.jpg/1280px-ADSL_router_with_Wi-Fi_(802.11_b-g).jpg)
La seguridad inalámbrica es la prevención del acceso no autorizado o daño a computadoras o datos que utilizan redes inalámbricas , que incluyen redes Wi-Fi . El término también puede referirse a la protección de la red inalámbrica en sí misma de adversarios que buscan dañar la confidencialidad, integridad o disponibilidad de la red. El tipo más común es la seguridad Wi-Fi , que incluye Privacidad equivalente por cable (WEP) y Acceso protegido Wi-Fi (WPA). WEP es un antiguo estándar IEEE 802.11 de 1997. [1] Es un estándar de seguridad notoriamente débil: la contraseña que utiliza a menudo se puede descifrar en unos pocos minutos con una computadora portátil básica y herramientas de software ampliamente disponibles. [2] WEP fue reemplazado en 2003 por WPA, una alternativa rápida en ese momento para mejorar la seguridad sobre WEP. El estándar actual es WPA2; [3] algunos hardware no pueden soportar WPA2 sin una actualización o reemplazo de firmware. WPA2 utiliza un dispositivo de cifrado que cifra la red con una clave de 256 bits; la longitud de clave más larga mejora la seguridad sobre WEP. Las empresas a menudo aplican la seguridad utilizando un sistema basado en certificados para autenticar el dispositivo que se conecta, siguiendo el estándar 802.11X.
En enero de 2018, la Wi-Fi Alliance anunció que WPA3 reemplazaría a WPA2. La certificación comenzó en junio de 2018 y la compatibilidad con WPA3 es obligatoria para los dispositivos que llevan el logotipo "Wi-Fi CERTIFIED™" desde julio de 2020.
Muchas computadoras portátiles tienen tarjetas inalámbricas preinstaladas. La capacidad de ingresar a una red mientras se está en movimiento tiene grandes beneficios. Sin embargo, las redes inalámbricas son propensas a algunos problemas de seguridad. Los piratas informáticos han descubierto que es relativamente fácil entrar en las redes inalámbricas e incluso utilizan tecnología inalámbrica para piratear redes cableadas. Como resultado, es muy importante que las empresas definan políticas de seguridad inalámbrica efectivas que protejan contra el acceso no autorizado a recursos importantes. [4] Los sistemas de prevención de intrusiones inalámbricas (WIPS) o los sistemas de detección de intrusiones inalámbricas (WIDS) se utilizan comúnmente para aplicar políticas de seguridad inalámbrica.
Los riesgos para los usuarios de la tecnología inalámbrica han aumentado a medida que el servicio se ha vuelto más popular. Cuando se introdujo por primera vez la tecnología inalámbrica, los peligros eran relativamente pocos. Los piratas informáticos aún no habían tenido tiempo de aprovechar la nueva tecnología y las redes inalámbricas no eran habituales en los lugares de trabajo. Sin embargo, existen muchos riesgos de seguridad asociados con los protocolos inalámbricos y los métodos de cifrado actuales , así como con la falta de cuidado y la ignorancia que existe a nivel de TI de los usuarios y de las empresas. [5] Los métodos de piratería se han vuelto mucho más sofisticados e innovadores con el acceso inalámbrico. La piratería también se ha vuelto mucho más fácil y accesible con herramientas fáciles de usar basadas en Windows o Linux que se encuentran disponibles en la web sin costo alguno.
Algunas organizaciones que no tienen puntos de acceso inalámbricos instalados no creen que deban abordar las cuestiones de seguridad inalámbrica. In-Stat MDR y META Group han estimado que el 95% de todos los ordenadores portátiles corporativos que se planeaba comprar en 2005 estaban equipados con tarjetas inalámbricas. Pueden surgir problemas en una organización supuestamente no inalámbrica cuando se conecta un ordenador portátil inalámbrico a la red corporativa. Un pirata informático podría sentarse en el aparcamiento y recopilar información a través de los ordenadores portátiles y otros dispositivos, o incluso entrar a través de este ordenador portátil equipado con una tarjeta inalámbrica y obtener acceso a la red cableada.
Cualquier persona que se encuentre dentro del alcance geográfico de una red inalámbrica abierta y sin cifrar puede " capturar " o registrar el tráfico , obtener acceso no autorizado a los recursos de la red interna y a Internet, y luego utilizar la información y los recursos para realizar actos ilegales o perjudiciales. Estas violaciones de seguridad se han convertido en preocupaciones importantes tanto para las redes empresariales como para las domésticas.
Si la seguridad del enrutador no está activada o si el propietario la desactiva por conveniencia, se crea un punto de acceso gratuito . Dado que la mayoría de las computadoras portátiles del siglo XXI tienen redes inalámbricas incorporadas (consulte la tecnología Intel " Centrino "), no necesitan un adaptador de terceros como una tarjeta PCMCIA o un dispositivo USB . La red inalámbrica incorporada puede estar habilitada de manera predeterminada, sin que el propietario se dé cuenta, lo que transmite la accesibilidad de la computadora portátil a cualquier computadora cercana.
