SEGURIDADES DE LAS REDES INALÁMBRICAS O WI-FI

RESUMEN DEL VIDEO SOBRE SEGURIDADES DE LAS REDES INALÁMBRICAS O WI-FI 

Disponible en: https://www.youtube.com/watch?v=rhJAJ1TdNyg

Intypedia

Autor

D. Raúl Siles

Fundador y analista de seguridad de Taddong

1-      INTRODUCCIÓN A LA SEGURIDAD DE LAS REDES WI-FI

Están basadas en las tecnologías 802.11, estas son utilizadas por millones de personas a diario dada la facilidad de conexión, flexibilidad y movilidad que ofrecen. Las redes inalámbricas las usamos para conectarnos por ejemploemplo a la red de la casa, de nuestra empresa o internet desde nuestros ordenadores portátiles o dispositivos móviles como el teléfono o la tableta son inseguras?

La principal diferencia entre las redes inalámbricas y las redes cableadas como Ethernet está en el acceso físico a la red, en las redes cableadas tradicionales para tener acceso a la red o a las comunicaciones que viajan por ella es necesario conectarse a la misma a través de un punto o toma de red o punto de conexión físico, en el caso de las redes wi-fi envían sus datos a través de señales de radio frecuencia (RF) que viajan por el aire, como por ejemplo la tv o la radio por lo que es más sencillo para cualquiera tener acceso a estas comunicaciones, estas redes no tienen un limitante físico y están disponibles para cualquiera, solo podría conectarse sin autorización alguien que está cerca de la red wi-fi, la distancia máxima de conexión habitual a redes wi-fi es de unos 100 m, pero, pese a que los estándares y especificaciones Wi-Fi normalmente referencian distancias teóricas de unos 100  m, la distancia real que puede alcanzar la señal de las tecnologías inalámbricas depende del equipamiento empleado por la red y por el atacante. Influyen muchos factores en esa distancia como la existencia de obstáculos, la densidad de los mismos y la potencia de transmisión, la sensibilidad de recepción y la utilización de antenas de alta ganancia, numerosos proyectos y demostraciones han logrado conexiones de cientos de metros empleando equipamiento estándar, por lo que se puede asumir que en un entorno real un atacante de la red Wi-Fi puede estar situado a cientos de metros, incluso varios kilómetros de la red. Los ataques sobre redes Wi-Fi son muy numerosos, podríamos clasificarlos en cuatro categorías generales:

-          Los ataques de negación de servicio (DOS o Denial Of Service) son los más difícilmente evitables por cómo funcionan las tecnologías inalámbricas, ya que alguien puede generar suficiente “ruido” en la frecuencia empleada por la red Wi-Fi y hacer imposible algún tipo de comunicación inalámbrica, afectando a la disponibilidad de la red. Este ataque es especialmente relevante en entornos críticos, como redes Wi-Fi de monitorización en hospitales o infra estructuras críticas.

-          Por otro lado es trivial para un atacante interceptar las comunicaciones de la red Wi-Fi que viajan por el aire y así tener acceso a los datos intercambiados si estos no están cifrados, este tipo de ataque es indetectable y afecta a la confidencialidad de las comunicaciones.

-          Otro es la inyección de tráfico.

-          Otro es el acceso a la red.

En estos dos últimos casos, un atacante sin acceso a la red podría inyectar tráfico y modificar su comportamiento, pero también podría establecer una conexión no autorizada con la red Wi-Fi y disponer de acceso completo a la misma afectando en ambos casos a la integridad de las comunicaciones.

Qué hacer para proteger a la red Wi-Fi de esos ataques?

Hay que decir que hay que proteger tanto a la redes Wi-Fi en sus puntos de acceso y controladores, como a los clientes de la misma y que se conectan a la red Wi-Fi como los ordenadores de escritorio, computadoras portátiles, smartphones y tabletas y cualquier otro dispositivo móvil.

