Una grave vulnerabilidad en el protocolo WPA2 pone en riesgo la seguridad de las redes Wi-Fi

Archivado
1, 2
Actualización: La web oficial donde se explican los detalles de la vulnerabilidad ya ha sido activada con la respectiva prueba de concepto. Según se explica, los atacantes que exploten la vulnerabilidad de WPA2 pueden espiar las comunicaciones, pero no hacer fechorías tal vez más alarmantes para el usuario común como robar la clave de la red Wi-Fi.

Los investigadores señalan que el ataque es "especialmente catastrófico" contra las versiones 2.4 y posteriores del cliente Wi-Fi wpa_supplicant, disponible en Linux y Android. OpenBSD ya ha sido parcheado junto a wpa_supplicant; el problema ahora será la distribución de la solución entre los dispositivos afectados.

Los propietarios de un router afectado deberían desactivar la funcionalidad de cliente y el 802.11r (roaming rápido) a la espera de que se pueda publicar algún tipo de solución parcial. Asimismo, cabe esperar que los fabricantes de ordenadores y dispositivos móviles lancen sus propias actualizaciones.

Algunas implementaciones de WPA2 son más vulnerables que otras al hacer más simple el descifrado de los paquetes durante el ataque. Afortunadamente es posible parchear los clientes afectados de forma retrocompatible. Una vez más, lo difícil será que todos los dispositivos vulnerables sean parcheados.



Noticia original: El protocolo WPA2, utilizado por millones de usuarios en todo el mundo para proteger sus conexiones Wi-Fi, ya no puede ser considerado seguro. Siguiendo los pasos de tecnologías previas como el estándar WEP, expertos en seguridad informática han descubierto una vulnerabilidad no especificada en el protocolo gracias a los cuales es posible espiar las comunicaciones inalámbricas registradas por ordenadores y puntos de acceso.

El hallazgo tuvo lugar hace varias semanas y será desvelado esta tarde en mayor detalle tras un periodo de cuarentena previo al anuncio oficial, necesario para informar a los organismos reguladores. El centro de emergencias informáticas de Estados Unidos ya ha publicado un boletín para avisar de que el protocolo se ha convertido en papel mojado, señalando que los fallos descubiertos permitirían "descifrar [datos], lanzar ataques de reproducción, secuestrar conexiones TCP, inyectar contenido HTTP y otros".

Más gravemente, puesto que los fallos residen en el propio protocolo "la mayoría de las implementaciones correctas del estándar estarán afectadas".

Aparentemente la vulnerabilidad está relacionada con el intercambio de "nonces", valores que deberían ser aleatorios de un solo uso, y que en este caso un atacante podría repetir o predecir. Según ArsTechnica, "cuando se envía de cierto modo, un nonce criptográfico puede ser reutilizado de forma que vulnera complementamente el cifrado".

Los investigadores han desarrollado una prueba de concepto bautizada como KRACK, de Key Reinstallation Attacks.

Si bien todavía se desconocen la mayoría de los detalles técnicos sobre esta deficiencias, las posibilidades son preocupantes. Un análisis preliminar de los datos disponibles hasta ahora hacen pensar en ataques capaces de interceptar comunicaciones o crear nodos falsos en una red con fines obviamente maliciosos.

Las grandes empresas son posiblemente las más perjudicadas por este descubrimiento. La lógica y la prudencia dictaminan que nadie realmente preocupado por la seguridad de las comunicaciones debería transmitir información delicada vía Wi-Fi, pero una cosa es lo que se deba hacer y otra lo que realmente se hace. La recomendación actual es utilizar redes VPN para añadir una capa extra de seguridad y pasarse a conexiones Ethernet, todo ello mientras se espera a que los fabricantes de hardware lancen actualizaciones de firmware que permitan reducir los efectos de la vulnerabilidad.

Fuente: ArsTechnica
Madre de dios ya no va a ver red wifi segura xd. al final toodo el mundo al cabe xd
Desgracidamente pese a realizar nuevos descubrimientos muchas empresas se quedarán con WPA2 pensando que están seguras.
No parece que vaya a servir para obtener la clave del wifi del vecino
y la WPA2-PSK? esa tampoco vale ya?
Matchet escribió:No parece que vaya a servir para obtener la clave del wifi del vecino

Linset
madre mía, esto va a ser un coladero. De momento aplicaremos filtro por mac, pero vamos, que te la pueden clonar y acceder igualmente, aunque se lo tendrán que trabajar más jajaja
Qué debe hacer el usuario de a pie?

