Acceso protegido Wi-Fi

WEP (Wired Equivalent Privacy) es un protocolo de cifrado antiguo para redes inalámbricas, diseñado para proteger las conexiones WLAN. Admite claves de 64 y 128 bits, combinando bits configurables por el usuario y bits preestablecidos de fábrica. WEP utiliza el algoritmo RC4 para cifrar los datos, creando una clave única para cada paquete mediante la combinación de un nuevo vector de inicialización (IV) con una clave compartida (tiene 40 bits de clave vectorizada y 24 bits de números aleatorios). El descifrado implica revertir este proceso, utilizando el IV y la clave compartida para generar una secuencia de claves y descifrar la carga útil. A pesar de su uso inicial, las importantes vulnerabilidades de WEP llevaron a la adopción de protocolos más seguros. ^{[ 3 ]}

La Wi-Fi Alliance concibió WPA como una medida intermedia para reemplazar a WEP mientras se desarrollaba el estándar IEEE 802.11 completo . WPA podía implementarse mediante actualizaciones de firmware en tarjetas de interfaz de red inalámbrica diseñadas para WEP, cuyo lanzamiento se remonta a 1999. Sin embargo, dado que los cambios necesarios en los puntos de acceso inalámbricos (AP) eran más extensos que los requeridos en las tarjetas de red, la mayoría de los AP anteriores a 2003 no podían actualizarse mediante los métodos proporcionados por el fabricante para admitir WPA.

El protocolo WPA implementa el Protocolo de Integridad de Clave Temporal (TKIP). WEP utiliza una clave de cifrado de 64 o 128 bits que debe introducirse manualmente en los puntos de acceso y dispositivos inalámbricos y que no cambia. TKIP emplea una clave por paquete, lo que significa que genera dinámicamente una nueva clave de 128 bits para cada paquete y, por lo tanto, previene los tipos de ataques que comprometen a WEP. ^{[ 4 ]}

WPA también incluye una comprobación de integridad de mensajes, diseñada para evitar que un atacante altere y reenvíe paquetes de datos. Esta reemplaza la comprobación de redundancia cíclica (CRC) utilizada por el estándar WEP. El principal defecto de CRC es que no proporciona una garantía de integridad de datos suficientemente sólida para los paquetes que maneja. ^{[ 5 ]} Existían códigos de autenticación de mensajes bien probados para resolver estos problemas, pero requieren demasiados cálculos para usarse en tarjetas de red antiguas. Desde entonces, los investigadores han descubierto una vulnerabilidad en WPA que se basaba en debilidades anteriores de WEP y en las limitaciones de la función hash del código de integridad de mensajes, llamada Michael , para recuperar el flujo de claves de paquetes cortos y usarlo para la reinyección y la suplantación de identidad . ^{[ 6 ] [ 7 ]}

Ratificado en 2004, WPA2 reemplazó a WPA. WPA2, que requiere pruebas y certificación por parte de la Wi-Fi Alliance, implementa los elementos obligatorios de IEEE 802.11i. En particular, incluye soporte para CCMP , un modo de cifrado basado en AES . ^{[ 8 ] [ 9 ] [ 10 ]} La certificación comenzó en septiembre de 2004. Desde el 13 de marzo de 2006 hasta el 30 de junio de 2020, la certificación WPA2 fue obligatoria para todos los dispositivos nuevos que llevaran la marca Wi-Fi. ^{[ 11 ]} En las WLAN protegidas por WPA2, la comunicación segura se establece a través de un proceso de varios pasos. Inicialmente, los dispositivos se asocian con el punto de acceso (AP) a través de una solicitud de asociación. A esto le sigue un intercambio de claves de 4 vías, un paso crucial para garantizar que tanto el cliente como el AP tengan la clave precompartida (PSK) correcta sin transmitirla realmente. Durante este proceso de establecimiento de la conexión, se genera una clave transitoria de pares (PTK, por sus siglas en inglés) para el intercambio seguro de datos.

