Cifrado inalámbrico – Wireless Encryption Standards (WES)

Este es el corazón de la seguridad Wi-Fi. Todo diseño inalámbrico, por más estratégico que sea, es inútil si no está correctamente cifrado y autenticado.

1️. ¿Qué es? ¿Cómo funciona? ¿Por qué es importante?

🔐 Wireless Encryption – Cifrado Inalámbrico

¿Qué es?
Es el proceso de codificar los datos que viajan entre los dispositivos Wi-Fi y el punto de acceso para impedir que puedan ser leídos o manipulados por terceros no autorizados.

Además del cifrado, los estándares Wi-Fi también definen los métodos de autenticación entre el cliente y el WAP.

¿Por qué es crítico?
Porque sin cifrado, cualquiera con un adaptador Wi-Fi y un sniffer como Wireshark puede leer tu tráfico, clonar sesiones, hacer MITM, o capturar credenciales.

Incluso si el tráfico usa HTTPS, los metadatos siguen estando expuestos:

• Dispositivos conectados

• DNS

• Horarios y frecuencia de conexión

📖 Analogía realista:
Conectar a una red sin cifrado es como hablar por teléfono sin clave desde una cabina pública. Cualquiera cerca puede escuchar y grabar. Usar un cifrado débil es como cerrar con una llave que todos conocen.

2️. Ejemplos prácticos

Estándar Descripción -- Vulnerabilidades actuales

• WEP Cifrado RC4 + clave estática. Obsoleto -- Fácilmente rompible en minutos con aircrack-ng
• WPA (v1) RC4 + TKIP dinámico. Mejor que WEP, pero inseguro hoy -- Ataques por reutilización de clave
• WPA2-Personal (PSK) AES-CCMP con contraseña compartida -- Ataques offline si se captura el handshake
• WPA2-Enterprise (EAP-TLS) Autenticación con certificados + AES -- Requiere servidor RADIUS, más seguro
• WPA3-Personal (SAE) Autenticación basada en claves sin PSK -- Resistencia a ataques por diccionario
• Enhanced Open Cifrado sin contraseña (OWE) -- Útil para redes públicas seguras
• Wi-Fi Easy Connect (DPP) Registro mediante código QR (IoT) -- Sustituto de WPS, mucho más seguro

3️. Herramientas y soluciones reales

Herramienta / Tecnología Uso

• Wireshark / Airodump-ng Captura de handshakes, análisis de cifrado activo
• Aircrack-ng Ataque por diccionario a WPA2-PSK
• Wifite / Wifiphisher Ataques Evil Twin con login phishing
• Kismet Detección de redes abiertas o mal cifradas
• WPA Supplicant Cliente de autenticación para WPA2/3 en Linux
• FreeRADIUS Servidor de autenticación WPA2-Enterprise
• TP-Link / Cisco / Aruba WAPs con soporte WPA3 y DPP configurables

4️. Visión Red / Blue / Purple Team

🔴 Red Team

• Captura handshakes WPA2-PSK y lanza ataque offline (aircrack-ng -w rockyou.txt).

• Explota WPS con Reaver o Bulldog.

• Lanza ataques Evil Twin para robar claves o hacer phishing.

• Explota redes con WEP o WPA1 aún activas (sí, siguen existiendo).

🔵 Blue Team

• Desactiva WEP y WPA1 en toda la infraestructura.

• Habilita WPA3-SAE donde sea posible.

• Usa WPA2-Enterprise con EAP-TLS para redes internas críticas.

• Desactiva WPS o valida que esté realmente desactivado.

• Monitoriza intentos de conexión fallidos, handshakes sospechosos y ataques de fuerza bruta.

🟣 Purple Team

• Ejecuta simulaciones de captura de handshakes y evalúa si hay alertas.

• Verifica si hay dispositivos legacy sin soporte WPA3 y propone planes de actualización.

• Automatiza auditorías de configuración de WAPs con scripts.

• Evalúa la exposición de metadatos en redes públicas (usando OWE o no).

• Revisa la implementación de Easy Connect (DPP) para dispositivos IoT.

5️. Resumen práctico

El cifrado inalámbrico es el escudo invisible que protege tus comunicaciones por aire.
Hoy, el estándar mínimo aceptable es WPA2 con AES-CCMP, y el objetivo profesional es WPA3 con SAE o EAP-TLS.

WPS debe desactivarse siempre, y el futuro apunta a métodos como Easy Connect (DPP) para simplificar sin sacrificar seguridad.

6️. Conceptos Clave con Resumen

WEP – Wired Equivalent Privacy

Primer estándar de cifrado Wi-Fi. Usaba RC4 con clave estática. Totalmente obsoleto y vulnerable.

WPA – Wi-Fi Protected Access (v1)

Mejoró WEP usando TKIP, pero sigue usando RC4. Ya no es seguro.

WPA2 – Wi-Fi Protected Access 2

Usa AES-CCMP, con autenticación por contraseña (PSK) o certificados (EAP). Aún ampliamente usado.

WPA3 – Wi-Fi Protected Access 3

Último estándar. Introduce SAE, Enhanced Open, GCM y DPP para mayor seguridad y facilidad de uso.

