12. Usos indebidos: lo que Warda impide, y sus límites

Lo que Warda impide#

• Ser usado contra otros. Warda solo responde a los dispositivos de su red. Una consulta llegada de Internet no obtiene respuesta, ni siquiera a través de un puerto redirigido en su router. Desde Warda 0.8.0, también se rechaza una petición que llega de Internet a través de un proxy inverso o un túnel (Traefik, nginx, Caddy, Cloudflare Tunnel…).
• Sus herramientas usadas como arma. El ping, el traceroute, la prueba de puerto y las pruebas de un SIEM o de un directorio están reservados a los administradores, de una en una y 30 por minuto como máximo, y cada una queda en el registro de actividad.
• Una contraseña guardada enviada a otro sitio. Con Warda Business, la contraseña del directorio de la empresa se vuelve a pedir cuando cambia su servidor o su cifrado.
• Un miembro que quiere más derechos, o un niño que quiere saltarse las reglas. Un miembro no puede darse derechos; Algo no funciona nunca abre el contenido para adultos ni los horarios de un niño; las VPN, los proxies y el DNS cifrado están bloqueados para los menores y se avisan.
• Un adulto que lee la navegación de otro adulto. Los nombres que visita un adulto no se muestran a nadie más sin su acuerdo.
• Un puerto DNS abierto en su router sin que usted lo sepa. Desde Warda 0.8.0, la comprobación de la exposición en Internet (capítulo 5) prueba también los puertos 53 y 853, y los avisa como críticos (por TCP: una redirección solo de UDP 53 no se ve).
• Contraseñas adivinadas. Los intentos se frenan, hay un segundo factor disponible y las sesiones terminan solas.

Lo que no impide#

• La primera hora. Mientras el equipo no esté instalado, cualquiera en su red que conozca la contraseña predeterminada (es pública: es el mes de la versión) puede instalarlo en su lugar, durante la hora que sigue a cada arranque.
• Un administrador que abusa del equipo. Un administrador puede enviar todos los nombres consultados a un SIEM, dar los dispositivos de un adulto a un niño, vincular su propia cuenta a un adulto que no tiene cuenta y ver entonces el historial de esa persona, o restablecer una contraseña. Todo queda en el registro de actividad, que leen los demás administradores, pero el adulto afectado no siempre se entera.
• Un teléfono con una nueva dirección Wi-Fi privada es un dispositivo nuevo: mientras usted no lo asigne, tiene las reglas de un adulto, salvo si la página Protecciones protege los dispositivos desconocidos como un niño o un adolescente.
• Una dirección de protección fuera de casa (capítulo 11) que otra persona ha obtenido: quien la tiene recibe las reglas de ese dispositivo. Guarde estas direcciones como contraseñas; Nueva dirección anula una al instante.
• Redes permitidas ampliadas a mano. Si alguien configura WARDA_ALLOWED_CLIENTS con direcciones públicas, Warda responde a Internet: solo escribe un aviso en su registro al arrancar.
• Un programa modificado. Quien modifica el programa de Warda en su propio equipo puede desbloquearlo todo en él.

Lo que usted puede hacer#

1. Instale Warda en cuanto haya arrancado por primera vez, desde un ordenador de su propia red. En una red compartida (una oficina, un edificio), conéctelo a una red propia hasta que esté instalado.
2. Nunca redirija los puertos 53, 853 o 443 de su router hacia Warda, y nunca publique su interfaz en Internet: para sus dispositivos fuera de casa, use la protección fuera de casa (capítulo 11).
3. Dé el rol de administrador solo a personas de confianza, y lea el registro de actividad de vez en cuando.
4. Guarde sus copias de seguridad y su contraseña en un lugar seguro: una copia contiene todas las cuentas y la clave del equipo.