Quando si parla di sicurezza rete aziendale con robot Unitree, il punto di partenza è l'architettura documentata dal produttore, non il reparto in cui il robot camminerà. Un G1 o un Go2 non è un elettrodomestico isolato: ha un sistema operativo, un account, un canale di aggiornamento e, sul G1 EDU, un accesso SSH per lo sviluppo. Il lavoro del responsabile IT è decidere quali di questi canali tenere aperti, su quale segmento e con quali credenziali.
Informazioni generali, non consulenza legale o di cybersicurezza. Le configurazioni vanno adattate a rete, contratto e versione del robot; per un caso specifico servono fornitore e, dove serve, un consulente.
Sicurezza rete aziendale: i tre livelli da separare
Il primo livello è la rete: chi può parlare con il robot e verso quali destinazioni. Il secondo è l'endpoint: credenziali, servizi esposti, Bluetooth, porte USB e account. Il terzo sono i dati: video, audio, mappe, telemetria e backup. Se si interviene solo su uno dei tre, gli altri due restano scoperti.
La domanda utile è quali canali servono davvero. Un Go2 usato con telecomando non richiede teleoperazione da remoto; un G1 EDU per ROS 2 richiede accesso alla rete del robot e SSH, non per forza l'app su Internet.
Quali app e servizi cloud usa un robot Unitree
La documentazione per sviluppatori descrive un'architettura comune a Go2 e G1. Il robot si collega ai servizi cloud solo dopo autorizzazione dell'utente. Il cloud serve a tre cose: telemetria e diagnostica, aggiornamenti di sistema e teleoperazione tramite WebRTC. I canali dichiarati sono MQTT per la comunicazione IoT e gli aggiornamenti, HTTP per l'account e il binding, TURN/STUN per instradare il video quando la connessione diretta non funziona. Bluetooth LE serve alla configurazione della rete e alla verifica di sicurezza; all'interno del robot la comunicazione tra moduli passa da DDS.
| Canale | A cosa serve | Indicazione per l'IT |
|---|---|---|
| Ethernet e DDS | Controllo e sviluppo locale, topic ROS 2 | Rete del robot separata, senza routing verso gli utenti |
| Wi-Fi in modalità infrastruttura | App, telemetria e servizi cloud | SSID dedicato e VLAN robot |
| Wi-Fi in modalità AP | Configurazione iniziale: il robot crea un hotspot | Solo in onboarding, in area controllata |
| Bluetooth LE | Configurazione di rete e verifica di sicurezza | Accesso fisico limitato, onboarding tracciato |
| MQTT e HTTP verso il cloud | OTA, diagnostica, account e binding | Uscita consentita solo se serve, con log |
| WebRTC, TURN e STUN | Video e comandi da remoto | Blocca se non usi la teleoperazione |
La rete locale: Ethernet, DDS e 192.168.123.x
Due dettagli cambiano il progetto. Il primo: la rete interna del robot usa la subnet 192.168.123.x; il computer di sviluppo del G1 risponde su 192.168.123.164, quello di bordo del Go2 su 192.168.123.161. Non va esposta alla rete aziendale. Il secondo: sulle versioni Go2 Air e Pro le interfacce Ethernet e SBUS non sono disponibili; sono riservate alla EDU. Se il progetto richiede un cavo, la versione va scelta prima dell'ordine, non dopo.
Configurare una VLAN isolata, passo per passo
Non esiste una configurazione valida per ogni sito, ma l'ordine dei passaggi è sempre lo stesso. Esempio con numeri ipotetici: VLAN 210 per i robot, subnet 192.168.210.0/24, gateway 192.168.210.1, indirizzi riservati da .10 a .30; VLAN 200 per l'amministrazione, con un jump host.
- Separa il traffico. Crea una VLAN e un SSID dedicati. Non riusare la VLAN dei PC o quella di gestione.
- Blocca il routing laterale. La VLAN robot non deve raggiungere la rete utenti. L'unico accesso amministrativo passa da un jump host sulla VLAN 200, con regole nominative e log.
- Assegna indirizzi stabili. Prenotazioni DHCP o IP statici per ogni robot, con MAC e numero di serie nell'inventario.
- Parti da default deny in uscita. Apri solo le destinazioni necessarie per OTA, app e teleoperazione, e solo nelle finestre in cui servono.
- Mantieni DDS dentro la VLAN. La comunicazione locale tra PC di sviluppo e robot usa DDS; il multicast di scoperta non va attraversato da router o firewall senza una configurazione dedicata. Per i primi test segui la guida ROS 2 su robot Unitree.