Los sistemas operativos modernos como Linux , macOS o Microsoft Windows hacen que sea bastante fácil configurar un PC como una "estación base" de LAN inalámbrica mediante el uso compartido de la conexión a Internet , lo que permite que todos los PC del hogar accedan a Internet a través del PC "base". Sin embargo, la falta de conocimiento entre los usuarios sobre los problemas de seguridad inherentes a la configuración de dichos sistemas a menudo puede permitir que otras personas cercanas accedan a la conexión. Este "piggybacking" generalmente se logra sin el conocimiento del operador de la red inalámbrica; incluso puede ser sin el conocimiento del usuario intruso si su computadora selecciona automáticamente una red inalámbrica cercana no segura para usarla como punto de acceso.
La seguridad inalámbrica es otro aspecto de la seguridad informática. Las organizaciones pueden ser especialmente vulnerables a las violaciones de seguridad [6] causadas por puntos de acceso no autorizados .
Si un empleado agrega una interfaz inalámbrica a un puerto no seguro de un sistema, puede crear una brecha en la seguridad de la red que permitiría el acceso a materiales confidenciales. Existen contramedidas como deshabilitar los puertos de conmutación abiertos durante la configuración de la red y la configuración de VLAN para limitar el acceso a la red, con el fin de proteger la red y la información que contiene, pero dichas contramedidas deben aplicarse de manera uniforme a todos los dispositivos de la red.
La comunicación inalámbrica es útil en la comunicación industrial de máquina a máquina (M2M). Estas aplicaciones industriales suelen tener requisitos de seguridad específicos. Se encuentran disponibles evaluaciones de estas vulnerabilidades y los catálogos de vulnerabilidades resultantes en un contexto industrial al considerar WLAN, NFC y ZigBee. [7]
Los modos de acceso no autorizado a enlaces, funciones y datos son tan variables como el uso que hacen las entidades respectivas del código de programa. No existe un modelo completo de este tipo de amenazas. Hasta cierto punto, la prevención se basa en modos y métodos de ataque conocidos y en métodos relevantes para la supresión de los métodos aplicados. Sin embargo, cada nuevo modo de operación creará nuevas opciones de amenaza. Por lo tanto, la prevención requiere un esfuerzo constante para mejorar. Los modos de ataque descritos son solo una instantánea de los métodos y escenarios típicos en los que se pueden aplicar.
La violación del perímetro de seguridad de una red corporativa puede tener diferentes métodos e intenciones. Uno de estos métodos se conoce como “asociación accidental”. Cuando un usuario enciende un ordenador y este se conecta a un punto de acceso inalámbrico de la red superpuesta de una empresa vecina, es posible que el usuario ni siquiera sepa que esto ha ocurrido. Sin embargo, se trata de una violación de la seguridad, ya que se expone información confidencial de la empresa y ahora podría existir un vínculo de una empresa a otra. Esto es especialmente cierto si el portátil también está conectado a una red cableada.
La asociación accidental es un caso de vulnerabilidad inalámbrica denominada "asociación incorrecta". [8] La asociación incorrecta puede ser accidental, deliberada (por ejemplo, para eludir el firewall corporativo) o puede ser el resultado de intentos deliberados de los clientes inalámbricos para atraerlos a que se conecten a los puntos de acceso del atacante.
Las “asociaciones maliciosas” son aquellas en las que los atacantes pueden crear activamente dispositivos inalámbricos para que se conecten a una red de la empresa a través de su computadora portátil en lugar de un punto de acceso (AP) de la empresa. Este tipo de computadoras portátiles se conocen como “AP blandos” y se crean cuando un ciberdelincuente ejecuta algún software que hace que su tarjeta de red inalámbrica parezca un punto de acceso legítimo. Una vez que el ladrón ha obtenido acceso, puede robar contraseñas, lanzar ataques a la red cableada o plantar troyanos . Dado que las redes inalámbricas operan en el nivel de Capa 2, las protecciones de Capa 3, como la autenticación de red y las redes privadas virtuales (VPN), no ofrecen ninguna barrera. Las autenticaciones inalámbricas 802.1X ayudan con cierta protección, pero siguen siendo vulnerables a la piratería. La idea detrás de este tipo de ataque puede no ser entrar en una VPN u otras medidas de seguridad. Lo más probable es que el delincuente solo esté tratando de apoderarse del cliente en el nivel de Capa 2.
