.jpg/1280px-ADSL_router_with_Wi-Fi_(802.11_b-g).jpg)
La seguridad inalámbrica es la prevención del acceso no autorizado o daños a computadoras o datos utilizando redes inalámbricas , que incluyen redes Wi-Fi . El término también puede referirse a la protección de la propia red inalámbrica contra adversarios que buscan dañar la confidencialidad, integridad o disponibilidad de la red. El tipo más común es la seguridad Wi-Fi , que incluye Privacidad Equivalente por Cable (WEP) y Acceso Protegido Wi-Fi (WPA). WEP es un antiguo estándar IEEE 802.11 de 1997. [1] Es un estándar de seguridad notoriamente débil: la contraseña que utiliza a menudo se puede descifrar en unos minutos con una computadora portátil básica y herramientas de software ampliamente disponibles. [2] WEP fue reemplazado en 2003 por WPA, una alternativa rápida en ese momento para mejorar la seguridad sobre WEP. El estándar actual es WPA2; [3] parte del hardware no puede admitir WPA2 sin una actualización o reemplazo del firmware. WPA2 utiliza un dispositivo de cifrado que cifra la red con una clave de 256 bits; la mayor longitud de la clave mejora la seguridad sobre WEP. Las empresas suelen imponer la seguridad mediante un sistema basado en certificados para autenticar el dispositivo que se conecta, siguiendo el estándar 802.11X.
En enero de 2018, Wi-Fi Alliance anunció WPA3 como reemplazo de WPA2. La certificación comenzó en junio de 2018 y la compatibilidad con WPA3 es obligatoria para los dispositivos que llevan el logotipo "Wi-Fi CERTIFIED™" desde julio de 2020.
Muchas computadoras portátiles tienen tarjetas inalámbricas preinstaladas. La capacidad de ingresar a una red desde el móvil tiene grandes beneficios. Sin embargo, las redes inalámbricas son propensas a presentar algunos problemas de seguridad. Los piratas informáticos han descubierto que es relativamente fácil acceder a las redes inalámbricas e incluso utilizan tecnología inalámbrica para piratear redes cableadas. Como resultado, es muy importante que las empresas definan políticas de seguridad inalámbrica efectivas que protejan contra el acceso no autorizado a recursos importantes. [4] Los sistemas inalámbricos de prevención de intrusiones (WIPS) o los sistemas inalámbricos de detección de intrusiones (WIDS) se utilizan comúnmente para hacer cumplir las políticas de seguridad inalámbrica.
Los riesgos para los usuarios de la tecnología inalámbrica han aumentado a medida que el servicio se ha vuelto más popular. Había relativamente pocos peligros cuando se introdujo por primera vez la tecnología inalámbrica. Los piratas informáticos aún no habían tenido tiempo de familiarizarse con la nueva tecnología y las redes inalámbricas no eran comunes en los lugares de trabajo. Sin embargo, existen muchos riesgos de seguridad asociados con los protocolos inalámbricos y métodos de cifrado actuales , y con el descuido y la ignorancia que existe a nivel de usuario y de TI corporativo. [5] Los métodos de piratería se han vuelto mucho más sofisticados e innovadores con el acceso inalámbrico. La piratería también se ha vuelto mucho más fácil y accesible con herramientas fáciles de usar basadas en Windows o Linux que están disponibles en la web sin costo alguno.
Algunas organizaciones que no tienen puntos de acceso inalámbrico instalados no creen que deban abordar los problemas de seguridad inalámbrica. In-Stat MDR y META Group han estimado que el 95% de todas las computadoras portátiles corporativas que se planeaba comprar en 2005 estaban equipadas con tarjetas inalámbricas. Pueden surgir problemas en una organización supuestamente no inalámbrica cuando se conecta una computadora portátil inalámbrica a la red corporativa. Un pirata informático podría sentarse en el estacionamiento y recopilar información a través de computadoras portátiles y/u otros dispositivos, o incluso ingresar a través de esta computadora portátil equipada con una tarjeta inalámbrica y obtener acceso a la red cableada.
Cualquier persona dentro del alcance geográfico de una red inalámbrica abierta y no cifrada puede " husmear ", o capturar y registrar, el tráfico , obtener acceso no autorizado a los recursos internos de la red, así como a Internet, y luego utilizar la información y los recursos para realizar actividades disruptivas. o actos ilegales. Estas violaciones de seguridad se han convertido en preocupaciones importantes tanto para las redes empresariales como domésticas.
Si la seguridad del enrutador no está activada o si el propietario la desactiva por conveniencia, crea un punto de acceso gratuito . Dado que la mayoría de las computadoras portátiles del siglo XXI tienen redes inalámbricas integradas (consulte la tecnología Intel " Centrino "), no necesitan un adaptador de terceros, como una tarjeta PCMCIA o un dongle USB . Las redes inalámbricas integradas pueden estar habilitadas de forma predeterminada, sin que el propietario se dé cuenta, transmitiendo así la accesibilidad de la computadora portátil a cualquier computadora cercana.
