Seguridad inalámbrica

La comunicación inalámbrica es útil en la comunicación máquina a máquina (M2M) industrial. Estas aplicaciones industriales suelen tener requisitos de seguridad específicos. Se dispone de evaluaciones de estas vulnerabilidades y los catálogos de vulnerabilidades resultantes en un contexto industrial al considerar WLAN, NFC y ZigBee . ^{[ 7 ]}

La violación del perímetro de seguridad de una red corporativa puede producirse por diversos métodos e intenciones. Uno de estos métodos se denomina "asociación accidental". Cuando un usuario enciende un ordenador y este se conecta a un punto de acceso inalámbrico de la red superpuesta de una empresa vecina, es posible que el usuario ni siquiera se dé cuenta de lo sucedido. Sin embargo, esto constituye una brecha de seguridad, ya que se expone información confidencial de la empresa y podría existir un vínculo entre ambas. Esto es especialmente cierto si el portátil también está conectado a una red cableada.

La asociación accidental es un caso de vulnerabilidad inalámbrica denominada "asociación errónea". ^{[ 8 ]} La asociación errónea puede ser accidental, deliberada (por ejemplo, para eludir el cortafuegos corporativo) o puede resultar de intentos deliberados en clientes inalámbricos para atraerlos a conectarse a los puntos de acceso del atacante.

Las "asociaciones maliciosas" se producen cuando los atacantes manipulan dispositivos inalámbricos para conectarse a la red de una empresa a través de sus portátiles en lugar de un punto de acceso (AP) de la empresa. Estos portátiles se conocen como "AP virtuales" y se crean cuando un ciberdelincuente ejecuta un software que hace que su tarjeta de red inalámbrica parezca un punto de acceso legítimo. Una vez que el atacante obtiene acceso, puede robar contraseñas, lanzar ataques a la red cableada o instalar troyanos . Dado que las redes inalámbricas operan en la capa 2, las protecciones de la capa 3, como la autenticación de red y las redes privadas virtuales (VPN), no ofrecen ninguna barrera. La autenticación inalámbrica 802.1X proporciona cierta protección, pero sigue siendo vulnerable a los ataques informáticos. El objetivo de este tipo de ataque puede no ser vulnerar una VPN u otras medidas de seguridad. Lo más probable es que el delincuente simplemente intente tomar el control del cliente en la capa 2.

Las redes ad hoc pueden representar una amenaza para la seguridad. Se definen como redes punto a punto entre ordenadores inalámbricos que no cuentan con un punto de acceso intermedio. Si bien este tipo de redes suelen tener poca protección, se pueden utilizar métodos de cifrado para garantizar la seguridad. ^{[ 9 ]}

La vulnerabilidad de seguridad que presenta la red Ad hoc no reside en la red en sí, sino en el puente que proporciona hacia otras redes, generalmente en el entorno corporativo, y en la desafortunada configuración predeterminada de la mayoría de las versiones de Microsoft Windows, que mantiene esta función activada a menos que se desactive explícitamente. Por lo tanto, es posible que el usuario ni siquiera sepa que tiene una red Ad hoc no segura en funcionamiento en su equipo. Si también está utilizando una red de infraestructura cableada o inalámbrica simultáneamente, está proporcionando un puente a la red segura de la organización a través de la conexión Ad hoc no segura. Existen dos formas de puenteo: un puente directo, que requiere que el usuario configure un puente entre las dos conexiones y, por lo tanto, es poco probable que se inicie a menos que se desee explícitamente; y un puente indirecto, que consiste en los recursos compartidos en el equipo del usuario. El puente indirecto puede exponer datos privados compartidos desde el equipo del usuario a conexiones LAN, como carpetas compartidas o almacenamiento conectado a la red privado, sin distinguir entre conexiones autenticadas o privadas y redes Ad hoc no autenticadas. Esto no presenta amenazas que no sean ya conocidas en puntos de acceso wifi abiertos/públicos o no seguros, pero las reglas del firewall pueden eludirse en caso de sistemas operativos o configuraciones locales mal configurados. ^{[ 10 ]}

Las redes no tradicionales, como los dispositivos Bluetooth de red personal , no están a salvo de los ataques informáticos y deben considerarse un riesgo para la seguridad. ^{[ 11 ]} Incluso los lectores de códigos de barras , las PDA portátiles y las impresoras y fotocopiadoras inalámbricas deben estar protegidas. Estas redes no tradicionales pueden pasar desapercibidas fácilmente para el personal de TI, que se ha centrado exclusivamente en portátiles y puntos de acceso.

