Modulo 5 · 5.3
Wi-Fi, lavoro da casa e in viaggio
Modulo 5: Dispositivi, software e rete · Tempo di lettura: 11 minuti
Obiettivo della lezione: dopo questa lezione sarà in grado di configurare in modo sicuro il Wi-Fi in ufficio e a casa, separare dispositivi smart e ospiti dalla rete aziendale, e lavorare in sicurezza in viaggio, compreso ciò che una VPN fa e non fa per Lei.
Concetti chiave: router, password di amministrazione, WPA2, WPA3, SAE, modalità di transizione, WPS, UPnP, rete ospiti, Wi-Fi pubblico, hotspot falso, https, VPN, hotspot del telefono
Il router è la Sua porta d'ingresso
Tutto ciò che collega il Suo ufficio o la Sua postazione di lavoro domestica a internet passa attraverso il router (spesso in un unico apparecchio insieme al modem del Suo fornitore). Svolge tre funzioni: collega la Sua rete a internet, blocca il traffico non richiesto proveniente dall'esterno (il firewall), e di solito trasmette anche la rete Wi-Fi.
Un router viene raramente controllato dopo che il tecnico se ne è andato. Per questo spesso mantiene ancora le impostazioni di fabbrica. Quattro cose da sistemare subito:
- Modifichi la password di amministrazione. È la password per la pagina delle impostazioni del router, non la password del Wi-Fi. Le password predefinite sono spesso note per marca o serie. Usi una password lunga e unica dal Suo gestore di password.
- Disattivi l'amministrazione da remoto, a meno che il Suo fornitore non ne abbia davvero bisogno. In questo modo la pagina delle impostazioni è raggiungibile solo dalla Sua rete interna.
- Disattivi UPnP se non Le serve. Con UPnP ogni dispositivo della Sua rete può aprire da solo una porta nel firewall, anche una telecamera con una vulnerabilità. L'NCSC olandese consiglia di disattivarlo.
- Aggiorni il firmware o verifichi che il fornitore lo faccia automaticamente (lezione 5.1). Se il Suo router non riceve più aggiornamenti, lo sostituisca.
WPA2 e WPA3: come viene cifrato il Suo Wi-Fi
Il Wi-Fi viaggia nell'aria. Chiunque nelle vicinanze può captare i segnali. Per questo viene cifrato. Lo standard è gestito dalla Wi-Fi Alliance.
| Modalità | Valutazione | Spiegazione |
|---|---|---|
| Aperta (nessuna password) | Non adatta alla Sua azienda | Chiunque può collegarsi e, senza https, leggere il traffico. |
| WEP, WPA (il primo), TKIP | Non sicura | Obsoleta e violata. Se la trova, sostituisca il router o cambi l'impostazione. |
| WPA2-Personal (AES) | Sufficiente, con una password lunga | Chi intercetta la connessione di un dispositivo può poi, a casa propria e senza restare nei paraggi, provare password all'infinito. Una password Wi-Fi corta o prevedibile cade in fretta. |
| WPA3-Personal | La scelta migliore | Usa SAE al posto del vecchio sistema a chiave condivisa. Secondo la Wi-Fi Alliance un aggressore non può più provare password offline: ogni tentativo richiede un nuovo scambio con il router stesso. E anche se qualcuno conoscesse la password in seguito, non potrebbe decifrare il traffico intercettato in precedenza (forward secrecy). |
| Modalità di transizione WPA2/WPA3 | Buona come passaggio intermedio | I dispositivi nuovi si collegano con WPA3, quelli più vecchi con WPA2. Utile finché Lei ha ancora dispositivi datati; questi ultimi ricevono però solo la protezione di WPA2. |
Secondo la Wi-Fi Alliance, WPA3 è obbligatorio per i dispositivi con certificazione Wi-Fi CERTIFIED, quindi quasi ogni router e telefono recente lo supporta. Scelga WPA3 se tutti i Suoi dispositivi lo supportano, altrimenti la modalità di transizione.
In ogni caso usi una password Wi-Fi lunga, ad esempio una passphrase di quattro o cinque parole separate (lezione 2.1). Tanto resta salvata nei Suoi dispositivi; dovrà digitarla raramente.
Il WPS (Wi-Fi Protected Setup) è un pulsante o un codice PIN per associare facilmente i dispositivi. La variante con PIN presenta un noto difetto di progettazione: per il modo in cui risponde il router, un aggressore non deve provare cento milioni ma circa undicimila combinazioni, e trova poi la password Wi-Fi (CERT/CC, 2011). Disattivi il WPS se il Suo router lo consente.