Los sistemas operativos modernos como Linux , macOS o Microsoft Windows hacen que sea bastante fácil configurar una PC como una "estación base" de LAN inalámbrica mediante Conexión compartida a Internet , permitiendo así que todas las PC de la casa accedan a Internet a través de la "estación base". "PC. Sin embargo, la falta de conocimiento entre los usuarios sobre los problemas de seguridad inherentes a la configuración de dichos sistemas a menudo puede permitir que otras personas cercanas accedan a la conexión. Este tipo de "aprovechamiento" normalmente se logra sin el conocimiento del operador de la red inalámbrica; incluso puede ser sin el conocimiento del usuario intruso si su computadora selecciona automáticamente una red inalámbrica cercana no segura para usarla como punto de acceso.
La seguridad inalámbrica es otro aspecto de la seguridad informática. Las organizaciones pueden ser particularmente vulnerables a violaciones de seguridad [6] causadas por puntos de acceso no autorizados .
Si un empleado agrega una interfaz inalámbrica a un puerto no seguro de un sistema, puede crear una brecha en la seguridad de la red que permitiría el acceso a materiales confidenciales. Se encuentran disponibles contramedidas como deshabilitar los puertos de switch abiertos durante la configuración del switch y la configuración de VLAN para limitar el acceso a la red para proteger la red y la información que contiene, pero dichas contramedidas deben aplicarse de manera uniforme a todos los dispositivos de la red.
La comunicación inalámbrica es útil en la comunicación industrial de máquina a máquina (M2M). Estas aplicaciones industriales suelen tener requisitos de seguridad específicos. Se encuentran disponibles evaluaciones de estas vulnerabilidades y los catálogos de vulnerabilidades resultantes en un contexto industrial considerando WLAN, NFC y ZigBee. [7]
Los modos de acceso no autorizado a enlaces, funciones y datos son tan variables como las respectivas entidades utilizan el código del programa. No existe un modelo de alcance completo de tal amenaza. Hasta cierto punto, la prevención se basa en modos y métodos de ataque conocidos y en métodos relevantes para suprimir los métodos aplicados. Sin embargo, cada nuevo modo de operación creará nuevas opciones de amenaza. Por lo tanto, la prevención requiere un esfuerzo constante por mejorar. Los modos de ataque descritos son sólo una instantánea de los métodos y escenarios típicos donde se pueden aplicar.
La violación del perímetro de seguridad de una red corporativa puede provenir de varios métodos e intenciones diferentes. Uno de estos métodos se denomina “asociación accidental”. Cuando un usuario enciende una computadora y se conecta a un punto de acceso inalámbrico de la red superpuesta de una empresa vecina, es posible que el usuario ni siquiera sepa que esto ha ocurrido. Sin embargo, se trata de una brecha de seguridad en el sentido de que la información patentada de la empresa queda expuesta y ahora podría existir un vínculo de una empresa a otra. Esto es especialmente cierto si la computadora portátil también está conectada a una red cableada.
La asociación accidental es un caso de vulnerabilidad inalámbrica denominado "asociación errónea". [8] La asociación errónea puede ser accidental, deliberada (por ejemplo, hecha para eludir el firewall corporativo) o puede resultar de intentos deliberados por parte de clientes inalámbricos de atraerlos para que se conecten a los AP del atacante.
Las “asociaciones maliciosas” se producen cuando los atacantes pueden hacer que los dispositivos inalámbricos se conecten activamente a la red de una empresa a través de su computadora portátil en lugar de a un punto de acceso (AP) de la empresa. Este tipo de portátiles se conocen como “AP blandos” y se crean cuando un ciberdelincuente ejecuta algún software que hace que su tarjeta de red inalámbrica parezca un punto de acceso legítimo. Una vez que el ladrón ha obtenido acceso, puede robar contraseñas, lanzar ataques a la red cableada o instalar troyanos . Dado que las redes inalámbricas operan en el nivel de Capa 2, las protecciones de Capa 3, como la autenticación de red y las redes privadas virtuales (VPN), no ofrecen barreras. Las autenticaciones inalámbricas 802.1X ayudan con cierta protección, pero aún son vulnerables a la piratería. Es posible que la idea detrás de este tipo de ataque no sea ingresar a una VPN u otras medidas de seguridad. Lo más probable es que el delincuente simplemente esté intentando apoderarse del cliente en el nivel de Capa 2.
