L os requisitos de la seguridad de la informacin dentro de una organizacin han sufrido dos

cambios principales en las ltimas dcadas. Antes de que se extendiera la utilizacin de los
equipos de procesamiento de datos, la seguridad de la informacin valiosa para la organizacin
se proporcionaba fundamentalmente por medios fsicos y administrativos. Como ejemplo del
primer tipo de medios sirva el empleo de robustos archivadores con cerrojo de combinacin para
almacenar los documentos importantes. Un ejemplo del segundo es el uso de procedimientos de
investigacin del personal durante el proceso de contratacin.
Con la introduccin de los computadores, se hizo evidente la necesidad de herramientas automticas
para proteger ficheros y otra informacin almacenada en el computador. ste es especialmente
el caso de los sistemas compartidos, como los sistemas multiusuario. Esta necesidad se
acenta en los sistemas a los que se pueda acceder desde redes de datos o redes de telefona pblicas.
El trmino genrico del conjunto de herramientas diseadas para proteger los datos y frustrar
las actividades de los piratas de la computacin es seguridad en computadores. Aunque constituye
un tema muy importante, se encuentra fuera del alcance de este libro.
El segundo cambio relevante que ha afectado a la seguridad es la introduccin de sistemas distribuidos
y la utilizacin de redes y servicios de comunicacin para transportar datos entre terminales
de usuario y computadores y de computador a computador. Las medidas de seguridad en red
son necesarias para proteger los datos durante su transmisin y garantizar que los datos transmitidos
sean autnticos.
La tecnologa esencial subyacente, virtualmente, en todas las aplicaciones de seguridad en
redes y computadores es el cifrado. Se utilizan dos tcnicas fundamentales: cifrado simtrico y
cifrado de clave pblica, tambin conocido como cifrado asimtrico. Conforme examinemos las
diversas tcnicas de seguridad en red, iremos explorando los dos tipos de cifrado.

REQUISITOS DE SEGURIDAD Y ATAQUES

Para entender los tipos de amenazas a la seguridad que existen, necesitamos partir de una definicin
de requisitos en seguridad. La seguridad en computadores y en redes implica cuatro requisitos:
Privacidad: se requiere que slo entidades autorizadas puedan tener un acceso a la informacin.
Este tipo de acceso incluye la impresin, la visualizacin y otras formas de revelado,
incluyendo el simple hecho de dar a conocer la existencia de un objeto.
Integridad: se requiere que los datos sean modificados solamente por partes autorizadas. La
modificacin incluye la escritura, la modificacin, la modificacin del estado, la supresin y
la creacin.
Disponibilidad: se requiere que los datos estn disponibles para las partes autorizadas.
Autenticidad: se requiere que un computador o servicio sea capaz de verificar la identidad
de un usuario.
Una forma til de clasificar los ataques a la seguridad (RFC 2828) es en trminos de ataques pasivos
y ataques activos. Un ataque pasivo intenta averiguar o hacer uso de informacin del sistema,
pero sin afectar a los recursos del mismo. Un ataque activo intenta alterar los recursos del sistema
o influir en su funcionamiento.
ATAQUES PASIVOS
Los ataques pasivos consisten en escuchas o monitorizaciones de las transmisiones. La meta del
oponente es la de obtener la informacin que est siendo transmitida. La divulgacin del contenido
de un mensaje y el anlisis de trfico constituyen dos tipos de ataques pasivos.
La divulgacin del contenido de un mensaje se entiende fcilmente. Una conversacin telefnica,
un mensaje de correo electrnico o un fichero transferido pueden contener informacin sensible
o confidencial. Por ello, desearamos impedir que un oponente averigue el contenido de estas
transmisiones.
Un segundo tipo de ataque pasivo, el anlisis de trfico, es ms sutil. Suponga que disponemos
de un medio para enmascarar el contenido de los mensajes u otro tipo de trfico de informacin,
de forma que aunque los oponentes capturasen el mensaje, no podran extraer la informacin
del mismo. La tcnica ms comn para enmascarar el contenido es el cifrado. Pero incluso si tenemos
proteccin por cifrado, el oponente podra todava observar el patrn de estos mensajes. El
oponente podra determinar la localizacin y la identidad de los computadores que se estn comunicando
y observar la frecuencia y la longitud de los mensajes intercambiados. Esta informacin
podra serle til para averiguar la naturaleza de la comunicacin que se est realizando.
Los ataques pasivos son muy difciles de detectar, ya que no suponen la alteracin de los datos.
Normalmente, el trfico de mensajes es enviado y recibido de forma aparentemente normal y ni el
emisor ni el receptor son conscientes de que un tercero haya ledo los mensajes u observado el
patrn de trfico. Sin embargo, es factible impedir el xito de estos ataques, usualmente mediante
cifrado. De esta manera, el nfasis en la defensa contra estos ataques se centra en la prevencin en
lugar de en la deteccin.
ATAQUES ACTIVOS
Los ataques activos suponen alguna modificacin del flujo de datos o la creacin de flujos falsos.
Los podemos clasificar en 4 categoras: enmascaramiento, retransmisin, modificacin de mensajes
y denegacin de servicio.
Un enmascaramiento tiene lugar cuando una entidad pretende ser otra entidad diferente. Un
ataque por enmascaramiento normalmente incluye una de las otras formas de ataques activos. Por
ejemplo, se pueden capturar secuencias de autenticacin y retransmitirlas despus de que tenga lugar
una secuencia vlida, permitiendo as obtener privilegios adicionales a otra entidad autorizada
con escasos privilegios mediante la suplantacin de la entidad que los posee.
La retransmisin supone la captura pasiva de unidades de datos y su retransmisin posterior
para producir un efecto no autorizado.
La modificacin de mensajes significa sencillamente que algn fragmento de un mensaje legtimo
se modifica o que el mensaje se retrasa o se reordena para producir un efecto no autorizado.
Por ejemplo, un mensaje con un significado Permitir a Juan Garca leer el fichero confidencial de
cuentas se modifica para tener el significado Permitir a Alfredo Castao leer el fichero confidencial
de cuentas
La denegacin de servicio impide o inhibe el normal uso o gestin de servicios de comunicacin.
Este ataque puede tener un objetivo especfico. Por ejemplo, una entidad puede suprimir todos
los mensajes dirigidos a un destino concreto (por ejemplo, al servicio de vigilancia de seguridad).
Otro tipo de denegacin de servicio es la interrupcin de un servidor o de toda una red, bien
deshabilitando el servidor o sobrecargndolo con mensajes con objeto de degradar su rendimiento.
Los ataques activos presentan caractersticas opuestas a las de los ataques pasivos. Mientras
que un ataque pasivo es difcil de detectar, existen medidas para impedir que tengan xito. Por otro
lado, es bastante difcil impedir ataques activos de forma absoluta, ya que para hacerlo se requerira
proteccin fsica permanente de todos los recursos y de todas las rutas de comunicacin. En su
lugar, el objetivo consiste en detectarlos y recuperarse de cualquier interrupcin o retardo causados
por ellos. Ya que la deteccin tiene un efecto disuasorio, tambin puede contribuir a la prevencin.

