Milioni di router domestici prodotti da Asus, Netgear, D-Link, TP-Link e altri marchi noti del settore rappresentano un grave rischio per la sicurezza degli utenti. A lanciare l’accusa è il Fraunhofer Institute for Communication (FKIE) tedesco, con un rapporto che ha preso in esame 127 diversi router commercializzati da 7 aziende differenti.
Stando a quanto si legge nell’Home Router Security Report 2020, anche con la versione di firmware più recente disponibile i 127 router in oggetto sono tutti vulnerabili in maniera più o meno variabile. Anzi: dei router analizzati, 46 non hanno ricevuto alcun aggiornamento di sicurezza nell’ultimo anno. Asus, AVM e Netgear fanno meglio, in questo caso, mentre D-Link, Linksys, TP-Link e Zyxel sono più lenti con gli update.
In generale, accusano da FKIE, è l’intera questione sicurezza a non essere granché prioritaria per i grandi produttori di router domestici. Il 90% dei dispositivi analizzati usa Linux, ma la maggior parte è ancora basata su una versione del kernel del Pinguino (la 2.6) risalente al 2011. Di conseguenza, i router in oggetto includono un gran numero di falle CVE critiche che sono state nel frattempo corrette nelle versioni recenti di Linux.
Oltre alle vulnerabilità CVE critiche, i router domestici soffrono anche della ben nota abitudine dei produttori di infilare credenziali di accesso di default nel firmware. Scoperte tali credenziali, i cyber-criminali hanno gioco facile nel programmare worm e altri tipi di minacce in grado di compromettere i dispositivi vulnerabili con attacchi di massa.
In quest’ultimo caso, l’unica azienda a non includere credenziali hard-coded nei propri router è Asus. Anche considerando questo particolare, in ogni caso, l’FKIE avverte: nei test effettuati non esiste un singolo router che sia risultato privo di falle. La sicurezza dovrebbe diventare una vera priorità anche in questo genere di mercato.