Telecamere su internet: perché il port forwarding è il punto debole

Vedere le telecamere dal telefono è la richiesta più comune a fine lavoro. Titolari, amministratori di condominio e facility manager la considerano una funzione ovvia: se l'impianto registra, deve potersi guardare anche da fuori.

Il modo più rapido per ottenerla è anche il più discutibile: aprire alcune porte sul router e inoltrarle verso il videoregistratore (NVR) o le singole telecamere. Si chiama port forwarding. Funziona subito e non costa nulla, ma ha una conseguenza che raramente viene spiegata al cliente: l'interfaccia del dispositivo smette di essere un oggetto interno e diventa raggiungibile da chiunque si trovi su internet, a qualsiasi ora, finché la regola resta attiva.

Questa guida non spiega come configurare un accesso remoto, ma perché la scorciatoia è il punto debole di molti impianti e quali alternative esistono.

Che cosa succede quando un NVR è esposto

Su internet non si passa inosservati. Esistono motori di scansione che catalogano senza sosta i dispositivi raggiungibili, come un motore di ricerca fa con le pagine web: un NVR con una porta aperta finisce in questi elenchi spesso molto in fretta, talvolta con tipo di apparato e versione del software. Chi cerca bersagli non ha bisogno di conoscere l'indirizzo dell'impianto: lo trova da solo.

A quel punto entrano in gioco due fattori fuori dal controllo di chi usa l'impianto. Il primo sono i tentativi automatici: programmi che provano le credenziali predefinite dei produttori e le combinazioni più diffuse su migliaia di dispositivi alla volta. Se anche una sola telecamera conserva la password di fabbrica, o ne ha una debole, prima o poi la lotteria si vince. Il secondo sono le vulnerabilità del firmware: difetti del software che, se non corretti, possono consentire a un estraneo di operare da remoto senza conoscere alcuna password.

Questi difetti vengono scoperti e pubblicati con regolarità, per tutti i marchi. Il bollettino di ipfacile.it ne tiene traccia, mentre le pagine dei singoli produttori, ad esempio quella dedicata a Hikvision, aiutano a orientarsi marchio per marchio.

La superficie esposta

Il concetto utile è quello di superficie esposta: l'insieme di ciò che, dall'esterno, può essere contattato e messo alla prova. Ogni porta aperta sul router aggiunge un punto a questa superficie. Con il port forwarding quel punto coincide con l'interfaccia del dispositivo, cioè con un software pensato per vivere in una rete protetta, non per resistere a internet.

Il rischio non si limita alla visione delle immagini. Un dispositivo compromesso può servire da ponte verso il resto della rete, finire in reti di apparecchi controllati da terzi o smettere di registrare proprio quando serve. Cambiare i numeri delle porte scoraggia solo i tentativi più banali: il servizio resta raggiungibile.

Le tre strade per l'accesso remoto

In pratica gli approcci sono tre, e nessuno è privo di compromessi. La tabella li confronta sui criteri che contano per chi deve decidere.

Strada	Sicurezza	Dipendenza dal produttore	Complessità	Se il servizio cloud cambia
Port forwarding diretto	Bassa. Il dispositivo è visibile a tutta internet e si difende solo con password e firmware.	Nessuna dal servizio, totale dagli aggiornamenti del produttore.	Bassa all'inizio, alta da mantenere: regole, indirizzi che cambiano, controlli periodici.	Non è coinvolto: l'accesso continua a funzionare, e a restare esposto.
Servizi P2P o cloud del produttore	Media. Nessuna porta aperta in ingresso, ma la protezione dipende da account, app e infrastruttura del fornitore.	Alta: servizio, app e account sono del produttore.	Bassa: pochi passaggi, adatta anche a utenti non tecnici.	L'accesso può cessare o cambiare condizioni e costi. Va chiarito che cosa resta senza.
VPN sul router o sul firewall	Più alta, se il router è aggiornato: si espone un solo servizio controllato al posto di molti dispositivi.	Bassa: standard aperti, indipendenti dal marchio delle telecamere.	Medio-alta all'inizio (competenze di rete, apparato adeguato), contenuta poi.	Indipendente dal cloud delle telecamere. Con un overlay dipende da quel fornitore, più facile da sostituire.

