O teu router ten dous contrasinais, e case ninguén o sabe.
Un é o do wifi: o que ditas por teléfono, o que está apuntado nun papel na cociña, o que lle les ao fontaneiro. O outro é o de administración do propio aparello, o que abre o panel onde se configura todo. Ese segundo case nunca se toca, e se ti non o tocaches segue a ser exactamente o que viña impreso no adhesivo de abaixo.
Os dous protexen cousas distintas e fallan de maneiras distintas. Paga a pena separalos, porque vinte anos de conversa sobre «o contrasinal do wifi» serviron, entre outras cousas, para tapar o outro.
O que sabes e o que non miraches nunca
A clave do wifi decide quen se pode conectar á rede. É un permiso de entrada: con ela, un dispositivo entra na túa rede local e convive cos demais.
O contrasinal de administración decide quen pode cambiar como funciona a rede. Dende ese panel tócase o nome da rede, o tipo de cifrado, que servidores DNS usa a túa casa enteira, que portos están abertos cara a fóra e se o router se pode administrar dende internet. Non é unha porta máis: é a porta dende a que se reconfiguran as demais.
Aí está a asimetría incómoda. Se alguén ten a clave do wifi, está na túa rede. Se alguén ten a de administración, a túa rede é súa: pode cambiar a clave do wifi, baixar o cifrado ou desviar por onde sae o teu tráfico, e ti decataríaste polo efecto, nunca por un aviso.
A recomendación da CISA sobre isto non ten matices: cambia o usuario e o contrasinal de acceso ao router, porque a información que trae de fábrica pode ser pública e estar ao alcance de calquera, e pon un longo, aleatorio e único. E engade outra que case todo o mundo incumpre sen decatarse: que non sexa o mesmo que o do wifi. Son dúas cousas distintas e compártense de forma moi distinta —un sábeo medio barrio; o outro non o debería saber ninguén.
2011 o botón que parecía cómodo
Hai un terceiro segredo no teu router do que case nunca se fala: o PIN do WPS, o sistema de emparellamento rápido que aparece como un botón no aparello e como un número de oito cifras no adhesivo.
En decembro de 2011, o CERT/CC publicou a nota de vulnerabilidade VU#723755, a partir do traballo de Stefan Viehböck, sobre unha debilidade de deseño na comprobación dese PIN. O que che importa non é o detalle técnico: é a resposta oficial, que segue a ser a mesma quince anos despois. Non había parche; había un interruptor. A recomendación era —e é— entrar na configuración e desactivar o WPS. A CISA repíteo hoxe na súa guía para redes domésticas, na mesma lista onde pide desactivar a administración remota.
É a parte máis rendible de todo este artigo: dúas caixas que se desmarcan unha vez e non volven amolar.
2015 cando a clave de fábrica xa viña calculada
Un contrasinal de fábrica non é un segredo teu. É un valor que escolleu o fabricante, que está impreso no aparello, que sae no manual e que moitas veces se repite en todas as unidades dun modelo.
E hai casos publicados de algo peor: claves de fábrica que non eran aleatorias senón calculadas a partir de datos que o propio router emite ao aire. No catálogo do NIST está o CVE-2015-0558, sobre un router doméstico que xeraba a súa clave WPA a partir dunha cadea fixa e do seu enderezo MAC. Pouco despois, un aviso público de SEARCH-LAB sobre un módem de cable moi estendido en Europa dicíao cunha frase que o resume todo: «o SSID e o contrasinal por defecto derívanse unicamente do enderezo MAC. Como o enderezo MAC se emite por wifi, o contrasinal por defecto pódese calcular facilmente.» O operador acabou escribíndolles aos seus clientes para pedirlles que o cambiasen.
Non fai falta saber como se facía iso —e aquí non se vai contar— para quedar co único que importa: unha clave que o fabricante puido xerar, outro puido reproducila. A túa clave de fábrica non é aleatoria por ser longa e fea. É fea porque saíu dun procedemento, e os procedementos estúdanse.
O contrasinal máis doado de facer longo que vas ter
Agora a boa nova, e é rara, porque case ningún consello de seguridade sae de balde.
Todos os contrasinais da túa vida arrastran o mesmo inimigo agochado: hai que teclealos. Moitas veces a man, nun móbil, con présa. Por iso a xente fainos curtos e por iso «pon un de trinta caracteres» soa a castigo.
