Sicurezza WiFi e router: quali sono i trucchi per migliorarla e quali interventi non servono a nulla

Quando la sicurezza del router WiFi viene compromessa, sia le informazioni personali memorizzate sui dispositivi collegati in rete locale sia quelle inviate e ricevute sono a rischio. È qualcosa che non succede di rado e alcuni utenti possono non esserne consapevoli, almeno fintanto che non è ormai troppo tardi. Importante è quindi sapere quali aspetti devono destare maggiore preoccupazione e quali invece, non devono suonare affatto come un campanello d’allarme.

Ai fini della sicurezza della WiFi e della propria rete locale è ovviamente essenziale la scelta del router: fondamentale è acquistare un router da un progettato e realizzato da un fornitore di apparati per il networking che sia affidabile e offra supporto a lungo termine, come nuovi aggiornamenti del firmware. In un altro articolo abbiamo quando è preferibile cambiare router: il mancato supporto del router con la sospensione dei rilasci degli aggiornamenti di sicurezza (nuove versioni del firmware) e addirittura la presenza di vulnerabilità note sono tra i motivi principe che dovrebbero indurre ad accantonare un vecchio dispositivo (o meglio ancora a sostituirne il firmware originale con una versione “custom” come DD-WRT, sempre che il modello di router sia ancora supportato, così da contribuire alla riduzione dei rifiuti RAEE…).

Gestione remota del router, interfaccia Web e applicazioni mobili

Da qualche tempo a questa parte registriamo una tendenza che si sta sempre più imponendo tra i produttori di router. O meglio che questi ultimi stanno facendo cadere dall’alto sugli utenti finali.

Storicamente, per la gestione e la configurazione del router si è sempre utilizzato l’interfaccia di amministrazione Web esposta in rete locale dal dispositivo stesso. L’interfaccia Web risponde generalmente sulla porta 80 (HTTP) o 443 (HTTPS) ed è accessibile digitando l’indirizzo IP privato del router nella barra degli indirizzi del browser Web preferito.

In un altro articolo abbiamo visto come cambiare password WiFi sul router: la procedura per accedere all’interfaccia Web o interfaccia di amministrazione del router, di norma, è proprio quella descritta.

Il fatto è che da qualche anno a questa parte sempre più produttori di router spronano gli utenti a usare un’applicazione per dispositivi mobili ai fini della configurazione del router. A causa della pressione esercitata da una nuova generazione di utenti che generalmente mancano di pazienza e non sono interessati a usare un computer, tanti produttori di dispositivi per il networking hanno sviluppato e iniziato a distribuire un’app mobile per gestire i propri router come opzione alternativa o supplementare all’interfaccia Web. Negli ultimi tempi si sta “forzando la mano” e l’app mobile tende a diventare, per alcuni modelli di router, l’unica soluzione disponibile per configurare e gestire il router.

L’app poggia su un’infrastruttura messa a disposizione sul cloud dal produttore del router e consente di gestire il dispositivo, tramite smartphone o tablet, anche a distanza senza neppure essere connessi alla rete via WiFi. Poiché un server del produttore del router funge da intermediario, non è necessario aprire alcuna porta in ingresso sul router ed esporla sulla rete Internet (porta WAN).

Il router diventa così amministrabile da remoto e tutte le impostazioni di configurazione diventano immediatamente accessibile, ovunque ci si trovi, in locale come a distanza, tramite una compatta e versatile interfaccia grafica, quella dell’app per i dispositivi mobili. Tutto bello? A nostro avviso, assolutamente no.

Il router che acquistate è vostro: lo avete pagato, e in alcuni casi anche profumatamente. Dovreste quindi essere perfettamente in grado di usarlo senza alcun obbligo di vincolo con il fornitore. Eppure alcuni produttori di router, almeno per certi modelli di dispositivi, spingono tanto sull’app mobile. Perché? Perché assicurando da un lato la semplicità e la praticità di gestire il router da un dispositivo mobile, dall’altro possono raccogliere informazioni sul funzionamento del dispositivo ed estrarre eventualmente dati redditizi che fotografano le abitudini degli utenti e le attività che svolgono più di frequente.

L’utilizzo di un’app mobile che prevede l’obbligo di un account di accesso attivato presso il produttore implica che chi si serve di queste soluzioni non possiede veramente la sua rete.

Oltre quindi alle ovvie implicazioni sul piano della privacy, la questione ha grande valenza anche rispetto al tema della sicurezza. Chi può escludere che il fornitore del router non subisca un attacco informatico? E quando ciò accadesse non è escluso che una terza parte possa mettere il naso nelle reti altrui, a distanza. È successo: basta fare qualche semplice ricerca in rete e verosimilmente incidenti del genere potrebbero accadere in futuro.

