Conceptos básicos de seguridad en redes WI-FI para alumnos del nivel secundario

1. Tipos de
Autenticación

2. Objetivos de la clase
Conocer los distintos tipos de autenticación
Analizar los riesgos según el tipo de autenticación
elegida
Conocer las buenas prácticas de configuración.

3. Usos de las Redes WI-FI
• Proporcionar Conectividad y Movilidad
• Empresas
• Campus Universitarios
• Hospitales
• Hot-Spots
• Hoteles
• Aeropuertos
• Cibercafés
• Redes Acceso Público
• Municipios wireless
• Transporte Público
• Juegos
• Consolas

4. Seguridad en los Routers WI-FI
WiFi Abiertas - Seguridad “0”.
Filtrado MAC / Ocultación SSID
WEP (Wired Equivalent Privacy)
WPA/WPA2 (WiFi Protected Access)

5. Seguridad Nula
WiFi Abiertas.
Configurar Filtrado de MAC o Ocultar el SSID.
No es suficiente.
• Con un Packet Sniffer (Commview) podemos capturar tráfico y extraer
la MAC de clientes válidos o el ESSID de la red, aunque esté oculto.
• Con A-MAC/Etherchange podemos hacer “spoof” de una MAC válida.

6. • Permite controlar que usuarios pueden conectarse a la Red basándose en la
dirección MAC de la tarjeta cliente.
• Hackeable utilizando aplicativos como A-MAC/Etherchange que permiten
modificar la MAC de nuestro cliente por una válida.
Lista de
direcciones MAC
permitidas
AA
BB
CC
User A
MAC: AA
User E
MAC: EE
Usuario A intenta
conectarse a la red
El AP chequea
si la MAC del
cliente está en
la lista
La dirección
MAC (AA) está
en la lista
Permite que el Usuario A se conecte a la red

Usuario E intenta
conectarse a la red
La dirección
MAC (EE) no
está en la lista
El Usuario E no puede conectarse a la red
Filtrado MAC

7. Filtrado MAC

8. MAC Spoofing (EtherChange)

9. Ocultación SSID
La ocultación del SSID no garantiza que un atacante pueda detectar la
red y conectarse a ella, si no hemos aplicado ningún otro mecanismo
de seguridad.

10. Punto de Acceso
configurado con WEPUsuario A
Usuario A y Usuario B quieren conectarse a la Red
Envía Petición de Asociación Recibe la Petición
He recibido la Petición,
¿Cuál es la Clave?
Envía Petición de Asociación
Usuario B
Clave Compartida = abc
Quiero conectarme
a la Red
Quiero conectarme a
la Red
Desafío
Clave Compartida = abc
Clave Compartida = xyz
Respuesta al Desafío Respuesta al Desafío
Key = abc
Usuario A, Password correcto.
Usuario autenticado
Password correcto
Password incorrecto
Usuario A conectado a la Red!!!
Usuario B, Password incorrecto
Petición Denegada
Petición Denegada
Usuario B no conectado
a la Red!!!
Desafío
Key = xyz
➀ ➀
➁ ➁
➂ ➂
➃
➄
Wired Equivalent Privacy (WEP)
Como funciona WEP…

11. Cómo crackear WEP …
Basado en Algoritmo de Encriptación (RC4) / Clave Secreta +IV (de 64 ó 128bits)
Ataque mediante Airodump + Aireplay + AirCrack.
Wired Equivalent Privacy (WEP)

12. • Características de WPA/WPA2
• Modo Personal (PSK) – Protege la Red de accesos no autorizados utilizando un
Passphrase
• Modo Enterprise (EAP) – Autentica el acceso a la Red de los usuarios mediante un
servidor RADIUS
• WPA2 es compatible con WPA, siendo posible comunicar dispositivos que utilicen
diferentes métodos de autenticación
• WPA2 es similar a WPA, la principal diferencia es que WPA2 utiliza un sistema de
encriptación más avanzado
WPA WPA2
Modo Enterprise
(Gran Empresa,
Administración,
Educación,…)
Autenticación: IEEE
802.1X/EAP
Encriptación:
TKIP/MIC
Autenticación: IEEE
802.1X/EAP
Encriptación: AES-
CCMP
Modo Personal
(Pymes, Casa,…)
Autenticación: PSK
Encriptación:
TKIP/MIC
Autenticación: PSK
Encriptación: AES-
CCMP
Wi-Fi Protected Access (WPA/WPA2)
Diferentes métodos
de autenticación para
diferentes entornos

13. • WPA/WPA2 proporciona un método de autenticación robusto utilizando claves de encriptación dinámicas por
usuario, sesión y paquete de datos
• La fiabilidad de este método de autenticación reside en la robustez de la Passphrase que utilizemos, ya que
existen mecanismos para capturar el handshake y crakear la clave WPA si esta es sencilla.
Punto de Acceso
configurado con
WPA/WPA2
Usuario
Solicitud de Asociación Compare the encrypted key
Clave Encriptada
Clave Correcta!
Permite que el Usuario
se conecte a la red
El cliente se conecta a la Red con éxito
Usuario envía información
Datos + Clave1
Compara la Clave Encriptada
Clave Correcta!
Datos Recibidos
Cada vez que el Usuario envía información al AP, los datos se cifrán con una clave dinámica
Wi-Fi Protected Access (WPA/WPA2)

14. ¿Cómo asegurar una WiFi?
• Pasos obligatorios
• Modificar el SSID por defecto
• Cambiar contraseña de Administración del AP
• Utilizar encriptación WPA/WPA2-PSK (Passphrase Seguro) ó WPA/WPA2-EAP
• Pasos opcionales
• Ocultar SSID (deshabilitar el broadcast SSID)
• Configurar Filtrado MAC
• Cambiar las claves de forma regular
• Configurar máximo número de usuarios que queremos que se conecten al AP
• Desactivar DHCP cuando son pocos equipos
• Configurar Wireless LAN Scheduler / Apagar el AP cuando no se utilice
• Control de Potencia para cubrir exclusivamente el área que deseamos

15. • http://www.microsoft.com/protect/yourself/password/checker.mspx
¿Cómo elegir un Passphrase Seguro?