¿Qué es UPnP? Los riesgos de seguridad de Universal Plug and Play

UPnP (Universal Plug and Play) es un conjunto de protocolos de red que permite que los dispositivos de una misma red local se descubran entre sí y configuren la conectividad automáticamente, sin configuración manual. Es la razón por la que una consola de videojuegos o un servidor multimedia «simplemente funcionan» sin que nadie toque el router. También es una de las funciones más discretamente arriesgadas que una red doméstica o de pequeña oficina puede dejar activada.

Qué hace UPnP

UPnP es en realidad una familia de protocolos para redes sin configuración: los dispositivos se anuncian, describen lo que pueden hacer y se organizan para hablar entre sí sin que una persona configure nada. En un router, la parte que importa para la seguridad es UPnP-IGD (Internet Gateway Device). Permite que un dispositivo de la red local pida al router que abra un puerto y le redirija el tráfico entrante de internet.

Normalmente, dejar que una conexión externa llegue a un dispositivo detrás de un router exige una regla de redirección de puertos: un administrador que decide «el tráfico que llega a este puerto va a esa máquina». UPnP-IGD automatiza ese paso. Un juego pide al router que abra los puertos que necesita; el router accede; el juego funciona. Sin menús ni reglas manuales. Un «router UPnP» es simplemente un router con esta función, y la mayoría de los routers domésticos la traen activada de fábrica.

El riesgo de la redirección automática de puertos

La comodidad es justo el peligro. UPnP se diseñó partiendo de que todo lo que ya está en la red local es de confianza, así que en general no hace ninguna autenticación. No hay ninguna petición de aprobación y normalmente tampoco ninguna notificación. Eso significa que cualquier programa de tu red puede decirle en silencio al router que abra un puerto y lo redirija, y ese «cualquier programa» incluye el malware.

Imagina que un dispositivo de tu red se infecta. Con UPnP activado, el malware no necesita vencer tu firewall; simplemente le pide al router, con educación y de forma automática, que abra un agujero y le redirija un puerto a la máquina infectada. El router obedece. Un servicio interno que nunca debió ser accesible desde fuera queda ahora expuesto a internet, y nada te avisó. Si el puerto redirigido es el puerto SMB 445, un servicio para compartir archivos pensado para redes de confianza queda ahora en internet. El firewall que debía protegerte ha sido reconfigurado desde dentro por lo mismo que debía mantener contenido: una elusión con el mismo espíritu que los túneles que describimos en nuestro explicativo sobre los proxies ocultos.

UPnP interno frente a UPnP expuesto a la WAN

Conviene separar dos escenarios, porque uno es malo y el otro mucho peor.

• UPnP accesible solo desde la LAN (el caso normal). El riesgo es ese modelo de confianza por defecto: cualquier dispositivo local, incluidos los comprometidos, puede abrir puertos. Ya es bastante malo, y es la razón por la que la opción segura por defecto es «desactivado».
• UPnP accesible desde la WAN (el caso grave). Por fallos de firmware, algunos routers han expuesto históricamente el servicio de control de UPnP en su lado de internet. Eso permite a un atacante remoto manipular tu redirección de puertos desde fuera, sin ningún punto de apoyo en tu red: una vía remota y directa para abrir tu red. Se ha encontrado en un gran número de dispositivos domésticos a lo largo de los años y es una mala configuración real y grave.

Confirmar que tu router no está en esa segunda categoría es una de las comprobaciones más valiosas que puedes hacer en una red doméstica. Una comprobación de exposición externa (el tipo de mirada desde fuera que ofrece un verificador de reputación y exposición) te dice lo que internet puede ver de verdad.

Cuándo desactivar UPnP

Para la mayoría de las redes, lo correcto por defecto es apagar UPnP en el router. La ventaja de seguridad (eliminar una forma silenciosa y sin autenticación de que cualquier dispositivo abra puertos) casi siempre supera a la comodidad. El coste práctico es que algunos juegos, consolas y aplicaciones peer-to-peer se apoyan en UPnP para tener la conectividad más fluida, así que quizá tengas que crear a mano unas pocas reglas de redirección de puertos.

Esa redirección manual es el enfoque más seguro precisamente porque es deliberada y visible. Decides exactamente qué puertos están abiertos y hacia qué dispositivo, en lugar de delegar esa decisión en el software que esté funcionando. Si de verdad necesitas UPnP, limítalo a dispositivos de confianza, mantén parcheado el firmware del router para que se corrijan los fallos de exposición a la WAN y revisa de vez en cuando la página de estado de UPnP del router por si hay reglas de redirección que no esperabas. Aplicar el mínimo privilegio al borde de tu propia red es la misma mentalidad que hay detrás de zero trust: nada obtiene acceso solo porque lo haya pedido.

La conclusión

UPnP resuelve un problema real de comodidad dejando que los dispositivos configuren la red por sí mismos, pero lo hace confiando en todo lo que hay en la red local y sin hacer preguntas. Eso lo convierte en una forma silenciosa de que el malware abra agujeros en tu firewall y, cuando los routers lo exponen a internet, directamente en una vía de ataque remoto. Salvo que lo necesites para algo concreto, desactívalo, redirige a mano los pocos puertos que de verdad necesitas, mantén el firmware al día y comprueba desde fuera que UPnP no es accesible desde internet.

Preguntas frecuentes

¿Qué es UPnP? Universal Plug and Play: protocolos que permiten que los dispositivos de una red local se descubran entre sí y configuren la conectividad automáticamente. En los routers, UPnP-IGD permite a los dispositivos solicitar la redirección automática de puertos.

¿Qué es un router UPnP? Un router que admite la función UPnP Internet Gateway Device, de modo que los dispositivos pueden abrir y redirigir puertos por sí mismos sin un administrador. La mayoría de los routers domésticos la activan de fábrica.

¿Por qué es un riesgo de seguridad? UPnP confía en cualquier dispositivo de la LAN y normalmente no exige autenticación, así que cualquier programa (incluido el malware) puede abrir puertos en silencio. Algunos routers también han expuesto UPnP a internet, lo que permite abusar de él en remoto.

¿Debería desactivarlo? Para la mayoría de las redes, sí. Desactiva UPnP y redirige a mano los pocos puertos que de verdad necesitas, algo deliberado y visible, en lugar de dejar que cualquier dispositivo abra lo que quiera.

¿Cómo compruebo si está expuesto? Usa una comprobación de exposición externa para confirmar que UPnP no es accesible desde el lado de internet de tu router, y revisa la página de UPnP del router por si hay reglas de redirección inesperadas.