WPA con NDS

darkbut escribió:Me puedes decir el que es mentira? El que se pueda romper una WPA, o el que no se puede romper una red con protecion WPA con radius? Para tu informacion una clave WPA-PSK funciona tambien con una clave, y como tu bien dices, se pueden romper ese tipo de proteciones bajandose programas, ahora bien, para romper una clave por radius no es tan sencillo, ya que para ello necesitas un servidor de autentificacion contra el que te tienes que logear. De forma que el password no va arriba y abajo como en las otras encriptaciones.

¿Qué fumas? NO HAY MANERA ALGUNA DE "ROMPER" WPA, ni Personal ni Enterprise. Lo único que hay es estarse N años probando claves a ver cuala cae, y eso puede aplicarse TANTO con Radius (que no se que manía le tienes a Radius) como con una lista en texto plano de usuario + clave como con una PSK, siendo la única diferencia en el caso de PSK que sólo tienes una clave -- puede resultar ser más fácil (si la clave es de diccionario o de pocas letras) o imposible (si la clave tiene más de 30 letras), pero ídem para Radius o cualquier otro método de autenticación.
Si encuentras una manera de romper WPA _sin_ fuerza bruta, creo que el MIT te está buscando.

darkbut escribió:Y evidentemente que se puede romper con todo lo que he dicho, pero es lo mas seguro que se puede hacer para poder jugar con la ds por internet. Te recuerdo que si limitas las conexiones posibles en el router, no se podran conectar a el. Incluso si te pones tonto le metes una mascara de red que solo permita un usuario o dos y se acabo la tonteria, porque no puedes tener ip duplicadas y si ya estas ocupando todas las ips me diras a ver como te metes dentro.

Todas esas ideas están muy bien para frenar a la generación anterior de script kiddies, pero ninguna fue diseñada con seguridad real en mente. Si están ocupadas las IPs y yo entro, sólo hacen falta un par de frames maliciosamente generados para que sea el ANTERIOR propietario de la IP el que pierda la conexión mientras que el router piense que el nuevo dueño soy yo. A este nivel de red ya NO hay seguridad que valga -- no estamos hablando ni siquiera de "ROMPER" una máscara de red. Sencillamente, NO estaba diseñada para seguridad alguna.
La seguridad tiene que estar antes, a nivel de WPA.

darkbut escribió: Podrias reducir el radio de emision de las ondas para lo que necesitas un firmware especial, o ponerle una antena de menos db, o incluso quitarsela, pero si tus vecinos quieres, lo unico que tienes que hacer es ponerse ellos un receptor de mas potencia y santas pascuas...

Ahí tienes razón. Reducir la potencia es una molestia más que una seguridad.


Lo de los APs virtuales lo he oido más de una vez. Creo que puede hacerse con el firmware DDR-WT o no se como se llamaba, que algunos afortunados poseedores de routers/APs más caros pueden instalar, y a partir de ahí, tener 2 APs en uno, uno con WPA y el otro con WEP. Sin embargo, sigue estando el problema de cómo asegurarías el AP con WEP, porque también tendría que tener acceso a Internet.

Por no decir que evidentemente no todos los APs tienen esta posibilidad. Yo cometí el error de comprar un router ADSL + AP caro, que resulta que pierde en features cuando lo comparamos con un Linksys 10 veces más barato ejecutando el firmware anteriormente comentado.


Y para comprarme la DS y no poder jugar con Wi-Fi.... además, una de las razones porque no la compro es para castigar a Nintendo. Sigo pensando que es un error imperdonable.

Madre mía, cuánta paranoia... A mí también me jodió tener que cambiar la clave de WPA a WEP cuando me compré la DS, pero oye, considero que tempoco habrá cerca ningún cabronazo que se dedique a echar las tardes saltándose claves y desencriptando códigos de 128 bits...

Es decir, que duermes más tranquilo si consideras que no tienes por vecino a James Bond

¿Qué fumas? NO HAY MANERA ALGUNA DE "ROMPER" WPA, ni Personal ni Enterprise.

Si puedes explicar un poco mas lo de los AP's Virtuales molaria, porque tengo un Linkys con el DDR-WT y apenas se gastarlo porque hay muchisimos pero muchisimos parametros y aun no he tenido tiempo de mirarlo todo con calma.

A bueno, no se si lo puse en este hilo tambien, pero lo mejor es cambiar de pass cada semana.

Con lo de los scripts para suplantar la antiguedad en la red no te se decir, porque yo no estoy especializado en redes, sino en softawre.

