Come scegliere un router Wi-Fi con crittografia WPA3 e DNS privato per proteggere la rete domestica

Il router domestico funge da porta digitale d’ingresso dell’abitazione: gestisce il traffico di tutti i dispositivi collegati, dagli smartphone agli elettrodomestici intelligenti. Anche se ogni apparecchio dispone di impostazioni proprie, il router occupa una posizione centrale perché instrada le connessioni di tutta la casa e consente di applicare insieme le politiche di sicurezza e privacy.

Questa gestione centralizzata non significa che il router possa risolvere da solo tutti i problemi di sicurezza, ma lo rende un punto fondamentale di protezione della rete locale. Le decisioni prese al suo interno — per esempio quali opzioni di crittografia attivare o come gestire le richieste DNS — possono influire su più dispositivi contemporaneamente, anziché richiedere modifiche separate su ciascuno.

Secondo INCIBE, la connettività della casa intelligente comporta rischi se non viene gestita correttamente, tra cui la perdita della privacy e il controllo remoto non autorizzato. I dispositivi collegati alla rete possono essere esposti a questi rischi; è quindi opportuno considerare la configurazione del router come una prima linea di difesa, non come una garanzia assoluta.

La configurazione determina, tra le altre cose, quali dati escono dalla rete e come vengono protetti durante la trasmissione. Per questo, quando si sceglie un dispositivo, è utile guardare oltre velocità e copertura: anche le opzioni di sicurezza disponibili e la possibilità di mantenerle aggiornate sono specifiche rilevanti.

Introdotto nel 2018 dalla Wi-Fi Alliance, WPA3 è il più recente standard di sicurezza per le reti wireless. Il cambiamento è importante perché le chiavi di accesso proteggono la connessione tra i dispositivi e il router, e il metodo usato per autenticare tale connessione ne influenza la resistenza ai tentativi di indovinare la password.

WPA2 utilizza la crittografia AES, più robusta del TKIP impiegato in WPA, ma nel 2017 è risultato vulnerabile all’attacco KRACK. WPA3 integra SAE (Simultaneous Authentication of Equals), un metodo di autenticazione che ostacola in modo significativo gli attacchi di forza bruta contro password deboli. Ciò non elimina l’importanza di scegliere una password adeguata, ma offre una protezione più solida durante l’autenticazione.

Per verificare la compatibilità, consulta la scheda tecnica del modello specifico e il relativo manuale utente; il marchio o il fatto che il router sia recente non bastano. Cerca un riferimento esplicito a WPA3 e controlla quali modalità si possono attivare dall’interfaccia web di amministrazione. La disponibilità può variare tra modelli dello stesso produttore.

Molti router moderni offrono WPA3 oppure una modalità mista WPA3/WPA2 (AES). Quest’ultima consente di mantenere connessi i dispositivi meno recenti che non supportano WPA3, mentre quelli compatibili possono usare lo standard più aggiornato. Prima di selezionare l’opzione, è opportuno consultare le indicazioni del produttore per capire come viene applicata la modalità mista su quel dispositivo.

In alcuni modelli più vecchi, un aggiornamento del firmware può aggiungere WPA3. Tuttavia, non tutti i dispositivi precedenti sono compatibili e non si deve dare per scontato che basti un aggiornamento: il supporto va confermato nella documentazione del produttore. Se l’opzione non compare, il manuale o il servizio di assistenza possono chiarire se il dispositivo la supporta.

Il sistema DNS traduce i nomi di dominio digitati nel browser in indirizzi IP che consentono di individuare i servizi su Internet. Se queste richieste non sono crittografate, terzi possono intercettarle e conoscere i domini consultati, rivelando potenzialmente parte della cronologia di navigazione. Proteggere le richieste è quindi un aspetto distinto dalla crittografia Wi-Fi: riguarda le informazioni sulle destinazioni richieste.

Configurare sul router un DNS privato o crittografato, tramite DoH (DNS over HTTPS) o DoT (DNS over TLS), protegge le richieste durante la trasmissione. Può inoltre contribuire a evitare filtri indesiderati o il monitoraggio da parte dei fornitori di servizi. Per utilizzarlo, il router deve offrire l’opzione pertinente e il servizio DNS scelto deve essere compatibile con la modalità configurata.

L’AEPD raccomanda alle famiglie di considerare la privacy quando configurano il DNS domestico e di scegliere soluzioni conformi alle norme sulla protezione dei dati. Segnala inoltre che configurare il DNS sui router o sui dispositivi può essere efficace per proteggere i minori, ma richiede la partecipazione attiva delle famiglie. È una misura da intendere come parte della gestione quotidiana della rete, non come sostituto della supervisione familiare.

Servizi come DNS4EU o CleanBrowsing offrono profili di filtraggio e crittografia configurabili sul router per coprire la rete domestica. La scelta deve considerare le opzioni disponibili, la privacy e le esigenze della famiglia; filtraggio e crittografia sono funzioni correlate ma non identiche, quindi è opportuno verificare cosa offre il profilo selezionato.