Las redes ad hoc pueden representar una amenaza para la seguridad. Las redes ad hoc se definen como redes [peer to peer] entre computadoras inalámbricas que no tienen un punto de acceso entre ellas. Si bien este tipo de redes suelen tener poca protección, se pueden utilizar métodos de cifrado para brindar seguridad. [9]
El agujero de seguridad que ofrecen las redes Ad hoc no es la red Ad hoc en sí, sino el puente que proporciona hacia otras redes, generalmente en el entorno corporativo, y la desafortunada configuración predeterminada en la mayoría de las versiones de Microsoft Windows para tener esta característica activada a menos que se deshabilite explícitamente. . Por lo tanto, es posible que el usuario ni siquiera sepa que tiene en funcionamiento una red ad hoc no segura en su computadora. Si también utilizan una red de infraestructura cableada o inalámbrica al mismo tiempo, están proporcionando un puente a la red organizacional segura a través de la conexión ad hoc no segura. El puente se presenta de dos formas. Un puente directo, que requiere que el usuario configure realmente un puente entre las dos conexiones y, por lo tanto, es poco probable que se inicie a menos que se desee explícitamente, y un puente indirecto que son los recursos compartidos en la computadora del usuario. El puente indirecto puede exponer datos privados que se comparten desde la computadora del usuario a conexiones LAN, como carpetas compartidas o almacenamiento conectado a la red privado, sin hacer distinción entre conexiones autenticadas o privadas y redes Ad-Hoc no autenticadas. Esto no presenta amenazas que no sean familiares para los puntos de acceso wifi abiertos/públicos o no seguros, pero las reglas del firewall pueden eludirse en el caso de sistemas operativos o configuraciones locales mal configurados. [10]
Las redes no tradicionales, como los dispositivos Bluetooth de redes personales , no están a salvo de piratería y deben considerarse como un riesgo de seguridad. [11] Incluso los lectores de códigos de barras , las PDA portátiles y las impresoras y fotocopiadoras inalámbricas deben estar protegidos. Estas redes no tradicionales pueden ser fácilmente pasadas por alto por el personal de TI que se ha centrado exclusivamente en portátiles y puntos de acceso.
El robo de identidad (o suplantación de MAC ) ocurre cuando un pirata informático puede escuchar el tráfico de la red e identificar la dirección MAC de una computadora con privilegios de red . La mayoría de los sistemas inalámbricos permiten algún tipo de filtrado MAC para permitir que sólo las computadoras autorizadas con ID MAC específicas obtengan acceso y utilicen la red. Sin embargo, existen programas que tienen capacidades de “ rastreo ” de redes. Combine estos programas con otro software que permita a una computadora fingir que tiene cualquier dirección MAC que el hacker desee, [12] y el hacker podrá sortear ese obstáculo fácilmente.
El filtrado MAC es eficaz sólo para redes residenciales pequeñas (SOHO), ya que proporciona protección sólo cuando el dispositivo inalámbrico está "fuera del aire". Cualquier dispositivo 802.11 "en el aire" transmite libremente su dirección MAC no cifrada en sus encabezados 802.11 y no requiere ningún equipo o software especial para detectarla. Cualquier persona con un receptor 802.11 (computadora portátil y adaptador inalámbrico) y un analizador de paquetes inalámbrico gratuito puede obtener la dirección MAC de cualquier transmisión 802.11 dentro del alcance. En un entorno organizacional, donde la mayoría de los dispositivos inalámbricos están "en el aire" durante todo el turno de trabajo activo, el filtrado MAC sólo proporciona una falsa sensación de seguridad, ya que sólo previene conexiones "casuales" o no intencionadas a la infraestructura organizacional y no hace nada para prevenir una ataque dirigido.
Un atacante intermediario atrae a las computadoras para que inicien sesión en una computadora que está configurada como un AP ( punto de acceso ) suave. Una vez hecho esto, el hacker se conecta a un punto de acceso real a través de otra tarjeta inalámbrica que ofrece un flujo constante de tráfico a través de la computadora transparente del hacker hacia la red real. Luego, el hacker puede olfatear el tráfico. Un tipo de ataque de intermediario se basa en fallas de seguridad en los protocolos de desafío y protocolo de enlace para ejecutar un "ataque de desautenticación". Este ataque obliga a las computadoras conectadas a AP a desconectar sus conexiones y volver a conectarse con el AP suave del hacker (desconecta al usuario del módem para que tenga que conectarse nuevamente usando su contraseña, que se puede extraer de la grabación del evento). Los ataques de intermediario se mejoran con software como LANjack y AirJack, que automatizan múltiples pasos del proceso, lo que significa que lo que antes requería cierta habilidad ahora lo pueden hacer los script kiddies . Los puntos de acceso son particularmente vulnerables a cualquier ataque ya que hay poca o ninguna seguridad en estas redes.