WPA2 emplea el Estándar de Cifrado Avanzado ( AES ) con una clave de 128 bits, lo que mejora la seguridad mediante el Protocolo de Modo Contador/CBC-Mac (CCMP ). Este protocolo garantiza un cifrado robusto y la integridad de los datos, utilizando diferentes Vectores de Inicialización (IV) para fines de cifrado y autenticación. ^{[ 12 ]}

El saludo de cuatro vías implica:

• El punto de acceso envía un número aleatorio (ANonce) al cliente.
• El cliente responde con su número aleatorio (SNonce).
• El punto de acceso calcula el PTK a partir de estos números y envía un mensaje cifrado al cliente.
• El cliente descifra este mensaje con el PTK, confirmando la autenticación exitosa. ^{[ 13 ]}

Tras el establecimiento de la conexión, la clave temporal de propósito (PTK) se utiliza para cifrar el tráfico unicast, y la clave temporal de grupo (GTK) se utiliza para el tráfico broadcast. Este mecanismo integral de autenticación y cifrado es lo que convierte a WPA2 en un estándar de seguridad robusto para redes inalámbricas. ^{[ 13 ]}

En enero de 2018, la Wi-Fi Alliance anunció WPA3 como reemplazo de WPA2. ^{[ 14 ] [ 15 ]} La certificación comenzó en junio de 2018, ^{[ 16 ]} y la compatibilidad con WPA3 es obligatoria para los dispositivos que llevan el logotipo "Wi-Fi CERTIFIED™" desde julio de 2020. ^{[ 17 ]}

El nuevo estándar utiliza una seguridad criptográfica equivalente de 192 bits en el modo WPA3-Enterprise ^{[ 18 ]} ( AES-256 en modo GCM con SHA-384 como HMAC ) y sigue exigiendo el uso de CCMP-128 ( AES-128 en modo CCM ) como algoritmo de cifrado mínimo en el modo WPA3-Personal. TKIP no está permitido en WPA3.

El estándar WPA3 también reemplaza el intercambio de clave precompartida (PSK) con el intercambio de autenticación simultánea de iguales (SAE), un método introducido originalmente con IEEE 802.11s , lo que resulta en un intercambio de clave inicial más seguro en modo personal ^{[ 19 ] [ 20 ]} y confidencialidad directa . ^{[ 21 ]} La Wi-Fi Alliance también afirma que WPA3 mitigará los problemas de seguridad que plantean las contraseñas débiles y simplificará el proceso de configuración de dispositivos sin interfaz de pantalla. ^{[ 2 ] [ 22 ]} WPA3 también admite el cifrado inalámbrico oportunista (OWE) para redes Wi-Fi abiertas que no tienen contraseñas. La Wi-Fi Alliance denomina a OWE "Wi-Fi CERTIFIED Enhanced Open"; los fabricantes de Wi-Fi a menudo se refieren a él como "Enhanced Open" en lugar de OWE. ^{[ 23 ]}

La protección de las tramas de gestión, tal como se especifica en la enmienda IEEE 802.11w, también se aplica mediante las especificaciones WPA3.

TKIP (Protocolo de Integridad de Clave Temporal)

El cifrado de flujo RC4 utiliza una clave de 128 bits por paquete, lo que significa que genera dinámicamente una nueva clave para cada paquete. Este método lo utiliza WPA.

CCMP ( modo CTR con protocolo CBC-MAC )

El protocolo utilizado por WPA2, basado en el cifrado Estándar de Cifrado Avanzado (AES) junto con una sólida verificación de autenticidad e integridad de los mensajes, ofrece una protección significativamente mayor para la privacidad y la integridad que el protocolo TKIP basado en RC4 utilizado por WPA. Entre los nombres informales se encuentran AES y AES-CCMP . Según la especificación 802.11n, este protocolo de cifrado debe utilizarse para lograr esquemas de alta velocidad de bits 802.11n , aunque no todas las implementaciones lo exigen. ^{[ 30 ]} De lo contrario, la velocidad de datos no superará los 54 Mbit/s. 

