Zwak aanbod van de leveranciers, als ze nou eens het login proces compleet uitsluiten bij meer dan xx foute login pogingen!! En na een time-out dat weer laat activeren.

Wat voor SSID-privacy krijg je met het uitzetten van het broadcasten? Alle apparaten die ooit zijn verbonden zullen daarna, waar ze ook zijn, dat SSID broadcasten om. Dus ook in hotels, vliegvelden, treinen, etc. Zie ook http://www.howtogeek.com/howto/28653/debunking-myths-is-hiding-your-wireless-ssid-really-more-secure/

En mac-adressen filteren. Als iemand de moeite neemt om de key van het netwerk te kraken, dan heeft hij/zij ondertussen ook al de mac adressen gezien die wel zijn toegestaan. Komt dit advies werkelijk van Cisco?

Dit is natuurlijk oud nieuws, misschien wel handig dat leveranciers zelf meer waarschuwingen in hun software moeten bouwen

Huh?
Volgens mij is het niet slim om je SSID te verbergen; dit introduceert juist extra kwetsbaarheden.
volgens mij gaan veel clients, overal waar ze zijn, vragen of het verborgen netwerk beschikbaar is.
Je kunt dan een rogue access point op zetten die zegt 'ja, ik ben beschikbaar'

Of zit ik er nu naast?

WPS aan laten staan? een 8 cijferige pincode?

zeer twijfelachtig dit advies

Met alle respect.... maar voor wie is dit advies nu precies bedoeld? Ik mis voornamelijk de beargumentatie van zijn adviezen....

1. Het verbergen van je SSID.
Dit heeft volgens mij alleen zin bij netwerken die sporadisch gebruikt worden. Zodra er veel gebruik (of altijd clients aan verbonden zijn_ van gemaakt wordt kun je een disconnectpacket de lucht in sturen, waardoor de client hun verbinding heel even onderbroken wordt waarna 90% van clients zich opnieuw zal aanmelden en vervolgens wordt het SSID in de eerste pakketten mee verzonden.

2. MAC-adressen filteren
Dit heeft volgens mij ook alleen zin bij netwerken die sporadisch gebruikt worden. Zodra er veel gebruik van gemaakt wordt (of er altijd clients verbonden zijn) kun je gewoon een lijstje met verbonden MAC-adressen opvragen en deze vervolgens spoofen.

3. Passphrase >= 20 karakters
Goed advies, persoonlijk spreek ik liever over een passphrase i.p.v. een wachtwoord omdat mensen dan nog het idee kunnen hebben dat het om een "woord" moet gaan.

4. Whitelisting van MAC-adressen
Huh ? dit hebben we bij 2. toch al gedaan? Volgens mij is de doeltreffendheid van deze maatregelen niet in verhouding met de wijze waarop dit beheerd moet worden.

5. WPS uitschakelen c.q. niet gebruiken
Goed advies, alleen ontbreekt de motivatie voor de minder onderlegde gebruiker terwijl dit advies er schijn van heeft dat dit bericht aan hen gericht is.

Ik mis nog even de volgende adviezen:

- Passphrase >= 20 karakters voor toegang tot modem/routers of andere netwerk apparatuur
- Als er geen communicatie tussen clients noodzakelijk is, schakel de optie "client isolation" in (indien aanwezig)
- Schakel remote management altijd uit.
- Schakel de optie om je router/modem te beheren via WIFI uit (doe dit via een kabel)
- Schakel UPNP uit op de modem/router.

Ja... voor het gemiddelde huishouden waar niemand verstand van netwerken heeft, zijn dit goede tips. Maar dan alleen om je te berschermen van de buurman die toevallig je wachtwoord zou kunnen raden.
Maar deze mensen zullen Cisco niet kennen en dit advies dus ook nooit krijgen.
En zoals al veel aangegeven, zal iemand met een enige kennis als nog zo op je netwerk zitten.

Dit "advies" is gewoon cisco onwaardig. Maar wellicht hadden we collectief ook wel chronisch een te hoge pet op van dit bedrijf.

Het enige nut van een SSID verbergen is dat je de buren niet steeds lastig valt met je eigen SSID in hun scherm. Voor veiligheid heeft het i.d.d. geen enkel nut.

Verbergen kan echter wel veel ongemak bezorgen. Ik heb het ook heel lang verbogen gehad, maar mijn Android tablet had hier moeite mee en inloggen duurde soms erg lang. Ik kreeg altijd het gevoel dat hij eerst alle zichtbare SSID's af ging en dan pas met de opgeslagen SSID's aan de gang ging.
Sinds ik de SSID weer uitzend, begint mijn tablet direct met de goede Wifi zender te verbinden.

Niets aan de oorzaak doen, en iedereen het bos insturen met deze aanbevelingen.

Misschien is dat laatste nog wel het ergste van alles, mensen met deze non informatie
de indruk geven dat ze veilig zijn als ze de aanbevelingen opvolgen. Een gevalletje marketing .....