O do wifi non ten ese problema. Escríbelo unha vez por dispositivo e non o volves ver: o móbil, o portátil e a televisión lémbrano para sempre. E cando hai que darllo a alguén, case todos os móbiles e boa parte dos routers modernos compárteno cun código QR, sen que ninguén teclee nada.
Ou sexa: a lonxitude sae practicamente de balde, e por iso non hai escusa para que sexa curto. O estándar IEEE 802.11i, que define isto dende 2004, admite frases de paso de ata 63 caracteres. Case ninguén chega nin á metade.
Que poñer, entón? A CISA propón algo moi concreto e moi doado de seguir: unha frase de paso memorable de cinco a sete palabras sen relación entre si, con polo menos dezaseis caracteres en total, e que non uses en ningunha outra conta. É a lóxica do diceware aplicada ao salón da túa casa. Se prefires unha cadea aleatoria e deixar que o QR faga o traballo, mellor aínda: sácaa do xerador e non a volvas mirar. E se o que tes agora che dá dúbidas, pásao polo comprobador antes de decidir nada.
2018 que é o WPA3 e por que cambia as contas
En 2018 a Wi-Fi Alliance presentou o WPA3, o relevo do WPA2. Hoxe é obrigatorio para calquera equipo que queira levar o selo Wi-Fi CERTIFIED.
O cambio de fondo ten un nome feo, SAE, e unha consecuencia moi doada de entender. Con WPA2, alguén que estivese preto podía capturar o saúdo inicial entre o teu móbil e o router, marchar para a casa e probar contra ese ficheiro millóns de claves por segundo, sen límite de intentos e sen que ninguén se decatase. É exactamente o problema dunha filtración de contrasinais: cando o material está no disco do atacante, non hai ninguén do outro lado que diga que non.
O WPA3 rompe iso. En palabras da propia Wi-Fi Alliance, «o WPA3-Personal substitúe a clave precompartida do WPA2 (WPA2-PSK) por Simultaneous Authentication of Equals (SAE). A diferenza do WPA2-PSK, o SAE é resistente aos ataques de dicionario fóra de liña.» Cada intento volve esixir falar co router, e un router que recibe milleiros de intentos fallidos pode notalo e frear.
E logo está a parte honesta, que o propio documento se encarga de dicir. Esa resistencia significa que «o peso da seguridade do contrasinal deixa de recaer sobre os usuarios», e que esixir maiúsculas e símbolos xa non é un requisito válido con SAE. Pero non é un permiso para poñer un malo: o ataque activo segue existindo, e a especificación remátao sen rodeos —os contrasinais usados con SAE deben ser extremadamente difíciles de adiviñar. É o mesmo que o NIST leva anos dicindo do resto dos teus contrasinais: a lonxitude manda sobre o retorcemento.
Dous avisos prácticos. Se o teu router non chega a WPA3, a CISA dá por bos o WPA3 Personal e o WPA2 con AES, e só eses dous; unha rede aberta, WEP ou TKIP non son un contrasinal feble, son non ter ningún. E se activas o modo de transición, a túa rede acepta á vez WPA3 e WPA2 para que entren os aparellos vellos: é unha decisión razoable nunha casa cunha impresora de 2013, pero convén saber o que é —mentres estea posto, a túa rede conserva unha porta WPA2—. Se todo o teu entra por WPA3, quítao.
2024 a lei métese debaixo do adhesivo
Durante décadas isto foi un problema de consellos. Agora é tamén un problema de normativa.
O 29 de abril de 2024 entrou en vigor no Reino Unido o réxime da PSTI, a lei de seguridade de produtos conectados, que prohibe os contrasinais por defecto universais nos aparellos de consumo: acabouse o modelo polo que todas as unidades dun produto saían de fábrica coa mesma clave. A lei si admite un contrasinal por defecto único por unidade, que é xustamente o caso do adhesivo cunha cadea distinta en cada router. Na Unión Europea, os requisitos de ciberseguridade da Directiva de Equipos Radioeléctricos —o Regulamento Delegado (UE) 2022/30— son de aplicación obrigatoria dende o 1 de agosto de 2025.
De aí dedúcense dúas cousas, e non son a mesma. A primeira: os routers novos van chegar mellor de fábrica. A segunda, que é a que che toca: nada disto se aplica cara atrás ao aparello que xa tes no salón. Se leva seis anos aí, na túa casa segue rexendo o mundo de antes.