El robo de identidad (o suplantación de MAC ) ocurre cuando un pirata informático logra interceptar el tráfico de red e identificar la dirección MAC de un ordenador con privilegios de red . La mayoría de los sistemas inalámbricos permiten algún tipo de filtrado MAC para que solo los ordenadores autorizados con direcciones MAC específicas puedan acceder a la red. Sin embargo, existen programas con capacidad de " captura " de tráfico de red. Al combinar estos programas con otro software que permite al pirata informático simular tener cualquier dirección MAC que desee, ^{[ 12 ]} este puede sortear fácilmente esta barrera.

El filtrado MAC solo es efectivo para redes residenciales pequeñas (SOHO), ya que solo proporciona protección cuando el dispositivo inalámbrico está "fuera del aire". Cualquier dispositivo 802.11 "en el aire" transmite libremente su dirección MAC sin cifrar en sus encabezados 802.11, y no se requiere ningún equipo o software especial para detectarla. Cualquier persona con un receptor 802.11 (computadora portátil y adaptador inalámbrico) y un analizador de paquetes inalámbricos gratuito puede obtener la dirección MAC de cualquier dispositivo 802.11 que esté transmitiendo dentro del alcance. En un entorno organizacional, donde la mayoría de los dispositivos inalámbricos están "en el aire" durante todo el turno de trabajo, el filtrado MAC solo proporciona una falsa sensación de seguridad, ya que solo evita conexiones "casuales" o no intencionadas a la infraestructura de la organización y no hace nada para prevenir un ataque dirigido.

Un atacante intermediario (man-in-the-middle) engaña a las computadoras para que inicien sesión en una computadora configurada como un punto de acceso virtual (soft AP ). Una vez hecho esto, el atacante se conecta a un punto de acceso real a través de otra tarjeta inalámbrica, lo que proporciona un flujo constante de tráfico a través de la computadora atacante, que actúa como un dispositivo transparente, hacia la red real. De esta manera, el atacante puede interceptar el tráfico. Un tipo de ataque intermediario se basa en fallos de seguridad en los protocolos de desafío y establecimiento de conexión para ejecutar un ataque de desautenticación. Este ataque obliga a las computadoras conectadas al punto de acceso a desconectarse y volver a conectarse con el punto de acceso virtual del atacante (desconectando al usuario del módem para que tenga que volver a conectarse usando su contraseña, la cual se puede extraer de la grabación del evento). Los ataques intermediarios se ven potenciados por software como LANjack y AirJack, que automatizan varios pasos del proceso, lo que significa que lo que antes requería cierta habilidad ahora puede ser realizado por usuarios sin experiencia . Los puntos de acceso Wi-Fi son particularmente vulnerables a cualquier ataque, ya que estas redes tienen poca o ninguna seguridad.

Un ataque de denegación de servicio (DoS) se produce cuando un atacante bombardea continuamente un punto de acceso (AP ) o una red con solicitudes falsas, mensajes de conexión exitosa prematura, mensajes de error u otros comandos. Esto impide que los usuarios legítimos accedan a la red e incluso puede provocar su caída. Estos ataques se basan en el abuso de protocolos como el Protocolo de Autenticación Extensible (EAP).

El ataque DoS en sí mismo expone poco los datos de la organización a un atacante malicioso, ya que la interrupción de la red impide el flujo de datos y, de hecho, los protege indirectamente al impedir su transmisión. El motivo habitual para realizar un ataque DoS es observar la recuperación de la red inalámbrica, durante la cual todos los dispositivos retransmiten los códigos de enlace iniciales, lo que brinda al atacante malicioso la oportunidad de registrar estos códigos y utilizar diversas herramientas de descifrado para analizar las vulnerabilidades de seguridad y explotarlas para obtener acceso no autorizado al sistema. Esto funciona mejor en sistemas con cifrado débil, como WEP, donde existen varias herramientas disponibles que pueden lanzar un ataque de diccionario de claves de seguridad "posiblemente aceptadas" basadas en la clave de seguridad "modelo" capturada durante la recuperación de la red.