È importante anche controllare cosa accade su ciascun dispositivo. Alcuni possono usare il DoH integrato e inviare le richieste attraverso un servizio diverso da quello configurato sul router. Questo instradamento alternativo può impedire che la configurazione centrale si applichi a tutte le richieste; controllare le impostazioni individuali aiuta quindi a capire come vengono effettivamente risolti i nomi di dominio nella rete.

La sicurezza di un router dipende in larga misura dalla pubblicazione regolare di patch di sicurezza da parte del produttore. Il firmware è il software che controlla il funzionamento del dispositivo; se non riceve aggiornamenti, le vulnerabilità note possono rimanere senza correzione e compromettere la rete domestica. La data di fine del supporto è quindi un’informazione rilevante, non un dettaglio secondario dell’acquisto.

Quando confronti le opzioni, cerca produttori che offrano supporto a lungo termine e pubblichino aggiornamenti di sicurezza in modo proattivo. Verificare la data dell’ultimo aggiornamento disponibile permette di capire se il dispositivo è ancora mantenuto, ma il dato va letto insieme alla politica di supporto: un aggiornamento recente, da solo, non indica per quanto tempo il produttore continuerà a correggere i problemi.

INCIBE sottolinea che mantenere aggiornati il sistema operativo e i programmi è essenziale per correggere le vulnerabilità note. Per il router, questa raccomandazione si traduce nel controllare la versione del firmware installata, cercare quella più recente e confermare la politica del produttore per quel modello.

I dispositivi giunti a fine vita EOL (End of Life) non ricevono più patch di sicurezza. Una volta raggiunto questo stato, le vulnerabilità scoperte potrebbero non avere una correzione disponibile e il router può diventare un punto debole persistente della rete. Per questo è opportuno evitare i modelli il cui supporto è terminato e verificare il ciclo di vita prima dell’acquisto.

Gli aggiornamenti fanno parte anche della manutenzione dopo l’acquisto. Controllare periodicamente se è disponibile una nuova versione e installarla seguendo le istruzioni del produttore aiuta a mantenere aggiornato il firmware; è un’attività continua, come verificare quali dispositivi sono connessi e se le opzioni di sicurezza rispondono ancora alle esigenze della famiglia.

Quando confronti i router, concentrati sulle specifiche che incidono direttamente su privacy e sicurezza. La scheda tecnica e il manuale consentono di verificare se le funzioni necessarie sono presenti, mentre la politica di supporto aiuta a valutare se potranno essere mantenute. La tabella seguente riassume i criteri principali e il motivo per cui considerarli:

La tabella è una guida per confrontare i modelli, non una garanzia che tutti offrano le stesse funzioni nello stesso modo. In particolare, DNSSEC e DoH/DoT non sono equivalenti: DoH e DoT crittografano le richieste, mentre DNSSEC riguarda la verifica dell’integrità. È opportuno controllare con precisione cosa supporta il router e quale opzione viene attivata.

Occorre inoltre distinguere una caratteristica pubblicizzata da un’impostazione realmente applicabile. Per esempio, la compatibilità con WPA3 deve corrispondere alle modalità disponibili sul dispositivo; il supporto DNS deve indicare quali protocolli o servizi sono ammessi; e la manutenzione deve riguardare il modello, non soltanto una promessa generica del marchio.

Prima dell’acquisto, verifica che il modello specifico supporti WPA3 e offra opzioni avanzate di configurazione DNS. Consulta la scheda tecnica e, se la descrizione non è chiara, il manuale utente. Controlla anche la politica di supporto e la data dell’ultimo aggiornamento del firmware, per evitare di scegliere un dispositivo che non riceve più patch.

Dopo l’acquisto, la configurazione iniziale dovrebbe includere questi passaggi:

• Sostituire la password di amministrazione predefinita con una password robusta.
• Disattivare WPS.
• Aggiornare il firmware all’ultima versione disponibile.
• Configurare il DNS privato desiderato e controllare le opzioni di filtraggio.
• Attivare WPA3 oppure, se necessario per i dispositivi meno recenti, la modalità mista WPA3/WPA2 (AES).

Esegui le modifiche dall’interfaccia di amministrazione del router e segui le istruzioni del produttore. Se usi la modalità mista, l’obiettivo è facilitare la compatibilità con i dispositivi meno recenti senza impedire a quelli compatibili di utilizzare WPA3; prima di modificare l’opzione, è utile controllare quali apparecchi di casa devono collegarsi.

La sicurezza della rete è un processo continuo, non una configurazione da eseguire una volta sola. Controllare periodicamente i dispositivi collegati aiuta a sapere quali apparecchi usano la rete, mentre verificare gli aggiornamenti permette di affrontare le vulnerabilità note. Potrebbe anche essere necessario adeguare le politiche DNS quando cambiano le esigenze della famiglia.

Enti come INCIBE e AEPD raccomandano pratiche di configurazione e manutenzione che contribuiscono a rendere la rete domestica più privata e sicura. Applicarle con continuità — mantenere il firmware aggiornato, monitorare le connessioni e rivedere il DNS — aiuta a fare in modo che le decisioni iniziali restino utili nel tempo.