Una guida per utenti GNU/Linux e amministratori di reti domestiche che desiderano andare oltre le configurazioni predefinite, comprendere il comportamento dei propri dispositivi e costruire un'infrastruttura più sicura, trasparente e indipendente dai servizi proprietari.
Una rete domestica moderna presenta caratteristiche che, fino a qualche anno fa, erano tipiche soprattutto di piccoli uffici: numerosi dispositivi, servizi disponibili in modo continuativo, comunicazioni verso infrastrutture remote e apparecchiature con differenti livelli di affidabilità.
Chi utilizza GNU/Linux e possiede conoscenze informatiche più approfondite può intervenire su questa infrastruttura utilizzando strumenti liberi, senza necessariamente acquistare apparati professionali o affidarsi a servizi commerciali di sicurezza.
È però indispensabile adottare un principio fondamentale: prima di modificare la rete occorre conoscerla, e prima di introdurre nuove protezioni occorre comprenderne le conseguenze.
1. Conoscere la topologia della propria rete
Il primo intervento consiste nell'identificare il gateway, la sottorete utilizzata e i dispositivi presenti.
Su Debian e altre distribuzioni GNU/Linux possiamo iniziare con:
ip -br address
ip routeIl primo comando mostra le interfacce e i relativi indirizzi, mentre il secondo permette di individuare il gateway predefinito e le reti direttamente raggiungibili.
Supponiamo, a titolo di esempio, che la nostra rete utilizzi:
- Router:
192.168.1.1 - Computer:
192.168.1.20 - Sottorete:
192.168.1.0/24
Per visualizzare i dispositivi già conosciuti dal sistema possiamo utilizzare:
ip neigh showQuesta tabella non costituisce un inventario completo, perché contiene principalmente i dispositivi con i quali il computer ha avuto interazioni recenti.
Per effettuare una ricognizione più ampia possiamo utilizzare Nmap, disponibile nei repository Debian:
sudo apt install nmapEseguiremo quindi, esclusivamente sulla nostra rete o su reti per le quali siamo autorizzati:
nmap -sn 192.168.1.0/24L'opzione -sn esegue una ricognizione degli host senza effettuare la normale scansione delle porte.
Il risultato permette di individuare diversi dispositivi raggiungibili, anche se alcuni potrebbero non rispondere per effetto delle impostazioni del firewall, dell'isolamento Wi-Fi o di altre limitazioni.
È opportuno confrontare queste informazioni con l'elenco dei client DHCP e dei dispositivi collegati disponibile nell'interfaccia del router.
2. Verificare i servizi esposti dai propri dispositivi
Dopo aver identificato un dispositivo possiamo controllare quali servizi di rete risultano accessibili.
Per esempio, su un router di nostra proprietà:
nmap -sV 192.168.1.1Il comando tenta di individuare le porte aperte e identificare i servizi che rispondono.
Potremmo trovare un'interfaccia web di amministrazione, un servizio SSH oppure altre funzionalità previste dal produttore.
La presenza di una porta aperta non costituisce automaticamente una vulnerabilità: occorre comprendere quale servizio la utilizzi, se sia necessario, quale software lo gestisca e se sia mantenuto aggiornato.
Una scansione effettuata dalla rete locale non dimostra inoltre che il medesimo servizio sia raggiungibile da Internet. Le due condizioni devono essere valutate separatamente.
3. Separare i dispositivi attraverso reti differenti
Una delle strategie più efficaci per limitare le conseguenze di una compromissione consiste nel separare i dispositivi in gruppi che non possano comunicare liberamente tra loro.
Una possibile organizzazione domestica prevede tre reti:
| Rete | Dispositivi | Esempio di sottorete |
|---|---|---|
| Principale | Computer, smartphone personali, NAS | 192.168.10.0/24 |
| IoT | Televisori, elettrodomestici, videocamere | 192.168.20.0/24 |
| Ospiti | Dispositivi temporanei | 192.168.30.0/24 |
Questi indirizzi sono soltanto esempi e non costituiscono una configurazione da applicare automaticamente.
La separazione può essere realizzata attraverso interfacce fisiche differenti, reti Wi-Fi dedicate oppure VLAN, quando router, switch e access point supportano correttamente questa tecnologia.
Una VLAN, tuttavia, non equivale automaticamente a un firewall. Occorre definire esplicitamente quali comunicazioni siano consentite tra i segmenti.
Una politica ragionevole potrebbe consentire ai dispositivi IoT di raggiungere i servizi Internet strettamente necessari, impedendo loro di iniziare connessioni verso la rete principale, salvo eccezioni documentate.
Questa configurazione può richiedere regole specifiche per DNS, DHCP, mDNS e altri protocolli utilizzati dai dispositivi domestici.
4. OpenWrt: un'alternativa libera per i router compatibili
OpenWrt è un sistema operativo libero basato su Linux, progettato per router e altri dispositivi di rete.
Quando supportato dall'hardware, permette di amministrare numerose funzionalità normalmente assenti o limitate nei firmware commerciali, tra cui firewall, segmentazione, servizi DNS, VPN e monitoraggio.
Il progetto mette a disposizione un'interfaccia web, LuCI, che consente di gestire molte operazioni senza utilizzare necessariamente il terminale.
Per creare una rete ospiti isolata è possibile seguire la documentazione ufficiale, configurando un'interfaccia dedicata, una zona firewall e le regole che permettono l'accesso a Internet senza concedere automaticamente l'accesso alla rete principale.
Occorre però evitare un errore frequente: installare un firmware alternativo soltanto perché il dispositivo sembra appartenere a una famiglia compatibile.