Las redes ad hoc pueden representar una amenaza para la seguridad. Las redes ad hoc se definen como redes [peer to peer] entre computadoras inalámbricas que no tienen un punto de acceso entre ellas. Si bien este tipo de redes generalmente tienen poca protección, se pueden utilizar métodos de cifrado para brindar seguridad. [9]
El agujero de seguridad que proporciona la red Ad hoc no es la red Ad hoc en sí, sino el puente que proporciona hacia otras redes, normalmente en el entorno corporativo, y la desafortunada configuración predeterminada en la mayoría de las versiones de Microsoft Windows de tener esta característica activada a menos que se deshabilite explícitamente. Por lo tanto, es posible que el usuario ni siquiera sepa que tiene una red Ad hoc no segura en funcionamiento en su computadora. Si también está utilizando una red de infraestructura cableada o inalámbrica al mismo tiempo, está proporcionando un puente hacia la red organizacional segura a través de la conexión Ad hoc no segura. El puente se presenta en dos formas. Un puente directo, que requiere que el usuario configure realmente un puente entre las dos conexiones y, por lo tanto, es poco probable que se inicie a menos que se desee explícitamente, y un puente indirecto que son los recursos compartidos en la computadora del usuario. El puente indirecto puede exponer datos privados que se comparten desde la computadora del usuario a conexiones LAN, como carpetas compartidas o almacenamiento conectado a red privado, sin hacer distinción entre conexiones autenticadas o privadas y redes Ad-Hoc no autenticadas. Esto no presenta amenazas que no sean las ya conocidas por los puntos de acceso wifi abiertos/públicos o no seguros, pero las reglas del firewall pueden ser eludidas en el caso de sistemas operativos o configuraciones locales mal configuradas. [10]
Las redes no tradicionales, como los dispositivos Bluetooth de redes personales, no están a salvo de ataques de piratas informáticos y deben considerarse un riesgo de seguridad. [11] Incluso los lectores de códigos de barras , los PDA portátiles y las impresoras y fotocopiadoras inalámbricas deben estar protegidos. Estas redes no tradicionales pueden ser fácilmente pasadas por alto por el personal de TI que se ha centrado estrictamente en las computadoras portátiles y los puntos de acceso.
El robo de identidad (o suplantación de MAC ) ocurre cuando un hacker puede escuchar el tráfico de la red e identificar la dirección MAC de un ordenador con privilegios de red . La mayoría de los sistemas inalámbricos permiten algún tipo de filtrado MAC para permitir que solo los ordenadores autorizados con identificadores MAC específicos obtengan acceso y utilicen la red. Sin embargo, existen programas que tienen capacidades de " espionaje " de la red. Combine estos programas con otro software que permita a un ordenador simular que tiene cualquier dirección MAC que desee el hacker, [12] y el hacker puede superar fácilmente ese obstáculo.
El filtrado MAC es eficaz sólo para pequeñas redes residenciales (SOHO), ya que proporciona protección sólo cuando el dispositivo inalámbrico está "fuera del aire". Cualquier dispositivo 802.11 "en el aire" transmite libremente su dirección MAC sin cifrar en sus encabezados 802.11, y no requiere ningún equipo o software especial para detectarlo. Cualquier persona con un receptor 802.11 (ordenador portátil y adaptador inalámbrico) y un analizador de paquetes inalámbrico gratuito puede obtener la dirección MAC de cualquier dispositivo 802.11 que esté transmitiendo dentro del alcance. En un entorno organizacional, donde la mayoría de los dispositivos inalámbricos están "en el aire" durante todo el turno de trabajo activo, el filtrado MAC sólo proporciona una falsa sensación de seguridad, ya que sólo impide conexiones "casuales" o no deseadas a la infraestructura organizacional y no hace nada para prevenir un ataque dirigido.
Un atacante de tipo man-in-the-middle incita a los ordenadores a conectarse a un ordenador configurado como un punto de acceso (AP ) blando. Una vez hecho esto, el hacker se conecta a un punto de acceso real a través de otra tarjeta inalámbrica que ofrece un flujo constante de tráfico a través del ordenador de pirateo transparente hacia la red real. El hacker puede entonces rastrear el tráfico. Un tipo de ataque de tipo man-in-the-middle se basa en fallos de seguridad en los protocolos de desafío y apretón de manos para ejecutar un "ataque de desautenticación". Este ataque obliga a los ordenadores conectados al AP a interrumpir sus conexiones y volver a conectarse con el AP blando del hacker (desconecta al usuario del módem para que tenga que conectarse de nuevo utilizando su contraseña, que se puede extraer de la grabación del evento). Los ataques de tipo man-in-the-middle se ven mejorados por software como LANjack y AirJack que automatizan varios pasos del proceso, lo que significa que lo que antes requería cierta habilidad ahora lo pueden hacer los script kiddies . Los puntos de acceso son especialmente vulnerables a cualquier ataque, ya que hay poca o ninguna seguridad en estas redes.
