Wi-Fis: Recomendaciones Seguridad

Por definición, es una red que utiliza radiofrecuencia o infrarrojos como medio para transmitir la información. Están compuestas por una AP (punto de acceso) al que se conectan todos los dispositivos inalámbricos. Usan la banda ISM (Industrial, Scientific and Medical) de 2,4 Ghz,  compartiendo ésta con dispositivos como microondas o teléfonos móviles.  Los estándares que la rigen son creados por la IEEE (802.11a , 802.11b, 802.11g  o 802.11n). El estándar más usado es 802.11n.

Es decir, la información viaja por el aire, por lo que si no realizamos unas pautas de seguridad adecuadas podemos ser muy vulnerables.

Si tenemos la wifi abierta podemos tener nuestra conexión a Internet compartida. Eso significa que podemos tener los siguientes riesgos:

• Un atacante:
  • puede robar la información que transmitimos.
  • puede acceder a los equipos conectados a la red.
• Reducción del ancho de banda
• Somos los primeros responsables de las acciones cometidas con nuestra wifi, eso significa que si un atacante comete acciones ilegales mediante nuestra conexión wifi, podemos tener problemas graves.

Veamos cuáles son los distintos tipos de ataque:

Access Point Spoofing

Este es un ataque que consiste en hacerse pasar por un AP verdadero. El cliente cree que se está conectando a una red verdadera y se capturará toda la información. Después, se puede redirigir el tráfico de forma que el ataque pase inadvertido.

ARP Poisoning

Este ataque se hace al protocolo ARP (Address Resolution Protocol). Un ejemplo de este tipo de ataques es el “Man in the Middle” u “Hombre en medio”. Su funcionamiento es relativamente simple:

Un equipo invasor A envía un paquete ARP reply a B diciendo que la dirección MAC de la máquina X apunta a A. A la máquina X le envía otro paquete ARP reply indicando que la dirección IP de B apunta a la MAC de A.

De esta forma, la máquina B piensa que envía paquetes a X cuando realmente lo está haciendo a A. Igual ocurre con los envíos de X a B. De esta forma, toda la comunicación entre ambas máquinas pasa primero por A (hombre en medio).

Esto es posible porque el protocolo no guarda estados y, al recibir un paquete reply, supone que envió anteriormente un paquete request solicitando esta información.

MAC spoofing

Este ataque consiste un suplantar la dirección MAC de un cliente autorizado. Es posible porque las tarjetas red permiten el cambio de MAC.

Denial of service (DoS)

La idea de este ataque es saturar con peticiones la red, haciendo que el servicio no pueda ser utilizado por clientes legítimos. Normalmente, en redes inalámbricas se hace con pedidos de disociación.

WLAN escanners

En realidad, esto no es un ataque en sí. Lo que se hace es recorrer un lugar e intentar descubrir qué redes WLAN hay, a poder ser, con información de equipamientos físicos, tipos de cifrado utilizados, etc. para después realizar un ataque.

El Wardriving consiste en recorrer una zona, por ejemplo, en un coche, y, mediante un smartphone (o cualquier otro dispositivo portátil) buscar y almacenar los puntos de acceso a redes inalámbricas, junto con los datos que se puedan extraer. Algunas aplicaciones para móviles permiten situar mediante el GPS el punto exacto y realizan esta operación de forma automática. Después, generan un mapa con toda la información extraída.

Sniffing

Este tipo de ataque consiste en interceptar el tráfico de una red. Para ello, tanto atacante con víctima deben estar en la misma red, con lo que suele ser un ataque típico en redes no seguras, como redes abiertas o las proporcionadas en lugares públicos (hoteles, cafeterías, etc.).