Un ataque de denegación de servicio (DoS) ocurre cuando un atacante bombardea continuamente un AP ( punto de acceso ) o una red objetivo con solicitudes falsas, mensajes de conexión exitosa prematura, mensajes de falla y/u otros comandos. Esto hace que los usuarios legítimos no puedan acceder a la red e incluso pueden provocar que la red falle. Estos ataques se basan en el abuso de protocolos como el Protocolo de autenticación extensible (EAP).
El ataque DoS en sí mismo hace poco para exponer los datos de la organización a un atacante malicioso, ya que la interrupción de la red impide el flujo de datos y, de hecho, los protege indirectamente impidiendo su transmisión. La razón habitual para realizar un ataque DoS es observar la recuperación de la red inalámbrica, durante la cual todos los códigos de protocolo de enlace iniciales se retransmiten por todos los dispositivos, lo que brinda al atacante malicioso la oportunidad de registrar estos códigos y utilizar varias herramientas de descifrado. analizar las debilidades de seguridad y explotarlas para obtener acceso no autorizado al sistema. Esto funciona mejor en sistemas débilmente cifrados como WEP, donde hay una serie de herramientas disponibles que pueden lanzar un ataque estilo diccionario de claves de seguridad "posiblemente aceptadas" basadas en la clave de seguridad "modelo" capturada durante la recuperación de la red.
En un ataque de inyección de red, un pirata informático puede hacer uso de puntos de acceso que están expuestos a tráfico de red no filtrado, específicamente transmitiendo tráfico de red como " Spanning Tree " (802.1D), OSPF , RIP y HSRP . El hacker inyecta comandos falsos de reconfiguración de redes que afectan a enrutadores, conmutadores y concentradores inteligentes. De esta manera se puede desactivar toda una red y requerir reiniciar o incluso reprogramar todos los dispositivos de red inteligentes.
El ataque Caffe Latte es otra forma de obtener una clave WEP y no requiere un punto de acceso cercano para la red objetivo . [13] El ataque Caffe Latte funciona engañando a un cliente con la contraseña WEP almacenada para conectarse a un punto de acceso malicioso con el mismo SSID que la red de destino. Después de que el cliente se conecta, genera solicitudes ARP , que el punto de acceso malicioso utiliza para obtener datos de flujo de claves. Luego, el punto de acceso malicioso envía repetidamente un paquete de desautenticación al cliente, lo que hace que el cliente se desconecte, se vuelva a conectar y envíe solicitudes ARP adicionales, que el punto de acceso malicioso luego utiliza para obtener datos de flujo de claves adicionales. Una vez que el punto de acceso malicioso haya recopilado una cantidad suficiente de datos de flujo de claves. La clave WEP se puede descifrar con una herramienta como [aircrack-ng].
El ataque de Caffe Latte se demostró contra la pila inalámbrica de Windows , pero otros sistemas operativos también pueden ser vulnerables.
El investigador Vivek Ramachandran denominó el ataque "Caffe Latte" porque podría usarse para obtener la clave WEP de un viajero remoto en menos de los 6 minutos que lleva tomar una taza de café. [14] [15] [16]
Hay tres formas principales de proteger una red inalámbrica.
No existe ningún sistema ya diseñado para evitar el uso fraudulento de la comunicación inalámbrica o para proteger datos y funciones con computadoras y otras entidades que se comunican de forma inalámbrica. Sin embargo, existe un sistema para calificar las medidas tomadas en su conjunto de acuerdo con un entendimiento común de lo que se considerará el estado de la técnica. El sistema de calificación es un consenso internacional como se especifica en ISO/IEC 15408 .
Un sistema inalámbrico de prevención de intrusiones (WIPS) es un concepto que representa la forma más sólida de contrarrestar los riesgos de seguridad inalámbricos. [17] Sin embargo, dicho WIPS no existe como una solución diseñada para implementarse como un paquete de software. Normalmente, un WIPS se implementa como una superposición a una infraestructura de LAN inalámbrica existente , aunque se puede implementar de forma independiente para aplicar políticas no inalámbricas dentro de una organización. WIPS se considera tan importante para la seguridad inalámbrica que en julio de 2009, el Consejo de Estándares de Seguridad de la Industria de Tarjetas de Pago publicó pautas inalámbricas [18] para PCI DSS recomendando el uso de WIPS para automatizar el escaneo y la protección inalámbricos para grandes organizaciones.
Existe una variedad de medidas de seguridad inalámbrica, de diferente efectividad y practicidad.
Un método simple pero ineficaz para intentar proteger una red inalámbrica es ocultar el SSID (Identificador de conjunto de servicios). [19] Esto proporciona muy poca protección contra cualquier cosa que no sean los esfuerzos de intrusión más casuales.
Una de las técnicas más simples es permitir el acceso únicamente desde direcciones MAC conocidas y previamente aprobadas. La mayoría de los puntos de acceso inalámbrico contienen algún tipo de filtrado de ID MAC . Sin embargo, un atacante puede simplemente detectar la dirección MAC de un cliente autorizado y falsificar esta dirección.
