Instructor: En esta lección vamos a hablar
de cómo proteger tus redes inalámbricas de algunas
de las amenazas que se ciernen sobre ellas.
Ahora bien, las redes inalámbricas nos ofrecen mucha comodidad,
pero también conllevan un montón de riesgos de seguridad porque,
a diferencia de una red por cable, siempre que esté dentro
de la zona de cobertura de esa señal inalámbrica, puedo conectarme
a ella con mi smartphone, mi tableta o mi portátil.
Para proteger tu red, tienes que asegurarte
de que sabes a qué se conectan tus dispositivos
y, una vez conectados, de que los datos
que se envían van a estar cifrados.
Ahora lo primero que queremos hacer es asegurarnos
de que todo lo que transmitimos se hace en privado para aumentar
la seguridad de nuestras redes.
Una de las formas de hacerlo
es lo que se llama clave precompartida.
Ahora, una clave precompartida es cuando ambos puntos
finales, tanto tu punto de acceso como tu cliente en tu portátil
o smartphone tienen la misma clave de encriptación.
Si utilizo una contraseña en un lado y la misma contraseña
en el otro y coinciden, se está utilizando la misma clave
precompartida para crear ese túnel de cifrado.
Ahora bien, hay un par de problemas
cuando se utiliza una clave precompartida.
En primer lugar, la escalabilidad se convierte en un gran problema para nosotros.
Digamos que tengo una oficina con 50 usuarios diferentes
conectados a la red inalámbrica y todos ellos
utilizan la misma clave precompartida.
Pero supongamos que mañana entro en el trabajo
y despido a uno de los empleados.
Ahora, ese empleado conoce la clave precompartida, así
que adivina qué tenemos que hacer.
Tenemos que cambiar la clave precompartida
y, como yo tengo que cambiar esa clave precompartida,
ahora los otros 50 empleados tienen que saber cuál es esa nueva
clave y así todos podemos cambiarla.
Es como cambiar la llave de la puerta principal de tu casa.
Si tienes 10 familiares,
ahora tienes que hacer 10 copias de esa llave.
Como todos sus clientes utilizan la misma contraseña
y esa misma clave, nos resulta muy difícil cambiar
y hacer una gestión adecuada de las claves.
Esa es una de las grandes razones
por las que no utilizamos claves precompartidas en grandes entornos.
Pero si estás en una pequeña oficina o un entorno de oficina en casa
como tu casa o una pequeña oficina de 10 empleados o menos puedes
seguir adelante y utilizar una clave pre-compartida porque es
realmente fácil de configurar las redes de esa manera porque
sólo tienes un par de dispositivos.
En lo que respecta a la seguridad
inalámbrica, existen tres métodos principales.
El primero es WEP, y luego tenemos WPA y WPA2.
Cuando hablamos de WEP, nos referimos
a Privacidad equivalente por cable.
Esta fue la seguridad inalámbrica
original que se inventó con la
primera versión de wifi con 802. 11.
Ahora, afirmaba que era tan segura como las redes cableadas,
de ahí el nombre de "privacidad equivalente por cable". Pero la verdad es que no es seguro
y hoy en día nunca deberías
usar WEP porque es un protocolo
muy inseguro.
WEP funciona mediante una clave precompartida.
Todo el mundo tiene la misma clave y es una clave estática de 40
bits que es muy pequeña y fácil de forzar o adivinar
utilizando un ordenador potente.
Con el tiempo, para hacer que WEP fuera más
seguro, mejoraron la clave de 40 bits a 64 bits y luego de
nuevo a 128 bits, y eso resolvió el problema de la longitud
de la clave, pero no resolvió un problema
diferente conocido como el vector de inicialización.
Ahora la forma en que funciona
WEP es que utiliza un vector de inicialización de 24 bits
que es una serie de 24 unos y ceros y van a ser llamados
este vector de inicialización.
Esto se envía en texto claro y si capturas suficientes
de estos vectores de inicialización puedes
realmente descifrar la clave de cifrado y adivinar hacia atrás la clave
precompartida que utilizaste para tu contraseña de WEP.
