Wifi, lavoro da remoto e in viaggio
Modulo 5: Dispositivi, software e rete · Tempo di lettura: 11 minuti
Obiettivo della lezione: Dopo questa lezione sarà in grado di configurare in sicurezza il Wi-Fi in ufficio e a casa, separare i dispositivi smart e gli ospiti dalla rete di lavoro, e lavorare in sicurezza in viaggio, compreso ciò che una VPN fa e non fa per Lei.
Concetti chiave: router, password amministrativa, WPA2, WPA3, SAE, modalità transitoria, WPS, UPnP, rete ospiti, Wi-Fi pubblico, hotspot fasullo, https, VPN, hotspot del telefono
Il router è la Sua porta d'ingresso
Tutto ciò che collega il Suo ufficio o la postazione di lavoro da remoto a internet passa attraverso il router (spesso in un unico apparecchio insieme al modem del Suo fornitore). Svolge tre funzioni: collega la Sua rete a internet, blocca il traffico non richiesto proveniente dall'esterno (il firewall) e di solito trasmette anche la rete Wi-Fi.
Un router viene raramente controllato dopo che il tecnico se ne va. Per questo spesso mantiene le impostazioni di fabbrica. Quattro cose da sistemare subito:
- Modifichi la password amministrativa. È la password per la pagina di configurazione del router, non la password del Wi-Fi. Le password predefinite sono spesso note per marca o serie. Usi una password lunga e unica dal Suo gestore di password.
- Disattivi la gestione da remoto, a meno che il Suo fornitore non ne abbia davvero bisogno. In questo modo la pagina di configurazione è raggiungibile solo dalla Sua stessa rete.
- Disattivi UPnP se non Le serve. Con UPnP ogni dispositivo della Sua rete può aprire autonomamente una porta nel firewall, anche una telecamera con una vulnerabilità. L'ACN ne raccomanda la disattivazione.
- Aggiorni il firmware o verifichi che il fornitore lo faccia automaticamente (lezione 5.1). Se il Suo router non riceve più aggiornamenti, lo sostituisca.
WPA2 e WPA3: come viene cifrato il Suo Wi-Fi
Il Wi-Fi viaggia nell'aria. Chiunque nelle vicinanze può captare i segnali. Per questo viene cifrato. Lo standard è gestito dalla Wi-Fi Alliance.
| Modalità | Giudizio | Spiegazione |
|---|---|---|
| Aperta (senza password) | Non adatta alla Sua azienda | Chiunque può collegarsi e, senza https, leggere il traffico. |
| WEP, WPA (il primo), TKIP | Non sicuro | Obsoleto e violato. Se lo riscontra, sostituisca il router o cambi l'impostazione. |
| WPA2-Personal (AES) | Sufficiente, con una password lunga | Chi intercetta la connessione di un dispositivo può poi, da casa e senza restare nei paraggi, continuare a provare password all'infinito. Una password Wi-Fi corta o prevedibile cade in fretta. |
| WPA3-Personal | Scelta migliore | Usa SAE al posto del vecchio sistema a chiave condivisa. Secondo la Wi-Fi Alliance un aggressore non può più provare password offline: ogni tentativo richiede un nuovo scambio con il router stesso. E anche se qualcuno venisse a conoscere la password in seguito, non potrebbe decifrare il traffico intercettato in precedenza (forward secrecy). |
| Modalità transitoria WPA2/WPA3 | Buona come soluzione intermedia | I dispositivi nuovi si collegano con WPA3, quelli più vecchi con WPA2. Utile finché ha ancora dispositivi datati; questi ricevono però solo la protezione di WPA2. |
Secondo la Wi-Fi Alliance, WPA3 è obbligatorio per i dispositivi con certificazione Wi-Fi CERTIFIED, quindi quasi ogni router e telefono nuovo lo supporta. Scelga WPA3 se tutti i Suoi dispositivi lo supportano, altrimenti la modalità transitoria.
In ogni caso usi una password Wi-Fi lunga, ad esempio una passphrase di quattro o cinque parole separate (lezione 2.1). Resta comunque memorizzata nei Suoi dispositivi; dovrà digitarla raramente.
WPS (Wi-Fi Protected Setup) è un pulsante o un codice PIN per accoppiare facilmente i dispositivi. La variante con codice PIN presenta un noto difetto di progettazione: per il modo in cui risponde il router, un aggressore non deve provare cento milioni ma circa undicimila combinazioni, e trova poi la password Wi-Fi (CERT/CC, 2011). Disattivi WPS se il Suo router lo consente.
