La FCC agrega routers de consumo fabricados en el extranjero a la ‘Covered List’

• La FCC de Estados Unidos incluyó recientemente routers de consumo fabricados en el extranjero en la ‘Covered List’
• Con esta medida, se prohíbe la aprobación de nuevos modelos de esos routers
• La actualización se realizó con base en la evaluación de seguridad nacional de agencias del poder ejecutivo de EE. UU.
• La FCC publicó los documentos relacionados mediante un comunicado de prensa y un aviso oficial, en formatos DOCX, PDF y TXT
• Esta decisión es una respuesta a nivel federal cuyo objetivo es reforzar la gestión de riesgos de seguridad en equipos de red para consumidores

---

La FCC agrega routers de consumo fabricados en el extranjero a la ‘Covered List’

• La FCC (Federal Communications Commission) incluyó recientemente routers de consumo fabricados en el extranjero en la ‘Covered List’
  • Esta medida significa que queda prohibida la aprobación de nuevos modelos de esos routers
• La actualización se realizó conforme a la evaluación de seguridad nacional de agencias del poder ejecutivo de Estados Unidos, y se indica que esos equipos podrían representar una posible amenaza a la seguridad nacional
• La FCC dio a conocer la información correspondiente en forma de comunicado de prensa (News Release) y aviso oficial (Public Notice), y la ofrece en archivos DOCX, PDF y TXT
• Los documentos incluyen un enlace a las preguntas frecuentes sobre la actualización de la Covered List, con información sobre los cambios regulatorios relacionados con routers fabricados en el extranjero
• Esta medida fue anunciada como una respuesta a nivel federal para reforzar la gestión de riesgos de seguridad en equipos de red para consumidores

[GN⁺]

Comentarios en Hacker News

• La FCC mantiene una lista de equipos y servicios llamada "Covered List". Últimamente han aumentado los ataques que explotan vulnerabilidades en routers pequeños y domésticos fabricados en el extranjero, pero el problema de fondo no es el país de fabricación sino las pésimas prácticas de seguridad de los fabricantes. Como las agencias gubernamentales no obligaron a implementar firmware seguro, los fabricantes no tuvieron motivos para prestarle atención. Ni la FCC ni la FTC están realmente enfocadas en proteger al consumidor, sino atadas a intereses políticos, y al final EE. UU. terminó llenándose de dispositivos con una seguridad desastrosa

  • El "firmware seguro" es un concepto relativo. Más que exigir un firmware perfecto, lo importante son las actualizaciones continuas. Pero los fabricantes dejan de dar soporte después de 3 años, mientras que los consumidores los usan durante 15. La solución sería que el consumidor tuviera el derecho de reemplazar el firmware por su cuenta. Así, incluso si la empresa desaparece, sería posible cambiarlo por firmware de código abierto, y además con mejor seguridad
  • Irónicamente, muchos equipos de consumo traen puertas traseras integradas con el pretexto de "resolver problemas". Este problema no se limita a productos extranjeros. El único momento en que las agencias gubernamentales parecieron preocuparse por la seguridad fue cuando el FBI intentó debilitar el cifrado
  • Europa aplicará desde 2027 la Cyber Resilience Act, que obligará a todos los productos digitales a cumplir requisitos mínimos de seguridad. Incluye prohibición de contraseñas predeterminadas hardcodeadas, actualizaciones automáticas de seguridad y cifrado de datos. No está claro qué tan efectiva será, pero el intento en sí es positivo
  • La FCC solo gestiona la interferencia de radio, no es una agencia de protección al consumidor. La FTC, por su parte, se ocupa de prácticas comerciales injustas, no de la calidad de la seguridad
  • Es común criticar al poder ejecutivo, pero esta medida se interpreta como: "dejan las vulnerabilidades ahí a sabiendas, las explotan para sí mismos y recién después las corrigen". Últimamente hasta dan ganas de pensar que hacer tu propio router es mejor

• El punto clave de este anuncio es que los routers fabricados en el extranjero quedan prohibidos por defecto, pero pueden venderse si obtienen una aprobación condicional (Conditional Approval). La FCC les exige a los fabricantes información sobre jurisdicción legal, origen de componentes, plan de actualizaciones de software y planes para ampliar la producción en EE. UU.. O sea, la intención parece ser usar el proceso de aprobación para empujar la fabricación local