2-      SEGURIDADES DE LAS REDES WI-FI

A la hora de configurar una red Wi-Fi existen muchas tecnologías y opciones diferentes como WEP, WPA, WPA2, 802.1x, etc. A la hora de configurar una red Wi-Fi hay dos elementos de seguridad a tener en cuenta: el cifrado de las comunicaciones y la autenticación o control de acceso a la red.

-      El cifrado de las comunicaciones: se usa para evitar que alguien pueda capturar las comunicaciones y acceder a su contenido, por eso es necesario cifrarlas, las tecnologías WEP, WPA, WPA2, 802.1x permiten cifrar las comunicaciones, pero algunas son inseguras.

-        La autenticación o control de acceso a la red: sirve para evitar que alguien pueda acceder a la red de forma no autorizada, pero estos mecanismos de autenticación deben ser robustos que permitan identificar quien puede conectarse a la red.

 Pero cuando compramos un punto de acceso Wi-Fi, este regularmente viene configurado como abierto, o sea sin ningún tipo de cifrado ni de autenticación, por lo que es necesario configurarlo de manera segura. Es habitual que los puntos de acceso Wi-Fi vengan configurados por defecto, o sea abiertos, pudiendo cualquiera capturar el tráfico de la red o conectarse a la misma, así mismo es habitual recibir el punto de acceso o router Wi-Fi del proveedor de servicios de internet configurado como WEP (Wired Equivalent Privacy), este es un mecanismo de cifrado antiguo que aunque requiere utilizar una contraseña, el tener que utilizar una contraseña crea una falsa sensación de seguridad. Pese a que WEP emplea el algoritmo de cifrado RC4, al igual que otros protocolos en los que confiamos en la actualidad como HTTPS, se empleó de  forma incorrecta e insegura en su diseño, siendo posible actualmente para un atacante obtener la contraseña WEP de una red Wi-Fi en menos de un minuto. Las redes Wi-Fi personales deberían ser configuradas con WPA2 (Wireless Proteccted Access 2) en su variante personal o PSK (Pre-Shared Key), una opción segura si se emplean contraseñas suficientemente largas: Mas de 20 caracteres y difícilmente adivinables, las cuales se deben configurar tanto en los clientes como en las Wi-Fi. WPA2 ofrece mecanismos de cifrado y de autenticación, pero hay que tener cuidado a la hora de seleccionar WPA2 personal pues existen dos opciones, TKIP (Temporal Key Integrity Protocol) y AES (Advanced Encryption Standard). La más segura es AES, ya que está basada en un conjunto de algoritmos criptográficos de referencia en la actualidad. TKIP es una evolución de los mecanismos de cifrado de WEP, también basada en el RC4, pero con mejoras, que se diseñó para ser utilizada con WPA y los dispositivos Wi-Fi que ya soportaban WEP hace años. WPA es más inseguro que WPA2 y es una alternativa que se diseñó para ser usada solo temporalmente, o sea, WPA2/AES más una contraseña robusta.  En el caso de empresas y otras organizaciones, para configurar una red Wi-Fi de forma segura, una de las opciones puede ser WAP2 Personal, pero es más recomendable que las redes Wi-Fi corporativas sean configuradas con WAP2 en su variante corporativa o Enterprise, ya que es una opción todavía más segura al emplear un servidor RADIUS (Remote Authentication Dial In User Service) Para generar y distribuir contraseñas aleatorias robustas, junto con los protocolos 802.1x y EAP (Extensible Authentication Protocol) para la autenticación, Existen múltiples tipos de protocolos EAP, cada uno emplea diferentes credenciales, como usuario y contraseña, certificados digitales, tarjetas inteligentes (Smartcarts), etc., por lo que debe realizarse un estudio detallado de la infraestructura Wi-Fi para elegir el protocolo EAP más adecuado. Los mecanismos de cifrado son similares tanto para WPA2 Personal como en el Entreprise, adicionalmente, es recomendable que las empresas dispongan de un sistema de detección de intrusos inalámbricos (WIDS, Wireless Intrusion Detection System) para saber qué está ocurriendo en su red Wi-Fi y poder reaccionar ante posibles ataques.Existen numerosas opciones adicionales de seguridad disponibles en los puntos de acceso Wi-Fi, como reducir la intensidad y alcance de la señal y el filtrado de la dirección MAC o la ocultación del nombre de la red Wi-Fi en las tramas de anuncio ( o beacon), pero todos los mecanismos de seguridad adicionales que acabamos de mencionar permiten incrementar solo ligeramente la seguridad de la red Wi-Fi ya que presentan debilidades y no evitarán que un atacante con los conocimientos necesarios pueda vencerlos. En algunos casos, además, su implantación es compleja, como por ejemplo la gestión de la dirección MAC de todos los clientes Wi-Fi de una empresa que dispone de miles de dispositivos cliente. En otros, su utilización incluso puede reducir el nivel de seguridad del entorno Wi-Fi, como la ocultación del nombre de la red Wi-Fi, al tener implicaciones en los clientes.