Rete ospiti: separare ciò che non deve stare insieme
Un piccolo ufficio ha rapidamente dispositivi di affidabilità molto diversa sulla stessa rete: i portatili con la contabilità, il NAS con i fascicoli clienti, ma anche i telefoni dei visitatori, una smart TV in sala d'attesa, un termostato e qualche telecamera. Se sono tutti sulla stessa rete, una telecamera violata può comunicare direttamente con il NAS.
Per questo crei una rete ospiti: una seconda rete Wi-Fi con nome e password propri, che fornisce internet ma non l'accesso ai dispositivi della rete principale. Quasi ogni router lo consente. Vi colleghi:
- i visitatori e i loro telefoni;
- i dispositivi smart: TV, termostato, campanello, speaker e, dove possibile, le telecamere. L'NCSC olandese lo raccomanda esplicitamente;
- i dispositivi personali dei dipendenti, se non hanno bisogno di accedere ai dati aziendali.
Dopo la configurazione, verifichi che funzioni: da un telefono sulla rete ospiti non deve poter trovare la stampante o il NAS.
Lavoro da casa
A casa si lavora su una rete che non è gestita dall'azienda, spesso condivisa con i familiari, una console da gioco e lo speaker smart dei vicini che compare nell'elenco delle reti. Si accordi con il Suo team su questi punti:
- il router di casa riceve lo stesso trattamento di base: password di amministrazione propria, WPA2 o WPA3 con password lunga, firmware aggiornato;
- il portatile di lavoro è per il lavoro: non va usato da figli o conviventi, e va bloccato quando Lei si allontana (lezione 5.2);
- gli aggiornamenti proseguono anche a casa. Un portatile che non torna in ufficio per settimane a volte perde aggiornamenti gestiti centralmente. Lo verifichi;
- l'accesso ai sistemi aziendali avviene tramite una connessione sicura: un servizio cloud con https e autenticazione a due fattori (2FA), oppure una VPN verso l'ufficio. Non apra mai una porta solo per poter accedere "al volo" al NAS da casa.
In viaggio: Wi-Fi pubblico
In un hotel, in treno o in un bar non sa chi gestisce la rete. Il rischio maggiore è un hotspot falso: un aggressore crea una rete con lo stesso nome di quella reale, ad esempio "Hotel-Ospiti". Il Suo telefono si collega automaticamente, e tutto il Suo traffico passa attraverso il suo dispositivo.
Fortunatamente oggi la maggior parte del traffico passa tramite https (lezione 4.2) e la posta tramite connessioni cifrate. L'aggressore vede quindi quali siti visita, ma non ciò che inserisce. Restano comunque dei rischi: una pagina di accesso che La reindirizza verso un sito falso, un avviso "installa questo certificato", oppure app datate che non cifrano le comunicazioni.
L'NCSC olandese consiglia:
- preferire i dati mobili o l'hotspot del Suo stesso telefono al Wi-Fi pubblico;
- non lasciare che il dispositivo si colleghi automaticamente alle reti Wi-Fi;
- non effettuare operazioni bancarie né lavori riservati su Wi-Fi pubblico, e non scaricare né installare nulla;
- disattivare la condivisione file ed effettuare il logout al termine.
Se su un Wi-Fi pubblico riceve un avviso relativo al certificato su un sito che conosce bene, non proceda. È esattamente il segnale che qualcuno sta intercettando le comunicazioni.
Ciò che una VPN fa e non fa
La parola VPN viene usata per due cose diverse. Una VPN aziendale collega in modo cifrato il Suo portatile alla rete dell'ufficio, così che dall'esterno possa raggiungere il NAS o il programma di contabilità. Un servizio VPN commerciale invia tutto il Suo traffico internet, cifrato, al server di un fornitore, che poi lo instrada verso internet.
| Una VPN fa | Una VPN non fa |
|---|---|
| Cifra il Suo traffico tra il dispositivo e il server VPN, così che la rete (Wi-Fi) locale non possa intercettarlo | Non La protegge dal phishing: un sito falso è altrettanto falso attraverso una VPN |
| Le dà accesso sicuro alla rete dell'ufficio (VPN aziendale) | Non blocca il malware né pulisce un portatile infetto |
| Nasconde il Suo indirizzo IP ai siti che visita | Non La rende anonimo: accedere a un servizio rivela comunque chi è Lei |
| Non elimina la necessità di fiducia: ora è il fornitore VPN a poter vedere ciò che prima vedeva la rete dell'hotel |
Una VPN sposta quindi il punto in cui deve riporre la Sua fiducia. Su una rete sconosciuta può avere senso. Sulla Sua rete domestica, con siti https, una VPN commerciale aggiunge poco in termini di sicurezza.
