Configuración protegida de Wi-Fi

Wi‑Fi Protected Setup ( WPS ), denominado Wi‑Fi Simple Configuration en la especificación y comercializado como WPS, es un estándar diseñado para facilitar la configuración de redes Wi-Fi en entornos domésticos y de pequeñas oficinas. ^{[ 1 ]}

Creado por Wi-Fi Alliance , el propósito del protocolo es permitir que los usuarios domésticos con poco conocimiento sobre seguridad inalámbrica , y que podrían sentirse intimidados por las opciones de seguridad disponibles, configuren el Acceso Protegido Wi-Fi (WPS) , además de facilitar la adición de nuevos dispositivos a una red existente sin necesidad de introducir contraseñas largas. Lo utilizan dispositivos de HP, Brother y Canon, especialmente sus impresoras. WPS es un método inalámbrico que se utiliza para conectar ciertos dispositivos Wi-Fi, como impresoras y cámaras de seguridad, a la red Wi-Fi sin necesidad de contraseña. Además, existe otra forma de conexión llamada PIN WPS , que utilizan algunos dispositivos para conectarse a la red inalámbrica. ^{[ 2 ]}

En diciembre de 2011 se reveló una importante vulnerabilidad de seguridad que afecta a los routers inalámbricos con la función WPS PIN, que la mayoría de los modelos más recientes tienen habilitada por defecto. Esta vulnerabilidad permite a un atacante remoto recuperar el WPS PIN en 4 a 10 horas ^{[ 3 ]} mediante un ataque de fuerza bruta y, junto con el WPS PIN, la clave precompartida (PSK) WPA/WPA2 de la red. ^{[ 4 ]} Se ha instado a los usuarios a desactivar la función WPS PIN, ^{[ 5 ]} aunque esto puede no ser posible en algunos modelos de router. ^{[ 6 ]}

El estándar hace hincapié en la usabilidad y la seguridad , y permite cuatro modos en una red doméstica para agregar un nuevo dispositivo a la red:

Método PIN

En este método, se debe leer un PIN desde una etiqueta o pantalla en el nuevo dispositivo inalámbrico . Este PIN debe luego ingresarse en el "representante" de la red, generalmente el punto de acceso . Alternativamente, se puede ingresar un PIN proporcionado por el punto de acceso en el nuevo dispositivo. Este método es el modo base obligatorio y todos los dispositivos deben ser compatibles con él. La especificación Wi-Fi Direct reemplaza este requisito al establecer que todos los dispositivos con teclado o pantalla deben ser compatibles con el método PIN. ^{[ 7 ]}

Método de pulsación de botón

En este modo, el usuario debe pulsar un botón, físico o virtual, tanto en el punto de acceso como en el nuevo dispositivo cliente inalámbrico. En la mayoría de los dispositivos, este modo de detección se desactiva automáticamente en cuanto se establece la conexión o tras un retardo (normalmente de 2 minutos o menos), lo que ocurra primero, minimizando así su vulnerabilidad. La compatibilidad con este modo es obligatoria para los puntos de acceso y opcional para los dispositivos de conexión. La especificación Wi-Fi Direct sustituye este requisito al establecer que todos los dispositivos deben ser compatibles con el método de pulsación de botón. ^{[ 8 ]}

Método de comunicación de campo cercano

En este modo, el usuario debe acercar el nuevo cliente al punto de acceso para permitir la comunicación de campo cercano entre los dispositivos. También se pueden utilizar etiquetas RFID compatibles con NFC Forum . La compatibilidad con este modo es opcional.

Método USB

En este modo, el usuario utiliza una unidad flash USB para transferir datos entre el nuevo dispositivo cliente y el punto de acceso de la red. La compatibilidad con este modo es opcional, pero está en desuso.

Los dos últimos modos suelen denominarse métodos fuera de banda, ya que implican la transferencia de información a través de un canal distinto al propio canal Wi-Fi. Actualmente, solo los dos primeros modos están cubiertos por la certificación WPS. El método USB ha quedado obsoleto y no forma parte de las pruebas de certificación de la Alianza.

Algunos puntos de acceso inalámbricos tienen un botón WPS de doble función, y al mantenerlo presionado durante un tiempo más corto o más largo se pueden activar otras funciones, como el restablecimiento de fábrica o la activación/desactivación del WiFi. ^{[ 9 ]} 

Algunos fabricantes, como Netgear , utilizan un logotipo y/o nombre diferente para Wi-Fi Protected Setup; ^{[ 10 ]} la Wi-Fi Alliance recomienda el uso de la marca de identificación de Wi-Fi Protected Setup en el botón de hardware para esta función. ^{[ 11 ]}

El protocolo WPS define tres tipos de dispositivos en una red:

Registrador

Dispositivo con autoridad para otorgar y revocar el acceso a una red; puede estar integrado en un punto de acceso inalámbrico (AP) o proporcionarse como un dispositivo independiente.