De hecho, utilizando Aircrack NG, puedes hacerlo en unos
dos o tres minutos con la mayoría de los portátiles modernos.
Ahora, el siguiente del que queremos hablar es WPA.
WPA o Wifi Protected Access fue el sustituto de WEP debido
a la debilidad con este vector
de inicialización de 24 bits.
Para superarlo, introdujeron algo conocido
como TKIP, el protocolo de integridad de clave temporal.
Ahora TKIP sustituye ese vector de inicialización
de 24 bits por un nuevo vector de 48 bits.
Esto duplicó su potencia, pero
sigue considerándose bastante
débil en la informática moderna.
La otra cosa que hicieron fue
añadir un nuevo tipo de cifrado llamado RC4,
o Rivest Cipher 4 y es bastante bueno, pero de nuevo, para los
estándares de hoy en día se considera débil.
WPA también quería añadir algo de integridad a los dispositivos
y lo hizo asegurándose de que nadie pudiera realizar
un ataque de intermediario y cambiar la información.
Para ello, utilizaban un sistema llamado MIC (comprobación
de la integridad de los mensajes), que consiste
en aplicar un hash a los datos antes de que se
envíen, de modo que se pueda verificar que no se
han modificado durante el tránsito por la red.
Ahora, WPA también vio que hay un defecto con esta
clave precompartida y ser capaz de enviar
nuevas claves muy rápidamente, por lo que añadieron
algo conocido como modo de empresa dentro de WPA.
Con el modo de empresa, un usuario podría
autenticarse antes de intercambiar claves y luego
podría crear nuevas claves temporalmente
entre el cliente y el punto de acceso.
Esto trató de resolver el problema de la escalabilidad de
la clave precompartida, pero al final WPA se sigue considerando
débil para los estándares actuales
y se sustituye por una versión más moderna conocida como
WPA2 o Wifi Protected Access 2.
Ahora, WPA2 es el estándar actual y los creados
como parte del 802. 11i estándar.
Se implementó por primera vez, fue Wireless
G, y luego en Wireless N y Wireless AC.
Requiere una autenticación y un cifrado
y unas comprobaciones de integridad más estrictos.
La comprobación de la integridad se realiza mediante CCMP.
Ahora bien, CCMP son las siglas de Counter Mode
with Cipher Blockchaining Message
Authentication Code Protocol, que
es un trabalenguas que no tendrás que memorizar
para el examen ni lo que significa.
Lo que sí debes recordar es que cada vez que veas
CCMP debes pensar que esto es parte de la seguridad WPA2.
Lo segundo que hicieron fue
sustituir el antiguo mecanismo de cifrado de
RC4 a través de VES Cipher 4 por el nuevo conocido
como Advanced Encryption Standard o AES.
Ahora AES utiliza una clave de 128 bits y algunos modelos
más nuevos pueden utilizar una clave de 256 bits o más.
Esto le proporciona una mayor seguridad y confidencialidad
de los datos que circulan por esta red inalámbrica.
En el momento de esta grabación en particular,
AES todavía no se ha roto y WPA2, el algoritmo en sí no se ha roto
por lo que es una buena cosa para usar
si usted tiene una contraseña
larga y fuerte.
Actualmente, la única forma de descifrar
estas redes es mediante ataques a las contraseñas, lo que significa
que intentan adivinar las contraseñas adivinando
todas las opciones posibles mediante un ataque
de fuerza bruta o un ataque de diccionario.
Así que, si quieres proteger tus
redes, asegúrate de que utilizas una contraseña buena, larga y segura.
WPA2 también admite dos modos diferentes en función de la
red en la que vayas a utilizarlo.
Si lo usas en casa o en una pequeña oficina, utilizarás una
clave precompartida en la que todo el mundo
tendrá la misma contraseña.
Esto se conoce como modo personal.
La otra forma es utilizarlo en un entorno grande
donde se utiliza el modo de empresa
y es donde todos y cada usuario
obtiene un único nombre de usuario y contraseña única para ellos
y van a utilizar un servidor de autenticación central
utilizando WPA2 nativo o descargar que a un 801.
Servidor de autenticación 1x.