WPA-Personal y WPA2-Personal siguen siendo vulnerables a ataques de descifrado de contraseñas si los usuarios confían en una contraseña o frase de contraseña débil . Los hashes de frases de contraseña WPA se generan a partir del nombre del SSID y su longitud; existen tablas arcoíris para los 1000 SSID de red más comunes y una multitud de contraseñas comunes, lo que requiere solo una búsqueda rápida para acelerar el descifrado de WPA-PSK. ^{[ 35 ]}

Se puede intentar un ataque de fuerza bruta a contraseñas simples utilizando la suite Aircrack , partiendo del protocolo de autenticación de cuatro vías intercambiado durante la asociación o la reautenticación periódica. ^{[ 36 ] [ 37 ] [ 38 ] [ 39 ] [ 40 ]}

WPA3 reemplaza los protocolos criptográficos susceptibles de análisis fuera de línea con protocolos que requieren interacción con la infraestructura para cada contraseña adivinada, supuestamente estableciendo límites temporales en el número de intentos. ^{[ 14 ]} Sin embargo, las fallas de diseño en WPA3 permiten a los atacantes lanzar ataques de fuerza bruta de manera plausible .

WPA y WPA2 no proporcionan confidencialidad directa , lo que significa que una vez que una persona malintencionada descubre la clave precompartida, puede potencialmente descifrar todos los paquetes cifrados con esa clave, tanto futuros como pasados, que podrían ser recopilados de forma pasiva y silenciosa por el atacante. Esto también significa que un atacante puede capturar y descifrar silenciosamente los paquetes de otros si se proporciona un punto de acceso protegido por WPA de forma gratuita en un lugar público, ya que su contraseña suele compartirse con cualquier persona en ese lugar. En otras palabras, WPA solo protege de atacantes que no tienen acceso a la contraseña. Por ello, es más seguro utilizar Transport Layer Security (TLS) o un protocolo similar para la transferencia de datos confidenciales. Sin embargo, a partir de WPA3, este problema se ha solucionado. ^{[ 21 ]}

En 2013, Mathy Vanhoef y Frank Piessens ^{[ 41 ]} mejoraron significativamente los ataques WPA-TKIP de Erik Tews y Martin Beck. ^{[ 42 ] [ 43 ]} Demostraron cómo inyectar un número arbitrario de paquetes, cada uno con un máximo de 112 bytes de carga útil. Esto se demostró mediante la implementación de un escáner de puertos , que puede ejecutarse contra cualquier cliente que utilice WPA-TKIP . Además, mostraron cómo descifrar paquetes arbitrarios enviados a un cliente. Mencionaron que esto puede usarse para secuestrar una conexión TCP , lo que permite a un atacante inyectar JavaScript malicioso cuando la víctima visita un sitio web. En contraste, el ataque Beck-Tews solo podía descifrar paquetes cortos con contenido mayormente conocido, como mensajes ARP , y solo permitía la inyección de 3 a 7 paquetes de un máximo de 28 bytes. El ataque Beck-Tews también requiere que la calidad de servicio (según se define en 802.11e ) esté habilitada, mientras que el ataque Vanhoef-Piessens no. Ninguno de los dos ataques permite recuperar la clave de sesión compartida entre el cliente y el punto de acceso . Los autores afirman que usar un intervalo de renovación de clave corto puede prevenir algunos ataques, pero no todos, y recomiendan encarecidamente cambiar de TKIP a CCMP basado en AES .

Halvorsen y otros muestran cómo modificar el ataque Beck-Tews para permitir la inyección de 3 a 7 paquetes con un tamaño máximo de 596 bytes. ^{[ 44 ]} La desventaja es que su ataque requiere mucho más tiempo para ejecutarse: aproximadamente 18 minutos y 25 segundos. En otro trabajo, Vanhoef y Piessens demostraron que, cuando se utiliza WPA para cifrar paquetes de difusión, su ataque original también puede ejecutarse. ^{[ 45 ]} Esta es una extensión importante, ya que muchas más redes utilizan WPA para proteger paquetes de difusión que para proteger paquetes unicast . El tiempo de ejecución de este ataque es en promedio de alrededor de 7 minutos, en comparación con los 14 minutos del ataque original de Vanhoef-Piessens y Beck-Tews.

