El teu router té dues contrasenyes, i gairebé ningú no ho sap.
Una és la del wifi: la que dictes per telèfon, la que hi ha apuntada en un paper a la cuina, la que li llegeixes al lampista. L’altra és la d’administració del mateix aparell, la que obre el tauler on es configura tot. Aquesta segona gairebé mai no es toca, i si tu no l’has tocat continua essent exactament la que venia impresa a l’enganxina de sota.
Totes dues protegeixen coses diferents i fallen de maneres diferents. Val la pena separar-les, perquè vint anys de conversa sobre «la contrasenya del wifi» han servit, entre altres coses, per tapar l’altra.
La que et saps i la que no has mirat mai
La clau del wifi decideix qui es pot connectar a la xarxa. És un permís d’entrada: amb ella, un dispositiu entra a la teva xarxa local i conviu amb la resta.
La contrasenya d’administració decideix qui pot canviar com funciona la xarxa. Des d’aquell tauler es toca el nom de la xarxa, el tipus de xifratge, quins servidors DNS fa servir tota la casa, quins ports són oberts cap a fora i si el router es pot administrar des d’internet. No és una porta més: és la porta des de la qual es reconfiguren les altres.
Aquí hi ha l’asimetria incòmoda. Si algú té la clau del wifi, és a la teva xarxa. Si algú té la d’administració, la teva xarxa és seva: pot canviar la clau del wifi, abaixar el xifratge o desviar per on surt el teu trànsit, i tu te n’assabentaries per l’efecte, mai per un avís.
La recomanació de la CISA sobre això no té matisos: canvia l’usuari i la contrasenya d’accés al router, perquè la informació que porta de fàbrica pot ser pública i estar a l’abast de qualsevol, i posa-n’hi una de llarga, aleatòria i única. I n’afegeix una altra que gairebé tothom incompleix sense adonar-se’n: que no sigui la mateixa que la del wifi. Són dues coses distintes i es comparteixen de manera molt distinta —una la sap mig barri; l’altra no l’hauria de saber ningú.
2011 el botó que semblava còmode
Hi ha un tercer secret al teu router del qual gairebé mai no es parla: el PIN del WPS, el sistema d’aparellament ràpid que apareix com un botó a l’aparell i com un número de vuit xifres a l’enganxina.
El desembre de 2011, el CERT/CC va publicar la nota de vulnerabilitat VU#723755, a partir del treball de Stefan Viehböck, sobre una debilitat de disseny en la comprovació d’aquell PIN. El que t’importa no és el detall tècnic: és la resposta oficial, que continua essent la mateixa quinze anys després. No hi havia pedaç; hi havia un interruptor. La recomanació era —i és— entrar a la configuració i desactivar el WPS. La CISA ho repeteix avui a la seva guia per a xarxes domèstiques, a la mateixa llista on demana desactivar l’administració remota.
És la part més rendible de tot aquest article: dues caselles que es desmarquen un cop i no et tornen a molestar.
2015 quan la clau de fàbrica ja venia calculada
Una contrasenya de fàbrica no és un secret teu. És un valor que va triar el fabricant, que és imprès a l’aparell, que surt al manual i que moltes vegades es repeteix a totes les unitats d’un model.
I hi ha casos publicats d’una cosa pitjor: claus de fàbrica que no eren aleatòries sinó calculades a partir de dades que el router mateix emet a l’aire. Al catàleg del NIST hi ha el CVE-2015-0558, sobre un router domèstic que generava la seva clau WPA a partir d’una cadena fixa i de la seva adreça MAC. Poc després, un avís públic de SEARCH-LAB sobre un mòdem de cable molt estès a Europa ho deia amb una frase que ho resumeix tot: «l’SSID i la contrasenya per defecte es deriven únicament de l’adreça MAC. Com que l’adreça MAC s’emet per wifi, la contrasenya per defecte es pot calcular fàcilment.» L’operador va acabar escrivint als seus clients per demanar-los que la canviessin.
No cal saber com es feia allò —i aquí no s’explicarà— per quedar-se amb l’única cosa que importa: una clau que el fabricant va poder generar, un altre la va poder reproduir. La teva clau de fàbrica no és aleatòria pel fet de ser llarga i lletja. És lletja perquè va sortir d’un procediment, i els procediments s’estudien.
La contrasenya més fàcil de fer llarga que tindràs mai
Ara la bona notícia, i és rara, perquè gairebé cap consell de seguretat no surt de franc.
Totes les contrasenyes de la teva vida arrosseguen el mateix enemic amagat: s’han de teclejar. Moltes vegades a mà, en un mòbil, amb pressa. Per això la gent les fa curtes i per això «posa-n’hi una de trenta caràcters» sona a càstig.