E attenzione: un server VPN nel Suo ufficio è esso stesso un dispositivo periferico raggiungibile da internet. I server VPN obsoleti sono una via d'accesso nota per il ransomware (lezione 1.3). Lo aggiorni, attivi l'autenticazione a due fattori (2FA), e lo disattivi quando non lo usa.
Nella pratica: ecco come si presenta
Anche la Sua posta viaggia sulla rete. Configuri quindi il Suo programma di posta con connessioni cifrate. Presso WebOké, ad esempio, si tratta di IMAP sulla porta 993 con SSL/TLS e SMTP sulla porta 587 con STARTTLS (oppure 465 con SSL/TLS); presso altri fornitori le porte sono generalmente le stesse. Se nel Suo programma di posta compare "nessuna sicurezza" o la porta 143 o 25 senza cifratura, la corregga.
Riepilogo
- Assegni al Suo router una password di amministrazione propria, disattivi l'amministrazione da remoto, UPnP e WPS, e aggiorni il firmware.
- Scelga WPA3, oppure la modalità di transizione WPA2/WPA3, con una password Wi-Fi lunga. Mai WEP, WPA o TKIP.
- Metta visitatori e dispositivi smart su una rete ospiti, separata dai Suoi dispositivi di lavoro.
- In viaggio: preferisca i dati mobili o il Suo hotspot personale, non si colleghi automaticamente, e si fermi davanti a un avviso sul certificato.
- Una VPN cifra il tratto fino al server VPN, ma non protegge dal phishing o dal malware e non La rende anonimo.
Quiz
Esercizio
Esercizio D5.3: Verificare il router e il Wi-Fi. Acceda alla pagina delle impostazioni del Suo router (a casa o in ufficio). Verifichi la password di amministrazione, la cifratura, il WPS, l'UPnP, l'amministrazione da remoto, il firmware e la rete ospiti. Spunti la checklist, testi la rete ospiti e risponda alle domande di riflessione.
Esercizio D5.3: Verificare il router e il Wi-Fi
Ecco come procedere: (1) Acceda alla pagina delle impostazioni del Suo router (indirizzo e password iniziale si trovano nel manuale o sull'adesivo) oppure nell'app del Suo fornitore. Se è un router fornito dal provider, verifichi quali impostazioni può modificare Lei stesso. (2) Modifichi la password di amministrazione in una password lunga e unica presa dal Suo gestore di password. (3) Verifichi la crittografia Wi-Fi: WPA3, oppure modalità di transizione WPA2/WPA3 se ha dispositivi più datati; mai WEP, WPA o TKIP. Imposti una password Wi-Fi lunga (frase password). (4) Disattivi WPS, UPnP e la gestione da remoto se non Le servono. (5) Verifichi che il firmware sia aggiornato e si aggiorni automaticamente. (6) Crei una rete ospiti e vi colleghi i visitatori e i dispositivi smart (TV, termostato, altoparlante, telecamere dove possibile). (7) Testi la rete ospiti: colleghi un telefono alla rete ospiti e provi a trovare la stampante, il NAS o una cartella condivisa. Non deve riuscirci. (8) Controlli l'elenco dei dispositivi collegati nel Suo router. Se non riconosce un dispositivo, verifichi di cosa si tratta. (9) Verifichi il Suo programma di posta su portatile e telefono: posta in entrata e in uscita con SSL/TLS o STARTTLS (per esempio IMAP 993, SMTP 587 o 465).
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per approfondire
I passaggi descritti negli articoli di WebOké valgono per l'ambiente WebOké; presso altri fornitori il procedimento è simile.
- Guida DirectAdmin 8.1: Tutte le impostazioni in un colpo d'occhio: server, porte e sicurezza
- NCSC olandese, Hotspot Wi-Fi: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- NCSC olandese, Misure di sicurezza di base per i dispositivi smart: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- NCSC olandese, 6 punti di attenzione per il lavoro da casa: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, sicurezza del Wi-Fi (in inglese): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, la vulnerabilità del WPS (in inglese): https://www.kb.cert.org/vuls/id/723755