12. Misbruik: wat Warda verhindert, en zijn grenzen

Wat Warda verhindert#

• Tegen anderen gebruikt worden. Warda antwoordt alleen de apparaten van uw netwerk. Een vraag vanaf het internet krijgt geen antwoord, ook niet via een doorgestuurde poort van uw router. Vanaf Warda 0.8.0 wordt ook een verzoek geweigerd dat via een reverse proxy of een tunnel (Traefik, nginx, Caddy, Cloudflare Tunnel…) van het internet komt.
• Zijn hulpmiddelen als wapen. Ping, traceroute, de poorttest en de tests van een SIEM of van een directory zijn voorbehouden aan de beheerders, één tegelijk en hooguit 30 per minuut, en elke test staat in het activiteitenlogboek.
• Een bewaard wachtwoord dat ergens anders heen gaat. Met Warda Business wordt het wachtwoord van de bedrijfsdirectory opnieuw gevraagd als zijn server of zijn versleuteling verandert.
• Een lid dat meer rechten wil, of een kind dat de regels wil omzeilen. Een lid kan zichzelf geen rechten geven; Er werkt iets niet opent nooit inhoud voor volwassenen of de uren van een kind; vpn's, proxy's en versleutelde DNS zijn geblokkeerd voor minderjarigen en worden gemeld.
• Een volwassene die het surfen van een andere volwassene leest. De namen die een volwassene bezoekt, worden zonder zijn toestemming aan niemand anders getoond.
• Een DNS-poort op uw router die ongemerkt openstaat. Vanaf Warda 0.8.0 probeert de controle van de blootstelling aan het internet (hoofdstuk 5) ook de poorten 53 en 853, en meldt ze als kritiek (via TCP: een doorschakeling van alleen UDP 53 wordt niet gezien).
• Geraden wachtwoorden. Pogingen worden afgeremd, een tweede factor is beschikbaar, sessies eindigen vanzelf.

Wat het niet verhindert#

• Het eerste uur. Zolang de box niet geïnstalleerd is, kan iedereen op uw netwerk die het standaardwachtwoord kent (het is openbaar: het is de maand van de versie) hem in uw plaats installeren, in het uur na elke start.
• Een beheerder die de box misbruikt. Een beheerder kan alle gevraagde namen naar een SIEM sturen, de apparaten van een volwassene aan een kind geven, zijn eigen account koppelen aan een volwassene zonder account en dan de geschiedenis van die persoon zien, of een wachtwoord resetten. Alles staat in het activiteitenlogboek, dat de andere beheerders lezen, maar de betrokken volwassene hoort het niet altijd.
• Een telefoon met een nieuw privé-wifiadres is een nieuw apparaat: zolang u het niet indeelt, krijgt het de regels van een volwassene, tenzij de pagina Beveiligingen onbekende apparaten beschermt als een kind of een tiener.
• Een adres voor bescherming buitenshuis (hoofdstuk 11) dat iemand anders heeft gekregen: wie het heeft, krijgt de regels van dat apparaat. Bewaar deze adressen als wachtwoorden; Nieuw adres trekt er meteen een in.
• Met de hand verruimde toegestane netwerken. Zet iemand WARDA_ALLOWED_CLIENTS met openbare adressen, dan antwoordt Warda het internet: het schrijft alleen bij de start een waarschuwing in zijn logboek.
• Een gewijzigd programma. Wie het programma van Warda op zijn eigen box wijzigt, kan daar alles ontgrendelen.

Wat u kunt doen#

1. Installeer Warda zodra het voor het eerst is gestart, vanaf een computer van uw eigen netwerk. Op een gedeeld netwerk (een kantoor, een gebouw) sluit u het aan op een eigen netwerk tot het geïnstalleerd is.
2. Stuur de poorten 53, 853 of 443 van uw router nooit door naar Warda, en publiceer zijn interface nooit op het internet: gebruik voor uw apparaten buitenshuis de bescherming buitenshuis (hoofdstuk 11).
3. Geef de rol van beheerder alleen aan mensen die u vertrouwt, en lees af en toe het activiteitenlogboek.
4. Bewaar uw back-ups en hun wachtwoord op een veilige plek: een back-up bevat alle accounts en de sleutel van de box.