Configurare la propria rete wi-fi con DD-WRT in modo sicuro.

La seguente guida utilizzerà l’ultima versione di DD-WRT disponibile al momento in cui scrivo (v24 RC7).

Il sistema in uso è un MacBook con OS X Leopard, le impostazioni di DD-WRT valgono comunque indipendentemente dal sistema operativo in uso.

E’ una guida per persone abbastanza paranoiche nella protezione della propria rete wireless. L’attivazione di alcune funzioni (come indicato più avanti) potrà essere evitata.

Innanzitutto, se non abbiamo già installato DD-WRT, scarichiamolo da qui. E’ importante scegliere la giusta versione in quanto DD-WRT è un software che può essere installato su una miriade di apparecchi.

Nel mio caso, ho scelto dd-wrt.v24_std_generic.bin – adatto al mio Linksys WRT54GL 1.1.

La prima cosa importante da fare è impostare una route statica per il nostro access point wireless (se messo “in cascata” ad un router ad esempio).

Personalmente ho preferito che il mio router (un NetGear DG834) continuasse a fungere da server DHCP, così ho impostato il LinkSys come “client dhcp”.

Per far questo dovremo andare in Setup -> Setup Base ed impostare la voce “Impostazioni Per L’Indirizzo Del Server (DHCP)” come DHCP Forwarder ed impostando come server DHCP l’indirizzo IP del nostro router.

Questo ci permetterà di impostare specifiche impostazioni di QoS e traffic shaping all’interno della nostra rete se il router che abbiamo “a monte” lo permette.

Fatto questo, dedichiamoci alla sezione wireless.

La prima cosa da fare è scegliere un nome e per far questo andiamo in Wireless -> Impostazioni di Base.

Non chiamatela “Rete vostro-cognome” o qualcosa di simile. Chi avrà voglia di divertirsi senza dubbio sfrutterà a suo favore l’aver identificato a chi appartiene la rete (chiamasi social engineering). Un esempio può essere quello indicato qui sotto. “iwmiti” è l’insieme delle prime lettere di una frase di una canzone che adoro (riuscite ad indovinare di che si tratta?! :-)). Senza dubbio non avranno significato per chi rileva questo nome cercando una rete da attaccare.

Questo aspetto non è da sottovalutare, perché indipendentemente dai protocolli di cifratura utilizzati, dare un nome “appetibile” ad un curioso è già invitarlo a tentare una intrusione.

Continuiamo analizzando gli altri punti della scheda mostrata sopra.

La “modalità wireless” è una particolarità che rende DD-WRT un prodotto completo (non tutti gli access point domestici lo permettono). E’ possibile impostare l’access point come ponte tra reti diverse o come ripetitore. Se noi vogliamo solamente creare la nostra rete casalinga, ci basterà impostare quella voce in “AP“.

“Modalità di rete wireless” indica lo standard wireless da utilizzare. Se avete apparecchi di ultima generazione (tutti i portatili degli ultimi 3 anni sicuramente) potete benissimo scegliere di restringere la modalità wireless a “Solo-G”. Questo impedirà ad apparecchi più vecchi di collegarsi alla rete. Se non siete sicuri delle specifiche dei vostri device scegliete la modalità “Mista”.

Restringere lo standard non aumenta la sicurezza in maniera particolare, semplicemente obbligherà a chi tenterà di accedere alla vostra rete di avere un apparecchio recente. Non si sa mai che il vostro “vicino curioso” si ritrovi con una vecchia schedina wi-fi che funziona solo in modalità B… 🙂

A seguire, in quella pagina troviamo “Broadcast Del SSID Wireless”. Questa è una scelta abbastanza importante. Comincio col dire che, ad esempio, l’iPod Touch con il firmware di default non rileva le reti wireless “nascoste”. So che in rete è presente un software che gli permette di aggirare il problema, ma non l’ho mai provato. Il mio MacBook con Leopard invece non ha alcun problema e – che io sappia – neanche i portatili con Windows XP/Vista dovrebbero aver problemi a collegarsi ad una rete nascosta.

Qual è il vantaggio? Una rete con SSID nascosto non verrà elencata nelle utility di selezione delle reti del sistema operativo. Se il nostro aggressore non utilizzerà software particolari, non si accorgerà neanche della presenza della nostra rete.

Va da se che almeno la prima volta la rete dovrà essere “visibile” per permettere una connessione più agevole. Dopodiché potremo impostarla come “invisibile”.

Il “canale wireless” indica infine il range di frequenze sul quale il nostro access point trasmetterà i dati. Per evitare interferenze (e dunque subire un decadimento delle prestazioni del collegamento) è bene lasciar scegliere all’access point la frequenza più libera. Se invece state impostando una rete particolare (con più access point ad esempio), potreste voler scegliere manualmente le frequenze da utilizzare (magari distanziandole il più possibile per evitare interferenze…).

Vi ricordo che ogni volta che cambieremo scheda del pannello di controllo dovremo ricordarci di cliccare quantomeno su “Salva impostazioni”.

Fatto questo, spostiamoci nel pannello Wireless -> Wireless Security.

In questo pannello dovremo scegliere il protocollo di cifratura da utilizzare. Nuovamente, se non abbiamo device wireless datati, possiamo scegliere con tranquillità la “WPA2 Personal”. In caso contrario abbassiamo il livello di sicurezza a “WEP” o, nel peggiore dei casi, a “Disabilitato”.

E’ importante ricordarsi che il WEP è un protocollo di cifratura ormai obsoleto ed insicuro. Nel 2001 è stato “bucato” e da allora è possibile, nel giro di poche ore ed un po’ di pazienza, riuscire ad accedere ad una rete che utilizza questo protocollo.