Es segura una red WiFi con WPA y WPA2?

La seguridad WPA (Wi-Fi Protected Access) y cmo proteger una red WiFi es una inquietud
muy comn entre los usuarios y administradores de redes y se comenta de forma peridica
que es posible crackear WPA. Aunque en la actualidad todo el mundo coincide en aceptar
que el antiguo estndar WEP (Wired Equivalent Privacy) es inseguro y su uso debe ser
evitado por la posibilidad de romper el sistema en pocos segundos, al cambiar a WPA no
todo el mundo conoce de qu forma se puede medir la seguridad de una contrasea y de una
red WiFi WPA o WPA2.
Qu longitud debe tener una clave WPA o WPA2 para
ser segura?
De forma resumida, se puede afirmar que una contrasea WiFi de 12 caracteres es segura y
no podr ser descifrada con el poder de cmputo existente a da de hoy, ya que el tiempo
necesario para crackear la contrasea crece de forma exponencial.

Complejidad de crackear una contrasea WiFi

La siguiente tabla ilustra la complejidad de una contrasea WiFi WPA o WPA2 y el tiempo
necesario que necesitara un atacante para romper la contrasea.
Un hash WiFi WPA es el resultado de realizar varias operaciones matemticas con una
contrasea WiFi y que puede ser utilizado para comprar si la contrasea es vlida en un
proceso de cracking. Por simplificar podramos afirmar que un hash es lo mismo que una
clave WiFi. Una tarjeta grfica potente para consumo domstico (>400) proporciona un
rendimiento de 350.000 hashes WPA o WPA2 por segundo, es decir, puede comprobar
350.000 contraseas en un solo segundo. Un hardware FPGA Pico de venta al pblico
(>1000) obtienen un rendimiento muy superior de 1.750.000 hashes por segundo. Si la
contrasea es lo suficientemente larga y no est basada en un diccionario (una palabra o una
frase predecible) no ser posible crackear la contrasea WiFi en un tiempo prudencial.