Inscrito

Un dispositivo cliente que intenta unirse a una red inalámbrica. ^{[ 12 ]}

AP

Un punto de acceso que funciona como intermediario entre un registrador y un usuario inscrito.

La norma WPS define tres escenarios básicos que involucran los componentes mencionados anteriormente:

AP con capacidades de registro integradas configura una estación de registro ( STA ).

En este caso, la sesión se ejecutará en el medio inalámbrico como una serie de mensajes de solicitud/respuesta EAP , finalizando con la desconexión del AP con la STA y la espera de que la STA se vuelva a conectar con su nueva configuración (que le fue entregada por el AP justo antes).

El registrador STA configura el AP como un inscrito.

Este caso se subdivide en dos aspectos: primero, la sesión puede ocurrir en un medio cableado o inalámbrico, y segundo, el punto de acceso (AP) podría estar ya configurado cuando el registrador lo detecte. En el caso de una conexión cableada entre los dispositivos, el protocolo se ejecuta mediante Universal Plug and Play (UPnP), y ambos dispositivos deberán ser compatibles con UPnP. Al ejecutarse sobre UPnP, se utiliza una versión abreviada del protocolo (solo dos mensajes), ya que no se requiere autenticación más allá de la del medio cableado conectado. En el caso de un medio inalámbrico, la sesión del protocolo es muy similar al escenario del registrador interno, pero con roles opuestos. En cuanto al estado de configuración del AP, se espera que el registrador pregunte al usuario si desea reconfigurarlo o mantener su configuración actual, y puede decidir reconfigurarlo incluso si el AP se describe a sí mismo como configurado. Varios registradores deberían poder conectarse al AP. UPnP está diseñado para aplicarse solo a un medio cableado, aunque en realidad se aplica a cualquier interfaz a la que se pueda establecer una conexión IP. De este modo, una vez configurada manualmente una conexión inalámbrica, se puede utilizar UPnP sobre ella del mismo modo que con la conexión por cable.

El STA del registrador configura el STA del inscrito

En este caso, el punto de acceso (AP) se sitúa en el medio y actúa como autenticador, lo que significa que solo reenvía los mensajes relevantes de un lado a otro.

El protocolo WPS consiste en una serie de intercambios de mensajes EAP que se activan mediante una acción del usuario, basándose en un intercambio de información descriptiva que debe preceder a dicha acción. La información descriptiva se transfiere a través de un nuevo Elemento de Información (IE) que se añade a la baliza , a la respuesta de sondeo y, opcionalmente, a la solicitud de sondeo y a los mensajes de solicitud/respuesta de asociación. Además de los valores de tipo, longitud y valores puramente informativos , estos IE también contendrán los métodos de configuración posibles y actualmente implementados del dispositivo.

Tras esta comunicación de las capacidades del dispositivo desde ambos extremos, el usuario inicia la sesión de protocolo propiamente dicha. La sesión consta de ocho mensajes que, en caso de éxito, van seguidos de un mensaje que indica que el protocolo ha finalizado. La secuencia exacta de mensajes puede variar al configurar distintos tipos de dispositivos (AP o STA) o al utilizar diferentes medios físicos (cableados o inalámbricos).

Algunos dispositivos con conectividad de red inalámbrica de doble banda no permiten al usuario seleccionar la banda de 2,4  GHz o 5  GHz (ni siquiera una radio o SSID en particular) al usar Wi-Fi Protected Setup, a menos que el punto de acceso inalámbrico tenga un botón WPS independiente para cada banda o radio; sin embargo, varios routers inalámbricos más recientes con múltiples bandas de frecuencia y/o radios permiten establecer una sesión WPS para una banda y/o radio específica para la conexión con clientes que no pueden tener el SSID o la banda (por ejemplo, 2,4/5  GHz) seleccionados explícitamente por el usuario en el cliente para la conexión con WPS (por ejemplo, al presionar el  botón WPS de 5 GHz, donde sea compatible, en el router inalámbrico, se forzará a un dispositivo cliente a conectarse a través de WPS solo en la  banda de 5 GHz después de que el dispositivo cliente haya establecido una sesión WPS, ya que no puede permitir explícitamente la selección de la red inalámbrica y/o la banda para el método de conexión WPS). ^{[ 13 ] [ 14 ]}

• Centro de conocimiento sobre la configuración protegida de Wi-Fi. Archivado el 24/03/2013 en Wayback Machine de la Wi-Fi Alliance.
• Arquitectura del dispositivo UPnP
• Certificado de EE. UU. VU#723755