¿Quién sabe qué mal acecha en el interior de las cámaras web? Después del ataque DDoS a Dyn del mes pasado, esta pregunta está en la mente de todos los encargados de seguridad. Hace poco, alguien me preguntó si no deberíamos adoptar un nuevo nombre para la Internet de las Cosas (IoT) porque el término existente es demasiado vago. Respondí que justamente esta vaguedad da el efecto deseado: muchas personas tienen poca o ninguna noción de cuántos dispositivos de su casa ya están interconectados. Estamos rodeados de cosas que son efectivamente computadoras habilitadas para transmitir datos por la web, y la mayoría de la gente ni siquiera sabe que estos dispositivos y artefactos necesitan protegerse.
Entonces, ¿qué medidas debes tomar para ayudar a proteger los dispositivos y disminuir las posibilidades de que se utilicen con fines maliciosos? Hay varias cosas que puedes hacer, más allá de que sepas o no qué dispositivos necesitan protección exactamente. Por un lado, puedes mejorar la seguridad de cada dispositivo de la IoT en forma individual, lo que es ideal si llevas uno de estos encima y te acompaña en tus tareas cotidianas. Por otro lado, si refuerzas la configuración de tu router doméstico, podrás proteger todos los dispositivos conectados mientras están en tu casa.
Así que, para comenza, protege tu router con esos 11 consejos.
#1 Cambia el nombre de usuario y la contraseña predeterminados
Los routers y dispositivos de la IoT a menudo vienen con credenciales predeterminadas que cualquiera puede encontrar fácilmente mediante una búsqueda rápida en su navegador favorit, así que utiliza la página web o la app proporcionada por el fabricante del router y ajusta la configuración.
Cambia tanto el nombre de usuario como la contraseña por otra combinación fuerte y única. Algunos dispositivos de la IoT te brindan la opción de cambiar el nombre de usuario y/o la contraseña, y debes hacerlo siempre que sea posible.
#2 Deshabilita el servicio Universal Plug and Play (UPnP)
A menos que sepas específicamente que necesitarás usar el servicio UPnP, desactiva esta opción desde la configuración del router. Si dejas esta función habilitada, les permitirás a otras personas acceder a tu red sin autenticación, ya que se trata de un conjunto de protocolos de comunicación que permite a periféricos como impresoras, dispositivos móviles y puntos de acceso Wi-Fi descubrir la presencia de otros dispositivos en la red y establecer servicios de red de comunicación, compartición de datos y entretenimiento.
En caso de que no sepas si lo utilizas o no, es poco probable que notes alguna diferencia tras deshabilitarlo.
#3 Desactiva la administración remota
Al desactivar la administración remota (también se puede llamar "Acceso Web"), será necesario el acceso físico al router para poder cambiar su configuración.
#4 Cambia el nombre de tu punto de acceso
Elige un nombre que no evidencie el tipo de router que estás utilizando ni el punto de acceso. Si bien no hará una gran diferencia en materia de seguridad, por lo general es un cambio muy sencillo que les dificulta un poco las cosas a los atacantes.
#5 Establece una contraseña para acceder a tu conexión Wi-Fi
Permitir que la gente se conecte a tu Wi-Fi sin una contraseña invita al uso indebido de tu red, así que siempre usa un cifrado fuerte (el mejor es WPA2) para limitar el número de personas que pueden usar tu punto de acceso. Elige una buena contraseña, y no la escribas donde otros la puedan ver, como habían hecho en el estadio del Super Bowl 48, o como hacía Susan en la serie Mr. Robot.
#6 Actualiza el software de tu router y dispositivos IoT
La mayoría de las personas directamente no saben cómo verificar si su router o sus dispositivos IoT requieren la instalación de actualizaciones de seguridad. En caso de que tu dispositivo no te pida automáticamente que apliques los parches de seguridad apenas están disponibles, agrega un recordatorio en tu calendario para comprobar si hay actualizaciones cada mes o cada tres meses.
#7 Investiga lo que vas a comprar
Si estás pensando en comprar un nuevo router o dispositivo, un poco de investigación adicional puede ayudarte a mejorar las probabilidades de conseguir uno que haya sido diseñado desde un comienzo teniendo en cuenta la seguridad (o al menos que no tenga demasiados problemas en la actualidad).
#8 Lee las revisiones
Lee las revisiones online de routers y dispositivos IoT antes de comprarlos, prestando especial atención a la facilidad de uso, en particular en lo que se refiere a las características de seguridad que ofrecen. Si bien es posible configurar cualquier router para hacerlo más seguro, si no quieres tener que entrar en demasiados detalles para lograrlo (como tener que instalar un software para routers de terceros), es esencial que suministre opciones de configuración fáciles de entender. Los dispositivos de IoT aún son una novedad, por lo que el software alternativo todavía no es una opción, así que es aún más importante que sean fáciles de proteger.
#9 Verifica las vulnerabilidades conocidas
Busca proveedores y productos específicos en los detalles de Vulnerabilidades y Exposiciones Comunes (CVE) para ver si tienen vulnerabilidades conocidas. También hay sitios que se encargan de recopilarlas, como routerpwn.
Si el producto que buscas tiene vulnerabilidades, también puedes hacer una búsqueda usando el número de CVE específico para ver si hay un parche disponible. Naturalmente, lo mejor es evitar los dispositivos que ya tienen problemas de fallas de seguridad y que no ofrecen parches para solucionarlos.
#10 Verifica los problemas conocidos
Busca fabricantes para ver si otros clientes han reportado algún problema, o si hay acciones gubernamentales contra la empresa. Utiliza tu navegador favorito para buscar el nombre del producto o del proveedor junto con la palabra "retirar" o "recall" (en inglés) para ver si tienen problemas y están retirando el producto del mercado.
#11 Lee detenidamente el sitio web del fabricante
Mira el sitio web del fabricante y lee su política de privacidad para ver si es legible y clara. Mientras estás allí, fíjate si tiene una política de divulgación responsable, para asegurarte de que está dispuesto a manejar los defectos apropiadamente a medida que aparezcan.
Aunque es poco probable que tus dispositivos domésticos hayan participado del ataque de DDoS del mes pasado, es muy posible que este evento haya sido solo una prueba preliminar de los atacantes. Si las empresas refuerzan la seguridad de sus dispositivos y empezamos a proteger nuestros dispositivos desde casa, reduciremos significativamente el número de plataformas disponibles que pueden aprovechar los atacantes en su próximo intento.