Va comunque considerato che il WPA2, sebbene rappresenti il miglior protocollo di cifratura attualmente disponibile, non è sempre funzionante sotto Windows. In tal caso potreste voler scegliere la voce “WPA Personal” che rappresenta comunque un buon compromesso per la sicurezza della vostra rete.

Scelto il protocollo, dovremo scegliere l’algoritmo di cifratura dell’handshaking da utilizzare. Se non avete esigenze particolari (per l’ennesima volta, dipende dai vostri device), potrete scegliere l’AES che è un algoritmo più sofisticato (e potenzialmente più sicuro) del TKIP.

Infine, cosa più importante di tutte: la password. Inutile iniziare a fare qui le solite disquisizioni su come creare una password sicura. Io personalmente sono affezionato al mio password manager, in ogni caso, vi lascio un link su tutti.

E’ importante che la password sia quanto più randomica e lunga possibile. Esistono programmi che tentano attacchi brute force per scoprirla (in parole povere: se non puoi saperla, scoprila a tentativi!).

Fatto questo, salviamo le impostazioni.

La parte di guida che segue adesso, è indicata per i più paranoici o comunque coloro che vogliono utilizzare più impostazioni possibili per rendere inaccessibile una rete ad un aggressore. Se avete seguito pedissequamente quanto detto fin qui la vostra rete è già protetta ad un livello sicuramente maggiore dell’attuale livello nazionale in cui le reti “non protette” spopolano ad ogni angolo della strada. 🙂

Tutto ciò che segue, è un gradino in più, una difficoltà in più che metteremo per far perdere la voglia “al curiosone” di tentare un attacco verso la nostra rete.

In ogni caso… andiamo avanti e spostiamoci nel pannello Wireless -> Filtro MAC.

A questo punto è doverosa una spiegazione. Ogni periferica hardware di rete ha una specie di “targa” chiamato indirizzo fisico (o MAC) che identifica univocamente a livello mondiale quella periferica. “Filtrare i MAC” significa dire al dispositivo quali “targhe” possono accedere alla nostra rete (un po’ come i limiti anti-inquinamento nei centri storici delle nostre città…). Se non sapete come trovare l’indirizzo MAC della vostra scheda di rete wireless, date uno sguardo qui.

Trovato l’indirizzo MAC dovremo aggiungerlo alla tabella come indicato nella figura qui a sinistra, ricordandoci di cliccare su “Salva impostazioni” in basso prima di chiudere la finestra.

Impostare un filtro sugli indirizzi MAC ovviamente aumenterà la sicurezza della nostra rete perché l’aggressore dovrà avere una “targa valida” per poter entrare. E’ comunque possibile, molto facilmente, falsificare l’indirizzo MAC, così non è saggio affidarsi esclusivamente al filtro MAC per proteggere la propria rete.

Se non l’abbiamo ancora fatto, possiamo anche cliccare su “Applica” in modo da applicare tutte le modifiche fatte fin ora.

Un altro aspetto da non sottovalutare per proteggere bene una rete è stabilire quando dovrà funzionare. Lasciare attiva una connessione wireless (potenzialmente accessibile, molto comodamente, al di fuori della nostra proprietà) è come non abbassare le serrande di casa quando sappiamo che dobbiamo partire. Chi vuol attaccarci avrà tutto il tempo che vuole (mattina, pomeriggio, notte…) per effettuare i suoi tentativi d’attacco.

Spegnete la rete quando non vi serve!

DD-WRT se associato ad un access point LinkSys (e non so a quale altri modelli), offre un comodo pannello di gestione raggiungibile nella scheda Wireless -> Impostazioni Avanzate.

Selezionate le ore in cui non fate uso della vostra rete. Io ad esempio preferisco che si spenga durante la notte (meglio dormire che perder tempo su internet…) e le ore in cui sono sicuramente fuori casa. Ovviamente in base alle proprie necessità è sempre possibile effettuare delle modifiche in futuro.

Per gli access point che abbiano installato DD-WRT e non presentano questo pannello (ad esempio il firmware per gli access point FON), è pur sempre possibile spegnere il modulo “radio” tramite semplici crontab.

Infine, per concludere la messa in sicurezza del nostro access point, non dimentichiamoci di cambiare nome utente e password di default dal pannello Amministrazione -> Gestione: non sottovalutiamo la possibilità di un attacco dall’interno. 🙂

Per rendere ancora più difficile le cose all’aggressore lasciamo attivo solo il protocollo HTTPS per accedere al pannello di controllo: è molto probabile che il nostro simpatico curiosone tenti di collegarsi al pannello di gestione utilizzando l’HTTP, o se siamo ancora più pratici possiamo disattivare totalmente l’accesso tramite pannello web per sfruttare esclusivamente l’accesso ssh tramite console.

Vi ricordo comunque che per effettuare un backup delle impostazioni o un aggiornamento del firmware sarà necessario accedere via HTTP al pannello di gestione di DD-WRT.

Non sottovalutate la potenza di DD-WRT. Questa guida si è concentrata esclusivamente sulle impostazioni di sicurezza della rete wireless ma DD-WRT è uno strumento molto più potente e flessibile che permette di gestire memorie di massa di rete o trasformare il vostro access point in un centralino voip.

E se non sapete dove installarlo… provate a dare uno sguardo qui… non si sa mai che vi ritrovate una di quelle scatolette bianche casa casa… 😎

Emanuele

PS: in questa guida non è stato sfruttato nessun piccione viaggiatore. Ringrazio invece Paolo Nutini per la piacevole compagnia che mi ha fatto tutta la serata con il suo cd These Streets. 🙂