A rede de convidados, ou deixar de ditar a túa clave
Pensa canta xente sabe a túa clave do wifi. O cuñado, a canguro, o amigo que veu cear en 2022 e segue co móbil configurado, o técnico que subiu a instalar algo.
Ningún deles ten só un permiso para saír a internet: ten un dispositivo dentro da túa rede local, ao lado do teu disco en rede, da túa impresora e das túas cámaras. E non tes nin idea de como está ese dispositivo.
A rede de convidados é a resposta, e é unha función que xa tes e non usas. A CISA dío con todas as letras: se o teu router ten rede de convidados, actívaa, ponlle un contrasinal propio —longo, aleatorio e único— e que a use todo o que non se conecte ao teu wifi de forma habitual. E engade algo que case ninguén fai: manda aí tamén os trebellos conectados —o enchufe intelixente, a televisión, o robot— se o único que precisan é saír a internet, para que non poidan descubrir o resto de aparellos da casa.
É o principio de todo este blog aplicado á sala de estar: unha credencial por sitio. O teu wifi principal é un sitio. As visitas son outro.
Que facer, por orde
- Entra no panel do router e cambia o contrasinal de administración. É o único desta lista que probablemente non tocaches nunca e o que máis manda. Longo, aleatorio e distinto do do wifi.
- Pon unha clave de wifi longa. Cinco a sete palabras sen relación, ou unha cadea do xerador. Tecléala unha vez e despois compártea por QR.
- Sobe a WPA3 se o teu router o permite. Se non, WPA2 con AES.
- Desactiva o WPS e a administración remota. Dúas caixas, unha soa vez.
- Acende a rede de convidados e manda aí as visitas e os trebellos.
- Actualiza o firmware e deixa postas as actualizacións automáticas se as hai.
- Non reutilices ningún dos dous noutro sitio. Se dubidas dalgún dos que xa usas, pásao polo comprobador.
Nada disto leva máis de vinte minutos, e son vinte minutos que se fan unha vez.
O router é o aparello máis importante da túa casa e o único que se administra só mentres ninguén o administre. Leva anos aceso nun recuncho, facendo o seu traballo sen queixarse, e precisamente por iso nunca parece o momento de miralo.
O contrasinal de fábrica non é malo por curto nin por feo. É malo porque non é teu. Escolleuno outro, imprimiuno nun adhesivo e mandouno a milleiros de casas iguais que a túa. Cambialo é o máis parecido que existe, en informática doméstica, a cambiar a pechadura cando te mudas.
Fontes: CISA, «Project Upskill · Module 5: Securing Your Home Wi-Fi», do Joint Cyber Defense Collaborative —cambiar o usuario e o contrasinal de acceso ao router porque a información de fábrica pode ser pública, frase de paso de cinco a sete palabras sen relación e polo menos dezaseis caracteres, WPA3 Personal ou WPA2 AES como únicos cifrados considerados seguros, desactivar o WPS e a administración remota, e activar a rede de convidados tamén para os dispositivos conectados— · Wi-Fi Alliance, «WPA3 Security Considerations Overview» (abril de 2019), sobre a substitución do WPA2-PSK por SAE, a súa resistencia aos ataques de dicionario fóra de liña e a esixencia de que os contrasinais sigan sendo extremadamente difíciles de adiviñar · CERT/CC, nota de vulnerabilidade VU#723755 (27 de decembro de 2011), reportada por Stefan Viehböck, cuxa solución recomendada é desactivar o WPS · NVD (NIST), CVE-2015-0558, sobre un router doméstico que xeraba a súa clave WPA a partir dunha cadea fixa e o seu enderezo MAC · aviso público de SEARCH-LAB (Gergely Eberhardt) sobre o módem Ubee EVW3226, publicado en Full Disclosure en xullo de 2016 · IEEE 802.11i, que define a frase de paso de entre 8 e 63 caracteres · Reino Unido, réxime da Product Security and Telecommunications Infrastructure Act, en vigor dende o 29 de abril de 2024 · Unión Europea, Regulamento Delegado (UE) 2022/30 da Directiva de Equipos Radioeléctricos, de aplicación obrigatoria dende o 1 de agosto de 2025 · NIST SP 800-63B, sobre a lonxitude fronte á complexidade.
Foto de Jakub Zerdzicki · Pexels