Due precisazioni. La prima: nessuna delle tre strade è sicura per definizione. Una VPN su un router con firmware vecchio è a sua volta una porta aperta, e un account cloud con password debole vale quanto una telecamera con password di fabbrica. Cambia il numero di punti da difendere e la cura di chi li presidia.

La seconda riguarda gli operatori che non assegnano un indirizzo pubblico (il caso del CGNAT): lì né il port forwarding né una VPN tradizionale possono funzionare. I servizi di overlay, che fanno collegare i dispositivi in uscita verso un coordinatore, permettono di raggiungere la rete dell'impianto senza aprire porte. Spostano però la fiducia su un altro soggetto, e anche qui va chiesto che cosa accade se il servizio cambia condizioni o cessa.

Il router conta quanto l'NVR

Il router è la porta tra l'impianto e internet, e spesso è il componente meno curato: fornito dall'operatore, installato una volta e dimenticato. Tre aspetti meritano attenzione.

• Il firmware. Un router non aggiornato da anni soffre degli stessi problemi di un NVR, con l'aggravante che protegge tutto ciò che sta dietro.
• L'UPnP. È la funzione con cui un dispositivo può chiedere al router di aprire porte verso l'esterno, in automatico e senza avvisare nessuno. Una telecamera con UPnP attivo può diventare raggiungibile da internet senza che nessuno l'abbia deciso.
• Le credenziali. Se l'accesso di amministrazione usa la password dell'etichetta o quella del giorno dell'attivazione, e la gestione è raggiungibile dall'esterno, il problema non è più la telecamera.

E chi gestisce davvero quel router? Se nessuno lo sa dire, nessuno lo sta aggiornando.

Separare le telecamere dal resto della rete

Anche con un accesso remoto ben pensato resta una domanda: dove stanno le telecamere? Spesso sulla stessa rete dei PC d'ufficio, delle stampanti, del wifi per gli ospiti. Basta un solo apparato compromesso perché l'intruso veda tutti gli altri, nei due sensi: da una telecamera si può arrivare al gestionale, da un PC infetto alle registrazioni.

Il principio della segmentazione è semplice: reti distinte per usi diversi, con regole esplicite su chi può parlare con chi. Si ottiene con le VLAN, reti logiche separate sullo stesso cablaggio, che richiedono switch e router in grado di gestirle. Le telecamere stanno nella loro rete e l'NVR è raggiungibile solo da chi deve guardarlo. Non rende l'impianto invulnerabile, ma limita il danno quando qualcosa va storto. Apparati con queste funzioni sono ormai alla portata anche di impianti piccoli, come gli switch e router della gamma Reyee.

Chi ne risponde

Per aziende e pubbliche amministrazioni, accesso remoto e aggiornamenti dei dispositivi rientrano tra le misure tecniche e organizzative richieste dall'art. 32 del GDPR e, per i soggetti coinvolti, dalla direttiva NIS2. Chi desidera una verifica indipendente dello stato dell'impianto può rivolgersi a FENIVA S.R.L., il progetto che promuove questa rivista, per i suoi servizi di verifica e consulenza.

Il tuo impianto è raggiungibile da internet? Lo sai con certezza?

Prima di scegliere come accedere da remoto, conviene sapere com'è la situazione oggi:

1. Chi ha installato l'impianto sa dire quali porte sono aperte sul router e perché sono state aperte?
2. L'UPnP è disattivato sul router e sugli altri apparati di rete?
3. Le credenziali predefinite sono state cambiate su tutti i dispositivi, comprese le telecamere meno in vista, l'NVR e il router?
4. Esiste un elenco dei dispositivi con modello e versione del firmware, e una data dell'ultimo controllo?
5. Le telecamere stanno su una rete separata da quella dei PC e degli ospiti?

Per vedere come queste situazioni si presentano negli impianti esistenti, si possono leggere alcuni casi reali.