Aspectos tcnicos de seguridad WiFi

Para asegurar una red WiFi y evitar que esta pueda ser hackeada por terceros, hay otros
aspectos a considerar adems de la complejidad de la contrasea:

PIN WPS (Wireless Protected Setup): A nivel domstico es habitual que los routers WiFi
incluya soporte de la funcionalidad WPS para facilitar el intercambio de claves entre el
punto de acceso y el usuario sin necesidad de usar la contrasea WiFi. Este proceso puede
ser abusado con herramientas como Reaver o wpscrack, y puede permitir obtener la clave
de acceso a la red WiFi independientemente de su longitud o complejidad. La
recomendacin primera recomendacin debe ser inhabilitar WPS si est soportado.
Nombre de la red WiFi: El algoritmo de cifrado de WPA o WPA2 hace uso del nombre de
la red WiFi para generar la clave criptogrfica. Para evitar el uso de ataques de cracking
con tablas rainbow se debe evitar usar un nombre de red conocido, como WLAN_66 y en
su defecto usar nombres nuevos y que no identifiquen a la empresa o al usuario, como
WLAN-YTQZFJ.
TKIP o AES CCMP: Segn el estndar 802.11, WPA usa un algoritmo llamado TKIP para
firma, y WPA2 usa el algoritmo AES CCMP que es mucho ms robusto y elimina fallos de
seguridad como Beck-Tews attack o Ohigashi-Morii attack. La recomendacin es
eliminar el soporte de TKIP si es posible, aunque a da de hoy los ataques no estn lo
suficientemente extendidos.
Redes publicadas: La mayora de dispositivos (telfonos, ordenadores porttiles,..)
preguntan peridicamente a su alrededor la lista de redes conocidas solicitando esta
informacin al aire, mediante el envo de un paquete WiFi conocido como frame de tipo
Probe Request. Si un usuario configura incorrectamente la red WiFi y establece la
contrasea como nombre de la red, cualquiera que se encuentre escuchando con un
scanner WiFi como Acrylic podr ver la contrasea de la red solicitada por el dispositivo
del usuario.
Contraseas de administracin: A nivel domstico es habitual que el punto de acceso WiFi
sea un router ADSL o un router de cable. Estos dispositivos pueden estar configurados con
contraseas de administracin remotas como admin/admin, 1234/1234,
support/support,.. y accesibles desde Internet a travs de HTTP con un navegador web. Se
debe cambiar la contrasea de administracin y limitar el acceso al panel de
administracin del router WiFi desde otras redes, como Internet, para evitar que un
usuario pueda obtener la contrasea WiFi explotando un fallo de configuracin del router
WiFi desde internet.

Consideraciones operativas de seguridad WiFi WPA:

Dependiendo de cmo trabajemos con las redes WiFi, hay otras consideraciones de seguridad
a tener en cuenta:
 Rotacin de personal: En una empresa de medio tamao WPA est desaconsejado debido
a la dificultad de realizar el cambio de la contrasea cuando una persona abandona la
empresa. Si esta clave es reutilizada por muchos usuarios o integrada en dispositivos
hardware como TPVs, cambiar la contrasea para limitar el acceso a ex trabajadores
puede ser complejo. Es por esta razn que en estos entornos se recomienda el uso de
mecanismos Enterprise, con autenticacin basada en RADIUS.
Interceptacin de comunicaciones: Si un usuario intercepta con un sniffer WiFi el proceso
de autenticacin de un usuario llamado 4 way handshake y consigue crackear la
contrasea, o conoce la contrasea de la red WiFi, podra descifrar el trfico de cualquier
usuario conectado. Por esta razn WPA o WPA2 se deben usar slo en entornos
domsticos, donde existen ciertas garantas de que el resto de usuarios no van a espiar las
comunicaciones de otros.

Buenas prcticas de seguridad WiFi:

Para disponer de una red WiFi segura, os contamos algunas recomendaciones adicionales
de seguridad WiFi que debis considerar.

Rotacin de la contrasea WiFi: Tanto si usamos una contrasea WiFi WPA a nivel
domstico, como a nivel empresarial, las contraseas se deben cambiar peridicamente.
Usando contraseas de al menos 12 caracteres un tiempo razonable de cambio de
contrasea son 6 meses.
Deshabilitar TKIP: Su uso est desaconsejado en la actualidad y se debera deshabilitar. Si
es estrictamente necesario podemos mantenerlo haciendo uso de contraseas seguras de
al menos 12 caracteres.
Analiza las redes a tu alcance: Tanto con la versin gratuita del escner WiFi Acrylic WiFi
Free o con la versin profesional de Acrylic podrs analizar que redes hay al alcance y
cmo estn configurada su seguridad.
Mide la propagacin de la seal: Para mejorar la cobertura WiFi y para evitar que la seal
inalmbrica salga del permetro de tu casa o de tu oficina, puedes usar un software de site
survey como Acrylic WiFi Heatmaps para medir la cobertura. De esta forma podrs ajustar
los parmetros de tu punto de acceso con el fin de evitar una propagacin no deseada de
la red, y seleccionar su mejor ubicacin para mejorar el rendimiento WiFi.