Seguridad en Redes Inalámbricas: Protocolos y Amenazas

• Tema 7 aborda la seguridad en redes inalámbricas, incluyendo protocolos y análisis de amenazas.

Introducción y objetivos

• Las redes inalámbricas complementan las redes cableadas, ofreciendo movilidad a usuarios con dispositivos electrónicos de corto alcance.
• La evolución de redes inalámbricas impulsó la necesidad de tecnologías que aseguren la compatibilidad entre fabricantes.
• Wireless Ethernet Compatibility Alliance (WECA), ahora WiFi Alliance, se creó en 1999 para este fin.
• En abril de 2000, WECA certificó IEEE 802.11b bajo la marca WiFi, garantizando la interoperabilidad de equipos.
• El estándar IEEE 802.11 opera en la capa física de TCP/IP, similar a Ethernet (IEEE 802.3).
• Las normas IEEE 802.11 han evolucionado, mejorando rango, velocidad y seguridad, con estándares como IEEE 802.11b/g/i/n/ac/ax (WiFi 5/6).
• Estas redes son accesibles en universidades, aeropuertos y hogares, facilitando el intercambio de información y motivando mecanismos de seguridad contra accesos no deseados.
• Los objetivos de este tema incluyen conocer la evolución de los protocolos, identificar vulnerabilidades, estudiar soluciones con nuevos protocolos y seleccionar protocolos adecuados para securizar redes inalámbricas.

Wired Equivalent Privacy (WEP)

• El estándar IEEE 802.11b implementó WEP, buscando equiparar la seguridad de redes inalámbricas con las cableadas.

Autenticación

• En redes inalámbricas, la autenticación controla qué equipos acceden a la red a través de puntos de acceso (AP).
• En redes cableadas, el acceso es más sencillo, requiriendo sólo conexión física.
• En redes inalámbricas (WLAN), la estación debe autenticarse antes de conectarse a la red a través de un AP.
• Los APs anuncian su existencia mediante tramas de gestión (management frames), o las estaciones envían solicitudes de detección (probe requests).
• La estación selecciona una red y se autentica bajo dos métodos en el caso de WEP:

Open System Authentication (OSA)

• Cualquier estación envía una solicitud de autenticación OSA; si el AP lo permite, la estación se une a la red.
• OSA no ofrece autenticación real.

Shared Key Authentication (SKA)

• Este método verifica si el cliente conoce la clave compartida.
• Figura 1: El cliente solicita autenticación, recibe un reto, lo cifra con la clave compartida y lo devuelve.
• El AP indica si el reto fue superado, determinando el acceso a la red inalámbrica.
• SKA no permite diferenciar clientes específicos solo verifica el conocimiento de la clave.
• No autentica el punto de acceso, permitiendo ataques rogue AP y la interceptación de información.

Confidencialidad

• WEP cifra datos con una clave precompartida siguiendo estos pasos:
• Añade una comprobación de identidad al mensaje (ICV/MIC).
• Selecciona un vector de inicialización (IV) y lo concatena con la clave compartida para cifrar con RC4.
• Suma el mensaje (MPDU) y el MIC con la secuencia cifrante mediante XOR, añadiendo una cabecera de 4 bytes con el IV.

Problemas en la confidencialidad

• RC4 requiere sincronización entre emisor y receptor, lo cual es problemático en entornos inalámbricos con alta tasa de errores.
• Este fallo de diseño en WEP llevó a soluciones inseguras.

Integridad

• Para asegurar la integridad, 802.11 usa un campo ICV/MIC, que regenera el destino y compara con el original para detectar modificaciones (Figura 3).
• WEP utiliza CRC-32 para crear una trama completa (MPDU) como se muestra en la Figura 4.

Resumiendo WEP

• WEP verifica la posesión de la clave compartida usada para cifrado (SKA).
• Cifra con RC4 y una clave estática de 64/128 bits más un vector de inicialización (IV) de 24 bits, asegurando confidencialidad.
• Integra la verificación CRC-32.
• Desde 2001, se identificaron vulnerabilidades:
  • Clave estática compartida.
  • Vector de inicialización (IV) corto, resultando en colisiones.
  • Integridad lineal con CRC-32.
  • RC4 para comunicaciones no síncronas con alta tasa de error.
  • El ICV no protege la cabecera, facilitando ataques de redirección.
  • Ausencia de autenticación del punto de acceso.
• El análisis reveló debilidades explotadas con herramientas como Airsnort, WEPCrack y Aircrack.
• WEP se considera inseguro y se debe reemplazar por WPA3 o WPA2.

Wifi Protected Access: WPA

• El IEEE desarrolló IEEE 802.11i (2004) como nuevo estándar ante la inseguridad de WEP.
• IEEE 802.11i define WPA/WPA2, con el objetivo de mejorar la seguridad de las comunicaciones inalámbricas.
• WPA se diseñó para ser compatible para permitir la migración de WEP a un estándar más seguro.

