Безопасность публичного Wi-Fi: Как защитить кассовые аппараты от взлома

Гостевой Wi-Fi и кассовый терминал в одной сети — самая распространённая и самая недооценённая дыра в небольшом бизнесе. Разбираем, что реально может случиться и как это закрывается.

Зачем нужно разделение гостевой и корпоративной сети

Если ваша кассовая система и телефоны гостей находятся в одной сети, злоумышленнику достаточно подключиться к Wi-Fi как обычному посетителю. Дальше он находится внутри периметра: видит устройства, может сканировать порты, перехватывать трафик и пробовать пароли по умолчанию на всём, что откликнулось.

Речь не только о кассе. В одной сети обычно оказываются камеры видеонаблюдения, сетевое хранилище с записями, принтер, компьютер бухгалтера и роутер с заводским паролем администратора.

Что бывает на практике

• Доступ к камерам. Регистраторы часто стоят с логином admin и паролем из инструкции
• Перехват незашифрованного трафика. Внутренние сервисы нередко работают по http
• Шифровальщик через гостевую машину. Заражённый ноутбук посетителя видит сетевые папки
• Использование сети для правонарушения. Разбираться придут к владельцу точки доступа, и первым вопросом будет журнал подключений — см. материал о хранении логов гостевого Wi-Fi

Как настроить правильно

Правильная настройка гостевой сети микротик (Mikrotik) или другого оборудования позволяет заблокировать доступ гостей к внутренним ресурсам. Минимальный набор мер:

1. Отдельный сегмент или VLAN для гостей. Не просто второй SSID, а именно другая подсеть
2. Запрет маршрутизации между сегментами. Из гостевой подсети нельзя попасть в рабочую
3. Изоляция клиентов внутри гостевой сети. Гости не видят друг друга, это защищает и их
4. Смена заводских паролей на роутере, камерах и регистраторе
5. Отдельная сеть для платёжных терминалов, если они работают по Wi-Fi

Авторизация как часть безопасности

Вы отсекаете случайных ботов и злоумышленников уже тем, что доступ в сеть даётся только после идентификации личности. Анонимная открытая сеть привлекает тех, кому нужен именно анонимный канал. Подтверждение номера телефона убирает большую часть таких сценариев без всякой дополнительной техники.

Отдельный вопрос — что именно сохраняется о каждой сессии и кому это может понадобиться: разбор в материале о хранении логов гостевого Wi-Fi.

Чек-лист: безопасность публичного Wi-Fi для бизнеса

• Гостевая сеть в отдельном сегменте, доступа к рабочей нет
• Изоляция клиентов включена
• Доступ выдаётся только после подтверждения личности
• Заводские пароли сменены на всём оборудовании
• Прошивки роутера и камер обновлены
• Журнал подключений ведётся и выгружается за произвольный период
• Полоса ограничена, чтобы один гость не забирал канал — см. ограничение скорости

Для кафе и ресторанов этого набора достаточно. В отелях и торговых центрах к нему добавляется разделение по зонам и арендаторам.