Sgombriamo il campo dagli equivoci: le app mobili per la gestione del router non sono il “diavolo”. Anzi, semplificano la gestione del router quando non si può usare un PC. Non ci sono potenziali problemi in termini di sicurezza e privacy, però, solo se esse si collegano in locale al router (possono cioè essere utilizzate solo all’interno della LAN e non a distanza tramite un account creato sui server del produttore…). Asus è uno dei pochi fornitori che forniscono un’app (chiamata Asus Router) che funziona in locale senza un account di accesso: è un’eccezione rispetto ad altri vendor ed è una scelta che apprezziamo particolarmente.

Alcuni produttori tendono addirittura a nascondere la possibilità di accedere all’interfaccia Web: cercate, nella maggior parte dei casi è ancora lì ed è utilizzabile servendosi dei dati di autenticazione stampati sull’etichetta applicata sotto o sul retro del router.

La maggior parte dei router offre inoltre la cosiddetta gestione remota ovvero una funzione attivabile opzionalmente che permette di gestire il dispositivo a distanza, attraverso la rete Internet, collegandosi con l’IP pubblico assegnato dall’operatore di telecomunicazioni al router stesso. Ecco, la gestione remota è una di quelle funzioni che andrebbe tenuta disattivata (a meno di non indicare esplicitamente gli indirizzi IP che hanno titolo per collegarsi a distanza; ma è necessario usare IP statici).

Abilitando la gestione remota sul router, vengono aperte una o più porte che sono poi esposte sulla porta WAN: è vero che il router richiede l’autenticazione per l’accesso ma non si contano i casi di vulnerabilità che permettono il superamento della pagina di login senza conoscere username e password corretti.

Cartina tornasole è la decisione di Netgear, poco pubblicizzata, che dal 2021 – a partire da alcune versioni del firmware per i suoi router e sistemi WiFi mesh – ha deciso di rimuovere permanentemente e “d’ufficio” la gestione remota (in tutte le configurazioni in cui la funzione risultava disattivata): questo è un esempio. Come si può vedere nelle note di rilascio del firmware, compare la frase “Removes the remote management feature from the router web interface (if disabled at time of update) to improve router security” ovvero “Rimuove la funzione di gestione remota dall’interfaccia web (se disattivata al momento dell’aggiornamento) per migliorare la sicurezza del router“.

In generale, quindi, è meglio preferire l’interfaccia Web di gestione del router, a meno che l’app mobile eventualmente fornita non preveda la possibilità di utilizzo senza account utente esterni. Inoltre è preferibile mantenere disabilitata la gestione remota del router.

Password amministrativa e password WiFi

Ogni router prevede l’utilizzo di un nome utente e una password predefiniti per l’accesso all’interfaccia Web. Questi dati dovrebbero essere sempre modificati scegliendone di personalizzati.

In ogni caso è bene assicurarsi che la password amministrativa del router sia difficile da indovinare e, soprattutto, diversa dalla password WiFi.

Una rete WiFi di norma si presenta ai dispositivi limitrofi con un nome ovvero il SSID (Service Set IDentifier): questo nome non deve essere un segreto. Chi vi dice che per rendere sicura la WiFi è possibile nascondere il suo SSID non conosce bene la materia: rilevare la presenza di una WiFi che non effettua il broadcasting del suo SSID è banale. Nascondere l’SSID non può essere considerata come una valida misura di sicurezza.

Quando si tratta di password WiFi, ciò che conta è mantenerla segreta. Alcuni sostengono che è bene non associare il concetto di sicurezza alla complessità della password usata a protezione della WiFi. In realtà ciò non è propriamente vero: Mathy Vanhoef è un noto ricercatore di sicurezza informatica che ha scoperto diverse vulnerabilità nei protocolli WiFi, inclusa KRACK (Key Reinstallation Attack), Dragonblood, FragAttacks contro i protocolli di sicurezza WPA2 e WPA3. Di recente, inoltre, Vanhoef ha rilevato un nuovo difetto negli standard WiFi che permette di dirottare il traffico di rete.

Ecco, Vanhoef nel corso degli anni ha consigliato l’uso di password lunghe e complesse come una misura di sicurezza importante per proteggere le reti WiFi. In particolare, ha sottolineato che le password deboli sono uno dei modi più comuni per gli attaccanti di ottenere l’accesso a una rete WiFi, e che utilizzare una password forte e complessa può rendere molto più difficile per gli attaccanti indovinare la password e accedere alle reti altrui. Le password complesse sono più difficili da digitare in stampanti, smart TV e dispositivi mobili? È vero, ma il loro utilizzo aiuta davvero. E poi, almeno per smartphone e tablet, ci sono i codici QR che aiutano a recuperare la chiave di sicurezza di rete e a inserirla rapidamente nei vari dispositivi che devono connettersi alla WiFi.