La del wifi no té aquest problema. L’escrius un cop per dispositiu i no la tornes a veure: el mòbil, el portàtil i el televisor la recorden per sempre. I quan s’ha de donar a algú, gairebé tots els mòbils i bona part dels routers moderns la comparteixen amb un codi QR, sense que ningú tecleï res.
És a dir: la llargada surt pràcticament de franc, i per això no hi ha excusa perquè sigui curta. L’estàndard IEEE 802.11i, que defineix això des del 2004, admet frases de pas de fins a 63 caràcters. Gairebé ningú no n’arriba ni a la meitat.
Què hi poses, doncs? La CISA proposa una cosa molt concreta i molt fàcil de seguir: una frase de pas memorable de cinc a set paraules sense relació entre si, amb un mínim de setze caràcters en total, i que no facis servir en cap altre compte. És la lògica del diceware aplicada al menjador de casa teva. Si prefereixes una cadena aleatòria i deixar que el QR faci la feina, encara millor: treu-la del generador i no la tornis a mirar. I si la que tens ara et fa dubtar, passa-la pel comprovador abans de decidir res.
2018 què és el WPA3 i per què canvia els comptes
El 2018 la Wi-Fi Alliance va presentar el WPA3, el relleu del WPA2. Avui és obligatori per a qualsevol equip que vulgui dur el segell Wi-Fi CERTIFIED.
El canvi de fons té un nom lleig, SAE, i una conseqüència molt fàcil d’entendre. Amb WPA2, algú que fos a prop podia capturar la salutació inicial entre el teu mòbil i el router, anar-se’n a casa i provar contra aquell fitxer milions de claus per segon, sense límit d’intents i sense que ningú se n’assabentés. És exactament el problema d’una filtració de contrasenyes: quan el material és al disc de l’atacant, no hi ha ningú a l’altra banda que digui que no.
El WPA3 trenca això. En paraules de la mateixa Wi-Fi Alliance, «el WPA3-Personal substitueix la clau precompartida del WPA2 (WPA2-PSK) per Simultaneous Authentication of Equals (SAE). A diferència del WPA2-PSK, l’SAE és resistent als atacs de diccionari fora de línia.» Cada intent torna a exigir parlar amb el router, i un router que rep milers d’intents fallits ho pot notar i frenar.
I després hi ha la part honesta, que el mateix document s’encarrega de dir. Aquella resistència significa que «el pes de la seguretat de la contrasenya deixa de recaure sobre els usuaris», i que exigir majúscules i símbols ja no és un requisit vàlid amb SAE. Però no és un permís per posar-ne una de dolenta: l’atac actiu continua existint, i l’especificació ho remata sense embuts —les contrasenyes fetes servir amb SAE han de ser extremadament difícils d’endevinar. És el mateix que el NIST fa anys que diu de la resta de les teves contrasenyes: la llargada mana per damunt del retorciment.
Dos avisos pràctics. Si el teu router no arriba a WPA3, la CISA dona per bons el WPA3 Personal i el WPA2 amb AES, i només aquests dos; una xarxa oberta, WEP o TKIP no són una contrasenya feble, són no tenir-ne cap. I si actives el mode de transició, la teva xarxa accepta alhora WPA3 i WPA2 perquè hi entrin els aparells vells: és una decisió raonable en una casa amb una impressora del 2013, però convé saber què és —mentre estigui posat, la teva xarxa conserva una porta WPA2—. Si tot el que tens hi entra per WPA3, treu-lo.
2024 la llei es fica sota l’enganxina
Durant dècades això va ser un problema de consells. Ara també és un problema de normativa.
El 29 d’abril de 2024 va entrar en vigor al Regne Unit el règim de la PSTI, la llei de seguretat de productes connectats, que prohibeix les contrasenyes per defecte universals als aparells de consum: s’ha acabat el model pel qual totes les unitats d’un producte sortien de fàbrica amb la mateixa clau. La llei sí que admet una contrasenya per defecte única per unitat, que és justament el cas de l’enganxina amb una cadena diferent a cada router. A la Unió Europea, els requisits de ciberseguretat de la Directiva d’Equips Radioelèctrics —el Reglament Delegat (UE) 2022/30— són d’aplicació obligatòria des de l’1 d’agost de 2025.
D’aquí se’n dedueixen dues coses, i no són la mateixa. La primera: els routers nous arribaran millor de fàbrica. La segona, que és la que et toca: res d’això no s’aplica cap enrere a l’aparell que ja tens al menjador. Si fa sis anys que hi és, a casa teva encara regeix el món d’abans.