Los puntos de acceso inalámbrico típicos proporcionan direcciones IP a los clientes a través de DHCP . Exigir a los clientes que establezcan sus propias direcciones hace que sea más difícil para un intruso ocasional o poco sofisticado iniciar sesión en la red, pero proporciona poca protección contra un atacante sofisticado. [19]
IEEE 802.1X es el mecanismo de autenticación estándar IEEE para dispositivos que desean conectarse a una LAN inalámbrica.
El estándar de cifrado Wired Equivalent Privacy (WEP) fue el estándar de cifrado original para dispositivos inalámbricos, pero desde 2004, con la ratificación WPA2 , el IEEE lo ha declarado "obsoleto" [20] y, aunque a menudo se admite, rara vez o nunca es el predeterminado en los sistemas modernos. equipo.
Ya en 2001 surgieron preocupaciones sobre su seguridad, [21] lo demostró dramáticamente en 2005 por el FBI , [22] sin embargo, en 2007 TJ Maxx admitió una brecha de seguridad masiva debido en parte a la dependencia de WEP [23] y la tarjeta de pago. La industria tardó hasta 2008 en prohibir su uso, e incluso entonces permitió que el uso existente continuara hasta junio de 2010. [24]
Posteriormente se crearon los protocolos de seguridad de acceso protegido Wi-Fi (WPA y WPA2) para abordar los problemas con WEP. Si se utiliza una contraseña débil, como una palabra del diccionario o una cadena de caracteres corta, se pueden descifrar WPA y WPA2. El uso de una contraseña aleatoria lo suficientemente larga (por ejemplo, 14 letras aleatorias) o una frase de contraseña (por ejemplo, 5 palabras elegidas al azar ) hace que la clave precompartida WPA sea prácticamente indescifrable. La segunda generación del protocolo de seguridad WPA (WPA2) se basa en la enmienda final IEEE 802.11i al estándar 802.11 y es elegible para el cumplimiento de FIPS 140-2 . Con todos esos esquemas de cifrado, cualquier cliente de la red que conozca las claves puede leer todo el tráfico.
El acceso protegido Wi-Fi (WPA) es una mejora de software/firmware con respecto a WEP. Todos los equipos WLAN habituales que funcionan con WEP se pueden actualizar fácilmente y no es necesario comprar equipos nuevos. WPA es una versión recortada del estándar de seguridad 802.11i desarrollado por IEEE 802.11 para reemplazar a WEP. El algoritmo de cifrado TKIP se desarrolló para WPA para proporcionar mejoras a WEP que podrían implementarse como actualizaciones de firmware para dispositivos 802.11 existentes. El perfil WPA también proporciona soporte opcional para el algoritmo AES-CCMP , que es el algoritmo preferido en 802.11i y WPA2.
WPA Enterprise proporciona autenticación basada en RADIUS utilizando 802.1X. WPA Personal utiliza una clave compartida ( PSK ) previamente compartida para establecer la seguridad mediante una frase de contraseña de 8 a 63 caracteres. El PSK también se puede ingresar como una cadena hexadecimal de 64 caracteres. Las frases de contraseña de PSK débiles se pueden romper mediante ataques de diccionario fuera de línea capturando los mensajes en el intercambio de cuatro vías cuando el cliente se vuelve a conectar después de haber sido desautenticado. Las suites inalámbricas como aircrack-ng pueden descifrar una frase de contraseña débil en menos de un minuto. Otros crackers WEP/WPA son AirSnort y Auditor Security Collection . [25] Aun así, WPA Personal es seguro cuando se utiliza con frases de contraseña "buenas" o una clave hexadecimal completa de 64 caracteres.
Sin embargo, hubo información de que Erik Tews (el hombre que creó el ataque de fragmentación contra WEP) iba a revelar una forma de romper la implementación WPA TKIP en la conferencia de seguridad PacSec de Tokio en noviembre de 2008, descifrando el cifrado de un paquete en 12 a 15 minutos. [26] Aun así, el anuncio de este 'crack' fue algo exagerado por los medios, porque en agosto de 2009, el mejor ataque a WPA (el ataque Beck-Tews) sólo tuvo un éxito parcial, ya que sólo funciona con datos cortos. paquetes, no puede descifrar la clave WPA y requiere implementaciones WPA muy específicas para funcionar. [27]
Además de WPAv1, se pueden agregar TKIP, WIDS y EAP . Además, las redes VPN (conexiones de red seguras no continuas) se pueden configurar según el estándar 802.11. Las implementaciones de VPN incluyen PPTP , L2TP , IPsec y SSH . Sin embargo, esta capa adicional de seguridad también se puede descifrar con herramientas como Anger, Deceit y Ettercap para PPTP; [28] e ike-scan, IKEProbe, ipsectrace e IKEcrack para conexiones IPsec.
