Rendere più sicuro un router Wi-Fi

Oltre a scegliere una cifratura robusta, è possibile applicare numerose impostazioni pratiche per mettere in sicurezza un router wireless e renderlo più difficile da attaccare. Mettere in sicurezza significa ridurre i modi in cui un aggressore potrebbe penetrare nella rete o farne un uso improprio. Questa lezione illustra i passaggi concreti e rilevanti per l'esame che ogni amministratore dovrebbe adottare per proteggere un router Wi-Fi, dalle password al firmware.

Inizi dalla base: abiliti WPA3 oppure WPA2 con AES se WPA3 non è disponibile, e non usi mai WEP o WPA-TKIP. Imposti quindi una passphrase robusta e univoca, lunga e casuale, non una parola del dizionario né quella predefinita. Una PSK debole può essere violata offline anche con WPA2, quindi la qualità della passphrase determina direttamente il livello di sicurezza effettivo della rete.

I router vengono forniti con nomi utente e password amministrativi predefiniti e ben noti, come admin/admin, pubblicati online per ogni modello. Un aggressore che raggiunga la pagina di amministrazione può assumere il controllo del router. Cambi immediatamente le credenziali amministrative predefinite impostando una password robusta e univoca. In questo modo protegge la configurazione del router, che è distinta dalla passphrase Wi-Fi usata dagli utenti per connettersi.

Il firmware del router contiene il software che ne gestisce il funzionamento e riceve aggiornamenti di sicurezza nel tempo. Un firmware obsoleto può presentare vulnerabilità note e sfruttabili. Aggiorni regolarmente il firmware per correggere queste falle e abiliti gli aggiornamenti automatici, se disponibili. Un router senza patch è un bersaglio facile, anche se tutto il resto è configurato correttamente; mantenere aggiornato il firmware è quindi essenziale.

WPS (Wi-Fi Protected Setup) consente agli utenti di connettersi premendo un pulsante o inserendo un PIN breve. È comodo, ma il metodo basato sul PIN è notoriamente insicuro: gli aggressori possono provare sistematicamente le combinazioni del PIN di 8 cifre per recuperare la password Wi-Fi. La procedura consigliata è disabilitare WPS, soprattutto la funzione PIN, eliminando un semplice percorso di attacco che aggira la passphrase robusta.

Configuri una rete ospiti separata per i visitatori. Fornisce l'accesso a internet isolando gli ospiti dai dispositivi della rete principale, così un ospite non può raggiungere computer, stampanti o file condivisi. Questo isolamento contiene anche eventuali dispositivi degli ospiti compromessi. Una rete ospiti con una propria password è un modo semplice ed efficace per limitare l'esposizione agli utenti non fidati.

Consideri l'SSID (nome della rete). Eviti nomi che rivelino dati personali o il modello del router, informazioni che possono aiutare un aggressore. A volte si suggerisce di nascondere l'SSID, cioè di non trasmetterlo, ma ciò offre poca sicurezza reale: il nome è comunque individuabile e le connessioni possono diventare più complicate. Una cifratura robusta è molto più importante che nascondere il nome.

Il filtraggio MAC consente di connettersi solo ai dispositivi i cui indirizzi hardware sono presenti nell'elenco. Sembra sicuro, ma offre una protezione debole: un aggressore che intercetti un indirizzo valido può falsificarlo facilmente. Inoltre, può essere complicato da gestire. Consideri il filtraggio MAC al massimo come un piccolo ostacolo, mai come un sostituto di una cifratura e di un'autenticazione robuste.

Riuniamo tutto in una checklist. Il frammento seguente riassume i passaggi più importanti. Eseguiti insieme, riducono drasticamente la superficie di attacco di una rete wireless. I vantaggi principali derivano da una cifratura robusta con una passphrase robusta, dalle credenziali amministrative modificate, dal firmware aggiornato e da WPS disabilitato; gli altri interventi aggiungono un'utile difesa in profondità.

Molti router offrono la gestione remota, che consente di raggiungere la pagina di amministrazione da internet. È comoda, ma espone l'accesso al router agli aggressori di tutto il mondo che lo cercano tramite scansioni. A meno che non ne abbia realmente bisogno, disabiliti l'amministrazione remota, così l'interfaccia di gestione sarà raggiungibile solo dall'interno della Sua rete. Disattivi inoltre gli altri servizi inutilizzati, come UPnP se non necessario, per ridurre ulteriormente la superficie di attacco.

La messa in sicurezza trasforma un router vulnerabile con impostazioni predefinite in un bersaglio molto più difficile. Usi WPA3 o WPA2-AES con una passphrase robusta, cambi le credenziali amministrative predefinite, aggiorni il firmware, disabiliti WPS e aggiunga una rete ospiti. Sappia che il filtraggio MAC e gli SSID nascosti offrono solo un aiuto limitato. Insieme, questi passaggi costituiscono il metodo pratico e verificato negli esami per proteggere qualsiasi rete wireless.

Verifichi le Sue conoscenze sulla messa in sicurezza.

Metta in sicurezza un router Wi-Fi applicando più livelli di protezione: abiliti WPA3 o WPA2-AES con una passphrase robusta e univoca; cambi le credenziali amministrative predefinite; aggiorni regolarmente il firmware; disabiliti WPS (il PIN può essere violato tramite attacchi brute-force); e aggiunga una rete ospiti isolata. Sappia che il filtraggio MAC (facilmente falsificabile) e il nascondimento dell'SSID aggiungono solo una protezione limitata. I vantaggi principali sono una cifratura robusta, una passphrase robusta, firmware aggiornato e WPS disabilitato.