La xarxa de convidats, o deixar de dictar la teva clau
Pensa quanta gent sap la teva clau del wifi. El cunyat, la cangur, l’amic que va venir a sopar el 2022 i encara té el mòbil configurat, el tècnic que va pujar a instal·lar una cosa.
Cap d’ells no té només un permís per sortir a internet: té un dispositiu dins de la teva xarxa local, al costat del teu disc en xarxa, la teva impressora i les teves càmeres. I no tens ni idea de com està aquell dispositiu.
La xarxa de convidats és la resposta, i és una funció que ja tens i no fas servir. La CISA ho diu amb totes les lletres: si el teu router té xarxa de convidats, activa-la, posa-li una contrasenya pròpia —llarga, aleatòria i única— i que la faci servir tothom que no es connecti al teu wifi de manera habitual. I hi afegeix una cosa que gairebé ningú no fa: envia-hi també els trastos connectats —l’endoll intel·ligent, el televisor, el robot— si l’única cosa que necessiten és sortir a internet, perquè no puguin descobrir la resta d’aparells de la casa.
És el principi de tot aquest blog aplicat a la sala d’estar: una credencial per lloc. El teu wifi principal és un lloc. Les visites en són un altre.
Què fer, per ordre
- Entra al tauler del router i canvia la contrasenya d’administració. És l’única d’aquesta llista que probablement no has tocat mai i la que més mana. Llarga, aleatòria i diferent de la del wifi.
- Posa una clau de wifi llarga. Cinc a set paraules sense relació, o una cadena del generador. La teclejes un cop i després la comparteixes per QR.
- Puja a WPA3 si el teu router t’ho permet. Si no, WPA2 amb AES.
- Desactiva el WPS i l’administració remota. Dues caselles, un sol cop.
- Engega la xarxa de convidats i envia-hi les visites i els trastos.
- Actualitza el microprogramari i deixa posades les actualitzacions automàtiques si n’hi ha.
- No reutilitzis cap de les dues en un altre lloc. Si dubtes d’alguna de les que ja fas servir, passa-la pel comprovador.
Res d’això no dura més de vint minuts, i són vint minuts que es fan un sol cop.
El router és l’aparell més important de casa teva i l’únic que s’administra sol mentre ningú no l’administri. Fa anys que és encès en un racó, fent la seva feina sense queixar-se, i precisament per això mai no sembla el moment de mirar-lo.
La contrasenya de fàbrica no és dolenta per curta ni per lletja. És dolenta perquè no és teva. La va triar un altre, la va imprimir en un adhesiu i la va enviar a milers de cases iguals que la teva. Canviar-la és el més semblant que hi ha, en informàtica domèstica, a canviar el pany quan et mudes.
Fonts: CISA, «Project Upskill · Module 5: Securing Your Home Wi-Fi», del Joint Cyber Defense Collaborative —canviar l’usuari i la contrasenya d’accés al router perquè la informació de fàbrica pot ser pública, frase de pas de cinc a set paraules sense relació i un mínim de setze caràcters, WPA3 Personal o WPA2 AES com a únics xifratges considerats segurs, desactivar el WPS i l’administració remota, i activar la xarxa de convidats també per als dispositius connectats— · Wi-Fi Alliance, «WPA3 Security Considerations Overview» (abril de 2019), sobre la substitució del WPA2-PSK per SAE, la seva resistència als atacs de diccionari fora de línia i l’exigència que les contrasenyes continuïn essent extremadament difícils d’endevinar · CERT/CC, nota de vulnerabilitat VU#723755 (27 de desembre de 2011), reportada per Stefan Viehböck, la solució recomanada de la qual és desactivar el WPS · NVD (NIST), CVE-2015-0558, sobre un router domèstic que generava la seva clau WPA a partir d’una cadena fixa i la seva adreça MAC · avís públic de SEARCH-LAB (Gergely Eberhardt) sobre el mòdem Ubee EVW3226, publicat a Full Disclosure el juliol de 2016 · IEEE 802.11i, que defineix la frase de pas d’entre 8 i 63 caràcters · Regne Unit, règim de la Product Security and Telecommunications Infrastructure Act, en vigor des del 29 d’abril de 2024 · Unió Europea, Reglament Delegat (UE) 2022/30 de la Directiva d’Equips Radioelèctrics, d’aplicació obligatòria des de l’1 d’agost de 2025 · NIST SP 800-63B, sobre la llargada davant de la complexitat.
Foto de Jakub Zerdzicki · Pexels