Autenticación

• En redes domésticas, WPA-Personal permite el uso de claves precompartidas (PSK).
• En redes empresariales, WPA-Enterprise específica IEEE 802.1X, como se detalla en la Figura 5.
• La identidad del usuario es determinada por sus credenciales y se confirma su identidad a través de un servidor Remote Authentication Dial In User Service (RADIUS).
• RADIUS comunica internamente con el directorio activo (LDAP/SAML).
• Extensible Authentication Protocol (EAP) facilita el envío seguro de autenticación por canal inalámbrico.
• Se utiliza un túnel EAP para proteger la información sensible de terceros.
• EAP se configura para usar credenciales (EAP-TTLS/PAP, PEAP-MSCHAPv2) o certificados digitales (EAP-TLS), altamente recomendables en autenticación.

Confidencialidad

• WPA mejora la seguridad al usar claves de cifrado diferentes para cada sesión (Temporal Key Integrity Protocol, TKIP).
• TKIP utiliza inicialmente una clave maestra de red (PMK) que se utiliza para generar PTK, las claves de sesión temporales de 128 bits.
• Cada paquete se cifra con una clave distinta (usando RC4 por compatibilidad hardware).
• Una función de mezcla de clave se aplica a PTK (Figura 6).
• Se genera un nuevo conjunto PTK por cada asociación con un AP de la PMK.
• Nonce (number used once) aleatorios (Snonce/Anonce) generados por estación/AP, se combinan con la PMK para generar el PTK de la sesión.
• La construcción del conjunto de PTK se realiza usando 4-way handshake (Figura 6), donde el AP usa una GTK (clave de grupo temporal) y el cálculo de PTK es el siguiente: PTK = PMK + ANONCE + SNONCE + MAC(AP) + MAC(Estación).
• TKIP duplica el tamaño de IV de 24 bits a 48 bits (reduce probabilidad de colisión de IVs).
• Para actualizar hardware implicado, WPA incrementa el tamaño del IV, concatenándolo con la clave.
• La retrocompatibilidad se mantiene con una función de mezcla de clave que permite IVs de 48 bits.

Integridad

• Se utiliza comprobación de integridad lineal usando un código de redundancia cíclico (CRC-32), ligero pero criptográficamente inseguro.
• El reto de WPA fue lograr un algoritmo criptográficamente seguro pero con complejidad computacional reducida.
• Para ello, se implementó TKIP; un protocolo ligero nuevo llamado MICHAEL para calcular el MIC, usando desplazamiento y adición.
• El valor del MIC de MICHAEL se añade a la MPDU al campo ICV.
• CRC-32 aún se usa (Figura 6).
• Para evitar ataques aprovechando debilidades, si se detectan dos paquetes erróneos en un segundo, la estación se desasocia del AP un minuto, para regenerar todas las claves.
• Este mecanismo facilita ataques DoS.

Resumiendo WPA

• Incorpora un mecanismo de gestión de claves dinámicas Temporal Key Integrity Protocol (TKIP) al cifrado RC4.
• Utiliza claves dinámicas con la dirección MAC del dispositivo del usuario (cambian mas o menos cada 10.000), mejorando la seguridad.
• Incorpora un nuevo algoritmo de control de integridad llamado Michael para generar un Message Integrity Check (MIC).
• Soporta la autenticación basada en clave compartida (WPA-Personal) y claves diferentes por usuario (WPA-Enterprise) con el estándar 802.1X, utilizando un servidor Remote Authentication Dial In User Service (RADIUS) de autenticación.

Wifi Protected Access 2: WPA2

• WPA2 permite un algoritmo de cifrado simétrico diferente (no es compatible con hardware existente).
• Utiliza Advanced Encryption Standard (AES), actualmente el algoritmo de cifrado simétrico.

Autenticación

• WPA2 comparte la gestión de claves de autenticación con WPA.
• En confidencialidad e integridad, WPA2 utiliza AES-CCMP en lugar de TKIP y MICHAEL.

Confidencialidad e integridad

• WPA2 reemplaza a los dispositivos de WEP, implementando grandes cambios:
  • Para el cifrado simétrico usa AES (cifrado simétrico más común actualmente).
  • Para ofrecer confidencialidad e integridad, selecciona el modo de cifra CCMP, conocido como AES-CCMP.
• El modo de cifra combina:
  • Modo CTR (Counter Mode): Confidencialidad.
  • Modo CBC-MAC: Integridad y autenticación (MIC para bytes añadidos tras los datos cifrados).

