Alemania inicia el camino para ser el primer país que establezca reglas de seguridad en los routers

Ningún país hasta ahora se ha preocupado por regular algo tan básico como los routers, los cuales deberían comercializarse en base a ciertas reglas de seguridad . «No solo se atacan los dispositivos para dañar los activos de su propietario, sino también para ser secuestrado y formar parte de una red de 'botnets', controlada por los atacantes», asegura la Oficina Federal Alemana para la Seguridad de la Información en el documento que ha elaborado con las reglas de seguridad que deberían reunir los routers que se instalen en oficinas y hogares.

De momento se trata solo de una propuesta que, de ser aprobada, será de obligado cumplimiento para los fabricantes, quienes deberán aplicar una serie de protocolos de seguridad muy estrictos desde el punto de vista técnico. Estas son las principales conclusiones , tal y como recoge « ZDNet »:

- Solo los servicios DNS, HTTP, HTTPS, DHCP, DHCPv6 e ICMPv6 deben estar disponibles en la interfaz LAN y wifi.

- Si el router tiene un modo wifi de invitado, no debe permitir el acceso al panel de configuración.

- El identificador de conjunto de servicios extendidos (ESSID) no debe contener información derivada del dispositivo (como el nombre del proveedor o el modelo).

- El router debe admitir el protocolo WPA2 y usarlo de manera predeterminada.

- Las contraseñas de wifi deben tener una longitud de 20 dígitos o más.

- Las claves wifi no deben contener información derivada del router (proveedor, modelo, MAC, etc.).

- Debe permitir que cualquier usuario autenticado cambie esta contraseña.

- El procedimiento para cambiar la clave del wifi no debe mostrar un medidor de fuerza de contraseña ni obligar a los usuarios a usar caracteres especiales.

- Después de la configuración, el router debe restringir el acceso a la interfaz WAN, con la excepción de algunos servicios, como (CWMP) TR-069, SIP, SIPS e ICMPv6.

- El dispositivo deben hacer que CWMP esté disponible solo si el ISP controla la configuración del router desde una ubicación central y remota.

- La contraseña para la configuración del router/panel de administración debe tener al menos 8 caracteres y debe tener una configuración compleja que incluya dos de los siguientes opciones: letras mayúsculas, letras minúsculas, caracteres especiales, números.

- Al igual que las contraseñas de wifi, las claves del panel de administración no deben contener información relacionada con el dispositivo (proveedor, modelo, MAC, etc.).

- Debe permitir al usuario cambiar esta contraseña predeterminada del panel de administración.

- La autenticación basada en contraseña debe estar protegida contra ataques de fuerza bruta.

- No pueden tener usuarios que actúen como puertas traseras.

- En su estado predeterminado, el acceso al panel de administración solo debe permitirse a través de las interfaces LAN o wifi.

- Si el proveedor desea exponer el panel de administración a través de WAN, debe usar TLS.

- El usuario final debe poder configurar el puerto que se utilizará para acceder a la configuración a través de la interfaz WAN.

- El panel de administración del router debe mostrar la versión del «firmware».

- Debe mantener y mostrar un último registro de inicio de sesión. También el estado y las reglas de cualquier servicio de «firewall» local.

- El router debe enumerar todos los servicios activos para cada interfaz (LAN / WAN / WiFi).

- Deben incluir una forma de realizar restablecimientos de fábrica.

- Los routers deben ser compatibles con DHCP a través de LAN y WiFi.

La razón por la que Alemania está tomando medidas para estandarizar la seguridad de los routers tiene que ver con el ciberataque que tumbó 900.000 routers de Deutsche Telekom en 2016.

De momento, continuarán las conversaciones para establecer dichas reglas. En octubre, el estado de California aprobó una legislación estatal que establecía una normativa para las contraseñas utilizadas en los dispositivos conectados a internet (IoT), convirtiéndose en la primera regulación específica de IoT en el mundo. Si bien Alemania no está aprobando leyes oficiales de momento, se convertiría en el primer país que intente aprobar cualquier tipo de guía específica para routers.