it-swarm-es.com

Impacto en la seguridad del uso de una contraseña pública para WiFi gratis

Tenemos una red WiFi que queremos que sea pública y gratuita.

¿Tener una contraseña conocida por todos proporciona alguna ventaja de seguridad adicional a las personas que usan esta red en lugar de simplemente dejarla sin contraseña? es decir, ¿puede un hacker hacer más daño en una red WiFi que no tiene contraseña que en una red que sí tiene una contraseña que el hacker conoce?

39
epeleg

Después de alguna discusión con @epeleg en el chat , creo que puedo tener una respuesta más completa y (con suerte) clara.


TL; DR: La protección brindada a una red Wi-Fi mediante el cifrado con un PSK es directamente proporcional a la complejidad del PSK y al esfuerzo realizado para salvaguardar ese PSK. Para cualquier entorno, esto requiere lograr un cuidadoso equilibrio entre seguridad y usabilidad.

  • Seguridad más baja/Facilidad de uso más fácil: Sin cifrado.

  • Máxima seguridad/Máxima usabilidad: WPA2-AES, PSK de alta complejidad, filtrado de direcciones MAC, sistema inalámbrico de detección/prevención de intrusiones. Requiere el registro del usuario y del dispositivo para acceder a PSK y agregar al filtro MAC.

Si tiene la intención de proporcionar WiFi gratuito como un servicio a la comunidad, el equilibrio probablemente esté en algún punto intermedio entre estos, y probablemente se inclina hacia la solución anterior. Sin embargo, incluso la última de las opciones anteriores es muy factible si está dispuesto a esforzarse.

Aún así, proteger una red de "WiFi gratis" de cualquier manera no previene los ataques directamente, sino que los hace más difíciles.


Cifrar el tráfico de red en la conexión WiFi siempre es más seguro que enviar el tráfico de forma clara. Si bien no es imposible, es muy difícil y lento para un extraño traducir el tráfico cifrado con WPA2 a texto sin cifrar. Sin embargo, la mayoría de las redes SOHO encriptadas y "WiFi gratis" deben confiar en un código de acceso o clave precompartida (PSK) para proteger el mecanismo de encriptación.

La cantidad de protección ofrecida por la implementación de una contraseña en cualquier sistema siempre variará en proporción directa a la complejidad de la contraseña y al esfuerzo realizado para proteger esa contraseña. Las redes inalámbricas no son una excepción.

Para tratar de expresar simplemente cómo se relaciona esto con su situación de "WiFi gratuito", le daré algunos escenarios de configuración posibles y los beneficios/inconvenientes de cada uno:

  • Escenario: su red queda completamente insegura. Cualquier persona dentro del alcance del AP puede simplemente subir y disfrutar de la conexión WiFi gratuita.

    • Beneficio: es el más fácil de usar para cualquier persona y prácticamente no requiere gastos administrativos.

    • Inconvenientes: esta es la red más vulnerable de todas. Todo el tráfico que de otro modo no utiliza un protocolo de cifrado (como HTTPS) se enviará de forma transparente. Esta red es fácil de rastrear, falsificar y manipular en beneficio de atacantes incluso inexpertos.

  • Escenario: su red está protegida con un PSK fuerte, utilizando WPA2 para la autenticación y el cifrado. Ha publicado el SSID y el PSK en una ubicación visible públicamente.

    • Beneficios: Los datos en su red inalámbrica están encriptados, y nadie puede leer los datos o conectarse a su red inalámbrica sin el PSK. Esta red también es bastante fácil de unir para el usuario final y requiere poca o ninguna sobrecarga administrativa.

    • Inconvenientes: Tener el PSK accesible públicamente de esta manera hace que sea trivial para cualquier persona dentro del alcance de la red simplemente agarrarlo y subirse. Los atacantes probablemente no serán disuadidos por este método.

