Perché il WPS nel router è pericoloso e come disattivarlo

Lasciare attivo il sistema WPS sul modem di casa apre una porta di accesso immediata verso la propria rete locale. Nonostante le password complesse impostate per la connessione senza fili, questo protocollo espone un codice numerico fragile che permette a chiunque si trovi nelle vicinanze di bypassare le difese in poche ore.

La funzione è nata per agevolare il collegamento di stampanti e ripetitori senza digitare lunghe chiavi di rete, ma la modalità basata su codice a otto cifre contiene una debolezza originale mai sanata. Conoscere il funzionamento di questa falla serve a capire per quale motivo la disattivazione del servizio nel pannello di controllo rimane l'unica misura di protezione valida.

LEGGI ANCHE: Trovare le password di accesso a reti Wifi protette

Perché il codice PIN del WPS espone la rete locale

Il sistema scompone il PIN di otto cifre in due blocchi separati durante la negoziazione. Il router verifica i primi quattro numeri prima di controllare i rimanenti, riducendo le combinazioni totali da cento milioni a sole undicimila tentativi. Questo errore architetturale permette la violazione rapida tramite prove ripetute.

Durante lo scambio di messaggi di autenticazione, il dispositivo che tenta l'accesso riceve una risposta negativa intermedia se la prima metà del codice è errata. Questo comportamento comunica in anticipo all'interlocutore che i primi quattro numeri sono corretti, lasciando da individuare solo l'altra metà. L'ultima cifra funge peraltro da semplice somma di controllo calcolata sui valori precedenti, riducendo il secondo blocco a sole mille varianti possibili.

Un generatore automatico di sequenze non deve quindi elaborare l'intero codice numerico da otto cifre: gli bastano diecimila tentativi per la prima porzione e mille per la seconda, completando l'analisi in un lasso di tempo ridotto rispetto a qualsiasi attacco diretto contro lo standard WPA2.

Gli strumenti di verifica e la risposta dei modem moderni

Il programma Reaver è stato il capostipite delle utilità nate per dimostrare sul campo la debolezza del protocollo. Operando su distribuzioni Linux specializzate come Kali Linux, il software invia richieste continue di associazione simulando l'inserimento manuale del PIN fino a isolare la sequenza corretta e farsi restituire la chiave di rete in chiaro.

Negli anni successivi la ricerca ha prodotto varianti più aggressive come Pixiewps, basata sull'attacco denominato Pixie Dust. Questa metodologia sfrutta l'assenza di vero disordine nei generatori di numeri pseudocasuali usati da alcuni costruttori di chip di rete: catturando un singolo scambio di pacchetti, il calcolo della combinazione avviene interamente fuori dalla rete in pochi secondi, senza dover interrogare il modem migliaia di volte.

I dispositivi distribuiti negli ultimi anni integrano contromisure rigide che rendono questi tentativi molto complessi. La difesa principale si chiama blocco temporale del WPS: quando il modem rileva tre o quattro tentativi errati consecutivi, disabilita il servizio per un intervallo che varia da mezz'ora a diversi giorni, oppure richiede il riavvio manuale dell'alimentatore per sbloccarsi.

Chi cerca soluzioni rapide tramite smartphone prova spesso le app WPA WPS Tester per trovare le chiavi di accesso alle reti wifi. Queste applicazioni si basano su elenchi di PIN predefiniti usati in passato dagli operatori telefonici: sui modem moderni la loro efficacia è pressoché nulla, mentre l'uso di suite come scoprire la chiave protetta del Wifi con wifite evidenzia come la maggioranza degli access point odierni risponda con un blocco immediato della porta.

L'insidia del finto spegnimento nei modem degli operatori

Disattivare la voce nelle impostazioni grafiche del router non garantisce sempre la chiusura effettiva della trasmissione radio. Su diversi apparati distribuiti dai gestori di telefonia, togliere la spunta alla casella del WPS spegne la risposta del tasto fisico frontale ma lascia attivo il processo interno che ascolta le richieste di connessione.

A questo si aggiunge la manutenzione automatica operata da remoto: quando il fornitore della linea invia un aggiornamento del firmware durante le ore notturne, i parametri modificati dagli utenti vengono talvolta riscritti. Il router torna alla configurazione iniziale di fabbrica, riattivando il codice PIN e lasciando la rete esposta senza che la spia luminosa segnali alcun cambiamento.