Prima di qualsiasi intervento bisogna verificare modello esatto, revisione hardware, disponibilità delle immagini ufficiali, procedura di installazione, possibilità di recupero e compatibilità con le funzionalità necessarie.
Un'installazione errata può rendere inutilizzabile l'apparecchio. Inoltre, alcuni dispositivi forniti dagli operatori integrano servizi telefonici o configurazioni particolari che potrebbero non essere supportati da firmware alternativi.
Il Software Libero rappresenta una possibilità di controllo, non un invito a effettuare modifiche senza verifiche.
5. Monitorare il traffico con strumenti liberi
Un altro livello di analisi riguarda le comunicazioni effettuate dai dispositivi.
Su GNU/Linux possiamo utilizzare tcpdump:
sudo apt install tcpdumpPer osservare le richieste DNS tradizionali sulla nostra interfaccia di rete:
sudo tcpdump -i any -nn 'udp port 53 or tcp port 53'Il comando mostra pacchetti DNS visibili dal computer sul quale viene eseguito. Non permette automaticamente di osservare tutto il traffico degli altri dispositivi e non intercetta le richieste DNS cifrate effettuate attraverso protocolli differenti, come DNS over HTTPS.
Per analizzare il traffico di un'intera rete è necessario disporre di un punto di osservazione adeguato, per esempio il router stesso oppure una porta di mirroring configurata su uno switch gestito.
Wireshark offre funzionalità più approfondite e un'interfaccia grafica che facilita l'analisi dei protocolli.
È importante ricordare che monitorare il traffico di rete può esporre informazioni riservate. Questi strumenti devono essere utilizzati esclusivamente sui propri sistemi o con autorizzazione, conservando i dati raccolti soltanto per il tempo necessario.
6. DNS locale e controllo delle richieste
Un resolver DNS locale permette di gestire in modo più consapevole la risoluzione dei nomi utilizzati dai dispositivi domestici.
Tra gli strumenti liberi disponibili troviamo Unbound, utilizzabile come resolver ricorsivo, e Pi-hole, che può filtrare richieste verso domini presenti in liste di blocco.
Questi strumenti consentono di ottenere maggiore visibilità sulle richieste DNS e, in alcune configurazioni, di ridurre i collegamenti verso domini pubblicitari, di tracciamento o notoriamente malevoli.
Non devono però essere considerati antivirus o sistemi capaci di impedire ogni comunicazione indesiderata.
Un dispositivo può utilizzare indirizzi IP direttamente, resolver differenti oppure protocolli DNS cifrati, aggirando il controllo esercitato dal resolver locale.
Inoltre, il blocco di determinati domini può compromettere il funzionamento di servizi legittimi.
La scelta delle liste, la gestione delle eccezioni e la conservazione dei log devono quindi essere effettuate con attenzione.
7. Firewall: il principio del minimo privilegio
Una configurazione avanzata dovrebbe seguire il principio del minimo privilegio: consentire soltanto le comunicazioni necessarie al funzionamento dei servizi.
Su Debian, nftables costituisce uno degli strumenti disponibili per configurare il firewall del sistema.
È però importante distinguere il firewall del singolo computer da quello del router. Proteggere un computer con nftables non significa automaticamente filtrare le comunicazioni di tutti gli altri dispositivi domestici.
Le regole devono essere applicate nel punto corretto della rete, tenendo conto del traffico IPv4 e IPv6, delle connessioni già stabilite e delle eventuali esigenze di comunicazione tra segmenti.
Prima di modificare un firewall amministrato a distanza occorre predisporre un meccanismo di recupero: una regola errata potrebbe interrompere completamente l'accesso al dispositivo.
Per questo motivo è preferibile costruire la configurazione in modo progressivo, verificando ogni modifica prima di procedere.
8. Come riconoscere una possibile compromissione
Alcuni segnali possono giustificare un controllo approfondito: modifiche inspiegabili delle impostazioni DNS, servizi amministrativi attivati senza autorizzazione, dispositivi sconosciuti, riavvii anomali o traffico persistente non riconducibile alle normali attività.
Nessuno di questi elementi, considerato isolatamente, dimostra necessariamente la presenza di un attacco.
Quando esistono sospetti fondati, è opportuno documentare le anomalie, isolare i dispositivi interessati quando possibile, verificare gli avvisi ufficiali del produttore e utilizzare un sistema affidabile per proteggere gli account eventualmente coinvolti.
In presenza di una vulnerabilità del firmware, la sola modifica della password potrebbe non essere sufficiente.
Nei casi più gravi può rendersi necessaria la reinstallazione di un firmware ufficiale affidabile, il ripristino controllato della configurazione o la sostituzione del dispositivo, soprattutto quando il supporto di sicurezza è terminato.
9. La libertà tecnologica richiede anche responsabilità
Una rete costruita con strumenti liberi non è automaticamente sicura, così come una rete basata su apparecchiature proprietarie non è automaticamente vulnerabile.
Il vantaggio fondamentale del Software Libero consiste nella possibilità di studiare, verificare, modificare e condividere il software, riducendo alcune forme di dipendenza e rendendo possibili controlli indipendenti.
Queste possibilità diventano realmente efficaci soltanto quando sono accompagnate da manutenzione, documentazione, aggiornamenti e pratiche amministrative corrette.
L'obiettivo non deve essere costruire una rete domestica inutilmente complessa, ma ottenere un'infrastruttura comprensibile, proporzionata alle esigenze e sulla quale sia possibile esercitare un controllo effettivo.
Come Collettivo TUXSA consideriamo la sicurezza una componente della libertà digitale: conoscere il funzionamento delle tecnologie, poter scegliere come utilizzarle e disporre degli strumenti necessari per proteggerle sono condizioni essenziali per una cittadinanza realmente consapevole.