UPnP er en nettverksprotokollserie som primært er utformet for å la enheter på samme lokale nettverk automatisk oppdage og koble til hverandre. Hvis dette høres ut som en drøm for ikke-tekniske brukere, er det på mange måter det.

I dagens ultratilkoblede verden er tross alt bekvemmelighet det aller viktigste. Fra spillkonsoller som enkelt kobler til internett, til smart-TV-er og IoT-enheter(nytt vindu) som ser ut til å «bare fungere» rett ut av esken – moderne nettverk er utformet for å minimere brukerens innsats. En av teknologiene som i det stille gjør all denne sømløse tilkoblingen mulig, er Universal Plug and Play (UPnP).

UPnP brukes imidlertid også ofte til å konfigurere portviderekobling på rutere, slik at enheter på internett får tilgang til ressurser på ditt lokale nettverk (LAN). Dette (sammen med andre sikkerhetssårbarheter som vi vil diskutere senere) betyr at det kan være en god idé å slå av UPnP helt.

I denne artikkelen skal vi se på:

Hva er UPnP?

Som navnet antyder, er det primære målet med UPnP å gjøre nettverksenheter til «plug and play». Med andre ord: Når du kobler en enhet til nettverket ditt, skal den bare fungere, uten at du trenger å gå inn i ruterens innstillinger, åpne porter eller fikle med IP-adresser.

UPnP oppnår dette ved hjelp av et sett med nettverksprotokoller som gjør det mulig for enheter på ditt lokale nettverk, for eksempel personlige datamaskiner, skrivere, modemer, rutere og mobilenheter, å oppdage hverandres tilstedeværelse på nettverket på en sømløs måte og deretter kommunisere med hverandre.

UPnP can also be used to configure port forwarding, routing connections through your router’s firewall(nytt vindu) so that you can connect devices on the internet with devices on your local network. Popular reasons for this include:

  • IoT-enheter: Du vil kanskje for eksempel sjekke videoen fra sikkerhetskameraet ditt, styre den smarte termostaten din eller administrere smarthjemsystemet ditt fra hvor som helst i verden.
  • Medietjenere i hjemmet: Slik at du kan se innhold fra Plex- eller Jellyfin-tjeneren din over internett når du ikke er hjemme
  • Spilltjenere: Slik at du kan være vertskap for flerspiller-spill uten å betale tjeneravgifter til tredjeparter
  • P2P-fildeling: For å tillate innkommende tilkoblinger for bedre nedlastingshastigheter. Se vår ultimative guide til torrenting for mer informasjon om hvordan dette fungerer.

Hvordan fungerer UPnP?

Enkelt forklart kan måten UPnP fungerer på, deles inn i følgende trinn:

  1. Oppdagelse: Når en enhet er koblet til et nettverk, sender den ut en melding for å kunngjøre sin tilstedeværelse. Andre enheter på nettverket kan svare på denne meldingen, slik at de kan oppdage hverandre.
  2. Beskrivelse: Når enhetene har oppdaget hverandre, utveksler de informasjon om sine funksjoner og tjenester. Dette trinnet innebærer at enhetene deler detaljer om hva de kan gjøre og hvordan andre enheter kan samhandle med dem.
  3. Automatisk konfigurasjon: Enheter kan be om portviderekobling fra ruteren automatisk. For eksempel kan en spillkonsoll be ruteren om å åpne bestemte porter, slik at den kan være vertskap for flerspiller-spill uten manuell inngripen.

Hvorfor er UPnP farlig?

Selv om UPnP gir ubestridelig bekvemmelighet, fører det også med seg alvesikkerhetsproblemer. Det som gjør UPnP risikabelt, er ikke bare hvordan det fungerer, men hvor lite kontroll og synlighet du vanligvis har over hva det gjør bak kulissene. De viktigste risikoene med UPnP er:

Automatisk portviderekobling

Selv om det primært er utformet for å koble til enheter på et lokalt nettverk, er en av UPnPs mest nyttige funksjoner muligheten til å automatisk åpne porter på en ruter, slik at enheter på LAN-et ditt kan kommunisere med enheter på internett. Dessverre kan åpne porter tillate ondsinnede aktører å få tilgang til enheter på ditt lokale nettverk.

Det bør bemerkes at denne risikoen også er til stede hvis du konfigurerer portviderekobling manuelt på ruteren din. Men hvis UPnP er aktivert, kan det åpne porter for å automatisk konfigurere flere (potensielt sårbare) enheter på ditt lokale nettverk uten din viten.

Ingen autentisering

UPnP ble utformet med tanke på klarerte lokale nettverk, så det krever vanligvis ikke noen autentisering fra enheter for å fungere. Dette betyr at enhver enhet på samme nettverk – inkludert potensielt kompromitterte enheter – kan sende forespørsler til ruteren om å åpne porter eller omdirigere trafikk.

Hvis skadelig programvare er til stede på én enkelt infisert enhet i nettverket ditt, kan den i det stille endre nettverksinnstillinger og slå hull i brannmuren din uten din viten, og dermed tillate den skadelige programvaren å kommunisere med omverdenen. Dette er hva som skjedde med det beryktede Mirai-botnettet(nytt vindu), som utnyttet sårbarheter i UPnP til å infisere IoT-enheter (som hjemmekameraer) og rutere for å starte noen av verdens største DDoS-angrep(nytt vindu) noensinne.

Denne mangelen på autentisering betyr også at skadelig programvare enkelt kan spre seg til andre UPnP-enheter som er koblet til ditt lokale nettverk.

