xmlns:dt=»uuid:C2F41010-65B3-11d1-A29F-00AA00C14882″ xmlns=»https://www.w3.org/TR/REC-html40″>;
;
Se piensa que la seguridad en las redes inalámbricas es muy diferente a la seguridad en las redes cableadas. No obstante, para proteger los datos que salen de sus organizaciones, sea vía microondas –que todo mundo puede interceptar– o bien sobre líneas telefónicas o cableado –que también puede ser intervenido– se requiere de los mismos controles que cualquier otra conexión.
Existen varios estándares para las comunicaciones inalámbricas, pero los principios aplicados a ellos son los mismos, así que casi todas las redes inalámbricas se basan en el estándar IEEE 802.11b, el cual provee velocidades de 11 megabites por segundo (Mbps).
El primer mecanismo de seguridad que se implementó bajo dicho estándar es el WEP (;Wired Equivalent Privacy), que permite encriptar el tráfico por las redes inalámbricas. De cualquier manera el problema radica en que las empresas deshabilitan esta opción o muchas veces nunca se enciende. Por otro lado, WEP no es totalmente seguro.
WEP se basa en una contraseña que encripta los paquetes que se envían de una estación móvil (cualquier dispositivo con tarjeta inalámbrica) hacia un access point (un dispositivo que funciona como base para conectar múltiples dispositivos móviles), incluso también entre ellos. Un mecanismo revisa que el tráfico no sea modificado en tránsito. En el mundo real, se utiliza una misma contraseña que tiene que ser compartida en todas las estaciones móviles y en todos los access points.
La llave estándar es la de 40 bits, pero incluso la versión de 128 bits es vulnerable a los ataques de crackers que pueden analizar el tráfico, enviar mensajes por las redes, apoderarse de access points y reconfigurarlos, o muchas cosas más que pueden realizar con software disponible en Internet.
Por el momento, existe una solución temporal llamada Temporal Key Integrity Protocol (TKIP), la cual ayuda al WEP sin tener que hacer cambios radicales. TKIP usa un gran número de contraseñas iniciales y dinámicamente genera llaves de encriptación cada 10,000 paquetes. Un mecanismo ayuda a determinar si un usuario ha modificado la integridad de los paquetes.
Aún así, el problema radica en la manera en que las redes inalámbricas funcionan, aún con el TKIP no puede llegar a ser muy seguro dado a que si alguien viola el TKIP, no sólo violan la confidencialidad, sino también el control de acceso y la autenticación. Este no es un buen diseño, cada mecanismo de seguridad debería de ser independiente.
Existe también el desarrollo del estándar 802.1x, cuya principal preocupación se encuentra en la seguridad. Por medio de este protocolo, se autenticará a los usuarios a través de un sistema propio. No obstante, al día de hoy todavía se encuentran vulnerabilidades en este estándar, el cual se sigue desarrollando.
Según un documento llamado Un análisis inicial del Estándar IEEE 802.1x realizado por el profesor William Arbaugh y su asistente, quienes pertenecen al Instituto Nacional de Estándares, presentan dos escenarios donde se nulifican las ventajas de este nuevo estándar y deja abiertas las redes inalámbricas para los ataques.
Principalmente son los hoy conocidos hot spots los más vulnerables a el ataque llamado session hijacking dado a que estos lugares no implementan los protocolos como el WEP.
Los dos ataques principales que se ven dentro de esta tecnología son el session hijacking y el man-in-the-middle (hombre en medio), los cuales son explotados en varias versiones de este estándar.
El session hijacking se completa cuando un hacker espera a que alguien termine con el proceso de autenticación para enviar un mensaje al cliente haciéndose pasar por el access point a donde se estaba autenticando. El cliente piensa que se ha desconectado, pero el access point supone que el cliente sigue conectado. De esta manera el hacker se puede apropiar del acceso dado a que la comunicación sigue abierta hasta por 60 minutos.
La segunda forma de ataque es llamado man-in-the-middle;
En un futuro, los el IEEE intenta adoptar el AES (Advanced Encryption Standard) que es el que tiene la última tecnología, pero requiere de aceleración del hardware usando un co-procesador para poder realizar las operaciones de encripción y desencripción.
Este estándar se prevé para mediados del 2003.
Si bien entonces es recomendable considerar de que si se usan las redes inalámbricas para poder intercambiar información confidencial en las empresas, se debe estar consciente de que todavía no contamos con una buena seguridad en México ni en el mundo accesible y de bajo costo.
Esto no significa que las empresas deben de detener cualquier implementación de redes inalámbricas, sino que lo recomendable es que inviertan en controles de seguridad de la misma manera en que se invierte en las redes cableadas.
La mejor solución por parte de los desarrolladores de estándares es que modifiquen y desarrollen un mejor estándar, pero la realidad es que estaremos viviendo con redes inalámbricas inseguras por un bien tiempo.