3-      SEGURIDAD DE LOS CLIENTES WI-FI

También hay que tener en cuenta la seguridad de los clientes Wi-Fi, ya que por medio de los dispositivos móviles con capacidades Wi-Fi en entornos públicos pueden acceder la red Wi-Fi, esto se debe a que en la actualidad las redes Wi-Fi pueden ser configuradas de igual forma que en el pasado, entonces los atacantes ha centrado sus actividades también en los clientes Wi-Fi, el cual es el eslabón más débil de la cadena, al tener una interfaz Wi-Fi activo en un dispositivo móvil, alguien podría comunicarse con él y atacarlo. El objetivo de una ataque cuando ni siquiera el dispositivo está conectado en una red Wi-Fi es el controlador de la tarjeta Wi-Fi y el sistema operativo. Por este motivo se  recomienda siempre tener tanto el sistema operativo como específicamente los controladores Wi-Fi de todos los dispositivos actualizados en todo momento.

Recomendación: tener el sistema operativo actualizado y todos los controladores Wi-Fi de todos los dispositivos actualizados, o sea al día, e incluso en esos casos, alguien podría atacar los dispositivos móviles a través de Wi-Fi, todos los clientes Wi-Fi almacenan una lista de redes a las que se han conectado previamente o redes preferidas (PNL, Preferred Network List) e intentan conectarse a estas cuando la interfaz Wi-Fi está activa, uno de los ataques más comunes sobre clientes Wi-Fi es el punto de acceso falso (evil twin), donde el atacante suplanta una de estas redes Wi-Fi preferidas y anunciadas por tu dispositivo con el objetivo de que el cliente se conecte al atacante pensando que es la red Wi-Fi preferida, por ejemplo la de tu empresa, aunque estés a kilómetros de distancia de esta. Una vez conectado a la red falsa, el atacante intentará lograr acceso completo a tu dispositivo y a sus comunicaciones, pero para que ese ataque funcione, mi dispositivo tiene que anunciar al menos una de las redes incluida en su lista de redes preferidas. Actualmente para evitar este ataque, muchos dispositivos móviles evitan  desvelar su lista de redes preferidas, aunque aún existen otros dispositivos móviles que son vulnerables y sí lo hacen. Sin embargo hay un escenario común que afecta a todos los dispositivos Wi-Fi. Cuando un cliente se desea conectar a una red Wi-Fi, pregunta que redes hay disponibles en su ubicación actual, recorre su lista de redes preferidas y si alguna coincide, intentará conectarse a ella. Si una red está configurada como oculta, no será visible en el conjunto de redes actualmente disponibles, por lo que el cliente no podrá conectarse a ella. Para que esta conexión sea posible, el dispositivo tiene que preguntar específicamente por la existencia de la red oculta, desvelando el nombre de esa red, por lo tanto, el ataque de punto de acceso falso es posible si el dispositivo contiene redes ocultas en su lista de redes preferidas. Por ese motivo, no se aconseja configurar las redes Wi-Fi como ocultas, ya que esta supuesta medida de protección disminuye la seguridad de los clientes Wi-Fi. Si nos conectamos a redes públicas (hotspots) de la cafetería del trabajo, la biblioteca de mi barrio, o un restaurante, hotel o aeropuerto, las redes Wi-Fi públicas que ofrecen acceso a internet gratuito o de pago, estas