¿Por qué WPA3 no detiene el hackeo de Wi-Fi?: Comprobando la realidad

Desde las oficinas corporativas hasta las cafeterías habituales que frecuentamos en el vecindario, casi todas las organizaciones que operan una red Wi-Fi están altamente expuestas a las vulnerabilidades que los agentes maliciosos pueden utilizar para robar datos confidenciales, realizar escuchas e infiltrarse más en la red. La superficie de ataque Wi-Fi es una de las más deseables para los hackers porque casi todas las empresas de ciberseguridad se centran en los ataques de aplicaciones en la capa 7 (como el malware de zero-day y el ransomware), mientras que históricamente se han hecho muy pocos esfuerzos para defenderse contra los ataques Wi-Fi en la capa 2. De hecho, las protecciones para la capa 2 se han introducido recientemente, dejando 20 años de puntos de acceso Wi-Fi, routers y clientes completamente abiertos a ataques. Los ataques Wi-Fi en la Capa 2 suelen incluir tácticas como inundar un AP con marcos de desautenticación o craqueo de WPA2, un protocolo de cifrado diseñado para proteger las redes inalámbricas.

Ryan Orsi, director de Gestión de Producto de WatchGuard.

Es importante entender que uno de los principales objetivos de cualquier atacante Wi-Fi es posicionarse como el 'hombre-en-medio', o popularmente 'man-in-the-middle (MitM)'. En la práctica, aquí es donde el dispositivo de la víctima, digamos un smartphone, cree que está conectado a Internet a través de un SSID Wi-Fi, cuando en realidad, un atacante está transmitiendo el SSID y el tráfico de la víctima está fluyendo directamente a través del atacante, permitiéndole ver todo lo que la víctima está haciendo, escribiendo, viendo y más. Este tipo de ataque es sorprendentemente común y es mucho más fácil ser víctima de él de lo que se podría pensar.

En respuesta al Ataque de Reinstalación de Claves de 2017 o 'ataque Krack', que superó el cifrado WPA2, la industria Wi-Fi se ha unido para lanzar el estándar WPA3 con mayor seguridad. Al igual que su predecesor, WPA3 contiene una implementación Personal y Protegidos (PMF), que defiende contra la interceptación en los marcos de gestión unidifusión y multidifusión, y del reemplazo del sistema de protocolo de enlace de 4 vías y Clave Precompartida (PSK) de WPA2 con Autenticación Simultánea de Iguales (SAE)). Esto esencialmente elimina los ataques de diccionario offline. Estas mejoras de seguridad ayudarán a eliminar los diversos trucos y herramientas que los atacantes han estado utilizando durante años para interceptar los paquetes de intercambio de 4 vías de WPA2 y cargarlos en múltiples servicios gratuitos que anuncian 'recuperar su contraseña Wi-Fi'.

Las redes abiertas de Wi-Fi compatibles con WPA3 también tienen mejoras destinadas a evitar las escuchas ilegales. Denominadas por la Wi-Fi Alliance como 'WPA3 Enhanced Open', las redes Wi-Fi que no requieren contraseñas utilizarán el cifrado inalámbrico oportunista u Opportunistic Wireless Encryption (OWE), donde cada dispositivo recibirá su propia clave. Esto evitará que otros en la misma red abierta puedan detectar paquetes desde el aire.

Estas mejoras en WPA3 han sido muy bien recibidas en la industria, pero a pesar de sus mejoras de seguridad, al menos una de las seis categorías de amenazas Wi-Fi - Puntos de acceso (AP) 'gemelo malvado' o Evil Twin, AP mal configurados, AP no autorizados, Cliente no autorizado, AP vecino o asociación errónea del cliente y Redes ad-hoc- todavía pueden ser utilizadas para comprometer las redes WPA3. Cada uno de estos tipos de amenazas representa un método único que los atacantes pueden utilizar para posicionarse como MitM o para escuchar el tráfico de la red en silencio.

El ataque del AP 'gemelo malvado', por ejemplo, es muy probable que se utilice en redes Wi-Fi abiertas mejoradas, ya que OWE puede tener lugar entre un cliente víctima y el AP 'gemelo malvado', de un atacante que esté emitiendo el mismo SSID, y posiblemente el mismo BSSID que un AP legítimo cercano. Aunque OWE mantendría la sesión a salvo de las escuchas, el tráfico Wi-Fi de la víctima fluiría a través del AP 'gemelo malvado' y en manos de un MitM, que puede interceptar credenciales, colocar malware e instalar puertas traseras remotas.

Aunque la escucha pasiva en redes Wi-Fi abiertas probablemente se convertirá en algo del pasado, una pieza que falta para WPA3, y que es muy importante, es que los seres humanos y los dispositivos cliente que se conectan a un SSID todavía no tienen forma de saber con seguridad que el SSID está siendo transmitido desde un punto de acceso o router legítimo. El SSID todavía puede ser transmitido, con WPA3 habilitado, desde un AP Evil Twin malicioso, por ejemplo. Para ayudar a combatir este tipo de vulnerabilidades Wi-Fi generalizadas, cada vez más departamentos de TI están creando Entornos Inalámbricos de Confianza capaces de detectar y prevenir automáticamente las amenazas Wi-Fi.

Las mejoras de seguridad Wi-Fi incluidas en WPA3 son un paso extraordinario en la dirección correcta, pero este nuevo estándar de cifrado no pondrá fin al hackeo del Wi-Fi. En un entorno realmente inalámbrico de confianza, la propia infraestructura del punto de acceso puede utilizar la tecnología para eliminar la posibilidad de que un dispositivo humano o cliente se conecte a ataques maliciosos tales como la amenaza de AP Evil Twin. Es por eso que hoy en día, WPA3, aunque muy necesario, es simplemente un control de seguridad complementario.