Reforzar la seguridad de un router Wi-Fi

Además de elegir un cifrado sólido, puede aplicar muchos ajustes prácticos para hardening un router inalámbrico y dificultar los ataques. El hardening consiste en reducir las formas en que un atacante podría entrar en la red o hacer un uso indebido de ella. En esta lección se explican medidas concretas y relevantes para el examen que cualquier administrador debería aplicar para proteger un router Wi-Fi, desde las contraseñas hasta el firmware.

Comience por la base: active WPA3 o, si WPA3 no está disponible, WPA2 con AES, y no utilice nunca WEP ni WPA-TKIP. Después, establezca una frase de contraseña sólida y única, larga y aleatoria, que no sea una palabra del diccionario ni la predeterminada. Una PSK débil puede descifrarse sin conexión incluso con WPA2, por lo que la calidad de la frase de contraseña determina directamente la seguridad real de la red.

Los routers se comercializan con nombres de usuario y contraseñas de administrador predeterminados y conocidos, como admin/admin, publicados en Internet para cada modelo. Un atacante que acceda a la página de administración puede tomar el control del router. Cambie inmediatamente las credenciales de administrador predeterminadas por una contraseña sólida y única. Esto protege la propia configuración del router, que es independiente de la frase de contraseña Wi-Fi que utilizan los usuarios para conectarse.

El firmware del router contiene el software que hace funcionar el dispositivo y recibe correcciones de seguridad con el tiempo. Un firmware obsoleto puede contener vulnerabilidades conocidas y explotables. Actualice periódicamente el firmware para corregir estos problemas y active las actualizaciones automáticas si están disponibles. Un router sin parches es un objetivo fácil, aunque todo lo demás esté bien configurado, por lo que es esencial mantener el firmware actualizado.

WPS (Wi-Fi Protected Setup) permite a los usuarios conectarse pulsando un botón o introduciendo un PIN corto. Es práctico, pero el método del PIN es conocido por su inseguridad: los atacantes pueden aplicar fuerza bruta al PIN de 8 dígitos para recuperar la contraseña Wi-Fi. La práctica recomendada es deshabilitar WPS, especialmente la función del PIN, para eliminar una vía de ataque sencilla que evita la frase de contraseña sólida.

Configure una red de invitados independiente para las visitas. Proporciona acceso a Internet y, al mismo tiempo, aísla a los invitados de los dispositivos de la red principal, de modo que no puedan acceder a sus ordenadores, impresoras ni archivos compartidos. Este aislamiento también contiene cualquier dispositivo de un invitado que se haya visto comprometido. Una red de invitados con su propia contraseña es una forma sencilla y eficaz de limitar la exposición causada por usuarios que no son de confianza.

Tenga en cuenta su SSID (nombre de la red). Evite nombres que revelen datos personales o el modelo del router, ya que podrían ayudar a un atacante. A veces se sugiere ocultar el SSID (no difundirlo), pero esto ofrece muy poca seguridad real: el nombre sigue siendo detectable y puede complicar las conexiones. El cifrado sólido es mucho más importante que ocultar el nombre.

El filtrado MAC permite conectarse únicamente a los dispositivos cuyas direcciones de hardware aparecen en una lista. Parece seguro, pero ofrece una protección débil: un atacante puede falsificar fácilmente las direcciones MAC después de capturar una válida. Además, puede resultar difícil de gestionar. Considere el filtrado MAC, como mucho, un obstáculo menor; nunca debe sustituir al cifrado y la autenticación sólidos.

Reúna todo en una lista de comprobación. El fragmento siguiente resume las medidas más importantes. Aplicadas conjuntamente, reducen considerablemente la superficie de ataque de una red inalámbrica. Las mejoras principales son utilizar un cifrado sólido con una frase de contraseña sólida, cambiar las credenciales de administrador, actualizar el firmware y deshabilitar WPS; las demás medidas añaden una defensa en profundidad útil.

Muchos routers ofrecen administración remota, que permite acceder a la página de administración desde Internet. Es práctico, pero expone el inicio de sesión del router a atacantes de todo el mundo que buscan este tipo de acceso. A menos que realmente la necesite, deshabilite la administración remota para que la interfaz de gestión solo sea accesible desde el interior de su propia red. Desactive también otros servicios que no utilice, como UPnP si no es necesario, para reducir aún más la superficie de ataque.

El hardening convierte un router predeterminado y vulnerable en un objetivo mucho más difícil. Utilice WPA3 o WPA2-AES con una frase de contraseña sólida, cambie las credenciales de administrador predeterminadas, actualice el firmware, deshabilite WPS y añada una red de invitados. Tenga en cuenta que el filtrado MAC y los SSID ocultos solo ofrecen una ayuda menor. En conjunto, estas medidas constituyen la forma práctica y comprobada en exámenes de proteger cualquier red inalámbrica.

Compruebe sus conocimientos sobre hardening.

Proteja un router Wi-Fi mediante varias capas de seguridad: active WPA3 o WPA2-AES con una frase de contraseña sólida y única; cambie las credenciales de administrador predeterminadas; actualice periódicamente el firmware; deshabilite WPS (el PIN puede atacarse mediante fuerza bruta); y añada una red de invitados aislada. Tenga en cuenta que el filtrado MAC (que puede falsificarse) y ocultar el SSID solo aportan una seguridad menor. Las mejoras principales son un cifrado sólido, una frase de contraseña sólida, un firmware actualizado y WPS deshabilitado.