En un ataque de inyección de red, un hacker puede aprovechar puntos de acceso expuestos a tráfico de red sin filtrar, específicamente tráfico de difusión como Spanning Tree Protocol (802.1D), OSPF , RIP y HSRP . El hacker inyecta comandos de reconfiguración de red falsos que afectan a routers, switches y hubs inteligentes. De esta forma, se puede colapsar toda la red, lo que requiere reiniciar o incluso reprogramar todos los dispositivos de red inteligentes.

El ataque Caffe Latte es otra forma de obtener una clave WEP y no requiere un punto de acceso cercano a la red objetivo . ^{[ 13 ]} El ataque Caffe Latte funciona engañando a un cliente con la contraseña WEP almacenada para que se conecte a un punto de acceso malicioso con el mismo SSID que la red objetivo. Después de que el cliente se conecta, genera solicitudes ARP , que el punto de acceso malicioso utiliza para obtener datos de flujo de claves . El punto de acceso malicioso luego envía repetidamente un paquete de desautenticación al cliente, lo que hace que el cliente se desconecte, se vuelva a conectar y envíe solicitudes ARP adicionales, que el punto de acceso malicioso luego utiliza para obtener más datos de flujo de claves. Una vez que el punto de acceso malicioso ha recopilado una cantidad suficiente de datos de flujo de claves, la clave WEP se puede descifrar con una herramienta como [aircrack-ng].

El ataque de Caffe Latte se demostró contra la pila inalámbrica de Windows , pero otros sistemas operativos también podrían ser vulnerables.

El ataque fue denominado ataque "Caffe Latte" por el investigador Vivek Ramachandran porque podía utilizarse para obtener la clave WEP de un viajero remoto en menos de los 6 minutos que se tarda en tomar una taza de café. ^{[ 14 ] [ 15 ] [ 16 ]}

Un Sistema de Prevención de Intrusiones Inalámbricas (WIPS) es un concepto que representa la forma más robusta de contrarrestar los riesgos de seguridad inalámbrica. ^{[ 17 ]} Sin embargo, no existe un WIPS como una solución lista para implementar como paquete de software. Un WIPS generalmente se implementa como una capa superpuesta a una infraestructura de LAN inalámbrica existente , aunque también puede implementarse de forma independiente para aplicar políticas de prohibición de redes inalámbricas dentro de una organización. El WIPS se considera tan importante para la seguridad inalámbrica que, en julio de 2009, el Consejo de Estándares de Seguridad de la Industria de Tarjetas de Pago publicó directrices inalámbricas ^{[ 18 ]} para PCI DSS recomendando el uso de WIPS para automatizar el escaneo y la protección inalámbrica para grandes organizaciones.

Varios proveedores de WIPS se establecieron a principios de la década de 2000. AirDefense se fundó en 2001 y posteriormente fue adquirida por Motorola en 2008 ^{[ 19 ]} . Mojo Networks se fundó en 2004 y posteriormente fue adquirida por Arista Networks en 2018 ^{[ 20 ]} . Con el rápido crecimiento de las redes LAN inalámbricas, WIPS se convirtió en una parte importante de la postura de seguridad de toda organización.

Un método sencillo pero ineficaz para intentar proteger una red inalámbrica es ocultar el SSID (Identificador de Conjunto de Servicios). ^{[ 21 ]} Esto proporciona muy poca protección contra cualquier cosa que no sean los intentos de intrusión más casuales.

Una de las técnicas más sencillas consiste en permitir el acceso únicamente desde direcciones MAC conocidas y previamente aprobadas. La mayoría de los puntos de acceso inalámbricos incluyen algún tipo de filtrado de direcciones MAC . Sin embargo, un atacante puede simplemente interceptar la dirección MAC de un cliente autorizado y suplantar dicha dirección .

Los puntos de acceso inalámbricos típicos proporcionan direcciones IP a los clientes mediante DHCP . Exigir que los clientes configuren sus propias direcciones dificulta que un intruso ocasional o poco sofisticado se conecte a la red, pero ofrece poca protección contra un atacante sofisticado. ^{[ 21 ]}

IEEE 802.1X es el estándar IEEE que establece los mecanismos de autenticación para los dispositivos que desean conectarse a una red LAN inalámbrica.