  • Pero en la práctica existe una alta posibilidad de que solo reciban aprobación las empresas que paguen donaciones políticas (payola), mientras que las demás queden bloqueadas. Ya se ve un patrón parecido en la política arancelaria
  • En el papel suena muy bien, pero en la realidad hay riesgo de que se use como herramienta para beneficio privado del poder ejecutivo
  • Cuesta esperar que este proceso funcione como una administración técnica no partidista; al final podría convertirse en un esquema de "Pay-to-Play"
  • En definitiva, se lee como: "si no funciona con aranceles, presionemos a los socios comerciales de otra manera"
  • También hay una visión cínica de que solo pasarán las empresas que donen a proyectos privados de Trump

• También existe preocupación de que esta medida pueda ser el punto de partida para construir un sistema de vigilancia. Si se obliga a los routers estadounidenses a incorporar funciones de acceso remoto para el gobierno, al final todos los hogares podrían quedar conectados a una red de vigilancia. La única ventaja real que garantiza el libre comercio es que un solo país no puede vigilar a toda la población

  • Por ejemplo, se dice que la app del router Xfinity ahora tiene una función nueva de "detectar movimiento dentro de la casa por WiFi"
  • En tono de broma, también se comentó que si conectas en serie routers de EE. UU., China y Rusia, ninguno tendría acceso completo por puerta trasera
  • Pero en realidad esto podría ir más allá de la simple vigilancia y convertirse en una base para el control interno de internet. Como en el caso de Irán, sería una estructura que permite al gobierno ocultar la violencia bloqueando el flujo de información

• Si de verdad se quiere seguridad, no habría que prohibir dispositivos sino hacer público el firmware para que pueda auditarse

  • Aun así, una puerta trasera puede esconderse no en el firmware sino dentro del chip de silicio. La verificación completa es imposible en la práctica, así que la clave está en la seguridad de la cadena de suministro. Pero esta medida parece más bien una herramienta de guerra comercial de Trump
  • Aunque el firmware abierto tiene dificultades para triunfar comercialmente, proyectos como OpenWRT One son un buen ejemplo. El modelo creado en colaboración entre Software Conservancy y Banana Pi funciona bien
  • Sin embargo, por la regulación de la FCC es difícil que el usuario modifique libremente equipos RF, y existen excepciones al "Right to Repair". A menos que el Congreso cambie eso, es difícil que haya avances reales
  • Además, para un usuario común es imposible verificar si el firmware coincide con el código fuente. Un dueño de tienda común que no es técnico no tiene forma de comprobarlo

• Con el reciente fallo Loper Bright Enterprises v. Raimondo (2024), la autoridad de la FCC quedó muy debilitada. En este contexto, se duda de si una medida para restringir routers extranjeros podría superar una revisión legal

  • Alguien criticó que "la Corte Suprema afín a los republicanos solo reforzó la facultad del poder ejecutivo para recaudar sobornos"

• Aunque se habla de una prohibición total de routers de consumo fabricados en el extranjero, surge la duda de si realmente existen routers fabricados en EE. UU.

  • Según un artículo de heise.de, casi no hay routers producidos dentro de Estados Unidos
  • Aun así, los modelos ya existentes podrán seguir vendiéndose. Según la norma de la FCC sobre la "Covered List", esta medida solo se aplica a modelos nuevos. Algunas empresas incluso podrían importar switches sin firmware y reflashearlos dentro de EE. UU.
  • Incluso Cisco tampoco fabrica en EE. UU.
  • También existe la opción de convertir una computadora pequeña como una Raspberry Pi en router
  • Algunos opinan que quizá Starlink quede exento

• Es posible que la FCC esté intentando ampliar su autoridad para regular internet con esta medida. Mencionan una discusión anterior diciendo que ya hubo casos parecidos en el pasado

• Desde el punto de vista del fabricante, una salida podría ser vender el producto no como "router" sino como una computadora de propósito general. Ya existe mucho hardware que puede usarse como NAS, firewall o servidor proxy

  • Pero la mayoría de los consumidores quiere un producto terminado llamado "router". Quienes quieren equipos de red DIY ya lo están haciendo de por sí

• Incluso si una empresa china fabrica routers en una planta dentro de EE. UU., el riesgo en la cadena de suministro seguiría existiendo. De hecho, lo más peligroso son probablemente los dispositivos IoT que ya están conectados a las redes domésticas. Esta medida parece más un gesto político que un cambio real

• En conclusión, queda la pregunta: "¿cuántos routers de consumo que no sean extranjeros existen realmente?"