Un ataque de denegación de servicio (DoS) ocurre cuando un atacante bombardea continuamente un punto de acceso (AP ) o una red objetivo con solicitudes falsas, mensajes de conexión exitosa prematura, mensajes de error y/u otros comandos. Estos hacen que los usuarios legítimos no puedan acceder a la red e incluso pueden provocar que la red se bloquee. Estos ataques se basan en el abuso de protocolos como el Protocolo de autenticación extensible (EAP).
El ataque DoS en sí mismo no contribuye a exponer los datos de la organización a un atacante malintencionado, ya que la interrupción de la red impide el flujo de datos y, en realidad, protege indirectamente los datos al evitar que se transmitan. El motivo habitual para realizar un ataque DoS es observar la recuperación de la red inalámbrica, durante la cual todos los códigos iniciales de protocolo de enlace se retransmiten por todos los dispositivos, lo que proporciona una oportunidad para que el atacante malintencionado registre estos códigos y utilice varias herramientas de descifrado para analizar las debilidades de seguridad y explotarlas para obtener acceso no autorizado al sistema. Esto funciona mejor en sistemas con cifrado débil, como WEP, donde hay varias herramientas disponibles que pueden lanzar un ataque de estilo diccionario de claves de seguridad "posiblemente aceptadas" basadas en la clave de seguridad "modelo" capturada durante la recuperación de la red.
En un ataque de inyección de red, un hacker puede hacer uso de puntos de acceso que están expuestos al tráfico de red no filtrado, específicamente tráfico de red de difusión como “ Spanning Tree ” (802.1D), OSPF , RIP y HSRP . El hacker inyecta comandos de reconfiguración de red falsos que afectan a enrutadores, conmutadores y concentradores inteligentes. Una red completa puede quedar fuera de servicio de esta manera y requerir el reinicio o incluso la reprogramación de todos los dispositivos de red inteligentes.
El ataque Caffe Latte es otra forma de obtener una clave WEP y no requiere un punto de acceso cercano para la red objetivo . [13] El ataque Caffe Latte funciona engañando a un cliente con la contraseña WEP almacenada para que se conecte a un punto de acceso malicioso con el mismo SSID que la red objetivo. Después de que el cliente se conecta, el cliente genera solicitudes ARP , que el punto de acceso malicioso usa para obtener datos de flujo de clave. El punto de acceso malicioso luego envía repetidamente un paquete de desautenticación al cliente, lo que hace que el cliente se desconecte, se vuelva a conectar y envíe solicitudes ARP adicionales, que luego el punto de acceso malicioso usa para obtener datos de flujo de clave adicionales. Una vez que el punto de acceso malicioso ha recopilado una cantidad suficiente de datos de flujo de clave, la clave WEP se puede descifrar con una herramienta como [aircrack-ng].
El ataque Caffe Latte se demostró contra la pila inalámbrica de Windows , pero otros sistemas operativos también pueden ser vulnerables.
El ataque fue bautizado como ataque "Caffe Latte" por el investigador Vivek Ramachandran porque podía utilizarse para obtener la clave WEP de un viajero remoto en menos de los 6 minutos que lleva beber una taza de café. [14] [15] [16]
Hay tres formas principales de proteger una red inalámbrica.
No existe un sistema ya diseñado para evitar el uso fraudulento de las comunicaciones inalámbricas o para proteger los datos y las funciones de los ordenadores y otras entidades que se comunican de forma inalámbrica. Sin embargo, existe un sistema de calificación de las medidas adoptadas en su conjunto de acuerdo con un entendimiento común de lo que debe considerarse como el estado del arte. El sistema de calificación es un consenso internacional, tal como se especifica en la norma ISO/IEC 15408 .
Un sistema de prevención de intrusiones inalámbricas (WIPS) es un concepto que representa la forma más robusta de contrarrestar los riesgos de seguridad inalámbrica. [17] Sin embargo, este tipo de WIPS no existe como una solución lista para implementar como un paquete de software. Un WIPS se implementa típicamente como una superposición a una infraestructura LAN inalámbrica existente , aunque puede implementarse de manera independiente para hacer cumplir políticas de no uso inalámbrico dentro de una organización. WIPS se considera tan importante para la seguridad inalámbrica que en julio de 2009, el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago publicó pautas inalámbricas [18] para PCI DSS recomendando el uso de WIPS para automatizar el escaneo y la protección inalámbrica para grandes organizaciones.
Existe una variedad de medidas de seguridad inalámbrica, de distinta eficacia y practicidad.
Un método simple pero ineficaz para intentar proteger una red inalámbrica es ocultar el SSID (Identificador de conjunto de servicios). [19] Esto proporciona muy poca protección contra cualquier cosa que no sean los intentos de intrusión más casuales.
Una de las técnicas más sencillas consiste en permitir el acceso únicamente desde direcciones MAC conocidas y aprobadas previamente. La mayoría de los puntos de acceso inalámbricos contienen algún tipo de filtrado de ID MAC . Sin embargo, un atacante puede simplemente rastrear la dirección MAC de un cliente autorizado y falsificar esta dirección.
