L’interfaccia di amministrazione della tua box internet è un pannello di controllo accessibile tramite un browser web, a un indirizzo IP locale come 192.168.1.1. Essa consente di modificare le impostazioni della rete wifi, gestire i dispositivi connessi o configurare la sicurezza della connessione. Accedere a questa interfaccia senza precauzioni espone la rete domestica a modifiche indesiderate o intrusioni.
Superficie di attacco locale: ciò che l’interfaccia di amministrazione espone
Quando un dispositivo si connette alla rete locale, può raggiungere l’interfaccia della box per impostazione predefinita. Questo riguarda computer, tablet, ma anche oggetti connessi meno sorvegliati.
Un rapporto pratico diffuso da Kaspersky ha mostrato che un decoder TV o box connesso compromesso può fungere da relais verso il pannello di amministrazione del router, anche se quest’ultimo non è esposto su internet. Un attaccante che sfrutta questo tipo di dispositivo accede quindi alle impostazioni DNS, alla password wifi e alle redirezioni di porte.
La prima misura consiste nel modificare la password di amministrazione predefinita. Le credenziali fornite con la box (spesso “admin” / “admin” o un codice stampato sull’etichetta) sono documentate pubblicamente. Sostituirle con una password lunga e unica chiude il vettore di attacco più comune. Diversi tutorial proposti da Hebdo Linux dettagliano questa procedura passo dopo passo a seconda dei modelli di box.
Indirizzo IP della box e accesso a seconda del fornitore
Ogni operatore assegna un indirizzo IP locale predefinito alla sua box. Inserirlo nella barra degli indirizzi del browser (non nel campo di ricerca) apre la pagina di autenticazione dell’interfaccia.
- Livebox Orange: inserire 192.168.1.1 o http://livebox/ nel browser, poi identificarsi con l’account admin e la password personalizzata o quella riportata sull’etichetta della box.
- Bbox Bouygues Telecom: l’indirizzo predefinito è 192.168.1.254, accessibile da qualsiasi dispositivo connesso alla rete locale cablata o wifi.
- Freebox (Free): l’interfaccia locale è accessibile tramite mafreebox.freebox.fr o l’indirizzo IP assegnato, con un’autenticazione specifica configurata da Freebox OS.
- Box SFR: l’indirizzo 192.168.1.1 dà accesso all’interfaccia web di amministrazione, dopo aver inserito le credenziali configurate all’installazione.
Se la pagina non viene visualizzata, verifica che il dispositivo sia effettivamente connesso alla rete della box (e non a una condivisione di connessione mobile). È richiesto un browser aggiornato: le interfacce recenti possono rifiutare le connessioni da versioni troppo vecchie di Firefox o Chrome.
Proteggere l’accesso remoto e l’account cloud della box
L’amministrazione remota e l’account cloud del fornitore costituiscono due superfici di attacco distinte. Disattivare l’accesso remoto all’interfaccia locale non è sufficiente se la box rimane amministrabile tramite un’app mobile o un portale online.
Un account operatore compromesso (password riutilizzata, assenza di doppia autenticazione) consente a un terzo di modificare le impostazioni della box senza essere fisicamente sulla rete. La soluzione: attivare l’autenticazione multifattoriale sull’account cliente dell’operatore quando l’opzione esiste, o utilizzare una passkey se proposta.
Disattivare l’amministrazione remota
Nell’interfaccia della box, un’opzione consente generalmente di autorizzare o bloccare l’accesso dall’esterno della rete locale. Disattiva questa funzione se non ne hai un bisogno preciso. Essa apre una porta su internet ed espone la pagina di accesso a tentativi di forza bruta.
Rete wifi ospite: verificare l’isolamento reale
La maggior parte delle box recenti offre la possibilità di creare una rete wifi ospite. L’idea sembra semplice: i visitatori si connettono a una rete separata, senza accedere ai dispositivi della casa.
In pratica, una rete ospite non garantisce sempre l’isolamento dalla rete principale. A seconda dei modelli, può impedire ai dispositivi ospiti di comunicare tra loro, lasciando però un accesso aperto a stampanti, NAS o telecamere connesse alla rete locale. L’unico modo per verificare è connettere un telefono alla rete ospite e tentare di accedere all’indirizzo IP di un dispositivo della rete principale.
Impostazioni da controllare nell’interfaccia
- Verificare che l’opzione “isolamento dei clienti” o “AP isolation” sia attivata nelle impostazioni della rete ospite.
- Attribuire una password distinta alla rete ospite, diversa da quella della rete principale.
- Limitare la banda disponibile per la rete ospite se la box lo consente, per evitare che un dispositivo saturi la connessione.
DNS e firmware: due impostazioni spesso trascurate nell’interfaccia
L’interfaccia di amministrazione consente di modificare i server DNS utilizzati da tutti i dispositivi della rete. Per impostazione predefinita, la box utilizza i DNS dell’operatore. Sostituirli con server di terze parti (come quelli proposti da servizi di filtraggio) può accelerare la risoluzione dei nomi o bloccare alcuni domini malevoli.
Il firmware della box si aggiorna generalmente automaticamente. Controlla comunque nell’interfaccia che l’ultima versione del firmware sia effettivamente installata. Un router il cui software interno non è più mantenuto può contenere vulnerabilità sfruttabili dalla rete locale. Se la tua box non ha ricevuto aggiornamenti da diversi anni, la questione della sostituzione si pone.
Accedere all’interfaccia della propria box rimane un’operazione rapida, ma lasciarla nella sua configurazione di fabbrica equivale a lasciare la porta d’ingresso della rete socchiusa. Password admin personalizzata, accesso remoto disattivato, rete ospite testata e firmware verificato: questi quattro punti coprono la maggior parte dei rischi comuni su una rete domestica.
