El año pasado fueron descubiertas serias debilidades en el protocolo de seguridad WPA2, se obtenía acceso a la red mediante un ataque conocido como Man in the Middle (MITM): los atacantes, que están en un rango de alcance muy cercano a la víctima, explotan la vulnerabilidad y espían las conexiones Wi-Fi. A esta vulnerabilidad se le denominó KRACK y es una debilidad que hoy día aún presenta el estándar WPA2. Para contrarrestar el riesgo, grandes marcas como Apple, Linux, Cisco, Intel y Microsoft han lanzado ya sus parches para proteger los dispositivos de su línea contra este tipo de ataques.

La razón de que esta vulnerabilidad sea noticia nuevamente es que, con la gran actualización a WPA3 a la vuelta de la esquina, resulta que esta versión no necesita un ataque tipo MITM como el conocido KRACK para espiar y capturar los paquetes de autentificación que el usuario envía, pues basta con atacar directamente el ruteador mediante un nuevo método de resolución de funciones resumen crpitográficas (hashes). Este proceso permite saltarse la primera parte de la identificación de paquetes, que daba una robusta seguridad a todos los dispositivos al hacer que el quebrantamiento del WPA fuera tan lento.

Los desarrolladores descubrieron este ataque de manera accidental mientras buscaban posibles ataques para WPA3, protocolo que se implementará por completo durante los meses restantes del año.

Hasta este momento sus descubridores aún desconocen el alcance que tenga la debilidad, tampoco tienen idea de a cuántos ruteadores o dispositivos se pueda aplicar la nueva técnica. Lo cierto y confirmado es que puede funcionar en cualquier red que tenga activa la itinerancia (roaming, protocolo 802.11/p/q/r).

Respecto al protocolo WPA3, podemos estar seguros de que muy pronto se implementará por completo, y tal medida contará con mucha más solidez en su seguridad, gracias al uso del algoritmo Simultaneous Authentification of Equals (SAE), lo que vuelve inmune a este protocolo ante ataques pasivos, activos o con diccionarios.

De momento, como siempre y como nunca, no se deberá abandonar la realización de buenas prácticas para protegernos. Por ejemplo: la creación de contraseñas largas y complejas que sean difíciles de adivinar por fuerza bruta; y en el caso empresarial, contar con un buen cortafuegos (firewall), tener excelentes prácticas como administradores de red, entre otros. Sobre todo, para cualquier caso, es particularmente importante mantener actualizados nuestros equipos de cómputo.