Para el examen, quiero
que recuerdes cuatro cosas sobre la seguridad inalámbrica
y si recuerdas las cuatro
cosas de esta tabla lo harás muy bien.
En primer lugar, siempre que veas la palabra
abierta en referencia a una red inalámbrica,
significa que no hay seguridad, ni protección, ni contraseña.
Si oyes WEP, quiero que
lo asocies con vectores de inicialización.
Ese es el fallo de WEP y es lo
que te van a explicar en el examen.
WEP es débil, WEP es malo.
WEP utiliza vectores de inicialización.
Si ves WPA, quiero que pienses en
TKIP y RC4 porque TKIP era todo lo que se utilizaba para
sustituir los vectores de inicialización
y RC4 era su forma de cifrado.
De nuevo, WPA se considera débil, no lo uses.
A continuación, si ves WPA2, deberías
pensar en las siglas CCMP y AES.
CCMP es un protocolo de integridad y AES
es el mecanismo de cifrado que utilizamos.
Esta es su clave para responder a las preguntas inalámbricas
de seguridad el día del examen.
A continuación, vamos a hablar un poco sobre el filtrado de direcciones MAC.
Podemos configurar nuestros puntos de acceso con una
ACL y esta será capaz de mirar esas direcciones
y permitir o denegar que ciertas direcciones MAC
se conecten a la red.
Por ejemplo, si mi iPhone intenta conectarse a la red
y no está autorizado o está en la lista de denegados,
no podrá realizar ese apretón de manos
y no podrá comunicarse.
Ahora bien, el problema con el filtrado de
Mac sigue residiendo en el hecho de que es realmente
fácil cambiar tu dirección MAC y falsearla.
Los usuarios con conocimientos pueden cambiar la dirección
de su Mac muy rápidamente utilizando herramientas disponibles gratuitamente
y realmente se tarda unos cinco segundos en hacerlo.
Esto detendrá a algunas personas,
pero no es infalible y no va a detener a todo el mundo.
Si quieres cambiar la dirección
de tu Mac y utilizas herramientas como Mac Address Changer
para Windows, Mac Daddy X para sistemas OSX y MAC, o Mac changer
para Linux, todas ellas son herramientas
realmente fáciles de usar.
Las direcciones Mac no van a ser una
fuente de gran protección para ti, pero según el examen, es una protección que
puedes utilizar para formar parte de tu estrategia
de defensa y profundidad.
Así que, en el mundo real, no te preocupes demasiado
por el filtrado de Mac, pero para el examen sí lo
consideran una buena medida de seguridad.
A continuación, tenemos la desactivación de su difusión SSID
que se considera una ayuda de seguridad menor,
así como para proteger sus redes.
Ahora, de acuerdo con el examen, al igual que el filtrado MAC
dicen que esto es una buena cosa que hacer.
Sin embargo, en el mundo real
no se tarda mucho en encontrar un SSID oculto.
Ahora bien, ¿qué es exactamente un SSID?
Bueno, son las siglas de server set identifier
y es como se llama en realidad tu red inalámbrica.
Por ejemplo, si vas a Starbucks, tienen
uno que se llama "Starbucks Guest" o si vas a
mi casa, tengo uno que se llama "Dion" y así puedes ver que el
conjunto de servidores sale y dice:
"Oye, Dion está aquí, ¿debería conectarme a él? Y si buscas una red, ves toda la lista
de nombres que hay
a tu alrededor, ¿verdad?
Bueno, si desactivas la emisión del Server Set
ID, no lo emitirá y no aparecerá
en tus redes disponibles.
De este modo, el usuario tiene que teclear manualmente
el nombre para conectarse a tu red, por lo que
tiene que saber realmente que está ahí.
Ahora, el problema con esto es que usando
técnicas de penetración inalámbrica, es realmente fácil encontrarlos
y aún así podrás conectarte a ellos.
Si todo lo que haces es desactivar tu difusión,
no es muy seguro.
Pero si haces esto en combinación con el filtrado MAC y tener
una buena contraseña larga y fuerte, estás
empezando a estratificar la seguridad
y te da una mejor postura de seguridad.