Il tuo router ha due password, e quasi nessuno lo sa.
Una è quella del wifi: quella che detti al telefono, quella scritta su un foglio in cucina, quella che leggi all’idraulico. L’altra è la password di amministrazione dell’apparecchio stesso, quella che apre il pannello dove si configura tutto. La seconda non la tocca quasi mai nessuno, e se tu non l’hai toccata è ancora esattamente quella stampata sull’adesivo sotto.
Le due proteggono cose diverse e falliscono in modi diversi. Vale la pena separarle, perché vent’anni di discorsi su «la password del wifi» sono serviti, fra le altre cose, a coprire l’altra.
Quella che sai a memoria e quella che non hai mai guardato
La chiave del wifi decide chi può collegarsi alla rete. È un permesso d’ingresso: con quella, un dispositivo entra nella tua rete locale e convive con tutti gli altri.
La password di amministrazione decide chi può cambiare come funziona la rete. Da quel pannello si toccano il nome della rete, il tipo di cifratura, quali server DNS usa tutta la casa, quali porte sono aperte verso l’esterno e se il router si può amministrare da internet. Non è una porta in più: è la porta da cui si riconfigurano le altre.
Ecco l’asimmetria scomoda. Se qualcuno ha la chiave del wifi, è dentro la tua rete. Se qualcuno ha quella di amministrazione, la tua rete è sua: può cambiare la chiave del wifi, abbassare la cifratura o dirottare da dove esce il tuo traffico, e tu te ne accorgeresti dall’effetto, mai da un avviso.
La raccomandazione della CISA su questo non ha sfumature: cambia nome utente e password di accesso al router, perché le informazioni di fabbrica possono essere pubbliche e alla portata di chiunque, e mettine una lunga, casuale e unica. E aggiungine un’altra che quasi tutti violano senza accorgersene: che non sia la stessa del wifi. Sono due cose distinte, e si condividono in modo molto diverso: una la sa mezzo quartiere, l’altra non dovrebbe saperla nessuno.
2011 il pulsante che sembrava comodo
Nel tuo router c’è un terzo segreto di cui non si parla quasi mai: il PIN del WPS, il sistema di accoppiamento rapido che compare come pulsante sull’apparecchio e come numero di otto cifre sull’adesivo.
Nel dicembre 2011 il CERT/CC pubblicò la nota di vulnerabilità VU#723755, a partire dal lavoro di Stefan Viehböck, su una debolezza di progettazione nella verifica di quel PIN. Quello che conta per te non è il dettaglio tecnico: è la risposta ufficiale, che quindici anni dopo è ancora la stessa. Non c’era una patch; c’era un interruttore. La raccomandazione era — ed è — entrare nella configurazione e disattivare il WPS. La CISA la ripete oggi nella sua guida per le reti domestiche, nello stesso elenco in cui chiede di disattivare l’amministrazione remota.
È la parte più redditizia di tutto l’articolo: due caselle da togliere una volta sola, che poi non ti danno più fastidio.
2015 quando la chiave di fabbrica arrivava già calcolata
Una password di fabbrica non è un tuo segreto. È un valore scelto dal produttore, stampato sull’apparecchio, riportato nel manuale e spesso identico su tutte le unità di un modello.
E ci sono casi pubblicati di qualcosa di peggio: chiavi di fabbrica che non erano casuali ma calcolate a partire da dati che il router stesso trasmette nell’aria. Nel catalogo del NIST c’è il CVE-2015-0558, su un router domestico che generava la sua chiave WPA a partire da una stringa fissa e dal proprio indirizzo MAC. Poco dopo, un avviso pubblico di SEARCH-LAB su un modem via cavo molto diffuso in Europa lo diceva in una frase che riassume tutto: «il SSID e la password predefinita derivano unicamente dall’indirizzo MAC. Poiché l’indirizzo MAC del dispositivo viene trasmesso via wifi, la password predefinita si può calcolare facilmente.» L’operatore finì per scrivere ai suoi clienti chiedendo loro di cambiarla.
Non serve sapere come si facesse — e qui non verrà raccontato — per portarsi a casa l’unica cosa che conta: una chiave che il produttore ha potuto generare, qualcun altro l’ha potuta riprodurre. La tua chiave di fabbrica non è casuale per il fatto di essere lunga e brutta. È brutta perché è uscita da un procedimento, e i procedimenti si studiano.
La password più facile da fare lunga che avrai mai
Adesso la buona notizia, ed è rara, perché quasi nessun consiglio di sicurezza esce gratis.