Desactivamos el WiFi del router temporalmente?
Joder, qué desastre.
Jodol, no hay ni una sola semana en la que no aparezca una noticia escalofriante como ésta.
Estamos apañados [reves]
meterle un virus en el ordenador a todo el que se cuele en tu red wifi [poraki]
Mucho estaban tardando .... bueno, esto en teoria deberia arreglarse con una actualizacion de firmware, pero veremos hasta que punto a nivel de software es posible solucionarlo, o se requiere de cambio de hardware ... pero como sea esta ultima ... agarrate las operadoras ....
ya ningún wifi es seguro ....
Los fabricantes serios deberían sacar alguna actualización que subsane el problema o al menos dificulte mucho el acceso a las redes. La pregunta es cuánto tardarán.

Lo que, sin embargo, no le causa ninguna duda es que la casi totalidad de routers despachados por los ISPs se van a quedar como están.
Alejandro_Tomas escribió:Qué debe hacer el usuario de a pie?

Desactivamos el WiFi del router temporalmente?


De la misma noticia:

La recomendación actual es utilizar redes VPN para añadir una capa extra de seguridad y pasarse a conexiones Ethernet, todo ello mientras se espera a que los fabricantes de hardware lancen actualizaciones de firmware que permitan reducir los efectos de la vulnerabilidad

Conexiones Ethernet = Conexión mediante cable.
No creo que tengas contratado un VPN y ponerse a contratarlo o configurarlo puede llevarte tiempo.
Esperar a la actualización firmware para tu router o puntos de acceso WiFi. (Veremos si luego los dispositivos que se conectan son compatibles; ya hay algún HW que sólo es compatible con WEP).

Si los datos que circulan por tu red son muy críticos y te lo puedes permitir, deshabilitar el WiFi temporalmente.
La virgen..... este tema es muy serio, habrá que comprar PLC para casa o tendré que cablearla (bufff, que pereza :))

Saludos [sati]
Newton escribió:
Alejandro_Tomas escribió:Qué debe hacer el usuario de a pie?

Desactivamos el WiFi del router temporalmente?


De la misma noticia:

La recomendación actual es utilizar redes VPN para añadir una capa extra de seguridad y pasarse a conexiones Ethernet, todo ello mientras se espera a que los fabricantes de hardware lancen actualizaciones de firmware que permitan reducir los efectos de la vulnerabilidad

Conexiones Ethernet = Conexión mediante cable.
No creo que tengas contratado un VPN y ponerse a contratarlo o configurarlo puede llevarte tiempo.
Esperar a la actualización firmware para tu router o puntos de acceso WiFi. (Veremos si luego los dispositivos que se conectan son compatibles; ya hay algún HW que sólo es compatible con WEP).

Si los datos que circulan por tu red son muy críticos y te lo puedes permitir, deshabilitar el WiFi temporalmente.


VPN puede ser una opción, pero un poco engorrosa, sí.

El equipo "importante" lo tengo mediante ethernet, pero todo lo demás vía vía WiFi (WPA2) :S

Gracias por la ayuda!
Nada no se preocupen o acaso tu vecino es un jodio cracker.....
Yo solo activo el wifi en casa para actualizar el movil, no problem [qmparto]
Radius con certificado y problema resuelto, esto más que a empresas afectará a usuarios normales

@Newton creo que te estás liando un poco no tienes porque contratar ninguna VPN, esta hablando de usar tu propio servidor VPN

Básicamente usar tu wifi aislada de la red local y una vez conectado usar un servidor VPN propio par acceder a tu red local

Es más cómodo y transparente con Radius + certificado
Lo mejor para luchar contra esto es que pongan tarifas a 30e como en Alemania, no el abuso de líneas de cobre de cuando franco fue soldao a 80e, asi nadie o casi nadie se complicaría la vida en coger wifi de nadie........
Pues con las políticas de actualización del firmware de la inmensa mayoría de routers domésticos vamos listos.
Yo lo tengo todo por cable,solo activo el wifi cuando uso el movil o la tablet,la mayor parte del dia esta desconectado.
Tambien va siendo hora que ya cambien el wpa2 que ya tiene su tiempo.
@Alejo I: la fuente original: https://www.krackattacks.com/

Básicamente es un problema de los clientes. No del router.