Høyere risiko for portskanningsangrep

Takket være hovedsakelig eldre eller dårlig konfigurerte rutere som godtar UPnP-tilkoblinger fra internett (ikke bare lokale), er millioner av nettverksenheter og rutere(nytt vindu) sårbare for DDoS- og andre angrep.

Hvorfor du bør deaktivere UPnP

UPnP kan gjøre livet enklere ved å automatisere nettverksoppsettet ditt, som mangelen på sikkerhetskontroller og potensialet for misbruk gjør det til en høyrisikofunksjon. Dette gjelder spesielt på rutere for forbrukermarkedet, der UPnPs standard «stol på alt»-designfilosofi rett og slett ikke samsvarer med moderne beste praksis for sikkerhet, og er en gavepakke for spredning av skadelig programvare. For de fleste er bekvemmeligheten derfor sannsynligvis ikke verdt risikoen.

Mangelen på synlighet over hvilke porter som er åpne, hvorfor de er åpne, og om du har lukket dem ordentlig, skaper blindsoner i nettverkssikkerheten din. Dette gir en enkel inngangsport for skadelig programvare og hackere, som deretter kan opprette permanente bakdører i nettverket ditt, eller til og med rute trafikken din gjennom angriperkontrollerte DNS-tjenere (som sett med Switcher-trojaneren(nytt vindu)).

En mye bedre løsning is å konfigurere portviderekobling manuelt ved behov, slik at du har fullstendig kontroll og oversikt over hvilke porter som er åpne.

Finn ut hvordan du konfigurerer portviderekobling manuelt på ulike rutere

Vær imidlertid oppmerksom på at det ikke har noen hensikt å konfigurere portviderekobling på ruteren din for enheter som kobler til et VPN (se nedenfor).

Portviderekobling, UPnP og VPN-er

Når du kobler en enhet til en VPN-tjener, rutes alle data som overføres mellom enheten og tjeneren, gjennom en kryptert VPN-tunnel. Mens de overføres gjennom denne VPN-tunnelen, kan ingen andre personer eller enheter se dataene dine.

Dette inkluderer internettleverandøren din (ISP), og dermed også myndighetene dine, ut det inkluderer også din egen ruter. Så når du bruker et VPN, går tilkoblingen i praksis utenom ruteren din, noe som gjør UPnP (og manuell portviderekobling på ruteren) overflødig. Portviderekobling ved bruk av et VPN betyr å åpne en port i NAT-brannmuren som VPN-leverandøren din bruker for å beskytte VPN-tjeneren – ikke på ruteren.

Hvis en enhet (eller en app som kjører på den enheten, for eksempel en BitTorrent-klient) støtter UPnP, bør du deaktivere innstillingen for å forhindre konflikter med VPN-programvaren.

Finn ut mer om portviderekobling med Proton VPN

Slik deaktiverer du UPnP på rutere

Å deaktivere UPnP på ruteren din er en ukomplisert prosess, men de nøyaktige trinnene varierer avhengig av ruterens merke og modell. Nedenfor finner du generelle instruksjoner for å deaktivere UPnP på noen av de vanligste ruter-merkene. På andre rutere vil instruksjonene være lignende.

For å starte angir du ruterens IP-adresse (vanligvis 192.168.1.1 eller 192.168.0.1) i nettleserens adresselinje, og logger på med administrator-brukernavnet og -passordet ditt. Dette er vanligvis trykt på et klistremerke festet til ruteren din (med mindre du har endret det). Deretter:

Linksys-rutere

Gå til Administrasjon-fanen → UPnP → og sett UPnP-innstillingen til av. Klikk på Lagre innstillinger for å bruke endringene. Det er god praksis å starte ruteren på nytt for å sikre at endringene trer i kraft. For å gjøre dette går du til Administrasjon-fanen → Omstart.

Netgear-rutere

Gå til Administrasjon-fanen → UPnP → og sett UPnP-innstillingen til av. Klikk på Bruk for å lagre endringene. Det er god praksis å starte ruteren på nytt for å sikre at endringene trer i kraft. For å gjøre dette går du til Vedlikehold-fanen → Omstart.

TP-Link-rutere

Gå til Avansert-fanen → NAT-videresending → UPnP og sett UPnP-innstillingen til av. Det er god praksis å starte ruteren på nytt for å sikre at endringene trer i kraft. For å gjøre dette går du til System-fanen → Omstart.

Slik slår du av UPnP på en TP-Link-ruter

Siste tanker om UPnP — bekvemmelighet som koster

UPnP ble utviklet med gode hensikter: å gjøre nettverksarbeid enklere for vanlige folk ved å la enheter kommunisere og konfigurere seg selv automatisk. Men i en tid der cybertrusler er mer avanserte og hyppigere enn noen gang, er denne bekvemmeligheten også en risiko.

UPnPs mangel på autentisering, portviderekobling og historikk med utnyttelse gjør det til en risikabel funksjon å la være aktivert, spesielt på hjemmerutere som sjelden overvåkes eller oppdateres. Selv om det kan forenkle oppsettet av spill, strømmeenheter og smarthjem-dingser, åpner det også i det stille dører som hackere og skadelig programvare mer enn gjerne går inn gjennom.

Heldigvis er det enkelt å deaktivere UPnP, og de fleste vil ikke merke noen forskjell i den daglige internettbruken — spesielt hvis du tar deg litt tid til å konfigurere de få tjenestene som faktisk trenger åpne porter manuelt.

Dette er enda enklere hvis du bruker Proton VPN på enhetene dine, ettersom du bare trenger å slå på funksjonen, så åpner vi en passende port i VPN-brannmuren vår for deg.

Lær hvordan du bruker portviderekobling med Proton VPN