Sicurezza IoT: la Germania pensa al “bollino” per certificare i router

Nov 27, 2018 Andrea Battaglia In evidenza, Mercato, News, RSS, Scenario 1

L’iniziativa punta a creare un decalogo che i produttori devono seguire per ottenere la certificazione. L’obiettivo è quello di rendere i dispositivi più sicuri.

Finalmente qualcuno si sta preoccupando davvero della sicurezza dei dispositivi IoT e lo sta facendo attraverso uno strumento che potrebbe avere un impatto decisivo sul mercato.

La mossa arriva dal Bundesamt für Sicherheit in der Informationstechnik (BSI), un ente federale per la sicurezza delle informazioni, che ha pubblicato una prima bozza contenente i requisiti che devono avere i router considerati “sicuri”.

Il regolamento, da quanto si capisce, non vieta la vendita dei dispositivi che non rispettano le norme, ma permette ai produttori che si adeguano allo standard federale di “marchiare” i loro router con un adesivo che certifica l’adesione alle linee guida stabilite dal governo.

Si tratta di un documento decisamente corposo (22 pagine) che può essere consultato nella sua versione inglese a questo indirizzo Internet e che fissa alcune caratteristiche legate principalmente alla sicurezza.

Giusto per chiarire la logica, gli estensori del documento fanno precedere il testo da una spiegazione delle tecniche di attacco utilizzate dai cyber-criminali per violare le reti domestiche.

Tra le previsioni del regolamento ci sono, per esempio, la previsione di WPA2 come protocollo predefinito per il collegamento al Wi-Fi; la restrizione dei servizi disponibili a quelli meno vulnerabili ad attacchi (DNS, HTTP, HTTPS, DHCP, DHCPv6, e ICMPv6); il divieto di prevedere account nascosti (backdoor) che non risultino dalla documentazione e una mitragliata di accorgimenti tecnici che sono chiaramente elaborati sulla base delle vulnerabilità sfruttate dai pirati informatici negli ultimi mesi.

Fissa inoltre una serie di previsioni per quanto riguarda le funzionalità disponibili nella rete privata, pubblica e guest, limitando l’agibilità per chi si connette a queste ultime due.

Il testo si preoccupa anche di rendere più difficile l’individuazione del tipo di dispositivo da parte di eventuali pirati, fissando il divieto di inserire qualsiasi indizio che possa portare all’individuazione del produttore o del modello di router partendo dall’Extended Service Set Identifier (ESSID).

Ampio spazio è poi dato alla sicurezza delle password per l’accesso al Wi-Fi e all’interfaccia di configurazione del router, a partire da quelle predefinite che vengono impostate dal produttore.

Queste dovrebbero essere univoche, avere una lunghezza minima di 20 caratteri e ancora una volta non contenere indicazioni su produttore e modello del router.

Per quanto riguarda le password impostate dagli utenti, il dispositivo deve richiedere una lunghezza minima di otto caratteri, l’uso di numeri, maiuscole/minuscole e caratteri speciali oltre a essere sottoposte a un controllo attraverso un indicatore di robustezza della password.

Insomma: un vero e proprio vademecum per la produzione di router sicuri (i temi citati in questo articolo non esauriscono le previsioni del regolamento) che potrebbe davvero contribuire a migliorare la situazione del mondo IoT.

La nostra speranza è che l’iniziativa del governo tedesco abbia un seguito e possa allargare il suo respiro per diventare una proposta condivisa, magari a livello di Unione Europea o (perché no?) mondiale. Sarebbe davvero un bel passo avanti.

Condividi l'articolo