AES – Advanced Encryption Standard

Cifrado fuerte moderno. En WPA2 se usa con CCM, y en WPA3 con GCM.

TKIP – Temporal Key Integrity Protocol

Capa intermedia de seguridad entre WEP y WPA2. Basado en RC4. Obsoleto.

SAE – Simultaneous Authentication of Equals

Autenticación segura basada en intercambio de claves, resistente a ataques por diccionario.

OWE – Opportunistic Wireless Encryption (Enhanced Open)

Permite cifrado en redes abiertas sin autenticación previa. Mejora privacidad en lugares públicos.

DPP – Device Provisioning Protocol (Wi-Fi Easy Connect)

Sistema moderno que reemplaza WPS usando códigos QR o NFC para configurar dispositivos de forma segura.

WPS – Wi-Fi Protected Setup

Sistema de emparejamiento simplificado con botón o PIN. Muy vulnerable a fuerza bruta. Recomendado deshabilitar.

💡 CURIOSIDADES Y CLAVES AVANZADAS – CIFRADO INALÁMBRICO

1. 🎯 La mayoría de las contraseñas Wi-Fi se pueden descifrar… si el handshake es capturado

• En redes WPA2-PSK, cualquier persona puede capturar el handshake durante la conexión de un dispositivo.

• Ese handshake se puede crackear offline con fuerza bruta, especialmente si se usan contraseñas débiles.

• Herramientas como aircrack-ng, hashcat, cowpatty y wifite automatizan este proceso.

📌 Solución real:

• Usar contraseñas largas, aleatorias y únicas.

• Reemplazar PSK por WPA3-SAE o WPA2-Enterprise con certificados.

2. ❌ Desactivar WPS desde la interfaz... no siempre lo desactiva de verdad

• Muchos routers muestran la opción "WPS desactivado" en la interfaz...

• Pero a nivel de firmware, WPS sigue activo.

• Esto permite ataques como Reaver, que prueban el PIN de WPS por fuerza bruta.

📌 Solución real:

• Comprar dispositivos que certifiquen WPS como desactivable a nivel de firmware.

• Usar wash para verificar si WPS sigue activo realmente.

3. ⚠️ WPA3 no siempre significa "máxima seguridad"

• Si el dispositivo no es completamente compatible con WPA3, puede hacer downgrade automático a WPA2.

• Algunos atacantes explotan esto con ataques de "downgrade negotiation" para forzar el uso de WPA2, más fácil de atacar.

📌 Solución real:

• Usar solo dispositivos certificados Wi-Fi CERTIFIED™ WPA3.

• Deshabilitar WPA2 si ya se usa WPA3 en entornos controlados.

4. 🧠 Enhanced Open no protege contra todo, pero sí contra sniffeo

• OWE (Enhanced Open) cifra el tráfico incluso sin contraseña, lo cual:

  • No protege de Evil Twin

  • Pero sí impide que alguien lea el tráfico ajeno

Ideal para:

• Hoteles

• Aeropuertos

• Cafeterías

• Sitios donde antes había redes abiertas tipo "Free_WiFi"

5. 🧪 Easy Connect (DPP) es una joya para IoT

• Muchos dispositivos IoT no tienen interfaz de pantalla.

• Con DPP (Wi-Fi Easy Connect), puedes conectarlos escaneando un código QR o usando NFC, sin escribir contraseñas.

• El smartphone actúa como configurador seguro.

✅ Muy útil para:

• Cámaras

• Impresoras

• Termostatos

• Sensores

📌 Y es seguro porque:

• Usa claves asimétricas

• No transmite contraseñas

• Tiene autenticación mutua

6. 🔓 Las redes WPA2 mal configuradas son casi tan inseguras como WEP

Errores frecuentes:

• Usar PSK corto y predecible (ej. "Empresa2023")

• No cambiar la PSK durante años

• Compartirla con usuarios temporales o proveedores

• No rotarla automáticamente

📌 Solución profesional:

• Usar WPA2-Enterprise con EAP-TLS → Certificados únicos por dispositivo.

• O WPA3-SAE con rotación de clave por sesión.

7. 📊 No sólo se intercepta el contenido, también los metadatos

Incluso si todo tu tráfico va cifrado (HTTPS + WPA2), se sigue filtrando información sensible como:

• Dirección MAC del dispositivo

• SSID al que se conecta

• Horario y patrón de conexión

• DNS que consulta

• Tamaño del tráfico

🔍 Esto permite crear perfiles de comportamiento del usuario o dispositivo → usado en técnicas avanzadas de OSINT y profiling.

8. 📡 Muchos ataques Wi-Fi no rompen el cifrado, lo eluden

Ejemplos:

• Evil Twin + captive portal falso → no rompe WPA, pero roba credenciales

• Karma Attack (Rogue AP) → responde a cualquier SSID que busque tu dispositivo

• DoS con deauth flood → te echa de la red sin tocar el cifrado

📌 Lo más peligroso no siempre es romper el cifrado, sino engañar al usuario o romper la disponibilidad.