  • El atacante no necesita descifrar la clave, que no se obtiene con esta clase de ataques.
  • No tengo claro que RADIUS sea vulnerable, aunque el autor de la vulnerabilidad deja claro que "Todos los dispositivos que usen WPA2 son potencialmente vulnerables".
  • El problema está en los clientes, es decir: todos los android viejunos conectados a tu wifi protegida con WPA2, en tu wii, en tu Play3, en tu Windows XP... Con este ataque pueden "esnifar" todo su tráfico.

Ejemplo de ataque: Vas a una cafetería, le pides la clave wifi al camarero, y te pones a cotillear en badoo. El atacante te hace un Hombre en el Medio, reemplazándote el sitio con SSL por uno que no lo tenga. Y listo. Ya tienes su contraseña.
Menos mal que hace tiempo que conecto la pc por cable [+risas] siempre se va al carajo la wea y luego nos vienen las chingadas XD
Que tiene que ver radius con esto?

Moki_X escribió:@Alejo I: la fuente original: https://www.krackattacks.com/

Básicamente es un problema de los clientes. No del router.

  • El atacante no necesita descifrar la clave, que no se obtiene con esta clase de ataques.
  • No tengo claro que RADIUS sea vulnerable, aunque el autor de la vulnerabilidad deja claro que "Todos los dispositivos que usen WPA2 son potencialmente vulnerables".
  • El problema está en los clientes, es decir: todos los android viejunos conectados a tu wifi protegida con WPA2, en tu wii, en tu Play3, en tu Windows XP... Con este ataque pueden "esnifar" todo su tráfico.

Ejemplo de ataque: Vas a una cafetería, le pides la clave wifi al camarero, y te pones a cotillear en badoo. El atacante te hace un Hombre en el Medio, reemplazándote el sitio con SSL por uno que no lo tenga. Y listo. Ya tienes su contraseña.
berny6969 escribió:Que tiene que ver radius con esto?


Pues al parece nada. Estoy leyendo que una red wifi protegida con un servidor radius es igual de vulnerable, ya que el objetivo del ataque no es la autenticación (que entiendo que es lo que radius protege).
berny6969 escribió:Radius con certificado y problema resuelto, esto más que a empresas afectará a usuarios normales

@Newton creo que te estás liando un poco no tienes porque contratar ninguna VPN, esta hablando de usar tu propio servidor VPN

Básicamente usar tu wifi aislada de la red local y una vez conectado usar un servidor VPN propio par acceder a tu red local

Es más cómodo y transparente con Radius + certificado

Correcto, tu propio VPN. Para un usuario básico creo que puede ser un poco engorroso poner y mantener el servidor VPN.
Moki_X escribió:
berny6969 escribió:Que tiene que ver radius con esto?


Pues al parece nada. Estoy leyendo que una red wifi protegida con un servidor radius es igual de vulnerable, ya que el objetivo del ataque no es la autenticación (que entiendo que es lo que radius protege).


Lo que estás diciendo no tiene ningún sentido radius se utiliza sobra wpa o wpa2 enterprise, no son iguales que wpa o wpa2-psk

Aún así usando radius con certificado encripta tus comunicaciones ya que me dirás tú cómo vas a hacer una maninthemiddle

Por eso hablan de usar una VPN
berny6969 escribió:
Moki_X escribió:
berny6969 escribió:Que tiene que ver radius con esto?


Pues al parece nada. Estoy leyendo que una red wifi protegida con un servidor radius es igual de vulnerable, ya que el objetivo del ataque no es la autenticación (que entiendo que es lo que radius protege).


Lo que estás diciendo no tiene ningún sentido radius se utiliza sobra wpa o wpa2 enterprise, no son iguales que wpa o wpa2-psk

Aún así usando radius con certificado encripta tus comunicaciones ya que me dirás tú cómo vas a hacer una maninthemiddle


El problema es que lo que está roto es WPA2, ya sea PSK, TKIP o entreprise.

RADIUS no encripta las comunicaciones. Radius sólo gestiona la autenticación.