Los puntos de acceso inalámbricos típicos proporcionan direcciones IP a los clientes a través de DHCP . Exigir a los clientes que establezcan sus propias direcciones dificulta que un intruso casual o poco sofisticado se conecte a la red, pero ofrece poca protección contra un atacante sofisticado. [19]
IEEE 802.1X es el estándar IEEE para mecanismos de autenticación para dispositivos que desean conectarse a una LAN inalámbrica.
El estándar de cifrado Wired Equivalent Privacy (WEP) fue el estándar de cifrado original para redes inalámbricas, pero desde 2004 con la ratificación WPA2 el IEEE lo declaró "obsoleto", [20] y aunque a menudo es compatible, rara vez o nunca es el valor predeterminado en los equipos modernos.
Ya en 2001 se manifestaron preocupaciones sobre su seguridad, [21] como quedó demostrado dramáticamente en 2005 por el FBI , [22] pero en 2007 TJ Maxx admitió una violación masiva de seguridad debido en parte a la dependencia de WEP [23] y la industria de tarjetas de pago tardó hasta 2008 en prohibir su uso, e incluso entonces permitió que el uso existente continuara hasta junio de 2010. [24]
Los protocolos de seguridad de acceso protegido Wi-Fi (WPA y WPA2) se crearon posteriormente para solucionar los problemas con WEP. Si se utiliza una contraseña débil, como una palabra de diccionario o una cadena de caracteres corta, se pueden descifrar WPA y WPA2. El uso de una contraseña aleatoria lo suficientemente larga (por ejemplo, 14 letras al azar) o una frase de contraseña (por ejemplo, 5 palabras elegidas al azar ) hace que la clave precompartida WPA sea prácticamente indescifrable. La segunda generación del protocolo de seguridad WPA (WPA2) se basa en la enmienda final IEEE 802.11i al estándar 802.11 y es elegible para la conformidad con FIPS 140-2 . Con todos esos esquemas de cifrado, cualquier cliente en la red que conozca las claves puede leer todo el tráfico.
El acceso protegido Wi-Fi (WPA) es una mejora de software/firmware con respecto a WEP. Todos los equipos WLAN habituales que funcionaban con WEP se pueden actualizar de forma sencilla y no es necesario comprar equipos nuevos. WPA es una versión reducida del estándar de seguridad 802.11i que fue desarrollado por IEEE 802.11 para reemplazar a WEP. El algoritmo de cifrado TKIP fue desarrollado para WPA con el fin de proporcionar mejoras a WEP que pudieran implementarse como actualizaciones de firmware para dispositivos 802.11 existentes. El perfil WPA también proporciona compatibilidad opcional con el algoritmo AES-CCMP , que es el algoritmo preferido en 802.11i y WPA2.
WPA Enterprise proporciona autenticación basada en RADIUS utilizando 802.1X. WPA Personal utiliza una clave compartida previamente ( PSK ) para establecer la seguridad utilizando una frase de contraseña de 8 a 63 caracteres. La PSK también se puede ingresar como una cadena hexadecimal de 64 caracteres. Las frases de contraseña PSK débiles se pueden romper utilizando ataques de diccionario fuera de línea capturando los mensajes en el intercambio de cuatro vías cuando el cliente se vuelve a conectar después de haber sido desautenticado. Las suites inalámbricas como aircrack-ng pueden romper una frase de contraseña débil en menos de un minuto. Otros crackers WEP/WPA son AirSnort y Auditor Security Collection . [25] Aún así, WPA Personal es seguro cuando se usa con frases de contraseña "buenas" o una clave hexadecimal completa de 64 caracteres.
Sin embargo, hubo información de que Erik Tews (el hombre que creó el ataque de fragmentación contra WEP) iba a revelar una forma de romper la implementación de WPA TKIP en la conferencia de seguridad PacSec de Tokio en noviembre de 2008, descifrando el cifrado de un paquete en 12 a 15 minutos. [26] Aún así, el anuncio de este "crack" fue algo exagerado por los medios, porque a partir de agosto de 2009, el mejor ataque a WPA (el ataque Beck-Tews) solo es parcialmente exitoso ya que solo funciona en paquetes de datos cortos, no puede descifrar la clave WPA y requiere implementaciones WPA muy específicas para funcionar. [27]
Además de WPAv1, se pueden añadir TKIP, WIDS y EAP . También se pueden configurar redes VPN (conexiones de red seguras no continuas) según el estándar 802.11. Las implementaciones de VPN incluyen PPTP , L2TP , IPsec y SSH . Sin embargo, esta capa adicional de seguridad también se puede descifrar con herramientas como Anger, Deceit y Ettercap para PPTP; [28] e ike-scan, IKEProbe, ipsectrace e IKEcrack para conexiones IPsec.