Cosa succede se un utente non autorizzato guadagna l’accesso alla WiFi

Se un soggetto non autorizzato riesce in qualche modo a collegarsi alla rete WiFi altrui superando con successo la procedura di autenticazione, questi può potenzialmente accedere alle risorse condivise in rete locale. Può innanzi tutto verificare chi è connesso alla rete WiFi o al router, ad esempio via cavo Ethernet, può controllare quali servizi sono in ascolto sulle varie porte e su ogni singolo host collegato con la LAN, può provare a sfruttare vulnerabilità di sicurezza dei sistemi operativi, dei servizi e delle applicazioni per accedere a informazioni riservate e dati sensibili, può accedere direttamente alle risorse condivise in rete locale senza password o con algoritmi deboli. Abbiamo parlato, ad esempio, degli attacchi pass-the-hash e pass-the-ticket nel caso delle implementazioni di Active Directory in ambito aziendale.

Abilitare la rete WiFi ospite

Per separare i client appartenenti a utenti occasionali che hanno bisogno di usare temporaneamente la connessione di rete dalla LAN vera e propria e quindi dalla propria infrastruttura, è importante servirsi delle reti WiFi guest abilitabili sul router.

Ad esse è assegnabile una password WiFi completamente diversa da quella usata sulla rete principale. L’importante è verificare con attenzione l’effettivo isolamento dei client connessi con la rete WiFi guest rispetto alla LAN principale.

In un altro articolo abbiamo visto che le reti WiFi guest sono isolate solo a parole e all’atto pratico i client collegati ad esse possono “vedere” i dispositivi connessi alla rete principale. Apriti cielo!

Aggiornare tempestivamente il firmware

Il firmware è il software che viene eseguito sul router: integra il sistema operativo (spesso basato su kernel Linux) e governa il funzionamento del dispositivo incluso il modo con cui gestisce la connessione, la sicurezza della stessa, la configurazione delle impostazioni di rete. Il firmware è responsabile di molte delle funzioni di base e avanzate del router; per questo riceve spesso correzioni per vulnerabilità e altri bug ma anche interventi che migliorano le prestazioni e la stabilità.

È una buona idea verificare la presenza di nuovo firmware e aggiornare il router 3 o 4 volte l’anno agendo tempestivamente con l’applicazione della nuova versione soprattutto quando c’è un bollettino sulla sicurezza relativo a una o più vulnerabilità risolvibili.

Disattivare il PIN WPS e UPnP

Il PIN WPS (WiFi Protected Setup) è stato introdotto a suo tempo per semplificare la configurazione delle reti WiFi protette. Tuttavia, è stato dimostrato che il PIN WPS è vulnerabile ad attacchi brute-force in cui un attaccante prova ripetutamente tutti i possibili PIN fino a trovare quello giusto. A causa del meccanismo alla base del PIN WPS, l’attacco può essere eseguito in modo relativamente facile e veloce.

L’uso del pulsante WPS, d’altra parte, è considerato sicuro perché richiede l’accesso fisico al router: il pulsante WPS consente ai dispositivi di connettersi alla rete WiFi protetta senza dover inserire manualmente la password. Basta che l’amministratore prema il pulsante WPS per confermare il suo “benestare”. In questo caso l’attaccante dovrebbe essere in grado di accedere fisicamente al router per connettersi alla rete, cosa che ovviamente esclude gli attacchi remoti.

UPnP (Universal Plug and Play), infine, è un protocollo utilizzato per semplificare la configurazione delle reti e permette a dispositivi ed applicazioni client connessi alla LAN di aprire porte in ingresso sul router. Disattivare UPnP sul router può ridurre il rischio di attacchi esterni alla rete: se UPnP non è abilitato, i dispositivi non sono in grado di configurare automaticamente le porte sul router, il che limita le possibilità di accesso non autorizzato alla rete.

Per dare un’idea delle dimesioni del problema, qualche tempo fa Akamai ha riferito della scoperta di migliaia di router esposti a possibili attacchi per via della funzione UPnP abilitata.

Cosa non può migliorare la sicurezza della WiFi

Abbiamo già detto che nascondere l’SSID della WiFi non migliora la sicurezza della stessa. Anche limitare l’accesso alla rete wireless sulla base del MAC address dei dispositivi client non ha senso: per un eventuale aggressore è facile leggere gli indirizzi MAC dei dispositivi connessi alla rete e impersonificare uno di essi per superare il blocco imposto sul router.

Allo stesso modo, non hanno rilevanza la disattivazione del server DHCP o l’assegnazione di soli indirizzi IP statici ai client connessi: tutte mosse sciocche, superflue e largamente controproducenti che non hanno alcuna valenza sul piano della sicurezza.