Rete ospiti: separare ciò che non deve stare insieme
Un piccolo ufficio ha presto dispositivi di affidabilità molto diversa sulla stessa rete: i portatili con la contabilità, il NAS con i fascicoli dei clienti, ma anche i telefoni dei visitatori, una smart TV nella sala d'attesa, un termostato e alcune telecamere. Se sono tutti sulla stessa rete, una telecamera violata può comunicare direttamente con il NAS.
Per questo crea una rete ospiti: una seconda rete Wi-Fi con nome e password proprie, che offre internet ma non l'accesso ai dispositivi della rete principale. Quasi ogni router lo consente. Vi colleghi:
- i visitatori e i loro telefoni;
- i dispositivi smart: TV, termostato, campanello, altoparlante e, dove possibile, le telecamere. L'ACN lo raccomanda esplicitamente;
- i dispositivi personali dei dipendenti, se non necessitano di accesso ai dati aziendali.
Dopo la configurazione verifichi che funzioni: da un telefono sulla rete ospiti non deve poter trovare la stampante o il NAS.
Lavoro da remoto
A casa si lavora su una rete che non gestisce come azienda, spesso condivisa con i familiari, una console da gioco e l'altoparlante smart dei vicini nell'elenco delle reti. Concordi con il Suo team quanto segue:
- il router di casa riceve lo stesso trattamento di base: password amministrativa propria, WPA2 o WPA3 con password lunga, firmware aggiornato;
- il portatile di lavoro è per il lavoro: non va usato da figli o conviventi, e va bloccato quando ci si allontana (lezione 5.2);
- gli aggiornamenti proseguono anche a casa. Un portatile che non torna in ufficio per settimane a volte perde aggiornamenti gestiti centralmente. Lo verifichi;
- l'accesso ai sistemi aziendali avviene tramite una connessione sicura: un servizio cloud con https e autenticazione a due fattori, oppure una VPN verso l'ufficio. Non apra mai una porta solo per poter raggiungere "velocemente" il NAS da casa.
In viaggio: il Wi-Fi pubblico
In un hotel, in treno o in un bar non sa chi gestisce la rete. Il rischio maggiore è un hotspot fasullo: un aggressore crea una rete con lo stesso nome di quella reale, ad esempio "Hotel-Ospiti". Il Suo telefono si collega automaticamente e tutto il Suo traffico passa attraverso il suo dispositivo.
Fortunatamente oggi la maggior parte del traffico passa tramite https (lezione 4.2) e la posta tramite connessioni cifrate. L'aggressore vede quindi quali siti visita, ma non ciò che inserisce. Restano comunque dei rischi: una pagina di accesso che La reindirizza a un sito fasullo, un avviso "installa questo certificato", o app datate che non cifrano.
L'ACN consiglia:
- preferisca i dati mobili o l'hotspot del Suo stesso telefono al Wi-Fi pubblico;
- impedisca al Suo dispositivo di collegarsi automaticamente alle reti Wi-Fi;
- non svolga operazioni bancarie o lavoro riservato su Wi-Fi pubblico, e non scarichi o installi nulla;
- disattivi la condivisione di file ed esca dall'account quando ha finito.
Se su un Wi-Fi pubblico riceve un avviso relativo al certificato per un sito che conosce bene, non prosegua. È proprio il segnale che qualcuno sta intercettando.
Cosa fa e non fa una VPN
Il termine VPN viene usato per due cose diverse. Una VPN aziendale collega il Suo portatile in modo cifrato alla rete del Suo ufficio, così da poter raggiungere dall'esterno il NAS o il programma di contabilità. Un servizio VPN commerciale invia tutto il Suo traffico internet, cifrato, al server di un fornitore, che poi lo immette in rete.
| Una VPN fa | Una VPN non fa |
|---|---|
| Cifra il Suo traffico tra il dispositivo e il server VPN, così la rete (Wi-Fi) locale non può intercettarlo | Proteggerla dal phishing: un sito fasullo è altrettanto fasullo attraverso una VPN |
| Le dà accesso sicuro alla rete dell'ufficio (VPN aziendale) | Bloccare il malware o ripulire un portatile infetto |
| Nasconde il Suo indirizzo IP ai siti che visita | Renderla anonimo: accedere a un servizio rivela comunque chi è |
| Eliminare la necessità di fiducia: il fornitore della VPN può ora vedere ciò che prima vedeva la rete dell'hotel |
Una VPN sposta quindi il punto in cui deve riporre fiducia. Su una rete sconosciuta può avere senso. Sulla Sua rete di casa con siti https, una VPN commerciale aggiunge poco alla sicurezza.