  • Escenario: su red está protegida con un PSK fuerte, utilizando WPA2 para la autenticación y el cifrado. Ha publicado un anuncio del servicio WiFi gratuito en una ubicación visible públicamente, que incluye información de contacto para que los usuarios potenciales puedan obtener la contraseña.

    • Beneficios: Los datos en su red inalámbrica están encriptados, y nadie puede leer los datos o conectarse a su red inalámbrica sin el PSK. Con este método, tiene contacto personal en un grado u otro con cada usuario; esto ayuda a desencantarlos de alguna manera de su sentido de anonimato en su red. Esto puede ayudar a disuadir a algunos posibles atacantes que prefieren pasar a una red menos segura, que tomarse la molestia de contactar a alguien para su PSK.

    • Inconvenientes: Esto requiere que alguien esté disponible dentro de un período de tiempo razonable (incluya el período de tiempo en su anuncio) ya sea por teléfono o correo electrónico para dar a los usuarios credenciales de inicio de sesión. Los usuarios también pueden eludir esta medida simplemente pasando el PSK peer-to-peer.

  • Escenario: su red está protegida con un PSK fuerte, utilizando WPA2 para autenticación y cifrado. Ha publicado un anuncio del servicio WiFi gratuito en un lugar visible públicamente, que incluye información de contacto para que los usuarios potenciales puedan solicitar acceso. También ha implementado un proceso de registro de usuarios y dispositivos que incluye una Política de uso aceptable, información de contacto para usuarios registrados y direcciones MAC para todos los dispositivos. También ha implementado el filtrado de direcciones MAC en el AP y los servicios de monitoreo/registro en la red.

    • Beneficios: Los datos en su red inalámbrica están encriptados, y nadie puede leer los datos en su red inalámbrica sin el PSK. Nadie puede conectarse a la red inalámbrica sin PSK y una dirección MAC registrada. Con este método, puede ver si/cuándo su red está siendo utilizada de manera inapropiada y por quién. Ahora también tiene un acuerdo establecido que informa a sus usuarios que el uso inapropiado no será tolerado y que puede absolverlo de alguna responsabilidad legal si se produce dicho uso. * Los posibles atacantes preferirían encontrar una víctima más fácil que pasar por un minucioso proceso, especialmente cuando leen la cláusula de la AUP que menciona que el monitoreo está en uso. Los usuarios no podrán evadir fácilmente el registro del dispositivo simplemente pasando el PSK. También puede revocar el acceso de un usuario si es necesario, anulando el registro de sus direcciones MAC y/o cambiando (y distribuyendo a través de la información de contacto del usuario registrado) una nueva PSK.

    • Inconvenientes: de todos estos escenarios, esto requiere el mayor trabajo administrativo. Esto requerirá que alguien esté disponible en un plazo razonable para realizar el proceso completo de registro de usuarios: recopilar información personal, recopilar información del dispositivo (ayudar a los usuarios que no saben cómo, y probablemente no lo harán), archivar la documentación y registrarse Nuevos dispositivos con la red. Para ser completamente efectivo, también requerirá que los registros se verifiquen regularmente para detectar actividades sospechosas y/o tener algún tipo de IDS/IPS. Los atacantes que obtienen el PSK podrán falsificar fácilmente las direcciones MAC de otros dispositivos registrados para evitar el filtro del dispositivo o hacerse pasar por el usuario de ese dispositivo en la red.

En todos los escenarios, hay algunas cosas que deben tenerse en cuenta:

  • Al proporcionar WiFi gratuito incondicional, existe ¡siempre la posibilidad de que esté permitiendo que un usuario malintencionado ingrese a su red, independientemente del proceso de registro o distribución PSK que haya implementado.

  • Para todos los sistemas WiFi con seguridad PSK actualmente existentes (WEP, WPA, WPA2) existen vectores de ataque conocidos que permiten que un usuario autenticado detecte el tráfico de otros usuarios en la red como si estuviera libre. (Siempre y cuando, por supuesto, el tráfico no esté encriptado por otros medios como HTTPS).