Resumiendo WPA2

• Utiliza AES-CCMP (Counter Cipher Mode with Block Chaining Message Authentication Code Protocol), que proporciona confidencialidad, integridad y autenticación.
• Utiliza claves dinámicas con la MAC para cada usuario (cambian más o menos cada 10 000 paquetes enviados) mejorando la seguridad .
• Al igual que WPA, soporta autenticación basada en claves compartidas (WPA2-Personal) como claves diferentes por usuario (WPA2-Enterprise) en el standard 802.1X que usa un servidor Remote Authentication Dial In User Service (RADIUS).
• En el video, se revisan dos trazas de tráfico de WPA y WPA2.

Wifi Protected Access 3: WPA3

• En 2017, el ataque KRACK expuso una vulnerabilidad en el 4-way handshake en WPA/WPA2.
• Para solucionar, WiFi Alliance creó WPA3 en 2018 (versión publicada el 14 de diciembre de 2020).

Autenticación

• Al igual que WPA2, WPA3 funciona en modo personal y Enterprise.
• Modo Personal: Clave de red precompartida.
• Modo Enterprise: Servidor RADIUS con protocolo 802.1x para la autenticación.

Simultaneous Authentication of Equals (SAE)

• WPA3 reemplaza la generación de PSK de TKIP por SAE, modificación del protocolo Dragonfly (RFC 7664).
• Consiste en una ZKP (Zero Knowledge Proof).
• Tras la obtención de la PMK usando SAE, se utilizara el 4-way handshake (ver Figura 6) se deriva de WPA3.
• El 4-way handshake es resistente a ataques de diccionario gracias al diseño de SAE.
• SAE intercambia claves Diffie-Hellman, creando una clave compartida con métodos de curva elíptica, una clave precompartida y las direcciones MAC.
• La conexión con un AP, resulta en el intercambio SAE exitoso, ambos extremos comparten la clave de sesión (un atacante solo revelaría la clave de sesión actual).
• SAE se divide en el comprometer (commit) y confirmación (confirm).
• Cada extremo acuerda un compromiso y pasa a la fase de confirmación, por cada clave de sesión a generar y presenta la propiedad de secreto hacia adelante, donde al conseguir una contraseña de sesión no compromete las claves de sesión futuras o pasadas.
• Fase commit: El cliente genera dos números aleatorios (a y A), y calcula su suma (sA) que es público y un numero primo (PE^-A).
• El servidor igualmente genera dos números aleatorios (b y B), y calcula su suma (sB) y (PE^-B).
• Finalmente Ambos extremos elevan el valor recibido por PE elevado a la suma de números aleatorios secretos y alcanzan el mismo secreto compartido.
• La fase confirm se obtiene la clave PMK siendo usada para generar la clave de sesión y no se puede recuperar la clave maestra PMK obteniéndola por una función hash y algunos de los valores usados para calcular el secreto compartido.
• Este proceso hace intratable un ataque de diccionario offline, por el problema del logaritmo discreto (con Diffie-Hellman) y protege con la criptografía de curva elíptica (con ECDH).

Wi-Fi Easy Connect

• WPA3 usa Wi-Fi Easy Connect (basado en DPP) para facilitar la conexión (con un código y una contraseña) para dispositivos con y a través de canales como NFC o Bluetooth.

Confidencialidad e Integridad

• AES-GCM (Galois/Counter Mode): WPA3 usa AES en modo Galois/Counter Mode, que otorga confidencialidad e integridad (a diferencia de WPA2).
  • El uso de el modo personal utiliza AES-GCM de 128 bits, y el modo Enterprise utiliza AES-GCM con 192 bits clave. PMF (Protected Management Frames): añade protección a las tramas de gestión tanto unicast como multicast. -Multicast: PMF aporta integridad para tramas de gestión. -Unicast: PMF aporta integridad y confidencialidad al cifrar tramas.
• PMF evade ataques de desconexión, honeypot y evil twin attacks.
• La implementacion de PMF es obligatoria para WPA3.
• OWE (Opportunistic Wireless Encryption): reemplaza la autenticación "abierta" utilizada en hotspots y redes públicas, es importante que las comunicaciones viajen cifradas.
• OWE crea un intercambio de clave Diffie-Hellman donde cada cliente posee una clave de sesión compartida con AP.
• Esto previene que otros tengan acceso a las comunicaciones.
• Para obtener estas claves, un cliente realiza un intercambio de clave Diffie-Hellman en los mensajes de asociación y respuesta, para alcanzar PMK y así utilizar claves de sesión.
• Aunque OWE mejora, sigue siendo sensible al ataque de MITM rogue AP, al no autenticar de ninguna forma.
• El uso de WPA3 es preferible, con Enterprise el estándar mas posible.Para entornos imposibles utilizar es posible WPA3-Personal mas seguro.
• Es desaconcejable cualquier WPA o WEP donde sea soportado dispositivos compatibles con WPA2.Algunos ataques muestran las vulnerabilidades importantes de WPA3.
• Análisis de SAE en una taza con gráficos de WireShark que utiliza SAE se encuentra en el video adjunto.