Attenzione: un server VPN nel Suo ufficio è a sua volta un dispositivo periferico raggiungibile da internet. I server VPN datati sono un noto punto d'ingresso per il ransomware (lezione 1.3). Lo aggiorni, attivi l'autenticazione a due fattori e lo spenga se non lo usa.
Nella pratica: ecco come funziona
Anche la Sua posta viaggia in rete quando è in movimento. Configuri quindi il Suo programma di posta con connessioni cifrate. Presso WebOké, ad esempio, si tratta di IMAP sulla porta 993 con SSL/TLS e SMTP sulla porta 587 con STARTTLS (oppure 465 con SSL/TLS); presso altri fornitori le porte sono generalmente le stesse. Se nel Suo programma di posta compare "nessuna sicurezza" o la porta 143 o 25 senza cifratura, lo corregga.
Riepilogo
- Assegni al router una password amministrativa propria, disattivi la gestione da remoto, UPnP e WPS, e aggiorni il firmware.
- Scelga WPA3, o la modalità transitoria WPA2/WPA3, con una password Wi-Fi lunga. Mai WEP, WPA o TKIP.
- Collochi visitatori e dispositivi smart su una rete ospiti, separata dai Suoi dispositivi di lavoro.
- In viaggio: preferisca i dati mobili o il Suo hotspot personale, non si colleghi automaticamente e si fermi davanti a un avviso sul certificato.
- Una VPN cifra il tratto fino al server VPN, ma non protegge dal phishing o dal malware e non La rende anonimo.
Quiz
Esercizio
Esercizio D5.3: Verificare il router e il Wi-Fi. Acceda alla pagina di configurazione del Suo router (a casa o in ufficio). Verifichi la password amministrativa, la cifratura, il WPS, l'UPnP, la gestione da remoto, il firmware e la rete ospiti. Completi la checklist, testi la rete ospiti e risponda alle domande di riflessione.
Esercizio D5.3: Verificare il router e il Wi-Fi
Ecco come procedere: (1) Acceda alla pagina delle impostazioni del Suo router (indirizzo e password iniziale si trovano nel manuale o sull'adesivo) oppure nell'app del Suo fornitore. Se è un router fornito dal provider, verifichi quali impostazioni può modificare Lei stesso. (2) Modifichi la password di amministrazione in una password lunga e unica presa dal Suo gestore di password. (3) Verifichi la crittografia Wi-Fi: WPA3, oppure modalità di transizione WPA2/WPA3 se ha dispositivi più datati; mai WEP, WPA o TKIP. Imposti una password Wi-Fi lunga (frase password). (4) Disattivi WPS, UPnP e la gestione da remoto se non Le servono. (5) Verifichi che il firmware sia aggiornato e si aggiorni automaticamente. (6) Crei una rete ospiti e vi colleghi i visitatori e i dispositivi smart (TV, termostato, altoparlante, telecamere dove possibile). (7) Testi la rete ospiti: colleghi un telefono alla rete ospiti e provi a trovare la stampante, il NAS o una cartella condivisa. Non deve riuscirci. (8) Controlli l'elenco dei dispositivi collegati nel Suo router. Se non riconosce un dispositivo, verifichi di cosa si tratta. (9) Verifichi il Suo programma di posta su portatile e telefono: posta in entrata e in uscita con SSL/TLS o STARTTLS (per esempio IMAP 993, SMTP 587 o 465).
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.
- Guida DirectAdmin 8.1: Tutte le impostazioni in un colpo d'occhio: server, porte e sicurezza
- ACN, risorse sulla sicurezza: https://www.acn.gov.it/
- ACN, misure di base per la sicurezza dei dispositivi smart: https://www.acn.gov.it/
- ACN, punti di attenzione per il lavoro da remoto: https://www.acn.gov.it/
- Wi-Fi Alliance, sicurezza del Wi-Fi (in inglese): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, la vulnerabilità del WPS (in inglese): https://www.kb.cert.org/vuls/id/723755