porta aperta su router per wireguard: è sicura?

Ppriboli · 15 dic 2023

domanda stupida

preambolo: ho ,da poco configurato il mio router fritzbox per utilizzare wireguard per poter accedere in "piena" sicurezza alle mie telecamere da fuori casa...ovviamente , osservando nel menu "security" le porte aperte del router , appare una porta oltre il 50000 aperta per wireguard esplicitamente

provando con vari portscanner online la porta mi risulta su alcuni, closed, su altri addirittura stealth (cioè proprio non risponde , cosa fantastica)

vorrei capire come funziona wireguard: la porta è veramente aperta, ma , ad esempio, da quella porta può solo passare traffico wireguard (quando io attivo il protocollo su smartphone e scambio le credenziali crittografiche) quindi qualsiasi tentativo di "scardinare" (non avendo i codici ) risulta vano o cos'altro?

una porta esposta a wireguard non crea potenziali falle di sicurezza?

perchè a vari port scanner la porta in questione appare chiusa o stealth? (qui magari chiedo troppo e quindi non pretendo risposte)

grazie

skyscreaper88 · 15 dic 2023

priboli se hai lasciato tutto di default molto probabilmente wireguard sta in ascolto in modalità UDP.

UDP non risponde "si ho ricevuto il tuo pacchetto, quindi tutto ok" come invece fa TCP pertanto i vari port scanner su internet possono interpretare la porta o chiusa perchè non ricevono risposta oppure stealth. Insomma dipende dal port scanner.

Sulla sicurezza ... diciamo che se non hanno le chiavi crittografiche difficilmente possono entrare nella tua lan... al massimo "dossarti" perchè hai una porta in ascolto ma qui poi interviene l'ISP probabilmente.

[cancellato] · 15 dic 2023

priboli una porta esposta a wireguard non crea potenziali falle di sicurezza?

Se Wireguard avesse una vulnerabilità sfruttabile da remoto sì. Comunque se vuoi usare una VPN la porta deve essere aperta, così come qualsiasi servizio che deve essere accessibile dall'esterno (es. VoIP). È un necessario compromesso fra utilità e sicurezza. È ovvio che un sistema è più sicuro se è tutto chiuso, ed è ancora più sicuro se lo disconnetti, ma così diventa anche inutilizzabile...

È comunque meglio esporre un server VPN che di solito ha una superficie di attacco ridotta, che esporre un web server e le applicazioni che ci girano sopra perché in questo caso la superficie di attacco è più vasta. Specialmente se queste applicazioni non sono proprio scritte con la sicurezza al centro, e non sono aggiornate con tempestività.

priboli perchè a vari port scanner la porta in questione appare chiusa o stealth?

Il servizio Wireguard usa UDP e non risponde se non riconosce il pacchetto - dipende dal tipo di scan fatto.

Ppriboli · 15 dic 2023

grazie ragazzi...ho detto che la domanda era stupida, ma sono stato stupido io a non pensare che wireguard risponde in UDP...che figura
grazie a entrambi per le spiegazioni crystal clear