Las vulnerabilidades de TKIP son significativas porque WPA-TKIP se consideraba anteriormente una combinación extremadamente segura; de hecho, WPA-TKIP sigue siendo una opción de configuración en una amplia variedad de dispositivos de enrutamiento inalámbrico proporcionados por muchos fabricantes de hardware. Una encuesta realizada en 2013 mostró que el 71 % aún permite el uso de TKIP y el 19 % lo admite exclusivamente. ^{[ 41 ]}

Una vulnerabilidad de seguridad más grave, revelada en diciembre de 2011 por Stefan Viehböck, afecta a los routers inalámbricos con la función Wi-Fi Protected Setup (WPS), independientemente del método de cifrado que utilicen. La mayoría de los modelos recientes incorporan esta función y la activan por defecto. Muchos fabricantes de dispositivos Wi-Fi para el consumidor habían tomado medidas para eliminar la posibilidad de contraseñas débiles, promoviendo métodos alternativos para generar y distribuir automáticamente claves seguras cuando los usuarios añaden un nuevo adaptador o dispositivo inalámbrico a la red. Estos métodos incluyen pulsar botones en los dispositivos o introducir un PIN de 8 dígitos .

La Wi-Fi Alliance estandarizó estos métodos como Wi-Fi Protected Setup (WPS); sin embargo, la función de PIN, tal como se implementó ampliamente, introdujo una nueva y grave vulnerabilidad de seguridad. Esta vulnerabilidad permite a un atacante remoto recuperar el PIN de WPS y, con él, la contraseña WPA/WPA2 del router en pocas horas. ^{[ 46 ]} Se ha recomendado a los usuarios que desactiven la función WPS, ^{[ 47 ]} aunque esto puede no ser posible en algunos modelos de router. Además, el PIN está impreso en una etiqueta en la mayoría de los routers Wi-Fi con WPS, la cual no se puede cambiar si se ve comprometida.

En 2018, la Wi-Fi Alliance introdujo Wi-Fi Easy Connect ^{[ 48 ]} como una nueva alternativa para la configuración de dispositivos que carecen de capacidades de interfaz de usuario suficientes al permitir que los dispositivos cercanos sirvan como una interfaz de usuario adecuada para fines de aprovisionamiento de red, mitigando así la necesidad de WPS. ^{[ 49 ]}

Se han encontrado varias vulnerabilidades en MS-CHAPv2 , algunas de las cuales reducen drásticamente la complejidad de los ataques de fuerza bruta, haciéndolos factibles con hardware moderno. En 2012, la complejidad para vulnerar MS-CHAPv2 se redujo a la de vulnerar una sola clave DES (trabajo de Moxie Marlinspike y Marsh Ray). Moxie aconsejó: «Las empresas que dependen de las propiedades de autenticación mutua de MS-CHAPv2 para conectarse a sus servidores Radius WPA2 deberían comenzar a migrar inmediatamente a otra solución». ^{[ 50 ]}

Los métodos EAP tunelizados que utilizan TTLS o PEAP, los cuales cifran el intercambio MSCHAPv2, se implementan ampliamente para protegerse contra la explotación de esta vulnerabilidad. Sin embargo, las implementaciones de clientes WPA2 predominantes a principios de la década de 2000 eran propensas a la mala configuración por parte de los usuarios finales o, en algunos casos (por ejemplo, Android ), carecían de una forma accesible para el usuario de configurar correctamente la validación de los CN de los certificados del servidor AAA. Esto extendió la relevancia de la debilidad original en MSCHAPv2 dentro de los escenarios de ataque MiTM . ^{[ 51 ]} Bajo las pruebas de cumplimiento más estrictas para WPA2 anunciadas junto con WPA3, el software cliente certificado deberá ajustarse a ciertos comportamientos relacionados con la validación de certificados AAA. ^{[ 14 ]}

Hole196 es una vulnerabilidad en el protocolo WPA2 que abusa de la clave temporal de grupo (GTK) compartida. Puede utilizarse para realizar ataques de intermediario (man-in-the-middle) y de denegación de servicio . Sin embargo, presupone que el atacante ya está autenticado en el punto de acceso y, por lo tanto, posee la GTK. ^{[ 52 ] [ 53 ]}