Entre las soluciones se incluye un sistema de autenticación más reciente , IEEE 802.1X , que promete mejorar la seguridad tanto en redes cableadas como inalámbricas. Los puntos de acceso inalámbricos que incorporan tecnologías como estas suelen tener enrutadores integrados, convirtiéndose así en puertas de enlace inalámbricas .

Se podría argumentar que los métodos de cifrado de capa 2 y capa 3 no son suficientes para proteger datos valiosos como contraseñas y correos electrónicos personales. Estas tecnologías solo cifran partes de la ruta de comunicación, lo que permite que terceros espíen el tráfico si logran acceder a la red cableada. La solución podría ser el cifrado y la autorización en la capa de aplicación , utilizando tecnologías como SSL , SSH , GnuPG , PGP y similares.

La desventaja del método de cifrado de extremo a extremo es que puede no cubrir todo el tráfico. Con el cifrado a nivel de enrutador o VPN, un solo conmutador cifra todo el tráfico, incluso las consultas UDP y DNS. En cambio, con el cifrado de extremo a extremo, cada servicio que se desea proteger debe tener su cifrado activado, y a menudo cada conexión también debe activarse por separado. Para enviar correos electrónicos, cada destinatario debe ser compatible con el método de cifrado y debe intercambiar las claves correctamente. En el caso de la web, no todos los sitios web ofrecen HTTPS, e incluso si lo hacen, el navegador envía las direcciones IP en texto plano.

El recurso más valioso suele ser el acceso a Internet. El propietario de una red LAN de oficina que desee restringir dicho acceso se enfrentará a la compleja tarea de lograr que cada usuario se autentique en el router.

El estándar de seguridad más reciente y riguroso para redes WLAN es el 802.11i RSN. Este estándar completo (que utiliza WPAv2) requiere hardware de última generación (a diferencia de WPAv1), lo que podría implicar la compra de nuevos equipos. Este hardware puede ser AES-WRAP (una versión anterior de 802.11i) o el más reciente y avanzado AES-CCMP. Es importante asegurarse de si se necesita equipo WRAP o CCMP, ya que ambos estándares de hardware no son compatibles.

Estas siglas significan Infraestructura de Autenticación y Privacidad de Redes de Área Local (WLAN). Se trata de un estándar de seguridad inalámbrica definido por el gobierno chino .

El uso de tokens de seguridad es un método de autenticación que se basa únicamente en que los usuarios autorizados posean el token requerido. Las tarjetas inteligentes son tokens físicos que utilizan un chip de circuito integrado para la autenticación, lo que requiere un lector de tarjetas. ^{[ 38 ]} Los tokens USB son tokens físicos que se conectan a través de un puerto USB para autenticar al usuario. ^{[ 39 ]}

En algunos casos, resulta práctico aplicar pintura especial para paredes y láminas para ventanas en una habitación o edificio para atenuar significativamente las señales inalámbricas, impidiendo así su propagación fuera de las instalaciones. Esto puede mejorar considerablemente la seguridad inalámbrica, ya que dificulta que los piratas informáticos reciban las señales fuera del área controlada de las instalaciones, como por ejemplo desde un estacionamiento. ^{[ 40 ]}

La mayoría de los ataques DoS son fáciles de detectar. Sin embargo, muchos son difíciles de detener incluso después de su detección. A continuación, se presentan tres de las formas más comunes de detener un ataque DoS.

El Servicio de Autenticación Remota de Usuarios por Marcación (RADIUS) es un protocolo AAA (autenticación, autorización y contabilidad) utilizado para el acceso remoto a la red. RADIUS, desarrollado en 1991, era originalmente propietario, pero se publicó en 1997 bajo los documentos ISOC RFC 2138 y RFC 2139. ^{[ 44 ] [ 45 ]} La idea es que un servidor interno actúe como guardián, verificando las identidades mediante un nombre de usuario y una contraseña preestablecidos por el usuario. Un servidor RADIUS también puede configurarse para aplicar políticas y restricciones de usuario, así como para registrar información de contabilidad, como el tiempo de conexión, para fines como la facturación.