Claves para la Seguridad en Redes Wi-Fi: Protocolos y Mejores Prácticas

Fundamentos de Identificación en Redes Inalámbricas

SSID: El Nombre de tu Red

El SSID (Service Set Identifier) es el nombre utilizado para identificar una red inalámbrica. Tiene una longitud máxima de 32 caracteres.

BSSID y ESSID: Identificadores del Conjunto de Servicios

• Las redes ad-hoc, que consisten en máquinas cliente sin un punto de acceso, utilizan el BSSID (Basic Service Set Identifier).
• En las redes de infraestructura, que incorporan un punto de acceso, se utiliza el ESSID (Extended Service Set Identifier).

Beacon Frames: Anuncios de Red

• Los AP (Access Points o Puntos de Acceso) envían constantemente anuncios de la red para que los clientes móviles puedan detectar su presencia. Estos anuncios son conocidos como Beacon Frames (tramas de baliza).
• Al capturar las tramas de una red inalámbrica (wireless), se podrá observar que el AP envía el ESSID en estos Beacon Frames.

Importancia de la Seguridad en Redes Inalámbricas

La mayoría de los incidentes de seguridad inalámbrica ocurren porque los administradores de sistemas no implementan las contramedidas adecuadas. Por lo tanto, la cuestión no es solo confirmar que existe una vulnerabilidad técnica, sino también encontrar e implementar una contramedida que funcione eficazmente.

El Ciclo de la Seguridad WLAN

Este ciclo representa un proceso continuo para mantener y mejorar la seguridad de las redes inalámbricas.

Fase de Seguridad

Implementación de medidas de protección fundamentales:

• Autenticación: Verificar la identidad de los usuarios y dispositivos.
• Autorización: Conceder permisos adecuados según la identidad verificada.
• Cuantificación (Accounting): Registrar la actividad para auditorías y seguimiento.
• Firewalls: Filtrar el tráfico de red no deseado.
• VPNs (Virtual Private Networks): Crear conexiones seguras y cifradas.
• Detección de Intrusos: Identificar actividades sospechosas o maliciosas.

Fase de Monitorización

Vigilancia continua del estado de la red:

• Detectar violaciones de la política de seguridad.
• Implementar un sistema de conteo (posiblemente de eventos o accesos).
• Detección de intrusos en tiempo real.

Fase de Pruebas (Test)

Evaluación periódica de la efectividad de las medidas de seguridad:

• Detectar violaciones de la política de seguridad mediante pruebas activas.
• Evaluar el sistema de conteo.
• Probar la detección de intrusos en tiempo real.

Fase de Mejora

Utilizar la información recopilada en las fases de monitorización y pruebas para realizar mejoras continuas en la implementación de la seguridad.

Protocolos de Seguridad Wi-Fi Avanzados

802.11i: El Estándar WPA2

• Aprobado por el IEEE y aceptado por la Wi-Fi Alliance en septiembre de 2004.
• También conocido como WPA2 (Wi-Fi Protected Access 2).
• Utiliza el algoritmo AES (Advanced Encryption Standard) con claves de 128 bits (a diferencia de RC4, usado en protocolos anteriores).
• Es compatible con WPA.

Requisitos de Hardware para 802.11i

• Se precisa un nuevo chip en las tarjetas de red para la criptografía necesaria de este protocolo (AES).
• El algoritmo AES usa una longitud de bloque de 128 bits, y la longitud de la clave puede ser de 128, 192 o 256 bits.

WPA (Wi-Fi Protected Access): Una Solución Transitoria

WPA (Wi-Fi Protected Access) apareció como una solución provisional antes de la aprobación final de 802.11i (WPA2). A veces se le conoció informalmente como WEP2.

• Utiliza TKIP (Temporal Key Integrity Protocol):
  • Sigue empleando RC4, pero sin compartir la clave entre todos los clientes.
  • Realiza un cambio de clave cada 10.000 paquetes aproximadamente.
  • Fue una ¡solución temporal! hasta la llegada de 802.11i.
• Implementa una distribución dinámica de claves con duración limitada a través de TKIP.

Pasos Esenciales para Fortalecer la Seguridad Wi-Fi

Para mejorar la seguridad de tu red inalámbrica, considera los siguientes pasos:

• Eliminar todos los valores predeterminados:
  • Cambiar el SSID por defecto.
  • Establecer una contraseña fuerte para la administración del router.
  • Deshabilitar el acceso al router desde Internet si no es necesario.
• Activar el cifrado de datos: Utilizar un cifrado robusto (mínimo 128 bits, preferiblemente AES con WPA2/WPA3).
• Cerrar la red a dispositivos ajenos:
  • Desactivar la difusión del SSID (aunque esto ofrece una seguridad limitada por oscuridad).
  • Especificar una lista de direcciones MAC permitidas (filtrado MAC), aunque también puede ser eludido.
• Utilizar WPA2 o WPA3: Evitar el uso de WEP y WPA (si es posible).
• Autenticar a los usuarios de manera individualizada: Especialmente en entornos empresariales, utilizando por ejemplo WPA2-Enterprise con un servidor RADIUS.

Vulnerabilidades del Protocolo WEP

Problemas Inherentes a WEP

El protocolo WEP (Wired Equivalent Privacy) presenta serias deficiencias de seguridad:

• Uso de claves estáticas:
  • No existe ningún mecanismo robusto de gestión de claves.
  • Las claves se comparten entre numerosos usuarios por tiempo ilimitado.
  • Se genera mucho tráfico cifrado con la misma clave, lo que facilita su análisis y ruptura.
• El vector de inicialización (IV) se envía en claro:
  • El IV posee solo 24 bits, lo cual es demasiado corto y propenso a repeticiones.
  • Si se repite el IV (es típico inicializarlo a 0 con cada conexión), se produce la misma secuencia cifrante.
  • Una vez conocida esta secuencia cifrante, se puede descifrar el tráfico cifrado con ella.

WEP (Wired Equivalent Privacy) y el Algoritmo RC4

El objetivo inicial de WEP era ofrecer una "privacidad equivalente a la cableada", pero falló significativamente en este propósito.

• El algoritmo de cifrado RC4, utilizado por WEP, fue excluido rápidamente de los estándares de alta seguridad por los criptógrafos. Ciertas implementaciones y modos de uso de RC4 lo han convertido en un sistema de criptografía muy inseguro.
  • No está recomendado su uso en nuevos sistemas. Sin embargo, algunos sistemas basados en RC4 (con modificaciones o usos específicos) podrían considerarse suficientemente seguros para un uso común muy limitado, aunque esto es debatible y generalmente desaconsejado para Wi-Fi.
  • En RC4, el flujo de bits cifrados se genera usando un algoritmo de generación pseudoaleatoria (PRGA - PseudoRandom Generation Algorithm).
• El estándar IEEE 802.11 incluyó originalmente WEP para proteger a los usuarios autorizados de una WLAN y especificaba una clave de 40 bits (más 24 bits de IV, sumando 64 bits).
• La mayoría de los fabricantes extendieron WEP a claves de 104 bits (más 24 bits de IV, sumando 128 bits) o incluso más.
• WEP utiliza el algoritmo de cifrado RC4, que emplea estas claves (por ejemplo, de 64 o 128 bits en total, incluyendo el IV de 24 bits).