Så upptäcker du en okänd enhet på ditt wifi (Raspberry Pi-tricket från Mr. Robot)

I första säsongen av Mr. Robot hänger intrånget i ett hårt bevakat datacenter på ett enda litet föremål: en Raspberry Pi, en dator stor som ett bankkort, som smugglas in och kopplas till byggnadens nätverk. Därifrån kan den nås utifrån och användas mot systemen runt omkring. Scenen fastnar för att den är så trovärdig. En Raspberry Pi är billig, kör Linux, drar lite ström och är, väl på ett nätverk, bara en enhet bland många.

Du behöver inte driva ett datacenter för att det här ska spela roll. Ett nätverk hemma eller på ett litet kontor delas oftast av dussintals enheter — telefoner, laptops, tv-apparater, högtalare, smarta uttag, kameror, en skrivare — och nästan ingen känner till hela listan. När en ny enhet ansluter larmar ingenting någonstans. Det är den luckan en utplacerad enhet, en granne på ditt wifi eller en pryl som tyst beter sig illa räknar med.

Varför en enhet i ditt nätverk är ett problem även om den aldrig ”hackar” dig

• Den kan leta efter tjänster som andra enheter erbjuder i det lokala nätverket: delade mappar, skärmdelning, fjärrinloggning, skrivare.
• Den kan se vilka enheter som finns i närheten och när — ett förvånansvärt avslöjande mönster över vem som är hemma.
• Den kan vänta. Många angrepp i lokala nätverk kräver ingen snabbhet, bara närvaro.
• Den kan vara en legitim pryl med dålig säkerhet som någon annan styr — vilket för ditt nätverk blir samma sak.

Så vet din Mac redan vem som finns i närheten

Enheter i samma lokala nätverk hittar varandra genom en mekanism som heter ARP. Innan din Mac kan skicka något till en annan enhet på wifi — routern inräknad — lär den sig enhetens hårdvaruadress, kallad MAC-adress, och sparar en kort lista över dem den nyligen har sett. Den listan är en ärlig förteckning över de enheter din Mac faktiskt har haft kontakt med i det lokala nätverket.

Första halvan av varje MAC-adress är en tillverkarkod, tilldelad av IEEE och publicerad i ett offentligt register. Raspberry Pi-kort hänvisar till exempel till registreringar som ”Raspberry Pi Trading Ltd”. Apple, Samsung, Sonos, TP-Link och tusentals andra har sina egna. Bara utifrån den korta listan kan din Mac alltså säga inte bara ”det finns en enhet på den här adressen” utan ”det finns en enhet tillverkad av det här företaget”.

Du kan se råversionen själv i Terminal:

$ arp -an
? (192.168.1.1) at a4:2b:b0:12:34:56 on en0 ifscope [ethernet]
? (192.168.1.23) at dc:a6:32:ab:cd:ef on en0 ifscope [ethernet]

Användbart, men inte direkt lättläst. Ingen lär sig tillverkarkoder utantill.

Den läsbara versionen: Who’s online i FireAI

Who’s online gör om listan till något du faktiskt kan använda. Den läser din Macs ARP-tabell en gång i minuten — ingen nätverksskanning, ingen sondering av andra enheter, inga paket skickade till dem — och slår upp varje enhets tillverkare i det offentliga IEEE-registret som följer med FireAI, så inga uppslag lämnar någonsin din Mac.

• Varje enhet visas med tillverkare, aktuell adress, namnet den ger sig själv när du slår på namnuppslag (avstängt som standard: det är den enda del som frågar din DNS-server något) och en ikon för vad den troligen är — en Mac, en telefon, en tv, en högtalare, din router. Gissar den fel väljer du rätt.
• Ge enheterna egna namn: ”Högtalaren i köket”, ”Davids MacBook”, ”Vardagsrummets tv”. Namngivna enheter är de du har känt igen; de namnlösa är de du bör titta på.
• Bevaka en enhet så meddelar FireAI dig när den ansluter till eller lämnar nätverket. Det hjälper säkerheten — den okända lådan som hela tiden kommer tillbaka — och vardagsfrågor, som om en familjemedlems laptop är hemma.
• Obevakade enheter följs i tysthet. FireAI dränker dig aldrig i notiser varje gång en telefon vaknar.

En låda som dyker upp som ”Raspberry Pi Trading Ltd”, eller som en tillverkare du aldrig har köpt något av, är den moderna versionen av en kabel ingen kan förklara. Den kan vara ofarlig — många kör en Raspberry Pi hemma med flit. Poängen är att du nu vet att den finns där, och kan fråga.

De ärliga begränsningarna

Vi vill hellre att du litar på listan för vad den är än för mer än den är:

• Privata adresser. De flesta moderna telefoner, surfplattor och laptops använder en slumpad, privat wifi-adress på varje nätverk. De enheterna visas som ”Privat adress” i FireAI — vi gissar ingen tillverkare för dem, eftersom varje gissning vore påhittad. Att namnge dem en gång fungerar ändå.
• Det din Mac har sett. ARP-listan innehåller bara enheter som din Mac nyligen har utbytt trafik med i det lokala nätverket. Aktiva enheter syns snabbt; en tyst enhet, eller en på ett separat gästnätverk, kanske inte.
• Routern har hela bilden. Routerns administrationssida listar varje enhet den har delat ut en adress till. Who’s online är snabbvyn från din Mac; routern är facit och platsen där du stänger ute en enhet helt från nätverket.

Hittat något du inte känner igen? Så gör du

1. Namnge först allt du känner igen. Listan med okända krymper snabbt.
2. Bevaka den okända enheten så att du ser när den är närvarande — mönstret avslöjar den ofta (”bara när städhjälpen är här”, ”varje natt klockan 2”).
3. Leta upp samma hårdvaruadress i routerns klientlista och se vilket namn routern visar.
4. Kan du fortfarande inte placera den, byt wifi-lösenord — alla enheter måste ansluta igen, och bara de du släpper in kommer tillbaka.
5. På nätverk du inte styr, sätt FireAI i Coffee shop-läge: inkommande anslutningar nekas och din Macs fil- och skärmdelning till andra lokala enheter blockeras, så en främlings låda har ingen att prata med.

Raspberry Pi:n i Mr. Robot fungerade för att ingen tittade på nätverket. På ditt eget wifi är det nu en vana med ett klick att titta. Läs om resten av seriens tekniker och vad som stoppar dem i Hackningen i Mr. Robot, förklarad.

Var FireAI och HisnLabs kommer in

En okänd låda i ditt nätverk fungerar bara om ingen märker den. Who’s online i FireAI gör varje enhet som din Mac ser synlig, med tillverkarens namn — och säger till när de du bryr dig om kommer och går.

FireAI är HisnLabs eget verktyg: en AI-brandvägg som körs direkt på din Mac. Den visar varje anslutning dina appar gör, på klarspråk, och låter dig avgöra vad som lämnar din Mac — AI:n körs lokalt, så din trafik skickas aldrig till oss eller någon annan. HisnLabs säkerhetsforskningsteam är de som håller de bedömningarna tillförlitliga: de katalogiserar vilka domäner som är vanlig telemetri och vilka som är en riktig tjänst, spårar land och nätverk bakom en anslutning och tränar den lokala modellen (Autopilot-funktionen) på verkliga trafikmönster — utan att något av det lämnar din Mac.

Du kan läsa om de tekniska besluten bakom, eller prova FireAI i 17 dagar, på FireAI, från HisnLabs.