Un hotspot radioamatoriale moderno è anche un piccolo server Linux connesso alla rete.
Può esporre dashboard, SSH, API, servizi di gestione e connessioni verso master remoti. Se configurato male, può diventare un punto di ingresso nella rete domestica o nella postazione.
La sicurezza non deve essere considerata un problema riservato alle grandi aziende.
Cambiare le credenziali
Qualsiasi password predefinita o conosciuta pubblicamente deve essere sostituita.
La password dovrebbe essere:
- lunga;
- unica;
- non riutilizzata;
- conservata in un password manager;
- diversa da quella del router;
- assegnata individualmente agli amministratori.
CISA raccomanda esplicitamente di eliminare le password predefinite dalle infrastrutture di comunicazione.
Non esporre direttamente i servizi
Aprire sul router le porte di SSH, dashboard o pannelli di controllo espone il dispositivo a Internet.
È preferibile accedere attraverso:
- VPN;
- rete privata;
- tunnel sicuro;
- servizio remoto con autenticazione forte;
- indirizzi consentiti;
- autenticazione a chiave.
La documentazione Raspberry Pi raccomanda l’uso dell’autenticazione SSH basata su chiavi per aumentare la sicurezza rispetto alla sola password.
Aggiornamenti
Il sistema operativo, i pacchetti e il software radio devono essere mantenuti aggiornati.
Prima di un aggiornamento remoto è opportuno:
- creare un backup;
- verificare spazio disponibile;
- leggere le note di rilascio;
- controllare compatibilità del modem;
- prevedere una modalità di recupero;
- evitare l’aggiornamento prima di un evento importante.
Aggiornare senza possibilità di accesso fisico può lasciare la postazione irraggiungibile.
Firewall
Il firewall dovrebbe permettere soltanto i servizi necessari.
Un hotspot normalmente non deve accettare connessioni da qualunque indirizzo su numerose porte.
È utile distinguere:
- traffico verso il master;
- gestione locale;
- telemetria;
- aggiornamenti;
- accesso amministrativo;
- servizi pubblici.
Ogni porta aperta deve avere una ragione documentata.
Separazione delle reti
Il dispositivo radio può essere collocato in:
- VLAN dedicata;
- rete ospiti isolata;
- segmento separato;
- router secondario;
- rete di management.
In questo modo, anche una compromissione dell’hotspot non offre accesso diretto a computer personali, NAS, telecamere e domotica.
Dashboard pubbliche
Una dashboard può mostrare:
- indirizzi IP;
- versioni software;
- Radio ID;
- TalkGroup;
- nominativi;
- stato della rete;
- uptime;
- percorsi locali;
- informazioni del sistema.
Prima di renderla pubblica bisogna valutare quali dati siano realmente necessari.
La sola oscurità dell’indirizzo non è una protezione.
Backup
Il backup deve comprendere:
- configurazione;
- file di rete;
- credenziali protette;
- immagine del sistema;
- certificati;
- chiavi;
- elenco delle versioni;
- documentazione.
Una copia deve essere conservata fuori dal dispositivo.
Il backup deve essere anche provato. Un file mai ripristinato non offre la certezza di essere utilizzabile.
Log
I log aiutano a rilevare:
- tentativi di accesso;
- autenticazioni fallite;
- riavvii;
- disconnessioni;
- errori del modem;
- variazioni di configurazione;
- traffico anomalo.
La conservazione deve però essere bilanciata con lo spazio disponibile e con la vita della scheda SD.
Minimo privilegio
I servizi non dovrebbero essere eseguiti tutti come amministratore.
Gli utenti devono ricevere soltanto i permessi necessari. Un account usato per consultare la dashboard non dovrebbe poter modificare il sistema.
Accesso fisico
La sicurezza informatica non sostituisce quella fisica.
Chi può rimuovere la scheda SD, collegare una tastiera o premere il reset può spesso aggirare molte protezioni.
Nelle postazioni remote bisogna proteggere:
- armadio;
- porte USB;
- rete Ethernet;
- alimentazione;
- console seriale;
- scheda di memoria;
- documentazione.
Piano in caso di compromissione
Il gestore dovrebbe sapere come:
- isolare il dispositivo;
- revocare credenziali;
- cambiare chiavi;
- verificare i log;
- reinstallare da immagine pulita;
- controllare gli altri dispositivi;
- informare gli amministratori della rete;
- documentare l’accaduto.
Conclusione
Un hotspot sicuro non richiede una struttura militare. Richiede disciplina:
- niente password predefinite;
- niente porte aperte senza motivo;
- accesso remoto protetto;
- aggiornamenti controllati;
- reti separate;
- backup verificati;
- log monitorati.
La radio digitale collega persone e territori. La sicurezza impedisce che lo stesso collegamento venga usato contro l’infrastruttura.