Disattivare UPnP e mettere al sicuro la rete locale

I risultati di una ricerca condotta dagli esperti di Rapid7, società specializzata nella sicurezza informatica, hanno portato alla luce un problema, ampiamente diffuso, che interesserebbe milioni di utenti in tutto il mondo. Secondo quanto rivelato da HD Moore, famoso esperto in materia di sicurezza, durante le indagini condotte dal team di Rapid7, circa 81 milioni di indirizzi IP unici collegati alla rete Internet avrebbero evidenziato la presenza delle vulnerabilità oggetto d’esame.

Al centro delle ricerche condotte da HD Moore e dai suoi collaboratori vi è PnP (Universal Plug and Play), un protocollo che facilita le comunicazioni tra dispositivi e computer, abilitato di default su milioni di sistemi tra i quali router, stampanti, media server, videocamere IP, smart TV, server per lo storage di rete e così via. Il supporto per UPnP è altresì attivato in modo predefinito sui sistemi Windows, su Mac OS X e su molte distribuzioni Linux.

HD Moore spiega che UPnP soffre di un gran numero di problematiche di sicurezza piuttosto “basiche” che sono state messe in luce, addirittura, da ben dodici anni a questa parte. Sono pochi, poi, i produttori di dispositivi che implementano meccanismi di autenticazione su UPnP. Così, spesso accade che l’accesso a dati personali diventa possibile da una rete informatica non affidabile.

Nel documento di Rapid7, scaricabile cliccando qui, si spiega che – durante i test condotti nelle scorse settimane – ben 81 milioni di IP unici hanno risposto a richieste UPnP standard formulate da remoto.
Ottenendo risposta, un aggressore può facilmente sferrare una attacco che abbia come obiettivo quello di eseguire codice nocivo in modalità remota. Risultato? Lo stesso malintenzionato potrebbe arrivare a rubare password e sottrarre dati sensibili, impiantare malware o prendere pieno possesso dei sistemi vulnerabili.

HD Moore preconizza un’ecatombe se i vari soggetti, dal singolo utente sino al provider Internet, non porranno in essere alcune azioni di fondamentale importanza.

Agli Internet provider, il documento di Rapid7 consiglia di accertarsi che il protocollo UPnP non sia esposto sull’interfaccia WAN. Tale verifica dovrebbe essere condotta su qualunque modem o router fornito dal provider Internet a tutti i suoi clienti.
Analogamente, ogni azienda dovrebbe accertarsi che nessuno dei dispositivi di rete che si affacciano sulla rete Internet esponga UPnP. Anche gli utenti home ed i possessori di device mobili dovrebbero verificare che i loro modem-router o comunque i dispositivi utilizzati per collegarsi alla Rete non facciano uso di UPnP. Secondo Rapid7 ben 6.900 prodotti hardware sarebbero vulnerabili ad attacchi UpnP.

Il supporto per il protocollo UPnP viene previsto, in molti router, a partire dal 2002-2003. Oggi, inoltre, molti altri dispositivi hardware (TV, riproduttori DVD, console di gioco, videocamere IP, stampanti, fax…) utilizzano per default il medesimo protocollo che non prevede alcun tipo di autenticazione. L’assenza di un meccanismo di autenticazione è stata pensata per permettere il dialogo immediato e semplificato tra i vari dispositivi UPnP connessi alle stessa rete locale.
Il grave errore è che UPnP non è stato concepito per l’interazione con device remoti, connessi con la rete Internet ma solo per facilitare lo scambio di dati tra le varie periferiche connesse alla rete locale. Estendendo alla rete Internet l’utilizzo di UPnP, si offre il fianco ad attacchi sferrati da parte di malintenzionati (si regala un accesso diretto alla rete locale).
“L’errore è dei produttori di router“, sostiene Steve Gibson. “Ormai che la frittata è fatta, l’unica cosa che i produttori possono e devono fare, è rilasciare un aggiornamento del firmware per i vari loro prodotti hardware“.
Per verificare se il proprio router rispondesse alle richieste di connessione attraverso il protocollo UPnP, è possibile ricorrere al test pubblicato da Steve Gibson a questo indirizzo.
Tutto ciò che bisognerà fare, è cliccare sul pulsante Proceed quindi su GRC’s Instant UPnP Exposure Test.