En 2016 se demostró que los estándares WPA y WPA2 contienen un generador de números aleatorios (RNG) propuesto que es inseguro. ^{[ 54 ]} Los investigadores demostraron que, si los proveedores implementan el RNG propuesto, un atacante puede predecir la clave de grupo (GTK) que se supone que genera aleatoriamente el punto de acceso (AP). Además, demostraron que la posesión de la GTK permite al atacante inyectar cualquier tráfico en la red y descifrar el tráfico de Internet unicast transmitido a través de la red inalámbrica. Demostraron su ataque contra un enrutador Asus RT-AC51U que utiliza los controladores MediaTek out-of-tree, que generan la GTK por sí mismos, y demostraron que la GTK se puede recuperar en dos minutos o menos. De manera similar, demostraron que las claves generadas por los demonios de acceso de Broadcom que se ejecutan en VxWorks 5 y posteriores se pueden recuperar en cuatro minutos o menos, lo que afecta, por ejemplo, a ciertas versiones de Linksys WRT54G y ciertos modelos de Apple AirPort Extreme. Los proveedores pueden protegerse contra este ataque utilizando un generador de números aleatorios seguro. De esta forma, Hostapd, que se ejecuta en núcleos Linux, no es vulnerable a este ataque y, por lo tanto, los enrutadores que ejecutan instalaciones típicas de OpenWrt o LEDE no presentan este problema. ^{[ 54 ]}

En octubre de 2017, se publicaron detalles del ataque KRACK (Key Reinstallation Attack) contra WPA2. ^{[ 55 ] [ 56 ]} Se cree que el ataque KRACK afecta a todas las variantes de WPA y WPA2; sin embargo, las implicaciones de seguridad varían entre las implementaciones, dependiendo de cómo cada desarrollador interpretó una parte mal especificada del estándar. Los parches de software pueden resolver la vulnerabilidad, pero no están disponibles para todos los dispositivos. ^{[ 57 ]} KRACK explota una debilidad en el protocolo de enlace de cuatro vías de WPA2, un proceso crítico para generar claves de cifrado. Los atacantes pueden forzar múltiples protocolos de enlace, manipulando los restablecimientos de clave. Al interceptar el protocolo de enlace, podrían descifrar el tráfico de red sin descifrar directamente el cifrado. Esto supone un riesgo, especialmente en la transmisión de datos sensibles. ^{[ 58 ]}

Los fabricantes han lanzado parches en respuesta, pero no todos los dispositivos han recibido actualizaciones. Se recomienda a los usuarios mantener sus dispositivos actualizados para mitigar estos riesgos de seguridad. Las actualizaciones periódicas son cruciales para mantener la seguridad de la red frente a las amenazas en constante evolución. ^{[ 58 ]}

En abril de 2019, los ataques Dragonblood expusieron vulnerabilidades significativas en el protocolo de enlace Dragonfly utilizado en WPA3 y EAP-pwd. ^{[ 59 ]} Estas incluían ataques de canal lateral que potencialmente revelaban información confidencial del usuario y debilidades de implementación en EAP-pwd y SAE. También se plantearon preocupaciones sobre la seguridad inadecuada en los modos de transición que admiten tanto WPA2 como WPA3. En respuesta, se están integrando actualizaciones de seguridad y cambios de protocolo en WPA3 y EAP-pwd para abordar estas vulnerabilidades y mejorar la seguridad general de Wi-Fi. ^{[ 60 ]}

En mayo de 2021 se reveló FragAttacks , un conjunto de nuevas vulnerabilidades de seguridad que afectan a los dispositivos Wi-Fi y permiten a los atacantes dentro del alcance robar información o atacar dispositivos. Estas vulnerabilidades incluyen fallos de diseño en el estándar Wi-Fi, que afectan a la mayoría de los dispositivos, y errores de programación en los productos Wi-Fi, lo que hace que casi todos los productos Wi-Fi sean vulnerables. Las vulnerabilidades afectan a todos los protocolos de seguridad Wi-Fi, incluidos WPA3 y WEP. Explotar estos fallos es complejo, pero los errores de programación en los productos Wi-Fi son más fáciles de explotar. A pesar de las mejoras en la seguridad Wi-Fi, estos hallazgos resaltan la necesidad de un análisis y actualizaciones de seguridad continuos. En respuesta, se desarrollaron parches de seguridad y se recomienda a los usuarios utilizar HTTPS e instalar las actualizaciones disponibles para protegerse.