StefanoTesti.it

Rete WiFi aperta o chiusa?

Con la rapida diffusione dei router wireless una domanda cruciale che ci si pone spesso è se lasciare aperta o meno la propria rete wireless. Si, lo so, sembra una domanda retorica. In realtà non lo è, se pensiamo che fior fior di esperti di sicurezza informatica non ha problemi a condividere la propria banda, come pure alcuni famosi blogger italiani.

So anche che il 90% delle reti aperte è tale per ignoranza di chi (non) ha configurato il router, acquistandolo e accendendolo senza alcuna minima configurazione. Qui però non parliamo di questo, ma di persone che scelgono volontariamente di lasciare aperta la propria rete per permettere a visitatori, conoscenti, amici, o semplicemente a dei passanti di utilizzare la propria connessione ad internet.

Personalmente io sono per una rete aperta. Aldilà delle questioni legali, non sarebbe fantastico se in qualunque posto vi poteste trovare esistesse una rete aperta per controllare la posta? Detto questo, sappiamo anche che il mondo non è quello del Candido di Voltaire, che ci sono un sacco di persone cattive e di brutte cose, o semplicemente persone che prendono tutto senza dare nulla in cambio.

E allora come conciliare la disponibilità di banda con la sicurezza?

Un po’ ci ha pensato Fon, il cui programma consiste proprio nella condivisione dell’accesso a Internet tra gli utenti minimizzando i rischi ed evitando i leechers. Il sottoscritto è un utente Fon dagli inizi, ma vista la ristrettezza mentale italiana e la bassa diffusione, in tre anni non ho mai avuto modo di poterne usufruire.

Una possibile alternativa a Fon è proprio quella di lasciare la rete aperta. Ma è veramente così pericoloso?

Proteggersi dalle intrusioni

Supponendo che tutte le macchine collegate alla rete wireless siano aggiornate e configurate a dovere (e questo sottintende avere installato tutte le patch per il proprio SO e l’evitare condivisioni di cartelle a gogo), i propri dati sarebbero in ogni caso al sicuro. Inoltre, come sottolinea Schneier, mantenere una macchina aggiornata significa essere più sicuri anche quando si viaggia e ci si connette ad AP sconosciuti.

Le uniche “questioni aperte” a questo punto rimangono l’eavesdropping e i possibili malintenzionati.

Eavesdropping

Come noto, esistono diversi livelli di sicurezza per restringere l’accesso alle reti wireless. Grossomodo possono essere suddivisi in tre categorie:

• Mascheramento della rete
• Controllo di accesso
• Crittografia

Il mascheramento della rete consiste semplicemente nell’eliminazione della trasmissione dei beacon, ovvero del segnale contenente l’SSID della rete trasmesso in broadcast. E’ il livello di protezione più basso, in quanto basta un semplice sniffing del traffico di client già associati per ricavare l’SSID della rete e connettersi.

Il controllo di accesso invece non è altro che il blocco basato sull’indirizzo MAC del client. Noto anche come blocco ACL (Access Control List), si basa sugli indirizzi MAC dei client per permettere o rifiutare la connessione. Anche qui il livello di sicurezza è molto basso, in quanto basta un semplice MAC spoofing per modificare l’indirizzo MAC di un client e quindi “ingannare” l’AP.

Il vero grosso problema di entrambe le tecniche è l’eavesdropping: i dati in ogni caso vengono trasmessi in chiaro, senza alcun tipo di protezione. Quindi, a meno di utilizzare protocolli di sicurezza di livello superiore a quello fisico o di utilizzare metodi di accesso basati sulla crittografia (WEP, WPA, WPA2), ogni singolo bit può essere catturato da un malintenzionato, che può leggere in un modo semplicissimo conversazioni IM, mail e siti visitati.

Se si decide di lasciare la propria rete aperta senza alcuna contromisura l’eavesdropping è inevitabile. Esistono tuttavia diverse tecniche, come l’utilizzo di IPsec o di semplici tunnel SSH (lasciate qualche commento se siete interessati a questo) che permettono di crittare il traffico ed evitare l’eavesdropping.

Da ultimo, le tecniche basate sulla crittografia (WEP, WPA, 802.11i/WPA2) sono più sicure, adottando esse un approccio crittografico (sono basate sulla primitiva RC4), anche se tuttavia l’implementazione pratica della WEP l’ha resa sostanzialmente insicura, mentre WPA e WPA2 sono ragionevolmente sicure se viene scelta una password adeguata.

Possibili malintenzionati

Quella dei “malintenzionati” è la carta tra le più giocate tra i detrattori del wifi libero, a partire dai governanti per scendere ai fantomatici esperti di sicurezza il cui unico scopo è di recensire antivirus e antimalware per il loro portaletto pro-windows. In ogni caso, con la grande importanza che sta assumendo Internet, è sempre maggiore anche la “quantità di danno” che si può arrecare tramite la rete.

Per evitare tali problemi è possibile aprire il proprio router permettendo solo alcune tipologie di traffico (ad esempio HTTP e IM, oppure HTTP e POP3). In tal modo si evita l’utilizzo di programmi P2P e si permette al tempo stesso la navigazione web e la ricezione di posta.

Quindi?

Come è possibile quindi conciliare tutti questi requisiti di sicurezza lasciando la propria rete aperta? La scelta che ho fatto personalmente è quella di utilizzare un router wireless Linksys WRT54GL, installare il firmware linux-based DD-WRT, e, tramite esso, attivare due reti wireless.

La prima rete è criptata con WPA2, ed è quella che utilizzo per scopi personali assieme ai miei familiari. La seconda rete, virtuale, è completamente aperta, logicamente separata dalla prima, e configurata in modo tale da isolare ogni singolo client collegato (evitando quindi che due client insicuri costituiscano un pericolo per i dati presenti su ognuno di essi) e da permettere solo alcune tipologie di traffico (HTTP, IM, POP3, SMTP, FTP, SSH).

Questo, combinato eventualmente ad una blacklist MAC per i client che regolarmente divorano troppa banda tutti i giorni (i vicini leechers), mi permette di garantire accesso pubblico e al tempo stesso proteggere la mia rete.

E voi? Come è configurata la vostra rete casalinga? Lasciate un commento per parlarne, o anche solo per maggiori informazioni sulla specifica configurazione di DD-WRT.

Tags: accesso, aperta, chiusa, ddwrt, fon, pubblico, wifi, wireless, wpa, wpa2