Y perdona que lo pregunte, pero tenia entendido que el radius te tienes que logear contra una maquina ofreciendo un certificado. O me estoy confundiendo con otro sistema de protecion?

yo tengo la fonera con DD-WRT con la ultima version y como bien dice, tengo mi conexion principal y un AP virtual, creo que era en Conexiones -> Interface -> Virtual AP -> Crear o algo parecido, si eso, enviame un pm con tu email, me conecto al router y te lo voy explikando paso a paso

darkbut escribió:

http://mirror-wifislax.lost-away.org/videos/cowpatty.htm

lo pone bien claro: "WPA-PSK dictionary attack". Pura fuerza bruta. Además, a 40.92 passwords por segundo (según dice), vas a envejecer bastante con solo intentarlo con una de más de 10 letras.

darkbut escribió:Si puedes explicar un poco mas lo de los AP's Virtuales molaria, porque tengo un Linkys con el DDR-WT y apenas se gastarlo porque hay muchisimos pero muchisimos parametros y aun no he tenido tiempo de mirarlo todo con calma.

Yo desgraciadamente no tengo un router compatible con DDR-WT como he comentado antes, deberías mirar la página oficial del DDR-WT.

darkbut escribió:Y perdona que lo pregunte, pero tenia entendido que el radius te tienes que logear contra una maquina ofreciendo un certificado. O me estoy confundiendo con otro sistema de protecion?

Que yo sepa, un servidor Radius no es más que un glorificado archivo de texto que guarda nombres de usuario y contraseñas, y que los APs le consultan. Estoy seguro de que guarda las contraseñas de forma muy segura y blablabla. No veo por qué iba a ser mucho más seguro que una PSK suficientemente larga y aleatoria.
Bueno, está el hecho de que con WPA Empresarial si pillas la contraseña de un solo usuario sólo puedes ver el tráfico de ese usuario (y el administrador de red puede haber filtrado lo que ese usuario puede realizar) lo que supongo es algo más seguro.

uukrul escribió:Madre mía, cuánta paranoia... A mí también me jodió tener que cambiar la clave de WPA a WEP cuando me compré la DS, pero oye, considero que tempoco habrá cerca ningún cabronazo que se dedique a echar las tardes saltándose claves y desencriptando códigos de 128 bits...

Echa un ojo a alguno de los enlaces de este post y entenderás mi paranoia. Están _LOCOS_ ahí fuera. LOCOS. Los hay locos, pero lo peor son los que encima empaquetan estas herramientas para que hasta el hoygan de la esquina pueda usarlas desde su Windows XP Fondo-de-pantalla-guarro-edition.

Pero me gustaria saber exactamente que utilidad tiene tener un Virtual Ap. Porque no se cual es el concepto. Lo que tu dices en el mio no existe, no se si sera porque el de fonera mola mucho mas que mi WRT54g.

Perdon por mi error con respecto a lo de la WPA, pero continuo pensando que realizar la identificacion en un servidor y no en un router es mucho mejor idea.

Entonces cual es la proteccion en la que usas un certificado determinado para logearte?

darkbut escribió:Entonces cual es la proteccion en la que usas un certificado determinado para logearte?

Creo que te refieres a alguno de los de EAP.

Exacto, esta es la proteccion que yo me queria referir cuando hablaba de radius. Perdon por la confusión. Y ya que te veo mas entendido que yo, es mejor usar esta proteccion, o llegados a estos niveles es excesivo?

darkbut escribió:Y ya que te veo mas entendido que yo, es mejor usar esta proteccion, o llegados a estos niveles es excesivo?

No soy tampoco un experto, pero si usa llaves privadas es mucho más fácil que sea más resistente precisamente a ataques de diccionario (porque no hay diccionario que valga , las llaves son generadas al azar). Más seguro en otras partes no se, a fin de cuentas, esto solo protege la autenticación.

Lo que quiero decir es que si la llave WPA-PSK es suficientemente aleatoria, deberías obtener el mismo nivel de seguridad que con EAP.

Con respecto a lo de las claves aleatorias, poco. O te la haces tu y te metes en un cesto papelitos llenos de caracteres incluyendo los especiales, o lo mas aleatorio que he visto era algo en linux, que salio en kriptopolis, y tenia bastante buena pinta, porque todos los otros generadores siguen funciones y no son aleatorios completamente.

Con respecto a lo que decias de que la gente muestra como romper claves, yo no lo veo tan dramatico, al contrario es bueno para que los sistemas de seguridad se mejoren, sino aun seguiriamos con la Wep...