сообщение: «Подключение не защищено», «Ваше подключение не защищено» или «Не защищено» в адресной строке. Это ещё не означает, что вас атакуют. Браузер сообщает о том, что не может подтвердить подлинность сервера или что страница передаётся без шифрования.

Сценариев два. В первом роутер открывает страницу по обычному протоколу без шифрования, и браузер помечает её как незащищённую. Во втором роутер использует шифрованное соединение, но сертификат выдан им самим, а не доверенным центром выдачи. Браузер видит несоответствие и предупреждает.

В обоих случаях причина техническая: у устройства в вашей квартире нет доменного имени, которое можно подтвердить публично, и нет возможности получить обычный сертификат так же, как это делают сайты.

Для сравнения: сайты в интернете получают сертификаты у центров, которым доверяют браузеры, и подтверждают права на домен. Для адреса вида 192.168.x.x такой процедуры нет, потому что этот диапазон частный: он повторяется во множестве домашних сетей и не принадлежит конкретному владельцу.

Различия удобно собрать в таблицу.

В домашней сети второй вариант считается более надёжным, чем первый: шифрование защищает пароль от перехвата внутри сети, пусть подлинность проверить нельзя. Но и без него риск зависит от того, кто находится в вашей сети.

Некоторые производители дают доменное имя для входа, которое открывается из локальной сети и выглядит привычно. Оно удобно, но принципиально ничего не меняет в защите: сертификат и шифрование зависят от решения конкретной прошивки.

Открытый вход по обычному протоколу означает, что пароль администратора проходит по вашей локальной сети в читаемом виде. Если вы подключены по Wi-Fi с современным шифрованием, посторонний вне сети, как правило, его не увидит: кадры зашифрованы. Увидеть его могут только устройства внутри вашей сети, а при открытой сети, без пароля, и посторонние поблизости.

Поэтому оценивать риск нужно так:

• в защищённой домашней сети с доверенными устройствами вход по обычному протоколу допустим, но не идеален;
• в гостевой или общей сети входить в настройки не стоит совсем;
• через интернет входить по незащищённому каналу не следует, для удалённого доступа нужен шифрованный способ или отказ от такого доступа;
• на общих компьютерах пароль может сохраниться в браузере, и его читают другие пользователи.

Если в сети есть заражённое устройство, оно может вести подслушивание и в защищённой сети, и это ещё один довод в пользу уникального пароля администратора.

Дополнительная мера: после работы с настройками выходите из панели управления кнопкой выхода и закрывайте вкладку. Открытая сессия на компьютере, которым пользуются несколько человек, оставляет возможность менять параметры без пароля.

Если вы входите в свой роутер по локальному адресу и видите предупреждение, это ожидаемое поведение. Порядок действий при первом входе такой.

1. Убедитесь, что вы набрали правильный адрес: тот, который указан на наклейке или в документации, а не взятый из случайного письма или всплывающего окна.
2. Убедитесь, что подключены к своей сети, а не к чужой точке с похожим названием.
3. Откройте дополнительные сведения в окне предупреждения и продолжите переход на адрес роутера, если вы уверены в двух предыдущих пунктах.
4. Если браузер не позволяет продолжить, проверьте, не включён ли режим «только безопасные соединения». В нём предупреждение не даёт перейти дальше, и режим придётся временно отключить для входа.
5. После входа смените пароль, если он остался заводским.

Не добавляйте сертификат роутера в доверенные в операционной системе без понимания: это даёт ему широкие полномочия. Подтверждение для одного перехода достаточно.

Если предупреждение появляется на адресе, который вы ни разу не открывали, например после перехода по ссылке из письма, закройте вкладку и не вводите пароль. Роутер открывается только по тому адресу, который задан у вас дома.

Шифрование канала — только часть защиты. Куда важнее то, как защищена сама панель управления. Ниже собраны меры, которые закрывают основные риски.

• Уникальный пароль администратора, отличающийся от пароля Wi-Fi и от паролей к другим сервисам. Инструкции есть в материале о смене пароля.
• Смена стандартного логина, если прошивка позволяет, чтобы подбор был сложнее.
• Отключённое удалённое управление, если оно не нужно: панель не должна быть доступна из интернета.
• Ограничение входа по адресам или только из локальной сети, если такая настройка есть.
• Актуальная прошивка: в обновлениях закрывают найденные уязвимости.

Если у роутера есть выбор между обычным и шифрованным входом, используйте шифрованный и закройте обычный. Если выбора нет, вход допустим только из доверенной сети и по кабелю.

Дополнительно обратите внимание на журнал входов, если прошивка его ведёт: незнакомые попытки входа указывают на то, что стоит ужесточить доступ. А при передаче роутера другому человеку или при ремонте сначала сбросьте пароль на новый и убедитесь, что старый больше не подходит.

Иногда проблема не в предупреждении, а в том, что страница не загружается. Например, браузер с режимом принудительной шифрованной связи пытается открыть адрес роутера по защищённому протоколу, а роутер отвечает только по обычному. Тогда видна ошибка соединения или пустая страница.

Проверьте последовательно: наберите адрес с явным указанием протокола в начале, обычного или шифрованного; попробуйте другой браузер, в котором не включены строгие режимы; отключите расширения, меняющие протокол автоматически; если адрес не открывается из-за неверного шлюза, найдите правильный в сведениях о подключении. Шаги по поиску адреса описаны в материале о том, как узнать адрес роутера.

Если ни один способ не помогает, а до этого вход работал, возможно, роутеру требуется перезагрузка. При сохранении проблемы проверьте кабель и порт, к которому вы подключены.