WPA2 con una contraseña segura es seguro siempre que deshabilite WPS. Encontrará este consejo en las guías para proteger su Wi-Fi en toda la web. Wi-Fi Protected Setup fue una buena idea, pero usarlo es un error.

Su enrutador probablemente sea compatible con WPS y es probable que esté habilitado de forma predeterminada. Al igual que UPnP, esta es una característica insegura que hace que su red inalámbrica sea más vulnerable a los ataques.

¿Qué es Wi-Fi Protected Setup?

La mayoría de los usuarios domésticos deberían usar WPA2-Personal, también conocido como WPA2-PSK. El “PSK” significa “clave precompartida”. Configura una frase de contraseña inalámbrica en el enrutador y luego proporciona esa misma frase de contraseña en cada dispositivo que conecte a su red WI-Fi. Esto esencialmente le da una contraseña que protege su red Wi-FI del acceso no autorizado. El enrutador deriva una clave de cifrado de su frase de contraseña, que utiliza para cifrar el tráfico de su red inalámbrica para garantizar que las personas sin la clave no puedan espiarla.

Esto puede ser un poco inconveniente, ya que debe ingresar su frase de contraseña en cada nuevo dispositivo que conecte. Wi-FI Protected Setup (WPS), se creó para resolver este problema. Cuando se conecte a un enrutador con WPS habilitado, verá un mensaje que dice que puede usar una forma más fácil de conectarse en lugar de ingresar su frase de contraseña de Wi-Fi.

Por qué la configuración protegida de Wi-Fi es insegura

Hay varias formas diferentes de implementar la configuración protegida por Wi-Fi:

ANCLAR: El enrutador tiene un PIN de ocho dígitos que debe ingresar en sus dispositivos para conectarse. En lugar de verificar el PIN completo de ocho dígitos a la vez, el enrutador verifica los primeros cuatro dígitos por separado de los últimos cuatro dígitos. Esto hace que los PIN de WPS sean muy fáciles de “fuerza bruta” al adivinar diferentes combinaciones. Solo hay 11,000 códigos posibles de cuatro dígitos, y una vez que el software de fuerza bruta obtiene los primeros cuatro dígitos correctos, el atacante puede pasar al resto de los dígitos. Muchos enrutadores de consumo no se alojen después de que se proporciona un PIN WPS incorrecto, lo que permite a los atacantes adivinar una y otra vez. Un PIN WPS puede ser forzado brutamente en aproximadamente un día. [Source] Cualquiera puede usar un software llamado “Reaver” para descifrar un PIN WPS.

Pulsador-Botón-Conectar: En lugar de ingresar un PIN o una frase de contraseña, simplemente puede presionar un botón físico en el enrutador después de intentar conectarse. (El botón también puede ser un botón de software en una pantalla de configuración). Esto es más seguro, ya que los dispositivos solo pueden conectarse con este método durante unos minutos después de presionar el botón o después de que se conecte un solo dispositivo. No estará activo y disponible para explotar todo el tiempo, como lo es un PIN de WPS. La conexión con un botón parece en gran medida segura, con la única vulnerabilidad de que cualquier persona con acceso físico al enrutador podría presionar el botón y conectarse, incluso si no conocía la frase de contraseña de Wi-Fi.

El PIN es obligatorio

Si bien la conexión con un botón es posiblemente segura, el método de autenticación de PIN es el método de referencia obligatorio que todos los dispositivos WPS certificados deben admitir. Así es: la especificación WPS exige que los dispositivos implementen el método de autenticación más inseguro.

Los fabricantes de enrutadores no pueden solucionar este problema de seguridad porque la especificación WPS requiere el método inseguro de comprobación de PIN. Cualquier dispositivo que implemente Wi-FI Protected Setup de conformidad con la especificación será vulnerable. La especificación en sí no es buena.

¿Se puede desactivar WPS?

Hay varios tipos diferentes de enrutadores por ahí.

• Algunos routers no le permiten deshabilitar WPS, no proporcionando ninguna opción en sus interfaces de configuración para hacerlo.
• Algunos enrutadores ofrecen una opción para deshabilitar WPS, pero esta opción no hace nada y WPS todavía está habilitado sin su conocimiento. En 2012, se encontró esta falla en “todos los puntos de acceso inalámbricos linksys y Cisco Valet… probado”. [Source]
• Algunos enrutadores le permitirán deshabilitar o habilitar WPS, sin ofrecer opciones de métodos de autenticación.
• Algunos enrutadores le permitirán deshabilitar la autenticación WPS basada en PIN mientras sigue utilizando la autenticación con botón pulsador.
• Algunos routers no son compatibles con WPS en absoluto. Estos son probablemente los más seguros.

Cómo deshabilitar WPS

Si su enrutador le permite deshabilitar WPS, es probable que encuentre esta opción en Configuración protegida de Wi-FI o WPS en su interfaz de configuración basada en la web.

Al menos debe deshabilitar la opción de autenticación basada en PIN. En muchos dispositivos, solo podrá elegir si desea habilitar o deshabilitar WPS. Elija deshabilitar WPS si esa es la única opción que puede hacer.

Estaríamos un poco preocupados por dejar WPS habilitado, incluso si la opción PIN parece estar deshabilitada. Dado el terrible historial de los fabricantes de enrutadores cuando se trata de WPS y otras características inseguras como UPnP, ¿no es posible que algunas implementaciones de WPS continúen haciendo que la autenticación basada en PIN esté disponible incluso cuando parecía estar deshabilitada?

Claro, teóricamente podría estar seguro con WPS habilitado siempre que se deshabilitara la autenticación basada en PIN, pero ¿por qué correr el riesgo? Todo lo que WPS realmente hace es permitirle conectarse a Wi-Fi más fácilmente. Si crea una frase de contraseña que pueda recordar fácilmente, debería poder conectarse igual de rápido. Y esto es solo un problema la primera vez: una vez que haya conectado un dispositivo una vez, no debería tener que hacerlo nuevamente. WPS es terriblemente arriesgado para una característica que ofrece un beneficio tan pequeño.

Crédito de la imagen: Jeff Keyzer en Flickr