Come collegare stampanti e prese smart senza usare il PIN

L'esigenza di associare alla rete dispositivi privi di tastiera o schermo, come telecamere economiche, lampadine intelligenti o stampanti di rete, spinge molte persone a mantenere attivo il protocollo per comodità. Esistono metodi alternativi che azzerano il pericolo di intrusioni esterne:

• Uso esclusivo del pulsante fisico temporizzato. Se l'accessorio non supporta altre modalità di configurazione, selezioniamo nel modem unicamente la modalità PBC (Push Button Configuration), disabilitando qualsiasi riferimento al PIN. Questa finestra temporale rimane aperta per soli due minuti dopo la pressione del tasto fisico, azzerando le prove a distanza.
• Configurazione tramite punto di accesso provvisorio. Molti elettrodomestici moderni generano una propria rete Wi-Fi temporanea durante la prima accensione. Collegando lo smartphone a questa linea tramite l'applicazione dedicata, possiamo trasmettere le credenziali di casa in modo cifrato senza toccare il WPS.
• Adozione dello standard Wi-Fi Easy Connect. Sulle generazioni recenti di router Wi-Fi 6 e Wi-Fi 7, il vecchio protocollo viene sostituito dal sistema DPP (Device Provisioning Protocol). L'accoppiamento avviene inquadrando un codice QR stampato sull'apparecchio tramite fotocamera, con uno scambio di chiavi crittografiche pubbliche immune da qualsiasi intercettazione.

I passaggi per disattivare il protocollo nel pannello di controllo

Per blindare l'accesso alla rete senza fili occorre entrare nel router digitando l'indirizzo gateway nel browser e intervenire direttamente sulle impostazioni radio:

• Accesso alla sezione senza fili. Raggiungiamo il menu dedicato alle opzioni Wi-Fi avanzate, solitamente contrassegnato come Wireless o Sicurezza.
• Spegnimento del PIN. Troviamo la voce specifica del WPS e posizioniamo l'interruttore su spento. Se il software divide le opzioni, azzeriamo la voce relativa al PIN statico e manteniamo disattivata la registrazione esterna dei dispositivi.
• Riavvio del modem. Dopo aver salvato le modifiche, riavviamo l'apparecchio dal pulsante di accensione per forzare la chiusura definitiva dei processi in memoria.

Le impostazioni per rendere inattaccabile la rete senza fili

La disattivazione del codice numerico deve accompagnarsi a una revisione delle altre opzioni di trasmissione radio per configurare il router wireless per una rete Wi-Fi sicura a casa:

• Adozione dello standard WPA3 o WPA2 con cifratura AES. Dobbiamo eliminare i vecchi formati TKIP o WEP, ormai superati e privi di resistenza. Lo standard WPA3 protegge la connessione da qualsiasi tentativo di cattura del traffico anche in presenza di una parola d'accesso corta.
• Isolamento della rete secondaria per gli ospiti. Creando un punto di accesso separato per amici e apparecchi domotici, evitiamo che dispositivi non aggiornati condividano lo stesso spazio di rete dei nostri computer principali.
• Limitazione della copertura radio. Se l'abitazione si sviluppa su una superficie modesta, possiamo ridurre la potenza di emissione del segnale dal pannello di controllo oppure privilegiare la frequenza a 5 GHz, la quale fatica a superare le pareti perimetrali e impedisce la ricezione del segnale all'esterno dell'edificio.

Diario di bordo di Navigaweb

Controllando il modem di casa dopo un aggiornamento automatico inviato dal gestore telefonico, ho scoperto che il WPS si era riattivato da solo, mostrando la dicitura attivo nella schermata di stato. Ho provato a disabilitarlo dal menu web, ma una scansione passiva mostrava che il modulo continuava a rispondere ai pacchetti di richiesta. L'anomalia è rientrata solo disattivando la voce, salvando la configurazione e riavviando fisicamente l'apparecchio con il tasto di alimentazione posteriore. Il controllo da fare periodicamente è semplice: dopo ogni aggiornamento del modem, verificate che la spia luminosa del WPS sia spenta e riavviate sempre il dispositivo per essere certi che il comando sia stato recepito.

In un'altra guida vi abbiamo mostrato altri metodi per Catturare pacchetti e spiare il traffico sulle reti wifi.