Ataques inalámbricos: Evil Twin, deautenticación y AP no autorizado

Las redes inalámbricas son especialmente vulnerables porque la señal no puede limitarse a una frontera física. Los atacantes pueden operar desde un automóvil en un aparcamiento, una oficina cercana o incluso utilizar antenas direccionales de largo alcance desde cientos de metros de distancia. Las principales categorías de ataques inalámbricos que se tratan en Security+ son los ataques de evil twin, los ataques de desautenticación y los puntos de acceso no autorizados. Cada una explota vulnerabilidades diferentes en la forma en que los clientes Wi-Fi detectan, se conectan a los puntos de acceso y confían en ellos.

Un punto de acceso no autorizado es un AP inalámbrico no autorizado conectado a una red corporativa, ya sea instalado por un atacante que obtuvo acceso físico o configurado por un empleado bien intencionado por comodidad. Un AP no autorizado puede eludir los controles de seguridad cableados de la organización al proporcionar a los atacantes o al malware un punto de entrada inalámbrico a la red interna. Los sistemas inalámbricos de detección de intrusiones (WIDS) y los estudios periódicos de RF detectan AP no autorizados correlacionando las direcciones MAC observadas por radio con el inventario de AP autorizados.

Un evil twin es un AP no autorizado que suplanta a un punto de acceso legítimo emitiendo el mismo SSID (nombre de red). Los clientes configurados para conectarse automáticamente a SSID conocidos pueden conectarse al evil twin en lugar de al AP legítimo, especialmente si la señal del atacante es más potente. Una vez conectado, el atacante puede realizar ataques MitM, capturar credenciales mediante HTTP e interceptar tráfico no cifrado. Los ataques de evil twin son especialmente eficaces contra redes Wi-Fi públicas, donde los clientes no pueden distinguir el AP real del falso.

El estándar 802.11 incluye tramas de gestión para controlar las conexiones, incluidas las tramas de desautenticación que indican a un cliente que se ha desconectado del AP. Sin 802.11w (Protected Management Frames), estas tramas no están autenticadas y cualquiera puede falsificarlas. Un ataque de desautenticación envía tramas Deauth falsificadas a un cliente, obligándolo a desconectarse y volver a conectarse. Los atacantes utilizan ataques Deauth para obligar a los clientes a revelar su handshake de 4 vías (para descifrar WPA2) o para redirigirlos a un AP evil twin con una señal más potente.

Muchas redes Wi-Fi públicas utilizan portales cautivos: páginas web que requieren aceptar unas condiciones o introducir credenciales antes de conceder acceso a Internet. Los atacantes pueden desplegar un AP no autorizado que redirija a los clientes a un portal cautivo falso para recopilar credenciales o instalar malware. Los portales cautivos suelen utilizar HTTP (no HTTPS), lo que los hace susceptibles a ataques MitM. OWE (Opportunistic Wireless Encryption) de WPA3 aborda las redes abiertas al proporcionar cifrado sin autenticación, pero los portales cautivos siguen siendo comunes y peligrosos. Los usuarios deben utilizar VPN en cualquier red con portal cautivo.

Las empresas detectan ataques de evil twin mediante sistemas inalámbricos de detección de intrusiones (WIDS) que supervisan continuamente el entorno de RF. Los sensores WIDS identifican AP que emiten el SSID corporativo con un BSSID que no figura en la lista aprobada, o detectan clientes que se conectan a AP no autorizados. La correlación con los datos de la red cableada ayuda a confirmar si un AP sospechoso está realmente conectado a la red interna (AP no autorizado) o si es completamente externo (evil twin). Los controladores WLAN empresariales (Cisco, Aruba, Juniper) suelen contar con funciones WIDS integradas que automatizan esta detección.

La interferencia intencionada de RF consiste en transmitir deliberadamente señales de radiofrecuencia en el mismo canal que una red objetivo para provocar interferencias y dejarla inutilizable; en la práctica, es un ataque DoS inalámbrico. La interferencia intencionada puede ser ilegal en muchas jurisdicciones. Es más común la interferencia no intencionada de hornos microondas, monitores para bebés y redes cercanas que utilizan el mismo canal, y puede provocar síntomas similares. Las organizaciones que sufran interferencias persistentes deben realizar un análisis del espectro de RF para distinguir entre interferencia intencionada e interferencia no intencionada, y cambiar a canales libres o a las bandas de 5 GHz o 6 GHz, cuando estén disponibles.

WPA2-Enterprise con 802.1X evita la captura de credenciales mediante un evil twin porque los clientes se autentican en un servidor RADIUS mediante EAP (Extensible Authentication Protocol). El cliente debe validar el certificado TLS del servidor RADIUS antes de enviar las credenciales. Si los clientes no están configurados para validar el certificado del servidor y fijar la CA esperada, un evil twin puede ejecutar un servidor RADIUS fraudulento y capturar las credenciales EAP. La validación de certificados debe imponerse mediante perfiles de MDM en los dispositivos corporativos para evitar esta degradación de seguridad.

El estándar 802.11 define dos tipos distintos de tramas de administración que se utilizan para finalizar conexiones. Una trama de desautenticación elimina el estado de autenticación, mientras que una trama de desasociación elimina al cliente de la tabla de asociaciones del AP, pero conserva la autenticación. Ambas pueden falsificarse sin 802.11w. Los candidatos a Security+ deben comprender que ambos tipos de trama son vectores de ataque válidos para forzar la reconexión. La enmienda 802.11w (incorporada en WPA2 como opción y obligatoria en WPA3) añade un código de integridad de mensajes (MIC) a estas tramas, lo que impide su falsificación.

Los controles técnicos de seguridad inalámbrica deben complementarse con seguridad física. Un AP instalado en una zona accesible puede restablecerse a los valores predeterminados de fábrica, eludiendo todas las configuraciones de seguridad. Entre las prácticas recomendadas se incluyen instalar los AP en posiciones protegidas o elevadas, utilizar tornillos con evidencia de manipulación o jaulas de seguridad para AP, desactivar mediante software el botón de restablecimiento cuando sea posible e incluir los AP en las auditorías del inventario de activos. Los switches PoE que alimentan los AP también deben estar en armarios de cableado cerrados con llave, para impedir que un atacante simplemente desconecte un AP legítimo y conecte su propio dispositivo.

Para defenderse de toda la variedad de ataques inalámbricos: habilite WPA3 o WPA2-Enterprise para impedir el cracking de PSK; imponga PMF (802.11w) para bloquear los ataques de desautenticación; implemente un WIDS para detectar evil twins y AP fraudulentos; valide los certificados RADIUS para evitar la captura de credenciales RADIUS mediante evil twins; deshabilite WPS para eliminar los ataques de fuerza bruta contra el PIN; y segmente las redes inalámbricas por función (corporativa, invitados e IoT) mediante SSID independientes asignados a VLAN diferentes. Combine estos controles para establecer una estrategia de defensa en profundidad para la red inalámbrica.

En esta lección ha aprendido que un AP fraudulento es un punto de acceso no autorizado en la red corporativa que elude los controles de seguridad cableados; un evil twin suplanta un SSID legítimo para interceptar el tráfico de los clientes mediante un ataque MitM; y los ataques de desautenticación falsifican tramas de administración 802.11 para desconectar a los clientes, una amenaza mitigada por las tramas de administración protegidas (802.11w) que WPA3 exige. A continuación, exploraremos las redes inalámbricas empresariales con 802.1X y RADIUS.