Todo esto, por lo que tengo entendido, claro.
Vamos a morir cienes y cienes de veces!!!!!
Lo mas gracioso de esto va a ser en paises como Alemania, que si piratean cualquier chorrada aunque te hayan robado el wi-fi la culpa es tuya, simplemente por ser tu conexion y tal...
mjfm escribió:Lo mejor para luchar contra esto es que pongan tarifas a 30e como en Alemania, no el abuso de líneas de cobre de cuando franco fue soldao a 80e, asi nadie o casi nadie se complicaría la vida en coger wifi de nadie........


No se que compañías usas pero yo pago 40 y pico euros por 300 simétricos y una linea de móvil con llamadas ilimitadas.
mjfm escribió:Lo mejor para luchar contra esto es que pongan tarifas a 30e como en Alemania, no el abuso de líneas de cobre de cuando franco fue soldao a 80e, asi nadie o casi nadie se complicaría la vida en coger wifi de nadie........


El menor problema aquí puede ser que alguien te chupe la conexión por la cara. La cuestión es toda la información que te puedan extraer al meterse en tu red.

Otro tema es también que WPA2 lleva no sé si 10 o 15 años sin tener recambio, así que ya toca que vayan desarrollando una alternativa más segura. La gracia será que los fabricantes quieran actualizar los dispositivos más antiguos también, o se limitarán a parchear cuatro dispositivos y sacar toda una nueva generación de dispositivos, adaptadores wifi, etc "compatibles WPA3".
No estamos tranquilos un dia cuando no es la conexion pirateada es el wifi si no un virus, robo de datos y venta de ellos, suplantaciones, hackean el bluetooh, piratean los cajeros, cuando pagas con la tarjeta se quedan con los datos de ella, buscan los ticket que tu tiras de tus compras para apropiarse de múltiples datos etc, vaya H.D.L.G.P que hay por todos lados sueltos.
Me preocupa más el tema de robo de datos por estar enchufado a mi conexión (tarjetas de debito, cuentas, etc..) que el que mi vecino me robe el wifi para ver youtube.

Esto supone un fallo grave.
A ver nenas un poco de tranquilidad, está vulnerabilidad ha sido descubierta por expertos en seguridad informática y no por hacker, así que por lo pronto no se libera nada (métodos) por el bien de todos y por lo tanto no habrá a corto plazo giliniñato con un wifyway quemada en un pendrive para ver vuestras fotos de verano con la churri.
Y si tenemos la wifi capada por mac?
No es tan simple como el que hacemos un hipotético WPA3 y solucionado, es que el 99% de dispositivos usan WPA2 siendo vulnerables, y como actualizamos todo ese hardware (y software). Estamos ante un caso épico de gran repercusión a nivel global.

Y si es cierto que 10 - 12 años sin una revisión de WPA2 es de traca. Creerían que sería invencible.

RolleR escribió:Y si tenemos la wifi capada por mac?

Eso se ha demostrado que la seguridad es casi nula. Las MAC se pueden clonar sin dificultad alguna.
nanduelo escribió:A ver nenas un poco de tranquilidad, está vulnerabilidad ha sido descubierta por expertos en seguridad informática y no por hacker, así que por lo pronto no se libera nada (métodos) por el bien de todos y por lo tanto no habrá a corto plazo giliniñato con un wifyway quemada en un pendrive para ver vuestras fotos de verano con la churri.

El hacker que lo ha descubierto ha creado ya una prueba de concepto y la liberara tan pronto como haya pasado un tiempo razonable para que los fabricantes lancen parches. Lo dice él mismo en la propia web: http://krackattacks.com

RolleR escribió:Y si tenemos la wifi capada por mac?
Hasta donde yo se es irrelevante (que alguien me corrija si eso). E incluso si no lo fuera, modificar la mac es trivial, en windows lo puedes hacer desde el panel de control mismamente.

coyote escribió:Y si es cierto que 10 - 12 años sin una revisión de WPA2 es de traca. Creerían que sería invencible
Como van a arreglar algo que no sabian que estaba roto? Claro que creian que era invencible, de lo contrario lo habrian parcheado antes :)
Darkshait escribió:Vamos a morir cienes y cienes de veces!!!!!