Esto significa Protocolo de integridad de clave temporal y el acrónimo se pronuncia tee-kip. Esto es parte del estándar IEEE 802.11i. TKIP implementa la combinación de claves por paquete con un sistema de recodificación de claves y también proporciona una verificación de la integridad del mensaje. Estos evitan los problemas de WEP.
La mejora de WPA sobre el estándar IEEE 802.1X ya mejoró la autenticación y autorización de acceso a redes LAN inalámbricas y cableadas . Además de esto, medidas adicionales como el Protocolo de autenticación extensible (EAP) han iniciado una cantidad de seguridad aún mayor. Esto, ya que EAP utiliza un servidor de autenticación central. Desafortunadamente, durante 2002 un profesor de Maryland descubrió algunas deficiencias [ cita necesaria ] . Durante los años siguientes, estas deficiencias se solucionaron con el uso de TLS y otras mejoras. [29] Esta nueva versión de EAP ahora se llama EAP extendido y está disponible en varias versiones; estos incluyen: EAP-MD5, PEAPv0, PEAPv1, EAP-MSCHAPv2, LEAP, EAP-FAST, EAP-TLS, EAP-TTLS, MSCHAPv2 y EAP-SIM.
Las versiones de EAP incluyen LEAP, PEAP y otros EAP.
SALTO
Esto significa Protocolo de autenticación extensible ligero. Este protocolo se basa en 802.1X y ayuda a minimizar los fallos de seguridad originales mediante el uso de WEP y un sofisticado sistema de gestión de claves. Esta versión EAP es más segura que EAP-MD5. Esto también utiliza la autenticación de dirección MAC. LEAP no es seguro; THC-LeapCracker puede usarse para romper la versión de LEAP de Cisco y usarse contra computadoras conectadas a un punto de acceso en forma de un ataque de diccionario . Anwrap y asleap finalmente son otros crackers capaces de romper LEAP. [25]
PEAP
Esto significa Protocolo de autenticación extensible protegido. Este protocolo permite un transporte seguro de datos, contraseñas y claves de cifrado sin necesidad de un servidor de certificados. Esto fue desarrollado por Cisco, Microsoft y RSA Security .
Otros EAP Existen otros tipos de implementaciones del protocolo de autenticación extensible que se basan en el marco EAP. El marco que se estableció admite los tipos EAP existentes, así como los métodos de autenticación futuros. [30] EAP-TLS ofrece muy buena protección debido a su autenticación mutua. Tanto el cliente como la red se autentican mediante certificados y claves WEP por sesión. [31] EAP-FAST también ofrece una buena protección. EAP-TTLS es otra alternativa creada por Certicom y Funk Software. Es más conveniente ya que no es necesario distribuir certificados a los usuarios, pero ofrece un poco menos de protección que EAP-TLS. [32]
Las soluciones incluyen un sistema más nuevo de autenticación , IEEE 802.1X , que promete mejorar la seguridad tanto en redes cableadas como inalámbricas. Los puntos de acceso inalámbrico que incorporan tecnologías como estas suelen tener también enrutadores integrados, convirtiéndose así en puertas de enlace inalámbricas .
Se puede argumentar que los métodos de cifrado de capa 2 y 3 no son lo suficientemente buenos para proteger datos valiosos como contraseñas y correos electrónicos personales. Esas tecnologías agregan cifrado sólo a partes de la ruta de comunicación, lo que aún permite a las personas espiar el tráfico si de alguna manera han obtenido acceso a la red cableada. La solución puede ser el cifrado y autorización en la capa de aplicación , utilizando tecnologías como SSL , SSH , GnuPG , PGP y similares.
La desventaja del método de extremo a extremo es que es posible que no cubra todo el tráfico. Con cifrado a nivel de enrutador o VPN, un único conmutador cifra todo el tráfico, incluso las búsquedas UDP y DNS. Por otro lado, con el cifrado de extremo a extremo, cada servicio que se desea proteger debe tener su cifrado "activado" y, a menudo, cada conexión también debe "activarse" por separado. Para enviar correos electrónicos, cada destinatario debe admitir el método de cifrado y debe intercambiar claves correctamente. Para la Web, no todos los sitios web ofrecen https, e incluso si lo hacen, el navegador envía direcciones IP en texto claro.
El recurso más preciado suele ser el acceso a Internet. El propietario de una LAN de oficina que busque restringir dicho acceso se enfrentará a la tarea no trivial de hacer que cada usuario se autentique en el enrutador.
