Conocimientos - La divisa del nuevo milenio - Seguridad en redes WLAN y Wi-Fi Protected Access (WPA)

Wi-Fi Protected Access (WPA) de la alianza Wi-FI y la IEEE ha sido diseñado para resolver los problemas de seguridad de las redes inalambricas 802.11.

La mayoría de los problemas de seguridad relacionados con las redes inalámbricas 802.11 (WLAN) se relacionan con las debilidades del "Wireld Equivalent Protocol" contenido en la especificación original 802.1. Dado que WEB se basa en encripción RC4 una clave WEP predeterminada debe ser colocada manualmente en el Punto de Acceso (Access Point - AP) y en cada cliente (pc, laptop, pocket pc). Solo los clientes que tengan la misma clave WEP se les permitirá el enlace inalámbrico al AP.

Wi-Fi Protected Access (WPA) de la alianza Wi-FI y la IEEE ha sido diseñado para resolver los problemas de seguridad de las redes inalambricas 802.11.

WPA se deriva del próximo Draft 802.11i. A diferencia de esta especificación, la cual requiere una actualización de hardware tanto en el AP como en los clientes para que soporten la encripción AES, esta vez los vendedores WLAN se concentran en darle soporte WPA a los ya existentes APs 802.11g (54Mbps). Dada la caida de los precios de productos 802.11g el año pasado, la mayoría de las empresas actualmente utilizan 802.11g en vez de 802.11b, ya que aprovecha mas el ancho de anda inalambrico.

Autenticación WPA

La autenticación de WPA se basa en las especificaciones de 802.1x, la cual utiliza el RFC 2284 Protocolo de Autenticación Extendida (EAP) para proveer autenticación centralizada de usuario y/o red inalámbrica, asi como maejo de claves de encripción y de su distribución.

Privacidad WPA: TKIP

El problema con la privacidad de WEP era debido al envío por el aire del vector de inicialización (IV) , el cual va en texto plano, sin encripción alguna. Cuando se tiene una red WLAN muy ocupada, el envío del IV se repite de vez en cuando cada ciertas horas. Al capturar varios paquetes que contienen el mismo IV, los intrusos pueden averiguar la clave WEP al repetir operaciones XOR y lograr acceso ilegal a la red.

TKIP The Temporary Key Integrity Protocol o Protocolo de Clave Temporal de Integridad en WPA, logra vencer la debilidad de WEP, haciendo lo siguiente:

Incrementa el tamaño de las claves pares y claves en grupo para la encripción de datos, de 40 a 128bits

Un mecanismo de refrescamiento de la clave, requiere una nueva clave entre el cliente móvil y el punto de acceso cada 10mil paquetes.

Un Vetor de Inicialización (IV) y un contador de secuencia IV vence a los ataques XOR repetidos. Una mezcla de IV por paquete derrota la correlación utilizada por el ataque de clave débil en WEP

Integridad del Mensaje WPA: MIC

Message Integrity Check o chequeo de integridad del mensaje ha sido diseñado para prevenir que intrusos capturen paquetes, los alteren y los re-envien. La función MIC, la cual se le conoce como "Michael", es un hash criptográfico de un solo sentido, el cual re-emplaza el Checksum CRC-32 utilizado en WEP. Michael provee una función matemática de alta fortaleza en la cual el receptor y transmisor deben computar, y luego comparar, si no coinciden la data se asume como corrupta y se desecha el paquete.

Conclusión

WPA provee reparos para todos los problemas conocidos por WEP en autenticación, privacidad de datos y problemas de integridad. Es un mecanismo de seguridad WLAN razonable, el cual muchas empresas encontrarán útil al poner sus redes inalámbricas en producción.

Más Información
Derek Cheung es el consultor principal de CLC Technology Group en Otawa, Canada. Se le puede contactar en derekcheung@clctg.com

Autor: Ing. Angel León