- Non esporre la subnet 192.168.123.x. Se un fornitore chiede accesso remoto, prevedi una sessione temporanea e tracciata.
- Misura prima di chiudere. Lascia passare il traffico per qualche giorno, registra destinazioni e volumi, poi costruisci la regola. Senza baseline, l'allowlist diventa un elenco di eccezioni.
Cosa disattivare o limitare se non serve
| Elemento | Quando serve | Cosa fare se non serve |
|---|---|---|
| Hotspot Wi-Fi del robot | Configurazione iniziale o ambienti senza Wi-Fi | Usa Ethernet o Wi-Fi infrastrutturale; evita l'AP in produzione |
| App e account cloud | Binding, OTA, teleoperazione | Blocca l'uscita; restano controllo locale e DDS |
| Modulo 4G con eSIM (SIM integrata) | Uso fuori sede o mobilità | Scegli una versione senza modulo o limita la connettività con l'operatore |
| Bluetooth LE | Configurazione e verifica iniziale | Non è un canale di esercizio: concentra l'onboarding in un'area controllata |
| SSH sulle versioni EDU | Sviluppo e manutenzione | Password cambiata, chiavi, accesso solo dal jump host |
| WebRTC e TURN | Teleoperazione da remoto | Blocca in uscita se il robot lavora solo in sede |
| Porte USB e docking station | Aggiornamenti e sviluppo | Accesso fisico controllato e registro degli interventi |
La documentazione sviluppatori indica per il G1 EDU l'utente unitree e una password iniziale nota; lo stesso vale per la docking station del Go2. Sono credenziali di laboratorio: vanno cambiate prima di collegare il robot alla rete, insieme alle credenziali dell'hotspot. Con un account condiviso non si attribuisce un accesso a una persona.
L'app usa il Bluetooth per configurare la rete e verificare la sicurezza del collegamento. La misura utile è fisica: configurazione in area riservata, telefono aziendale e operazione registrata. Dopo, l'accesso all'area e alle porte resta limitato.
Aggiornamenti: come gestirli senza aprire tutto
Unitree dichiara l'OTA via cloud per il G1 e per il Go2; la pagina Go2 precisa che il robot si collega solo con autorizzazione dell'utente e l'architettura indica MQTT per gli aggiornamenti. Una VLAN senza Internet non riceve l'OTA: va messo nel progetto prima dell'installazione.
Una procedura sostenibile in azienda ha sei passi:
- Inventario delle versioni. Annota firmware del robot, versione dell'app e, se presente, versione del dock o del modulo di calcolo.
- Finestra di aggiornamento. Apri l'uscita verso i servizi del produttore solo nella finestra concordata, con un robot alla volta.
- Test su un esemplare. Aggiorna prima un robot di laboratorio, verifica movimento, sensori, rete e la vostra applicazione.
- Verifica dopo l'aggiornamento. Controlla la versione installata e rifai il test di rete. Se l'aggiornamento cambia il comportamento, fermati e apri un ticket.
- Registro. Conserva versione, data, esito e operatore.
- Piano B per l'isolamento totale. Se la rete non ha uscita, chiedi al fornitore la procedura offline e i pacchetti ufficiali. Niente firmware di terzi.
Per il G1 la procedura lato app, i controlli prima di iniziare e gli errori da evitare sono nella guida all'aggiornamento firmware del G1. In generale: batteria carica, rete stabile, nessuna interruzione e una procedura di rollback concordata con il fornitore.
Dati: video, audio e telemetria
Un G1 ha telecamera di profondità, LiDAR, quattro microfoni e altoparlante; un Go2 ha telecamera, LiDAR e, su alcune versioni, voce e interfono. Sono sensori utili per l'applicazione, ma raccolgono anche ciò che sta intorno al robot. Se il robot riprende o registra persone identificabili, il trattamento entra nel perimetro del GDPR e delle indicazioni del Garante privacy sulla videosorveglianza: finalità, minimizzazione, informativa, tempi di conservazione e, dove ricorrono i presupposti, valutazione d'impatto.
Unitree dichiara che i dati operativi raccolti dal cloud non riguardano la privacy e che il traffico WebRTC non viene raccolto né analizzato dal server. Sono dichiarazioni utili per il contratto, ma non sostituiscono la valutazione del titolare. Prima della teleoperazione, decidi dove finiscono le registrazioni e chi può vederle.
Sul robot, chiedi se il disco è cifrato e come si cancellano i dati prima di permuta o riparazione. Se non è documentato, trattalo come un portatile.
