UPnP es el mecanismo que deja a un equipo de tu red abrir puertos en el router por su cuenta, sin que nadie toque la configuración. Es cómodo, pero también lo puede usar un programa malicioso. Aquí está cómo funciona, sus riesgos y qué recomiendan INCIBE y CISA.
Foto: Jakub Zerdzicki, en Pexels
UPnP son las siglas de Universal Plug and Play. INCIBE lo define como un conjunto de protocolos que permite que los equipos de una red, como impresoras, ordenadores o puntos de acceso WiFi, se comuniquen entre sí. La parte que más afecta a la seguridad es una en concreto: la que deja a cualquier equipo de la red abrir puertos en el router.
En un router de casa o de oficina, lo normal es que nada de internet pueda llegar a un equipo de la red si no hay una regla que lo permita. Esa regla es la redirección de puertos, que se explica en la guía de NAT: «lo que llegue al puerto X, mándalo a este equipo».
UPnP automatiza esa regla. La RFC 6970 del IETF lo describe así:
Nadie tiene que entrar en el panel del router ni aprobar nada. Por eso es cómodo para una consola, un programa de videollamadas o una cámara que se quiere ver desde fuera. Y por eso mismo es un riesgo: el router no distingue entre un programa legítimo y uno malicioso que haga la misma petición.
La misma RFC explica un caso en que UPnP no basta: si tu operador usa CGNAT, es decir, comparte una dirección pública entre varios clientes, abrir el puerto en tu router no sirve, porque hay otro NAT por encima que no controlas.
CISA, la agencia de ciberseguridad de Estados Unidos, lo resume en su guía de seguridad para redes domésticas: un malware que ya esté dentro de la red puede usar UPnP para saltarse el cortafuegos del router, permitir que los atacantes controlen los equipos a distancia y propagarse. Su consejo es desactivarlo salvo que haga falta para algo concreto.
Además, el propio protocolo ha tenido fallos. En junio de 2020, INCIBE publicó un aviso de importancia crítica sobre CallStranger, una vulnerabilidad en UPnP que, según el aviso, podía poner en riesgo millones de dispositivos. INCIBE explicaba que no era un fallo de un fabricante, sino del diseño del protocolo.
Ante CallStranger, INCIBE recomendaba a las empresas:
CISA va en la misma línea: desactivarlo cuando no se necesite.
Esto es criterio de esta web, a partir de lo anterior:
| Red | Qué hacer | Por qué |
|---|---|---|
| Oficina o empresa | Desactivarlo | Ningún equipo de trabajo debería abrir puertos sin control. Lo que haga falta publicar se abre a mano, con su regla. |
| Red con servidores o cámaras | Desactivarlo y publicar solo lo necesario | Mejor en una DMZ o en una VLAN separada, o con una VPN para entrar desde fuera. |
| Casa con consolas o juegos en línea | Se puede dejar si hace falta | Es el uso para el que existe, pero conviene tener los equipos actualizados y quitarlo si no se nota la diferencia. |
Si lo desactivas y algo deja de funcionar, la alternativa es abrir a mano solo el puerto que necesita ese programa y solo hacia ese equipo. Así sabes qué está abierto y por qué, y puedes cerrarlo cuando deje de hacer falta.
Revisa la tabla del router. Si tu router muestra en su panel las aperturas que han hecho los equipos por UPnP, míralas: si ves puertos abiertos hacia equipos que no reconoces, es una señal para investigar antes de nada. Y si tu red ya tiene un cortafuegos dedicado, comprueba que no esté aceptando peticiones UPnP desde la red de trabajo.
Es una función que permite a los equipos de la red local pedir al router que abra un puerto hacia ellos, sin configurarlo a mano. El router guarda esas aperturas en una tabla y deja pasar el tráfico de internet hacia el equipo que lo pidió.
Puede serlo. CISA, la agencia de ciberseguridad de Estados Unidos, advierte de que un malware dentro de la red puede usar UPnP para saltarse el cortafuegos del router, y aconseja desactivarlo salvo que haga falta para algo concreto.
Los programas que abrían puertos solos, como algunos juegos en línea o aplicaciones de llamadas, pueden dejar de recibir conexiones desde fuera. Si alguno lo necesita, se abre ese puerto a mano en el router, solo hacia ese equipo.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