La seguridad más nueva y rigurosa que se puede implementar en las WLAN hoy en día es el estándar RSN 802.11i. Sin embargo, este estándar 802.11i completo (que utiliza WPAv2) requiere el hardware más nuevo (a diferencia de WPAv1), por lo que potencialmente requiere la compra de equipos nuevos. Este nuevo hardware requerido puede ser AES-WRAP (una versión anterior de 802.11i) o el nuevo y mejor equipo AES-CCMP. Uno debe asegurarse de necesitar equipo WRAP o CCMP, ya que los 2 estándares de hardware no son compatibles.
WPA2 es una versión de la marca WiFi Alliance del estándar 802.11i final. [33] La principal mejora con respecto a WPA es la inclusión del algoritmo AES-CCMP como característica obligatoria. Tanto WPA como WPA2 admiten métodos de autenticación EAP mediante servidores RADIUS y clave previamente compartida (PSK).
El número de redes WPA y WPA2 está aumentando, mientras que el número de redes WEP está disminuyendo, [34] debido a las vulnerabilidades de seguridad en WEP.
Se ha descubierto que WPA2 tiene al menos una vulnerabilidad de seguridad, denominada Hole196. La vulnerabilidad utiliza la clave temporal de grupo (GTK) WPA2, que es una clave compartida entre todos los usuarios del mismo BSSID , para lanzar ataques a otros usuarios del mismo BSSID . Lleva el nombre de la página 196 de la especificación IEEE 802.11i, donde se analiza la vulnerabilidad. Para que se pueda realizar este exploit, el atacante debe conocer el GTK. [35]
A diferencia de 802.1X, 802.11i ya cuenta con la mayoría de los demás servicios de seguridad adicionales, como TKIP. Al igual que WPAv1, WPAv2 puede funcionar en cooperación con EAP y WIDS .
Esto significa autenticación WLAN e infraestructura de privacidad. Este es un estándar de seguridad inalámbrica definido por el gobierno chino .
El uso del token de seguridad es un método de autenticación que depende únicamente de que los usuarios autorizados posean el token requerido. Las tarjetas inteligentes son tokens físicos en las tarjetas que utilizan un chip de circuito integrado integrado para la autenticación y requieren un lector de tarjetas. [36] Los tokens USB son tokens físicos que se conectan a través del puerto USB para autenticar al usuario. [37]
En algunos casos, es práctico aplicar pintura de pared especializada y película para ventanas a una habitación o edificio para atenuar significativamente las señales inalámbricas, lo que evita que las señales se propaguen fuera de las instalaciones. Esto puede mejorar significativamente la seguridad inalámbrica porque a los piratas informáticos les resulta difícil recibir señales más allá del área controlada de una instalación, como por ejemplo desde un estacionamiento. [38]
La mayoría de los ataques DoS son fáciles de detectar. Sin embargo, muchos de ellos son difíciles de detener incluso después de su detección. Estas son tres de las formas más comunes de detener un ataque DoS.
Los agujeros negros son una posible forma de detener un ataque DoS. Esta es una situación en la que descartamos todos los paquetes IP de un atacante. Esta no es una muy buena estrategia a largo plazo porque los atacantes pueden cambiar su dirección de origen muy rápidamente.
Esto puede tener efectos negativos si se hace automáticamente. Un atacante podría falsificar deliberadamente paquetes de ataque con la dirección IP de un socio corporativo. Las defensas automatizadas podrían bloquear el tráfico legítimo de ese socio y causar problemas adicionales.
Validar el apretón de manos implica crear aperturas falsas y no reservar recursos hasta que el remitente lo reconozca. Algunos firewalls abordan las inundaciones SYN validando previamente el protocolo de enlace TCP. Esto se hace creando aperturas falsas. Cada vez que llega un segmento SYN, el firewall devuelve un segmento SYN/ACK, sin pasar el segmento SYN al servidor de destino.
Sólo cuando el cortafuegos reciba un ACK, lo que ocurriría sólo en una conexión legítima, el cortafuegos enviará el segmento SYN original al servidor para el que estaba destinado originalmente. El firewall no reserva recursos para una conexión cuando llega un segmento SYN, por lo que manejar una gran cantidad de segmentos SYN falsos es solo una pequeña carga.
La limitación de velocidad se puede utilizar para reducir un determinado tipo de tráfico hasta una cantidad que pueda gestionarse razonablemente. Aún se podría utilizar la transmisión a la red interna, pero sólo a una velocidad limitada, por ejemplo. Esto es para ataques DoS más sutiles. Esto es bueno si un ataque está dirigido a un único servidor porque mantiene las líneas de transmisión al menos parcialmente abiertas para otras comunicaciones.
La limitación de velocidad frustra tanto al atacante como a los usuarios legítimos. Esto ayuda pero no resuelve completamente el problema. Una vez que el tráfico DoS obstruye la línea de acceso a Internet, no hay nada que un firewall fronterizo pueda hacer para mejorar la situación. La mayoría de los ataques DoS son problemas de la comunidad que sólo pueden detenerse con la ayuda de ISP y organizaciones cuyas computadoras se utilizan como bots y se utilizan para atacar a otras empresas.