  • Asegúrese de que las interfaces de administración de todos sus equipos de red estén protegidas por contraseñas seguras y no predeterminadas que no sean similares a las PSK que distribuya.

  • Dependiendo de su jurisdicción local, puede ser responsable de las acciones de aquellos que usan su red WiFi. *

  • Su contrato con su ISP puede no permitir el intercambio promiscuo de su conexión a Internet.

Por último, para abordar su consulta final:

¿Puede un hacker hacer más daño en una red wifi que no tiene contraseña que en una red que tiene una contraseña que el hacker conoce?

Cuando se trata de redes WiFi gratuitas incondicionalmente, no es tanto una cuestión de ¡cuánto daño que el atacante puede hacer como lo es ¡qué fácil puede hacerlo . Espero haber abordado claramente lo último, arriba.

* ¡No soy abogado, y esto no es un consejo legal

35
Iszi

Si va a tener contacto regular con todos los usuarios potenciales de su red WiFi, tener una contraseña no es una mala idea. No se trata tanto de la cantidad de daño que un hacker puede hacer a la red desprotegida frente a la red protegida en este caso, sino a la facilidad con la que puede hacerlo.

Aunque cualquiera puede obtener la contraseña a través de cualquier mecanismo libre que configure, todavía actúa como otra barrera y disuasivo para los ataques automáticos. Al aplicar también el cifrado WPA2, también significa que el tráfico de sus clientes no será fácilmente detectable incluso por aquellos que tienen la clave. (Existen vectores de ataque conocidos para esto, pero es mucho más fácil detectar tráfico en el claro).

Como nota al margen, asegúrese de que la interfaz de administración de su enrutador WiFi también esté protegida por una contraseña segura que sea diferente de la que está entregando. Y, si es posible, intente segmentar su entorno para que cualquier sistema con información valiosa se separe de la red que aloja WiFi gratuito.

10
Iszi

No estoy de acuerdo con Iszi.

Cada punto solo es válido en el contexto en el que existe una separación entre aquellos a quienes se les permite usar la red y aquellos a quienes no se les permite hacerlo. En ausencia de ese predicado, Iszi no proporciona justificación para usar una contraseña.

Si quieres proporcionar WiFi gratis, genial, pero piensa en lo peor que puede pasar.

  • ¿Su contrato con su proveedor original permite este tipo de operaciones?
  • ¿Cómo te proteges de las acciones de los usuarios de Wifi? publicar comentarios difamatorios, compartir P2P ilegal, etc.

Tenga en cuenta que estos problemas existen independientemente de si restringe el acceso a un pequeño grupo de personas identificadas utilizando una contraseña compartida, o si proporciona acceso abierto, por lo que no hay razón para usar una contraseña.

5
symcbean

En dd-wrt, hay una opción para evitar que los nodos inalámbricos se comuniquen entre sí. El tráfico solo puede pasar del TabletPC al enrutador e Internet. Por lo tanto, ni siquiera dos nodos inalámbricos autorizados pueden compartir archivos directamente. Esto hace que la WLAN sea más "conmutador" que "concentrador". No tengo idea de si este aislamiento de WLAN está sujeto a inundaciones para convertir el conmutador en un HUB al desbordar las tablas ARP u otros métodos para derrotar el aislamiento de Ethernet que proporciona un conmutador.

Otro póster en este sitio para otra pregunta decía que WPA2-PSK con AES puede agregar aleatorización, de modo que aunque todos los usuarios usen el mismo PSK, no debería ser posible desencriptar el tráfico de otro. Me gustaría obtener confirmación porque http://wiki.wireshark.org/HowToDecrypt802.11 indica claramente que WPA2-PSK se detecta fácilmente cuando el capturador de paquetes conoce el PSK.

La configuración de dd-wrt con punto de acceso y radio le da a cada usuario su propia frase de contraseña en la LAN.

2
rjt