Tutte le password della tua vita si trascinano dietro lo stesso nemico nascosto: bisogna digitarle. Spesso a mano, su un telefono, di fretta. Per questo la gente le fa corte, e per questo «mettine una da trenta caratteri» suona come una punizione.
Quella del wifi non ha questo problema. La scrivi una volta per dispositivo e non la rivedi più: il telefono, il portatile e la televisione se la ricordano per sempre. E quando bisogna darla a qualcuno, quasi tutti i telefoni e buona parte dei router moderni la condividono con un codice QR, senza che nessuno digiti niente.
Cioè: la lunghezza è praticamente gratis, e quindi non c’è scusa perché sia corta. Lo standard IEEE 802.11i, che definisce questa cosa dal 2004, ammette passphrase fino a 63 caratteri. Quasi nessuno arriva nemmeno alla metà.
Cosa metterci, allora? La CISA propone qualcosa di molto concreto e molto facile da seguire: una passphrase memorabile di cinque a sette parole senza relazione fra loro, almeno sedici caratteri in totale, e che non usi in nessun altro account. È la logica di diceware applicata al salotto di casa tua. Se preferisci una stringa casuale e lasciare che sia il QR a fare il lavoro, ancora meglio: tirala fuori dal generatore e non guardarla mai più. E se quella che hai adesso ti mette dubbi, passala dal controllo prima di decidere qualsiasi cosa.
2018 cos’è il WPA3 e perché cambia i conti
Nel 2018 la Wi-Fi Alliance presentò WPA3, il ricambio di WPA2. Oggi è obbligatorio per qualunque apparecchio voglia portare il marchio Wi-Fi CERTIFIED.
Il cambiamento di fondo ha un nome brutto, SAE, e una conseguenza facilissima da capire. Con WPA2, qualcuno lì vicino poteva catturare il saluto iniziale fra il tuo telefono e il router, tornarsene a casa e provare contro quel file milioni di chiavi al secondo, senza limite di tentativi e senza che nessuno se ne accorgesse. È esattamente il problema di una fuga di password: quando il materiale è sul disco dell’attaccante, non c’è più nessuno dall’altra parte che dica di no.
WPA3 rompe questo schema. Con le parole della stessa Wi-Fi Alliance, «WPA3-Personal sostituisce la chiave precondivisa di WPA2 (WPA2-PSK) con Simultaneous Authentication of Equals (SAE). A differenza di WPA2-PSK, SAE è resistente agli attacchi a dizionario fuori linea.» Ogni tentativo obbliga a ripassare dal router, e un router che riceve migliaia di tentativi falliti può accorgersene e frenare.
E poi c’è la parte onesta, che lo stesso documento si preoccupa di dire. Quella resistenza significa che «il peso della sicurezza della password non ricade più sugli utenti», e che pretendere maiuscole e simboli non è più un requisito valido con SAE. Ma non è un permesso per metterne una cattiva: l’attacco attivo continua a esistere, e la specifica lo dice senza giri di parole — le password usate con SAE devono essere estremamente difficili da indovinare. È quello che il NIST dice da anni su tutte le tue altre password: la lunghezza conta più della contorsione.
Due avvertenze pratiche. Se il tuo router non arriva a WPA3, la CISA dà per buoni WPA3 Personal e WPA2 con AES, e solo quei due; una rete aperta, WEP o TKIP non sono una password debole, sono non averne nessuna. E se attivi la modalità di transizione, la tua rete accetta insieme WPA3 e WPA2 per far entrare gli apparecchi vecchi: è una decisione ragionevole in una casa con una stampante del 2013, ma conviene sapere cos’è — finché è attiva, la tua rete conserva una porta WPA2. Se tutto quello che hai entra in WPA3, toglila.
2024 la legge arriva sotto l’adesivo
Per decenni questo è stato un problema di consigli. Adesso è anche un problema di normativa.
Il 29 aprile 2024 è entrato in vigore nel Regno Unito il regime della PSTI, la legge sulla sicurezza dei prodotti connessi, che vieta le password predefinite universali negli apparecchi di consumo: finito il modello per cui tutte le unità di un prodotto uscivano di fabbrica con la stessa chiave. La legge ammette invece una password predefinita unica per unità, che è proprio il caso dell’adesivo con una stringa diversa su ogni router. Nell’Unione europea, i requisiti di cibersicurezza della Direttiva sulle apparecchiature radio — il Regolamento delegato (UE) 2022/30 — sono di applicazione obbligatoria dal 1º agosto 2025.
Da lì si deducono due cose, e non sono la stessa. La prima: i router nuovi arriveranno messi meglio di fabbrica. La seconda, quella che tocca a te: niente di tutto questo si applica all’indietro all’apparecchio che hai già in salotto. Se sta lì da sei anni, a casa tua vige ancora il mondo di prima.