Con el creciente número de dispositivos móviles con interfaces 802.1X, la seguridad de dichos dispositivos móviles se convierte en una preocupación. Si bien los estándares abiertos como Kismet están destinados a proteger las computadoras portátiles, [39] las soluciones de puntos de acceso deberían extenderse para cubrir también los dispositivos móviles. Soluciones basadas en host para teléfonos móviles y PDA con interfaz 802.1X.
La seguridad dentro de los dispositivos móviles se divide en tres categorías:
Las soluciones IPS inalámbricas ahora ofrecen seguridad inalámbrica para dispositivos móviles. [ cita necesaria ]
Los dispositivos móviles de monitoreo de pacientes se están convirtiendo en una parte integral de la industria de la salud y eventualmente se convertirán en el método elegido para acceder e implementar controles de salud para pacientes ubicados en áreas remotas. Para este tipo de sistemas de monitorización de pacientes, la seguridad y la fiabilidad son fundamentales, porque pueden influir en el estado de los pacientes y podrían dejar a los profesionales médicos en la ignorancia sobre el estado del paciente si se ven comprometidos. [40]
Para implementar 802.11i, primero se debe asegurarse de que tanto el enrutador/punto de acceso como todos los dispositivos cliente estén realmente equipados para admitir el cifrado de red. Si se hace esto, es necesario integrar un servidor como RADIUS , ADS, NDS o LDAP . Este servidor puede ser una computadora en la red local, un punto de acceso/enrutador con servidor de autenticación integrado o un servidor remoto. Los AP/enrutadores con servidores de autenticación integrados suelen ser muy costosos y específicamente una opción para uso comercial como puntos de acceso . Los servidores alojados 802.1X a través de Internet requieren una tarifa mensual; ejecutar un servidor privado es gratuito pero tiene la desventaja de que es necesario configurarlo y que el servidor debe estar encendido continuamente. [41]
Para configurar un servidor, se debe instalar el software del servidor y del cliente. El software de servidor requerido es un servidor de autenticación empresarial como RADIUS, ADS, NDS o LDAP. El software requerido se puede elegir de varios proveedores como Microsoft, Cisco, Funk Software, Meetinghouse Data y de algunos proyectos de código abierto. El software incluye:
El software cliente viene integrado con Windows XP y puede integrarse en otros sistemas operativos utilizando cualquiera de los siguientes software:
El servicio de usuario telefónico de autenticación remota (RADIUS) es un protocolo AAA (autenticación, autorización y contabilidad) que se utiliza para el acceso remoto a la red. RADIUS, desarrollado en 1991, fue originalmente propietario pero luego se publicó en 1997 bajo los documentos ISOC RFC 2138 y RFC 2139. [42] [43] La idea es tener un servidor interno que actúe como guardián verificando las identidades a través de un nombre de usuario y contraseña que ya está predeterminado por el usuario. También se puede configurar un servidor RADIUS para aplicar políticas y restricciones de usuario, así como para registrar información de contabilidad, como el tiempo de conexión, para fines como la facturación.
Hoy en día, existe una cobertura de red inalámbrica casi completa en muchas áreas urbanas: la infraestructura para la red comunitaria inalámbrica (que algunos consideran el futuro de Internet [ ¿ quién? ] ) ya está instalada. Uno podría moverse y estar siempre conectado a Internet si los nodos estuvieran abiertos al público, pero debido a preocupaciones de seguridad, la mayoría de los nodos están cifrados y los usuarios no saben cómo desactivar el cifrado. Mucha gente [ ¿quién? ] consideran de buena educación dejar los puntos de acceso abiertos al público, permitiendo el libre acceso a Internet. Otros [ ¿quién? ] piensan que el cifrado predeterminado proporciona una protección sustancial con pequeños inconvenientes, contra los peligros del acceso abierto que temen que puedan ser sustanciales incluso en un enrutador DSL doméstico.
La densidad de los puntos de acceso puede incluso ser un problema: hay un número limitado de canales disponibles y en parte se superponen. Cada canal puede manejar múltiples redes, pero en lugares con muchas redes inalámbricas privadas (por ejemplo, complejos de apartamentos), la cantidad limitada de canales de radio Wi-Fi puede causar lentitud y otros problemas.
Según los defensores de los puntos de acceso abierto, abrir las redes inalámbricas al público no debería implicar ningún riesgo significativo:
Por otro lado, en algunos países, incluida Alemania, [44] las personas que proporcionan un punto de acceso abierto pueden ser consideradas (parcialmente) responsables de cualquier actividad ilegal realizada a través de este punto de acceso. Además, muchos contratos con ISP especifican que la conexión no puede compartirse con otras personas.