De WEP a WPA2 y WPA3

El cifrado inalámbrico ha mejorado a través de varios estándares: WEP, WPA, WPA2 y WPA3. Cada uno corrigió las debilidades del anterior. Conocer esta evolución y entender por qué fallaron los estándares antiguos es esencial para elegir configuraciones seguras y para el examen Network+. En esta lección se comparan los estándares y se explica por qué WPA3 es el ganador moderno que debe utilizar siempre que esté disponible.

WEP (Wired Equivalent Privacy) fue el primer sistema de cifrado de Wi-Fi y está gravemente vulnerado. Utiliza un cifrado RC4 débil con un vector de inicialización corto y reutilizado, lo que permite a los atacantes descifrar la clave en cuestión de minutos con herramientas gratuitas. No debe utilizar WEP bajo ninguna circunstancia. Si alguna vez encuentra una red que todavía utiliza WEP, trátela como si no estuviera cifrada y actualícela de inmediato.

WPA (Wi-Fi Protected Access) fue una solución rápida para las debilidades de WEP que no requería hardware nuevo. Introdujo TKIP (Temporal Key Integrity Protocol), que cambiaba las claves dinámicamente para detener los ataques propios de WEP. WPA supuso una mejora importante, pero seguía basándose en el envejecido cifrado RC4, y posteriormente se descubrió que el propio TKIP era vulnerable. WPA siempre se concibió como un puente temporal hacia WPA2.

WPA2 (2004) se convirtió en el estándar dominante durante más de una década. Su principal avance fue utilizar AES (Advanced Encryption Standard) con CCMP, un cifrado moderno y sólido que sustituyó al débil RC4. WPA2 con AES es realmente seguro para la mayoría de los usos y todavía está ampliamente implementado. Al configurar una red Wi-Fi, WPA2-AES es la opción mínima aceptable si WPA3 no está disponible.

WPA2 es sólido, pero no perfecto. Su modo personal es vulnerable a ataques de fuerza bruta sin conexión: un atacante captura el handshake de la conexión y después prueba contraseñas sin conexión, por lo que las contraseñas débiles pueden descifrarse. El ataque KRACK (2017) también puso de manifiesto un fallo en el handshake. Estos problemas, especialmente el riesgo de las contraseñas débiles, impulsaron la siguiente generación: WPA3.

WPA3 (2018) es actualmente el mejor estándar. Sustituye el handshake de WPA2 por SAE (Simultaneous Authentication of Equals), que resiste los intentos de adivinar contraseñas sin conexión; incluso si se captura un handshake, no puede someterse a fuerza bruta sin conexión de la misma manera. WPA3 también incorpora secreto perfecto hacia adelante y un cifrado más sólido. Cuando esté disponible, WPA3 es la opción recomendada para obtener la mejor protección inalámbrica.

Las ventajas de WPA3 son concretas. SAE detiene los ataques de diccionario sin conexión que amenazan al modo personal de WPA2, por lo que incluso una contraseña moderada resulta mucho más difícil de descifrar. El secreto perfecto hacia adelante significa que capturar el tráfico de hoy no permite al atacante descifrarlo más adelante, aunque consiga la contraseña. Además, mejora la protección en las redes abiertas. Por todo ello, WPA3 es claramente la opción más segura.

Como todavía no todos los dispositivos son compatibles con WPA3, muchos routers ofrecen un modo de transición WPA2/WPA3. Esto permite que los dispositivos más recientes utilicen WPA3, mientras que los antiguos recurren a WPA2 en la misma red. Facilita la migración, aunque una red solo es tan segura como el modo más débil que se utilice. El modo WPA3 puro es la mejor opción cuando todos los dispositivos sean compatibles.

La regla práctica es la siguiente: utilice WPA3 si todos los dispositivos son compatibles; de lo contrario, utilice WPA2 con AES o un modo de transición WPA2/WPA3. No utilice nunca WEP ni WPA con TKIP: ambos son obsoletos e inseguros. Evite los modos mixtos que permiten TKIP, ya que reducen la seguridad de toda la red al cifrado más débil. Esta sencilla escala mantiene protegida su red inalámbrica.

En el examen, cada estándar suele asociarse con su cifrado. WEP utiliza RC4, que es débil. WPA introdujo TKIP, una mejora respecto a WEP, pero actualmente se considera inseguro. WPA2 y WPA3 utilizan AES (con CCMP y, en WPA3, GCMP), que es sólido. El atajo para recordarlo es el siguiente: si ve TKIP, es antiguo y débil; si ve AES, es moderno y sólido. Elija siempre un cifrado basado en AES.

El cifrado inalámbrico es la primera línea de defensa de su red. La evolución de WEP a WPA, WPA2 y WPA3 cuenta la historia de cómo se fueron corrigiendo sus deficiencias. WEP y el WPA original están rotos; WPA2-AES es sólido; WPA3 con SAE es la mejor opción. Tanto para el examen como para la vida real, debe saber qué cifrados utiliza cada estándar y elegir siempre el más sólido que admitan sus dispositivos.

Compruebe sus conocimientos sobre cifrado.

El cifrado Wi-Fi ha evolucionado a través de WEP, WPA, WPA2 y WPA3. WEP (RC4) está roto; WPA con TKIP fue una solución provisional y ahora también es débil. WPA2 utiliza AES/CCMP, que es sólido, y constituye el mínimo aceptable, pero su modo personal permite descifrar contraseñas sin conexión (KRACK). WPA3 incorpora SAE para resistir los intentos de adivinación sin conexión, además de secreto perfecto hacia adelante, lo que lo convierte en la mejor opción. Utilice WPA3 cuando sea posible, WPA2-AES en caso contrario y nunca WEP ni TKIP.