Recomendaciones de seguridad

Para proteger nuestra red Wifi es recomendable:

1. Actualizar tanto el  sistema operativo como los controladores Wifi, así como el firmware del router.
2. Si no estamos utilizando la interfaz Wifi debemos deshabilitarla.
3. Es mejor no configurar la red Wifi como oculta.
4. Evitar conectarse a redes Wifi inseguras (redes públicas abiertas). Estas redes nos ofrecen acceso a Internet gratuito (o de pago) y son un entorno perfecto para atacantes. Normalmente, no van a utilizar WPA Enterprise, incluso, en muchos casos, ningún tipo de seguridad. Esto hace que pueda haber alguien haciendo sniffing o que, por ejemplo, podamos sufrir ataques de ARP Poison fácilmente. Incluso si tenemos la intención de conectar a una VPN (Virtual Private Network), no es nada seguro hacerlo mediante estas redes, porque las VPNs protegen el tráfico en las capas de comunicaciones nivel 3 (caso de IPSec) o nivel 5 (caso de SSL), por lo que podemos sufrir ataques de envenenamiento de caché de ARP, que está en el nivel 2, por ejemplo.
5. No utilizar redes “ajenas”. Además de ser un delito, no sabemos quién se encuentra detrás. Si el cifrado es WEP, es posible que esté a conciencia para que creamos haber “hackeado” la wifi y nosotros, supuestos atacantes, seamos los atacados.
6. Cambiar la clave por defecto de nuestro router. Aunque venga por defecto con WPA2, debemos desconfiar de la clave por defecto. Hay multitud de aplicaciones para smartphones que nos devuelven la clave por defecto de multitud de routers, incluso con WPA. Además, hay aplicaciones también para Smartphones que permiten, desde el mismo móvil, hacer ataques DoS, controlar qué dispositivos pueden o no salir a Internet, etc.
7. Cambiar el nombre de red (SSID) que viene por defecto en el router, así como su contraseña de administración.
8. Si tenemos nuestro router configurado para que asigne dinámicamente las IP’s a los clientes (DHCP), que suele venir por defecto, limitar el número de IP’s asignables.
9. Desactivar del router las tecnologías que no utilicemos, como, por ejemplo, WPS (Wi-Fi Protected Setup).
10. Existen varias técnicas de cifrado (WEP, WPA, WPA2, WPA3), siempre hemos recomendado WPA2 (Wireless Protected Access 2) pero no es seguro, el fallo fue descubierto por la universidad de Leuven (Bélgica), bautizado como Krack.  Se trata de una vulnerabilidad que deja una puerta abierta para poder espiar el tráfico Wi-Fi (sniffing). De esta forma, un ataque podría interceptar las comunicaciones entre la red inalámbrica y el dispositivo al que se conecta y robar la información sensible.

Debemos instalar los parches de actualización del fabricante y cambiar a WPA3.

WPA3 este nuevo protocolo añade nuevas funcionalidades que mejoran la seguridad en las conexiones Wi-Fi ante intentos de acceso no autorizados. Tenemos la versión WPA3 personal y WPA empresarial.

Las características principales son:

Simultaneous Authentication of Equals (SAE), también aplica en casos donde los usuarios eligen contraseñas simples y fáciles de vulnerar. Igualmente, con el nuevo protocolo, incluso si la contraseña fue comprometida, los atacantes no podrán descifrar tráfico de la red Wi-Fi que haya transmitido antes de la intrusión.

Cifrado de seguridad de 192 bits

WiFi Easy Connect, nos permite poder tener seguros los dispositivos sin pantalla o display muy limitado, simplifica el proceso de configuración con el router escaneando un código QR con tu smartphone y de esta manera enviar al nuevo dispositivo las credenciales WiFi de manera automática.

Wi-Fi CERTIFIED Enhanced Open, una tecnología que permite el cifrado de datos individualizados en un intento por disminuir el riesgo de amenazas

En resumen, necesitamos solo unos minutos para aplicar unas recomendaciones básicas para proteger nuestra wifi.

• Cifrado de la red a WPA3
• Cambiar las claves por defecto, tanto de la red como la de acceso al panel de control
• Verificar periódicamente quién se conecta a nuestra red
• Apaga el router cuando no lo uses

¡Espero que os haya gustado!