La rete ospiti, ovvero smettere di dettare la tua chiave
Pensa a quante persone sanno la tua chiave del wifi. Il cognato, la babysitter, l’amico venuto a cena nel 2022 che ha ancora il telefono configurato, il tecnico salito a installare qualcosa.
Nessuno di loro ha soltanto un permesso per uscire su internet: ognuno ha un dispositivo dentro la tua rete locale, accanto al tuo disco di rete, alla stampante e alle telecamere. E non hai la minima idea di come stia messo quel dispositivo.
La rete ospiti è la risposta, ed è una funzione che hai già e non usi. La CISA lo dice a chiare lettere: se il tuo router ha la rete ospiti, attivala, dalle una password sua — lunga, casuale e unica — e falla usare a chiunque non si colleghi abitualmente al tuo wifi. E aggiungi quello che quasi nessuno fa: mandaci anche gli oggetti connessi — la presa intelligente, la televisione, il robot — se l’unica cosa che gli serve è uscire su internet, così non possono scoprire il resto degli apparecchi di casa.
È il principio di tutto questo blog applicato al soggiorno: una credenziale per posto. Il tuo wifi principale è un posto. Le visite sono un altro.
Cosa fare, in ordine
- Entra nel pannello del router e cambia la password di amministrazione. È l’unica di questa lista che probabilmente non hai mai toccato, ed è quella che comanda di più. Lunga, casuale e diversa da quella del wifi.
- Metti una chiave wifi lunga. Cinque-sette parole senza relazione, o una stringa del generatore. La digiti una volta e poi la condividi via QR.
- Passa a WPA3 se il tuo router lo permette. Se no, WPA2 con AES.
- Disattiva il WPS e l’amministrazione remota. Due caselle, una volta sola.
- Accendi la rete ospiti e mandaci le visite e gli oggetti connessi.
- Aggiorna il firmware e lascia attivi gli aggiornamenti automatici, se ci sono.
- Non riusare nessuna delle due altrove. Se hai dubbi su qualcuna di quelle che già usi, passala dal controllo.
Niente di tutto questo richiede più di venti minuti, e sono venti minuti che si spendono una volta sola.
Il router è l’apparecchio più importante di casa tua e l’unico che si amministra da solo finché nessuno lo amministra. Sta acceso in un angolo da anni, fa il suo lavoro senza lamentarsi, ed è proprio per questo che non sembra mai il momento di guardarlo.
La password di fabbrica non è cattiva perché è corta o brutta. È cattiva perché non è tua. L’ha scelta qualcun altro, l’ha stampata su un adesivo e l’ha spedita a migliaia di case uguali alla tua. Cambiarla è la cosa più simile che esista, nell’informatica di casa, a cambiare la serratura quando ti trasferisci.
Fonti: CISA, «Project Upskill · Module 5: Securing Your Home Wi-Fi», del Joint Cyber Defense Collaborative — cambiare nome utente e password di accesso al router perché le informazioni di fabbrica possono essere pubbliche, passphrase di cinque-sette parole senza relazione e almeno sedici caratteri, WPA3 Personal o WPA2 AES come uniche cifrature considerate sicure, disattivare WPS e amministrazione remota, e attivare la rete ospiti anche per i dispositivi connessi · Wi-Fi Alliance, «WPA3 Security Considerations Overview» (aprile 2019), sulla sostituzione di WPA2-PSK con SAE, la sua resistenza agli attacchi a dizionario fuori linea e il requisito che le password restino estremamente difficili da indovinare · CERT/CC, nota di vulnerabilità VU#723755 (27 dicembre 2011), segnalata da Stefan Viehböck, la cui soluzione raccomandata è disattivare il WPS · NVD (NIST), CVE-2015-0558, su un router domestico che generava la sua chiave WPA a partire da una stringa fissa e dal proprio indirizzo MAC · avviso pubblico di SEARCH-LAB (Gergely Eberhardt) sul modem Ubee EVW3226, pubblicato su Full Disclosure nel luglio 2016 · IEEE 802.11i, che definisce la passphrase fra 8 e 63 caratteri · Regno Unito, regime del Product Security and Telecommunications Infrastructure Act, in vigore dal 29 aprile 2024 · Unione europea, Regolamento delegato (UE) 2022/30 della Direttiva sulle apparecchiature radio, di applicazione obbligatoria dal 1º agosto 2025 · NIST SP 800-63B, sulla lunghezza contro la complessità.
Foto di Jakub Zerdzicki · Pexels