12. Usi impropri: cosa impedisce Warda, e i suoi limiti

Cosa impedisce Warda#

• Essere usato contro altri. Warda risponde solo ai dispositivi della vostra rete. Una richiesta da Internet non riceve risposta, nemmeno attraverso una porta inoltrata dal vostro router. Da Warda 0.8.0 viene rifiutata anche una richiesta che arriva da Internet attraverso un reverse proxy o un tunnel (Traefik, nginx, Caddy, Cloudflare Tunnel…).
• I suoi strumenti usati come arma. Il ping, il traceroute, il test di porta e i test di un SIEM o di una directory sono riservati agli amministratori, uno alla volta e al massimo 30 al minuto, e ognuno è scritto nel registro attività.
• Una password salvata inviata altrove. Con Warda Business, la password della directory aziendale viene richiesta di nuovo quando cambiano il suo server o la sua cifratura.
• Un membro che vuole più diritti, o un bambino che vuole aggirare le regole. Un membro non può darsi diritti; Qualcosa non funziona non apre mai i contenuti per adulti né gli orari di un bambino; VPN, proxy e DNS cifrato sono bloccati per i minori e segnalati.
• Un adulto che legge la navigazione di un altro adulto. I nomi che un adulto visita non vengono mostrati a nessun altro senza il suo consenso.
• Una porta DNS aperta sul vostro router a vostra insaputa. Da Warda 0.8.0 il controllo dell'esposizione su Internet (capitolo 5) prova anche le porte 53 e 853, e le segnala come critiche (via TCP: un inoltro della sola UDP 53 non viene visto).
• Password indovinate. I tentativi vengono rallentati, un secondo fattore è disponibile, le sessioni finiscono da sole.

Cosa non impedisce#

• La prima ora. Finché il dispositivo non è installato, chiunque sulla vostra rete conosca la password predefinita (è pubblica: è il mese della versione) può installarlo al vostro posto, nell'ora che segue ogni avvio.
• Un amministratore che abusa del dispositivo. Un amministratore può inviare tutti i nomi richiesti a un SIEM, dare i dispositivi di un adulto a un bambino, collegare il proprio account a un adulto che non ne ha e vedere allora la cronologia di quella persona, o reimpostare una password. Tutto è scritto nel registro attività, che gli altri amministratori leggono, ma l'adulto interessato non sempre ne è informato.
• Un telefono con un nuovo indirizzo Wi-Fi privato è un nuovo dispositivo: finché non lo assegnate, ha le regole di un adulto, a meno che la pagina Protezioni non protegga i dispositivi sconosciuti come un bambino o un adolescente.
• Un indirizzo di protezione fuori casa (capitolo 11) ottenuto da qualcun altro: chi lo ha riceve le regole di quel dispositivo. Custodite questi indirizzi come password; Nuovo indirizzo ne annulla uno subito.
• Reti consentite allargate a mano. Se qualcuno imposta WARDA_ALLOWED_CLIENTS con indirizzi pubblici, Warda risponde a Internet: scrive soltanto un avviso nel suo registro all'avvio.
• Un programma modificato. Chi modifica il programma di Warda sul proprio dispositivo può sbloccarvi tutto.

Cosa potete fare#

1. Installate Warda appena si è avviato per la prima volta, da un computer della vostra rete. Su una rete condivisa (un ufficio, un condominio), collegatelo a una rete tutta sua finché non è installato.
2. Non inoltrate mai le porte 53, 853 o 443 del vostro router verso Warda, e non pubblicate mai la sua interfaccia su Internet: per i vostri dispositivi fuori casa, usate la protezione fuori casa (capitolo 11).
3. Date il ruolo di amministratore solo a persone di fiducia, e leggete di tanto in tanto il registro attività.
4. Custodite i vostri backup e la loro password in un luogo sicuro: un backup contiene tutti gli account e la chiave del dispositivo.