Significa Protocolo de Integridad de Clave Temporal y el acrónimo se pronuncia tee-kip. Es parte del estándar IEEE 802.11i. TKIP implementa la mezcla de claves por paquete con un sistema de recodificación y también proporciona una verificación de integridad de mensajes. Esto evita los problemas de WEP.
La mejora de WPA sobre el estándar IEEE 802.1X ya mejoró la autenticación y autorización para el acceso a redes LAN inalámbricas y cableadas . Además de esto, medidas adicionales como el Protocolo de Autenticación Extensible (EAP) han iniciado una cantidad aún mayor de seguridad. Esto, ya que EAP utiliza un servidor de autenticación central. Desafortunadamente, durante 2002 un profesor de Maryland descubrió algunas deficiencias [ cita requerida ] . Durante los siguientes años, estas deficiencias se abordaron con el uso de TLS y otras mejoras. [29] Esta nueva versión de EAP ahora se llama EAP Extendido y está disponible en varias versiones; estas incluyen: EAP-MD5, PEAPv0, PEAPv1, EAP-MSCHAPv2, LEAP, EAP-FAST, EAP-TLS, EAP-TTLS, MSCHAPv2 y EAP-SIM.
Las versiones EAP incluyen LEAP, PEAP y otros EAP.
SALTO
Significa Protocolo de Autenticación Extensible Ligero. Este protocolo se basa en 802.1X y ayuda a minimizar los fallos de seguridad originales mediante el uso de WEP y un sofisticado sistema de gestión de claves. Esta versión de EAP es más segura que EAP-MD5. También utiliza autenticación de dirección MAC. LEAP no es seguro; THC-LeapCracker puede utilizarse para romper la versión de LEAP de Cisco y utilizarse contra ordenadores conectados a un punto de acceso en forma de ataque de diccionario . Anwrap y asleap son otros crackers capaces de romper LEAP. [25]
PEAP
Significa Protocolo de Autenticación Extensible Protegido. Este protocolo permite el transporte seguro de datos, contraseñas y claves de cifrado sin necesidad de un servidor de certificados. Fue desarrollado por Cisco, Microsoft y RSA Security .
Otros EAP Existen otros tipos de implementaciones del Protocolo de Autenticación Extensible que se basan en el marco EAP. El marco que se estableció admite los tipos de EAP existentes, así como los métodos de autenticación futuros. [30] EAP-TLS ofrece muy buena protección debido a su autenticación mutua. Tanto el cliente como la red se autentican mediante certificados y claves WEP por sesión. [31] EAP-FAST también ofrece buena protección. EAP-TTLS es otra alternativa creada por Certicom y Funk Software. Es más conveniente ya que no es necesario distribuir certificados a los usuarios, pero ofrece un poco menos de protección que EAP-TLS. [32]
Las soluciones incluyen un sistema más nuevo de autenticación , IEEE 802.1X , que promete mejorar la seguridad tanto en redes cableadas como inalámbricas. Los puntos de acceso inalámbricos que incorporan tecnologías como estas a menudo también tienen enrutadores incorporados, por lo que se convierten en puertas de enlace inalámbricas .
Se puede argumentar que los métodos de cifrado de capa 2 y capa 3 no son lo suficientemente buenos para proteger datos valiosos como contraseñas y correos electrónicos personales. Esas tecnologías agregan cifrado solo a partes de la ruta de comunicación, lo que permite que las personas espíen el tráfico si han obtenido acceso a la red cableada de alguna manera. La solución puede ser el cifrado y la autorización en la capa de aplicación , utilizando tecnologías como SSL , SSH , GnuPG , PGP y similares.
La desventaja del método de extremo a extremo es que puede no cubrir todo el tráfico. Con el cifrado a nivel de enrutador o VPN, un solo conmutador cifra todo el tráfico, incluso las búsquedas UDP y DNS. Por otro lado, con el cifrado de extremo a extremo, cada servicio que se desea proteger debe tener su cifrado "activado" y, a menudo, también se debe "activar" cada conexión por separado. Para enviar correos electrónicos, todos los destinatarios deben admitir el método de cifrado y deben intercambiar claves correctamente. Para la Web, no todos los sitios web ofrecen https y, aunque lo hagan, el navegador envía las direcciones IP en texto sin cifrar.
El recurso más preciado suele ser el acceso a Internet. El propietario de una red LAN de oficina que desee restringir dicho acceso se enfrentará a la tarea nada trivial de hacer que cada usuario se autentique en el enrutador.