Het niet uitzenden van SSID levert niets op. Sommige clients (afhankelijk van implementatie) gaan buiten bereik van het netwerk continu zoeken of het netwerk in de buurt is. Deze zenden dan ook continu de SSID uit. De batterij gaat dan sneller leeg.

Een hacker zal wachten totdat er een client aanmeldt en heeft dan ook de SSID.

Beter is het om "_nomap" aan de SSID toe te voegen. Men komt dan niet op de kaart bij www.wiggle.net. Denk ook aan de privacy. Sommigen zenden gewoon "iPad van Jan Jansen" uit.

Dit is maar een raar advies.
Is natuurlijk goed als je een router koopt die WPS niet ondersteund, maar als dat niet mogelijk is dan is WPS uitschakelen toch nog steeds het beste om te doen.

Wat mij nog opviel was deze opmerking: "Als je een ethernetkabel op je computer aansluit kan een aanvaller alleen je verkeer monitoren is als hij de fysieke laag kan aftappen, wat onwaarschijnlijk is, gegeven dat de meeste netwerken glasvezelkabels gebruiken."

Ik geloof niet dat je met een glasvezel kabel veilig bent voor fysiek aftapping. En ik ken nog niemand die hun thuis netwerk met glasvezel heeft uitgerust. Wat een gelul allemaal weer.

Dat is helaas niet helemaal waar. Sommige apparatuur blijft ook na het uitzetten van WPS gevoellig voor aanvallen op WPS. Met andere woorden, WPS ging niet écht uit. Enkele Linksysjes hadden hier bijvoorbeeld last van.

Airodump... Dit wordt gebruikt door (bijna) iedereen om netwerken te kraken. SSID uit of aan, je netwerk staat daar gewoon tussen...

Nou wat heeft dit voor een zin? Met aircrack-ng en airodump-ng kun je dit netwerk alsnog zien en via het bssid adres aanvallen?

Gewoon overgaan op
802.1x
Cisco router

En een zeer complex wachtwoord gebruiken dan minimaal 30 chars heeft.

Problem solved?
De tijd die je daar in zal gaan zitten om dat Cisco netwerk te weg drukken of de-auth te doen zodat al je clients op de honeypot van je gaan zodat je de iv's krijgt voor het wachtwoord te bruteforcen zal je wel een aardig jaartje of 10 bezig houden met een super computer van de overheid.


WPS is inderdaad in het algemeen niet veilig. Tenzei je een goede firmware hebt die na <x> amount of failures zichzelf lockt(disabled). Zoals de firmware die ik toevallig in mijn Zyxel heb. Ik kan bijvoorbeeld mijn WPS niet bruteforcen met reaver welke delay ik ook gebruik :)

Maar ja wat heb je nu aan WPS.. Het is echt iets voor lazy mensen. Gewoon je wachtwoord intikken en klaar geen extra shit in je router dat het mogelijk maakt om erin te komen in no time (als je dus een slechte firmware versie hebt waar deze 'backdoor' wel nog in zit).

Bij de eerste en 2e versie van WPS kon je het bruteforcen omdat er geen failure limit op zat in een versie erna kwam er wel een limit op gebonden aan het mac adres van het apparaat naar 5x fout op mac 12:34:56:78:90 en je werd geblockt. In een latere versie van reaver werd er een mac adres spoofer feature erin gezet zodat je deze failure filter kon omzeilen. In de laaste versie is de <x> amount of failure tries globaal.

Die kaart is niet zo spannend, ga in een straat staan, zet de wigle app op je Android aan, ze ziet even later alles hidden of niet verschijnen. Map of nomap maakt niets uit, hidden of niet ook al niet.
Mac Filtering is ook zo achterhaald, dus ik zou het wachtwoord - het meest vertrouwen. Maar goed dat gezegd hebbende.. boeit het me nu echt dat mijn buurman op mijn wifi zit?

Correct.
Dan nog is het advies om het uit te schakelen, in de hoop dat je niet 1 van deze apparaten hebt die het toch aan laat staan.

Misschien is nog een extra hindernis, om je AP gewoon out-of-band te programmeren.
Met behulp van DD-WRT kan je al een eind(je) komen, door op kanaal 14 te gaan zitten ( alleen in gebruik in japan )
Wil je het nog beter doen, ga dan ergens op 2.350 MHz zitten. Wel eerst uitgebreid met een spectrum analyzer kijken, of er andere gebruikers zitten, en eerst het radiospectum bandplan bekijken, ( beschikbaar op de site van Agentschap Telecom )
Let op !! Deze handelswijze is niet legaal. Gebruik op uw eigen risico. Gebruik dus een zo laag mogelijk zendvermogen.
Maar, door rood licht rijden mag niet, en met een vliegtuig een gebouw binnen vliegen ook niet, dus persoonlijk vind ik deze overtreding ( misdrijf? ) acceptabel.
Het gaat om JOUW veiligheid, toch?

inderdaad een extra hindernis was iedereen met een beetje kennis ook geen probleem mee heeft. daarnaast zorg je mogelijk wel voor problemen. gewoon netjes een goede key gebruiken en klaar, ja 801.x is beter, maar niet altijd realistisch in een thuis omgeving.