Qué dios nos lleve pronto!!!
STeNYaK escribió:
coyote escribió:Y si es cierto que 10 - 12 años sin una revisión de WPA2 es de traca. Creerían que sería invencible
Como van a arreglar algo que no sabian que estaba roto? Claro que creian que era invencible, de lo contrario lo habrian parcheado antes :)

Si la historia ha demostrado una cosa, nada es inviolable.
En GNU/Linux lo arreglan rápido. En Android...

Imagen

Y para versiones con algo de tiempo olvidaros.
Vale para hacer MiTM, pero no para robar la clave wifi propiamente dicha, y se basa en una parte del protocolo (802.11r) que tiene la vulnerabilidad. Y eso es mucho peor, el que entienda un poco lo verá claro en el video de la actualización.
De todas formas, a nivel empresa, hoy en día se usa Radius (WPA2-Enterprise) y un filtrado de MACs, que no es la panacea, pero ayuda a evitar estas cosas del MiTM.
1:2.6-11 security update → https://git.archlinux.org/svntogit/pack ... ff4a8f7768

https://w1.fi/security/2017-1/wpa-packe ... ssages.txt

Parece que en ArchLinux ya hay paquete parcheado.
coyote escribió:
STeNYaK escribió:
coyote escribió:Y si es cierto que 10 - 12 años sin una revisión de WPA2 es de traca. Creerían que sería invencible
Como van a arreglar algo que no sabian que estaba roto? Claro que creian que era invencible, de lo contrario lo habrian parcheado antes :)

Si la historia ha demostrado una cosa, nada es inviolable.

Hombre, te he seguido la corriente con tu palabra "invencible" pensando que sabiamos de que hablabamos. Obviamente nadie en su sano juicio hoy en dia cree que su software/firmware/especificacion es infalible. Pero hasta donde ellos sabian, el protocolo no tenian ningun agujero de seguridad (de la misma forma que hasta donde ellos saben no son omniscientes). Y no puedes parchear algo que desconoces. No se si pretendias que sacasen una nueva version al tuntun, en la que cambiasen un punto por una coma, solo por poder decir "he hecho un cambio para demostrar que creo que no es infalible"....
STeNYaK escribió:Hombre, te he seguido la corriente con tu palabra "invencible" pensando que sabiamos de que hablabamos. Obviamente nadie en su sano juicio hoy en dia cree que su software/firmware/especificacion es infalible. Pero hasta donde ellos sabian, el protocolo no tenian ningun agujero de seguridad (de la misma forma que hasta donde ellos saben no son omniscientes). Y no puedes parchear algo que desconoces. No se si pretendias que sacasen una nueva version al tuntun, en la que cambiasen un punto por una coma, solo por poder decir "he hecho un cambio para demostrar que creo que no es infalible"....

Al tuntun no pero no parece haber habido muchas auditorias e intentos de romper en todo estos años, o quizás si y no lo sabemos. Sea como sea, todo software debe ser revisado y mantenido, al igual que los protocolos, nunca jamás confiarse, intensa búsqueda de posibles fallos, sobre todo en algo tan crítico como el tema aquí expuesto.

Y ahora, veremos que fabricantes de routers al menos domésticos se preocupan en actualizar sus dispositivos. Habrá que ir mirando alguno con soporte de OpenWRT / LEDE, que por suerte, los que tengo por aquí (TPLink 841N) si que lo son.
Por lo que he leído, el fallo está en la implementación del protocolo (que puede estar implementado de diversas maneras).

Mientras, no sé cómo saber si le afeca a mi hardware y cómo aplicar el parcheo...

Me alegro de que no hayan roto el algoritmo (la matemática), sino "solo" su implementación.
En la red no hay nada seguro ... de todas maneras . Que fechorías pueden hacer ? Porque por lo visto no pueden reventar la contraseña del router
sonyfallon escribió:En la red no hay nada seguro ... de todas maneras . Que fechorías pueden hacer ? Porque por lo visto no pueden reventar la contraseña del router

Te pueden robar la cuenta en cualquier web que no tenga el candadito verde de la barra de direcciones.
Para hacernos a la idea, eso incluia a paginas como Google hasta el año 2010, o Facebook hasta el año 2013. Si esas dos gigantes tardaron tanto en obligar a usar https, imaginate el resto de paginas/empresas...
88 respuestas
Archivado
1, 2
Volver a Tecnología