La seguridad más reciente y rigurosa que se puede implementar en las redes WLAN en la actualidad es el estándar 802.11i RSN. Sin embargo, este estándar 802.11i completo (que utiliza WPAv2) requiere el hardware más nuevo (a diferencia de WPAv1), por lo que posiblemente sea necesario comprar un nuevo equipo. Este nuevo hardware requerido puede ser AES-WRAP (una versión anterior de 802.11i) o el más nuevo y mejor equipo AES-CCMP. Uno debe asegurarse de que necesita equipo WRAP o CCMP, ya que los dos estándares de hardware no son compatibles.
WPA2 es una versión de la norma 802.11i final con la marca WiFi Alliance. [33] La principal mejora con respecto a WPA es la inclusión del algoritmo AES-CCMP como característica obligatoria. Tanto WPA como WPA2 admiten métodos de autenticación EAP mediante servidores RADIUS y claves precompartidas (PSK).
El número de redes WPA y WPA2 está aumentando, mientras que el número de redes WEP está disminuyendo, [34] debido a las vulnerabilidades de seguridad en WEP.
Se ha descubierto que WPA2 tiene al menos una vulnerabilidad de seguridad, apodada Hole196. La vulnerabilidad utiliza la clave temporal de grupo (GTK) de WPA2, que es una clave compartida entre todos los usuarios del mismo BSSID , para lanzar ataques contra otros usuarios del mismo BSSID . Su nombre se debe a la página 196 de la especificación IEEE 802.11i, donde se analiza la vulnerabilidad. Para que se pueda realizar esta explotación, el atacante debe conocer la GTK. [35]
A diferencia de 802.1X, 802.11i ya cuenta con la mayoría de los demás servicios de seguridad adicionales, como TKIP. Al igual que con WPAv1, WPAv2 puede funcionar en cooperación con EAP y WIDS .
Son las siglas de Infraestructura de privacidad y autenticación WLAN. Se trata de un estándar de seguridad inalámbrica definido por el gobierno chino .
El uso de tokens de seguridad es un método de autenticación que se basa en que solo los usuarios autorizados poseen el token necesario. Las tarjetas inteligentes son tokens físicos en las tarjetas que utilizan un chip de circuito integrado incorporado para la autenticación, lo que requiere un lector de tarjetas. [36] Los tokens USB son tokens físicos que se conectan a través del puerto USB para autenticar al usuario. [37]
En algunos casos, resulta práctico aplicar pintura de pared y película para ventanas especializadas en una habitación o edificio para atenuar significativamente las señales inalámbricas, lo que evita que se propaguen fuera de una instalación. Esto puede mejorar significativamente la seguridad inalámbrica porque es difícil para los piratas informáticos recibir las señales más allá del área controlada de una instalación, como por ejemplo desde un estacionamiento. [38]
La mayoría de los ataques DoS son fáciles de detectar. Sin embargo, muchos de ellos son difíciles de detener incluso después de detectarlos. A continuación, se indican tres de las formas más comunes de detener un ataque DoS.
La creación de agujeros negros es una forma posible de detener un ataque DoS. Se trata de una situación en la que eliminamos todos los paquetes IP de un atacante. Esta no es una estrategia muy buena a largo plazo porque los atacantes pueden cambiar su dirección de origen muy rápidamente.
Esto puede tener efectos negativos si se realiza de forma automática. Un atacante podría falsificar deliberadamente paquetes de ataque con la dirección IP de un socio corporativo. Las defensas automatizadas podrían bloquear el tráfico legítimo de ese socio y causar problemas adicionales.
Para validar el protocolo de enlace, es necesario crear aperturas falsas y no reservar recursos hasta que el remitente lo confirme. Algunos cortafuegos solucionan las inundaciones SYN validando previamente el protocolo de enlace TCP. Esto se hace creando aperturas falsas. Siempre que llega un segmento SYN, el cortafuegos envía de vuelta un segmento SYN/ACK, sin pasar el segmento SYN al servidor de destino.
Solo cuando el firewall recibe un ACK, lo que sucedería solo en una conexión legítima, el firewall envía el segmento SYN original al servidor para el que estaba destinado originalmente. El firewall no reserva recursos para una conexión cuando llega un segmento SYN, por lo que manejar una gran cantidad de segmentos SYN falsos es solo una pequeña carga.
La limitación de velocidad se puede utilizar para reducir un determinado tipo de tráfico a una cantidad que se pueda gestionar de forma razonable. La transmisión a la red interna también se puede utilizar, pero solo a una velocidad limitada, por ejemplo. Esto es para ataques DoS más sutiles. Esto es bueno si un ataque está dirigido a un solo servidor porque mantiene las líneas de transmisión al menos parcialmente abiertas para otras comunicaciones.
La limitación de velocidad frustra tanto al atacante como a los usuarios legítimos. Esto ayuda, pero no resuelve por completo el problema. Una vez que el tráfico DoS obstruye la línea de acceso a Internet, no hay nada que un cortafuegos de borde pueda hacer para solucionar la situación. La mayoría de los ataques DoS son problemas de la comunidad que solo se pueden detener con la ayuda de los ISP y las organizaciones cuyos equipos son utilizados como bots para atacar a otras empresas.
