Alemania se ha decidido a controlar y legislar por ley los routers que entran, se venden y se utilizan en todo el país, teniendo que cumplir estos una serie de requisitos mínimos de compatibilidad y seguridad para poder entrar en dicho país. La medida afectaría a los routers (SOHO), Small Office and Home Office  routers, es decir, de los usuarios domésticos, y de pequeñas empresas, que son al final y al cabo, la gran mayoría de routers  y los más potencialmente vulnerables a ser utilizados por botnets.





Ningún país se ha preocupado, hasta ahora, de los routers que se venden, de los que ceden los operadores ni de los que usa cada usuario o cada empresa, y esto al final ha dado lugar a botnets creadas a partir de routers inseguros y a una gran cantidad de problemas de seguridad en todo el mundo.

Los requisitos que Alemania quiere imponer a cualquier router que quiera conectarse en el país

La primera de las medidas que quiere imponer Alemania para los routers es que tan solo los servicios DNS, HTTP, HTTPS, DHCP, DHCPv6 y ICMPv6 estén disponibles para los usuarios de redes LAN y Wi-Fi, ninguno más. Cuando el router esté configurado, además, no se debe permitir al usuario acceder a determinados servicios WAN, como (CWMP) TR-069, SIP, SIPS o ICMPv6.

La seguridad de las redes Wi-Fi también debe ser mucho más drástica. Por ejemplo, el ESSID debe evitar mostrar información sobre la marca y modelo del router, la se debe usar WPA2 por defecto, la contraseña del Wi-Fi debe tener 20 caracteres y no tener ninguna relación con la MAC, marca o modelo del router y el cambio de la clave del Wi-Fi no debe mostrar una métrica de seguridad ni obligar a usar determinados caracteres.

Cualquier usuario debe poder cambiar la contraseña del Wi-Fi por seguridad, eso sí, si el router tiene una red Wi-Fi de invitados no se podrá acceder al panel de configuración del router desde ella. La clave de acceso a la configuración del router debe tener al menos 8 caracteres (nada de “admin”), mezclar letras mayúsculas y minúsculas y permitir al usuario cambiarla. Además, igual que con el Wi-Fi, no debe tener ninguna relación con la marca o modelo del router.

El inicio de sesión de los routers debe estar protegido contra ataques de fuerza bruta. Tampoco se deben distribuir routers con usuarios que actúen como puertas traseras no documentados. El panel de administración del router solo se podrá acceder desde LAN y Wi-Fi, aunque si algún ISP quiere poder tener acceso a él podrá hacerlo, siempre y cuando lo haga a través de TLS.

El panel de administración del router debe mostrar siempre la versión del firmware que tiene instalada, además de avisar al usuario siempre que tenga un firmware desactualizado o este haya llegado al final de su ciclo y no tenga ya actualizaciones. También se deben guardar registros de todos los inicios de sesión y facilitar el ver todas las reglas locales del firewall de este router,

Por último, el router siempre debe tener una forma de restablecer los valores de fábrica del router fácilmente.

Podemos ver la lista completa de reglas que deben tener todos estos routers en el siguiente enlace.