Cyber Resilience Act: i fatti da conoscere
Il Regolamento (UE) 2024/2847, il Cyber Resilience Act, è in vigore dal 10 dicembre 2024. Gli obblighi di segnalazione si applicano dall'11 settembre 2026; gli obblighi principali dall'11 dicembre 2027. Riguarda i prodotti con elementi digitali immessi sul mercato UE, quindi anche un robot connesso.
Secondo la scheda della Commissione europea, il fabbricante deve garantire sicurezza predefinita, gestire le vulnerabilità per il periodo di supporto, dichiararne la fine, fornire istruzioni per l'uso e apporre la marcatura CE. Non è un obbligo automatico per chi compra.
Per chi acquista, il CRA è una lista di domande prima dell'ordine: fine del supporto, canale per le vulnerabilità, aggiornamenti, istruzioni per l'installazione sicura. Sono informazioni che il fabbricante fornisce e il distributore verifica. Chi rivende con il proprio marchio può assumere obblighi da fabbricante.
Il CRA non sostituisce il Regolamento macchine (UE) 2023/1230: la sicurezza macchina resta disciplinata da quel regolamento. La guida al Regolamento macchine 2027 spiega la parte macchine.
Checklist prima di portare il robot in reparto
- VLAN e SSID dedicati, senza routing verso la rete utenti.
- Indirizzi stabili e inventario con MAC, numero di serie e versione firmware.
- Password di robot, hotspot e account cambiate; nessun account personale.
- Uscita Internet chiusa di default, aperta solo per OTA e teleoperazione.
- Procedura di aggiornamento scritta, con test su un esemplare e registro.
- Valutazione privacy se il robot riprende o registra persone.
- Contratto con periodo di supporto e canale di segnalazione vulnerabilità.
- Piano di dismissione: cancellazione dati, revoca account, rimozione dalla VLAN.
Domande frequenti
Un robot Unitree può stare sulla stessa VLAN dei PC aziendali?
No. Va su una VLAN dedicata, senza routing verso la rete utenti; l'accesso amministrativo passa da un jump host. Così un problema al robot non espone il resto della rete.
Quali porte devo aprire per un Unitree?
Non aprire porte in ingresso. Il robot avvia connessioni in uscita verso i servizi cloud per OTA, app e teleoperazione; consenti solo quelle destinazioni e solo quando servono. Per l'uso locale basta la rete del robot.
Posso usare un Unitree senza collegarlo al cloud?
Sì per il controllo locale via Ethernet e DDS, sulle versioni EDU. Perdi OTA e teleoperazione da app; la procedura di aggiornamento offline va chiesta al fornitore.
Come aggiorno il firmware in una rete isolata?
Con una VLAN di aggiornamento che abbia accesso in uscita solo durante la finestra, un robot alla volta e registro delle versioni. Se l'isolamento è totale, serve una procedura del fornitore.
Il Cyber Resilience Act riguarda anche l'azienda che usa il robot?
Gli obblighi principali sono del fabbricante. Chi compra deve chiedere periodo di supporto, canale per le vulnerabilità e aggiornamenti. Chi rivende con il proprio marchio può assumere obblighi da fabbricante.
Fonti
- Unitree, architettura di sistema Go2 (cloud dopo autorizzazione, MQTT, HTTP, WebRTC, BLE): support.unitree.com
- Unitree, architettura di sistema G1 (cloud dopo autorizzazione, MQTT, HTTP, TURN/STUN, BLE, DDS): support.unitree.com
- Unitree, pagina ufficiale Go2 (Wi-Fi 6, Bluetooth, modulo 4G, OTA via cloud con autorizzazione): unitree.com/go2
- Unitree, pagina ufficiale G1 (Wi-Fi 6, Bluetooth 5.2, OTA): unitree.com/g1
- Unitree, interfacce elettriche e versioni Go2 (Ethernet e SBUS solo su EDU): support.unitree.com
- Unitree, FAQ per sviluppatori G1 (utente e password iniziali, IP di PC1 e PC2): support.unitree.com
- Unitree, guida rapida Go2 (rete 192.168.123.x e IP del computer di bordo): support.unitree.com
- Unitree, docking station del Go2 (utente e password iniziali): support.unitree.com
- Commissione europea, sintesi del Cyber Resilience Act: digital-strategy.ec.europa.eu
- Commissione europea, obblighi dei fabbricanti secondo il CRA: digital-strategy.ec.europa.eu
- Regolamento (UE) 2024/2847 (Cyber Resilience Act), testo ufficiale: EUR-Lex
- Garante per la protezione dei dati personali, FAQ sulla videosorveglianza: garanteprivacy.it