son un entorno perfecto para los ataques. Normalmente son redes abiertas que no utilizan mecanismos de cifrado, en todas ellas compartes la red Wi-Fi con otros usuarios, incluido el atacante, e incluso aunque utilicen cifrado, su tráfico puede ser interceptado ya que la contraseña es conocida por todos los usuarios, salvo que hagan uso de WPA/WPA2 enterprise, lo que es muy poco habitual en esos entornos. El atacante puede realizar todo tipo de ataques contra tu dispositivo, como capturar tu tráfico cifrado enviado por este a la red Wi-Fi y acceder a sus contenidos, o intentar explotar vulnerabilidades del sistema operativo u otro software cliente, por ejemplo, tu navegador web o sus extensiones (plugins). Para evitar este tipo de ataques, lo habitual es hacer uso de las VPNs (Virtual Private Networks), basadas en SSL o IPSec para proteger todo el tráfico enviado a través de una red insegura como la red Wi-Fi pública. Pero igualmente hay que tener cuidado, el uso de VPNs sobre redes Wi-Fi inseguras es una práctica muy común y aunque se trata de seguridad recomendada, debe tenerse en cuenta que presenta vulnerabilidades. Por un lado, las tecnologías VPN protegen el tráfico en capas de comunicaciones superiores: IPSec en el nivel 3 y SSL en el nivel 5, por lo que un atacante podría realizar ataques sobre las capas inferiores (nivel 2), como por ejemplo ataques de envenenamiento de la caché ARP (en el nivel 2). Por otro lado, el usuario debe conectarse a la red Wi-Fi insegura para posteriormente establecer un canal de comunicación seguro a través de la VPN, pero si el canal seguro no llega a establecerse nunca o se retrasa, mientras eso pasa, los ataques sobre el dispositivo y el tráfico del usuario son posibles. Un ejemplo muy común se presenta en las redes Wi-Fi que requieren autentificación del usuario a través de un portal web o portal cautivo, donde es necesario realizar múltiples conexiones a través de la red Wi-Fi insegura antes de disponer de acceso a internet para poder establecer la VPN. En resumen, es preferible emplear redes WI-FI seguras, junto a tecnologías VPNs y conexiones cifradas extremo a extremo, como las basadas en SSL/TLS.

4-      RECOMENDACIONES DE SEGURIDAD PARA LAS REDES WI-FI RESUMEN

-          Reducir el alcance de la señal.

-          No configurar la red WI-FI como oculta

-          Emplear tecnologías de seguridad como WPA2-AES en su versión personal (PSK) más contraseñas largas y difícilmente adivinables, en el caso de las empresas WPA2-AES en su versión Enterprise junto al método EAP adecuado según las características del entorno WI-FI corporativo.

-          Disponer de mecanismos de detección para poder detectar ataques en la red WI-FI.

RECOMENDACIONES PRINCIPALES PARA PROTEGER A LOS CLIENTES WI-FI

-          Mantener actualizado tanto el sistema operativo, como los controladores Wi-Fi.

-          Deshabilitar el interfaz Wi-Fi cuando no se esté utilizando.

-          Evitar conectarse a redes públicas Wi-Fi inseguras como por ejemploemplo redes públicas abiertas o con mecanismos de seguridad débiles como WEP.

-          Mantener actualizada la lista de redes preferidas, eliminando redes ocultas o aquellas a las que no nos vayamos a volver a conectar.