• https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03148/TR03148.pdf

Características Routers SOHO - Requisitos Técnicos

• Solo los servicios DNS, HTTP, HTTPS, DHCP, DHCPv6 e ICMPv6 deben estar disponibles en la interfaz LAN y WiFi.
• Si el enrutador tiene un modo WiFi de invitado, este modo no debe permitir el acceso al panel de configuración del enrutador.
• El Identificador de conjunto de servicios extendidos (ESSID) no debe contener información derivada del enrutador (como el nombre del proveedor o el modelo del enrutador).
• El router debe admitir el protocolo WPA2 y usarlo de manera predeterminada.
• Las contraseñas de WiFi deben tener una longitud de 20 dígitos o más. 
• Las contraseñas de WiFi no deben contener información derivada del enrutador (proveedor, modelo, MAC, etc.).
• El router debe permitir que cualquier usuario autenticado cambie esta contraseña.
• El procedimiento para cambiar la contraseña de WiFi no debe mostrar un medidor de fuerza de contraseña ni obligar a los usuarios a usar caracteres especiales.
• Después de la configuración, el router debe restringir el acceso a la interfaz WAN, con la excepción de algunos servicios, como (CWMP) TR-069, SIP, SIPS e ICMPv6.
• Los enrutadores deben hacer que CWMP esté disponible solo si el ISP controla la configuración del enrutador desde una ubicación central y remota.
• La contraseña para la configuración del enrutador / panel de administración debe tener al menos 8 caracteres y debe tener una configuración compleja que incluya dos de los siguientes: letras mayúsculas, letras minúsculas, caracteres especiales, números. 
• Al igual que las contraseñas de WiFi, las contraseñas del panel de administración no deben contener información relacionada con el enrutador (proveedor, modelo, MAC, etc.).
• El enrutador debe permitir al usuario cambiar esta contraseña predeterminada del panel de administración.
• La autenticación basada en contraseña DEBE estar protegida contra ataques de fuerza bruta.
• Los enrutadores no deben enviarse con cuentas no documentadas (puerta trasera).
• En su estado predeterminado, el acceso al panel de administración solo debe permitirse a través de las interfaces LAN o WiFi.
• Si el proveedor del enrutador desea exponer el panel de administración a través de WAN, debe usar TLS.
• El usuario final debe poder configurar el puerto que se utilizará para acceder a la configuración a través de la interfaz WAN.
• El panel de administración del enrutador debe mostrar la versión del firmware.
• El enrutador debe los usuarios acerca de un firmware vencido o al final de su vida útil.
• El enrutador debe mantener y mostrar un último registro de inicio de sesión.
• El enrutador debe mostrar el estado y las reglas de cualquier servicio de firewall local.
• El enrutador debe enumerar todos los servicios activos para cada interfaz (LAN / WAN / WiFi).
• Los enrutadores deben incluir una forma de realizar restablecimientos de fábrica.
• Los enrutadores deben ser compatibles con DHCP a través de LAN y WiFi. 

Botnet IoT infecta 100.000 routers para enviar spam

• Utilizan un fallo de hace 5 años para infectar más de 100.000 routers y los ponen a enviar SPAM
• Una botnet ha aprovechado una vulnerabilidad para infectar a 116 modelos de routers
• La botnet fue desarrollada en 2013, aprovechando una vulnerabilidad en el SDK del UPnP de Broadcom. 

 Una nueva botnet IoT, bautizada como BCMUPnP_Hunter, ha sido descubierta infectando routers para enviar correos electrónicos de spam.

Los investigadores de seguridad Hui Wang y RootKiter han descubierto recientemente una botnet IoT que infecta routers de diferentes marcas con el objetivo de enviar correos eléctronicos de spam a diferentes servicios de correo electrónico, como Hotmail, Outlook o Yahoo.

Esta botnet se ha bautizado con el nombre de BCMUPnP_Hunter debido al modo con el que infecta los routers. Para infectar a los routers, este malware hace uso de una vulnerabilidad de seguridad en la implementación del protocolo UPnP en los chips BroadCom encontrada en octubre de 2013. Esta vulnerabilidad de seguridad es del tipo "format string", por lo que permite al atacante explotar dicha vulnerabilidad para obtener y modificar información contenida en la memoria del proceso.

Después de realizar un escaneo, los investigadores han detectado 116 tipos diferentes de dispositivos infectados por este malware. Puede consultarse la lista completa de dispositivos detectados en la publicación de su blog.


Fuentes:
https://www.redeszone.net/2018/11/26/alemania-regular-especificaciones-routers/
https://www.zdnet.com/article/germany-proposes-router-security-guidelines/
https://unaaldia.hispasec.com/2018/11/botnet-iot-infecta-100-000-routers-para-enviar-spam.html