Con el aumento de la cantidad de dispositivos móviles con interfaces 802.1X, la seguridad de dichos dispositivos móviles se convierte en una preocupación. Si bien los estándares abiertos como Kismet están orientados a proteger los portátiles, [39] las soluciones de puntos de acceso deberían extenderse para cubrir también los dispositivos móviles. Soluciones basadas en host para teléfonos móviles y PDA con interfaz 802.1X.
La seguridad en los dispositivos móviles se divide en tres categorías:
Las soluciones IPS inalámbricas ahora ofrecen seguridad inalámbrica para dispositivos móviles. [ cita requerida ]
Los dispositivos móviles de monitoreo de pacientes se están convirtiendo en una parte integral de la industria de la atención médica y, con el tiempo, estos dispositivos se convertirán en el método de elección para acceder e implementar controles de salud para pacientes ubicados en áreas remotas. Para este tipo de sistemas de monitoreo de pacientes, la seguridad y la confiabilidad son fundamentales, porque pueden influir en el estado de los pacientes y podrían dejar a los profesionales médicos en la oscuridad sobre el estado del paciente si se ven comprometidos. [40]
Para implementar 802.11i, primero hay que asegurarse de que tanto el enrutador/punto de acceso como todos los dispositivos cliente estén equipados para soportar el cifrado de red. Si se hace esto, se debe integrar un servidor como RADIUS , ADS, NDS o LDAP . Este servidor puede ser una computadora en la red local, un punto de acceso/enrutador con servidor de autenticación integrado o un servidor remoto. Los puntos de acceso/enrutadores con servidores de autenticación integrados suelen ser muy caros y, específicamente, una opción para uso comercial como puntos de acceso . Los servidores 802.1X alojados a través de Internet requieren una tarifa mensual; ejecutar un servidor privado es gratuito, pero tiene la desventaja de que uno debe configurarlo y que el servidor debe estar encendido continuamente. [41]
Para configurar un servidor, se debe instalar el software de servidor y cliente. El software de servidor necesario es un servidor de autenticación empresarial como RADIUS, ADS, NDS o LDAP. El software necesario se puede obtener de varios proveedores como Microsoft, Cisco, Funk Software, Meetinghouse Data y de algunos proyectos de código abierto. El software incluye:
El software cliente viene integrado con Windows XP y puede integrarse en otros sistemas operativos mediante cualquiera de los siguientes programas:
El servicio de acceso telefónico de autenticación remota de usuario (RADIUS) es un protocolo AAA (autenticación, autorización y contabilidad) utilizado para el acceso remoto a la red. RADIUS, desarrollado en 1991, era originalmente propietario, pero luego se publicó en 1997 bajo los documentos ISOC RFC 2138 y RFC 2139. [42] [43] La idea es tener un servidor interno que actúe como un guardián al verificar identidades a través de un nombre de usuario y una contraseña que ya están predeterminados por el usuario. Un servidor RADIUS también se puede configurar para aplicar políticas y restricciones de usuario, así como para registrar información de contabilidad, como el tiempo de conexión, para fines como la facturación.
En la actualidad, la cobertura de la red inalámbrica es casi total en muchas áreas urbanas: la infraestructura para la red comunitaria inalámbrica (que algunos consideran el futuro de Internet [¿ quiénes? ] ) ya está instalada. Uno podría moverse y estar siempre conectado a Internet si los nodos estuvieran abiertos al público, pero debido a problemas de seguridad, la mayoría de los nodos están encriptados y los usuarios no saben cómo desactivar el encriptado. Muchas personas [ ¿quiénes? ] consideran que es una buena educación dejar los puntos de acceso abiertos al público, permitiendo el libre acceso a Internet. Otros [¿ quiénes? ] piensan que el encriptado predeterminado proporciona una protección sustancial con pequeñas molestias, contra los peligros del acceso abierto que temen que puedan ser sustanciales incluso en un enrutador DSL doméstico.
La densidad de puntos de acceso puede ser un problema: hay una cantidad limitada de canales disponibles y algunos de ellos se superponen. Cada canal puede gestionar varias redes, pero en lugares con muchas redes inalámbricas privadas (por ejemplo, complejos de apartamentos), la cantidad limitada de canales de radio wifi puede provocar lentitud y otros problemas.
Según los defensores de los puntos de acceso abiertos, la apertura de las redes inalámbricas al público no debería entrañar riesgos significativos:
Por otra parte, en algunos países, incluida Alemania [44] , las personas que proporcionan un punto de acceso abierto pueden ser consideradas (parcialmente) responsables de cualquier actividad ilegal realizada a través de ese punto de acceso. Además, muchos contratos con los ISP especifican que la conexión no puede compartirse con otras personas.