9. 🔍 Puedes detectar WPS activado con una sola línea de comando

bashCopiarEditarwash -i wlan0mon

Te muestra todos los puntos de acceso cercanos con WPS habilitado, versión, tipo de seguridad y si son vulnerables.

10. 🔒 Lo ideal: Autenticación fuerte + rotación + visibilidad

Tu arquitectura Wi-Fi ideal como Arquitecta Purple:

✅ WPA3-SAE para personal móvil
✅ WPA2-Enterprise con EAP-TLS para portátiles internos
✅ Red IoT separada con Easy Connect
✅ WIDS activado para detectar puntos falsos y ataques
✅ SIEM correlando eventos de Wi-Fi con alertas de seguridad
✅ Rotación periódica de claves o certificados

🧪 EJERCICIOS PURPLE TEAM – CIFRADO INALÁMBRICO

EJEMPLO 1 – Nivel Avanzado

Escenario: Red Wi-Fi corporativa usando WPA2-PSK con contraseña débil

🔴 Red Team

1. Escanea redes disponibles con airodump-ng.

2. Captura handshake WPA2-PSK de un dispositivo que se conecta a la red.

3. Lanza ataque de diccionario con aircrack-ng usando rockyou.txt.

4. Descifra la clave → se conecta a la red.

5. Realiza escaneo interno con nmap y empieza reconocimiento pasivo.

🔵 Blue Team

1. Detecta intento de autenticación anómalo en el log del WAP.

2. Cambia inmediatamente la PSK por una clave aleatoria de 24 caracteres.

3. Configura rotación mensual de PSK para redes WPA2-PSK.

4. Establece lista blanca de dispositivos por MAC como medida temporal.

5. Habilita WIDS para alertar de capturas de handshake y ataques de deauth.

🟣 Purple Team

1. Automatiza simulaciones de ataque WPA2-PSK cada mes para validar la fortaleza de las claves.

2. Implementa un script que genere alertas en el SIEM al detectar EAPOL handshake.

3. Crea playbook de respuesta automática que invalida PSK y envía notificación a seguridad.

4. Propone plan de migración a WPA3-SAE o WPA2-Enterprise.

EJEMPLO 2 – Nivel Experto

Escenario: Oficina con WPS activo en el router principal sin que los administradores lo sepan

🔴 Red Team

1. Lanza wash -i wlan0mon y detecta que WPS está habilitado.

2. Inicia ataque con reaver -i wlan0mon -b [BSSID] -vv para forzar el PIN.

3. En pocas horas obtiene la PSK y se conecta.

4. Usa kismet para identificar otros dispositivos conectados.

5. Inicia ataque ARP spoofing para interceptar tráfico con bettercap.

🔵 Blue Team

1. Descubre actividad sospechosa de conexión no autorizada.

2. Ingresa al panel del WAP y desactiva WPS por CLI o firmware, no solo en la interfaz web.

3. Verifica con wash que WPS realmente esté desactivado.

4. Aplica firmware actualizado sin soporte WPS o lo reemplaza por un modelo sin WPS físico.

5. Cambia PSK, reinicia tokens y realiza inspección completa de dispositivos conectados.

🟣 Purple Team

1. Automatiza escaneo de WPS en toda la organización semanalmente.

2. Integra resultados en el SIEM para generar alertas preventivas.

3. Crea checklist de validación de configuraciones seguras por cada modelo de WAP.

4. Entrena al equipo de IT para detectar falsos positivos de "WPS desactivado visualmente".

EJEMPLO 3 – Nivel Maestro

Escenario: Red con WPA3 activado, pero múltiples dispositivos legacy fuerzan downgrade a WPA2

🔴 Red Team

1. Detecta SSID con WPA3-SAE activado.

2. Usa herramientas de ataque de downgrade (wpa_supplicant, hostapd, hcxtools) para forzar conexión WPA2.

3. Captura handshake de la conexión forzada a WPA2.

4. Lanza ataque offline con hashcat para romper la PSK.

5. Accede a red y realiza ataque de reconocimiento IoT con shodan API local.

🔵 Blue Team

1. Detecta conexiones downgrade en los logs del WAP.

2. Actualiza firmware del punto de acceso para forzar el uso exclusivo de WPA3.

3. Establece dos SSIDs segmentados:

   • Uno WPA3 para dispositivos modernos

   • Uno WPA2-Enterprise con control de acceso para dispositivos legacy

4. Elimina totalmente el soporte a WPA2-PSK.

5. Implementa FreeRADIUS para autenticación segura y gestión de certificados.

🟣 Purple Team

1. Reproduce el ataque de downgrade en laboratorio controlado.

2. Crea scripts que analizan logs en tiempo real buscando negociaciones forzadas hacia WPA2.

3. Genera informe ejecutivo con mapa de compatibilidad de todos los dispositivos (qué soporte WPA3 y qué no).

4. Propone plan de modernización con métricas de riesgo:

   • Cuántos dispositivos siguen forzando WPA2

   • Qué servicios se exponen

   • Cuánto tiempo se tarda en crackear las claves actuales

RESULTADO DEL ENTRENAMIENTO

• Detectas y neutralizas ataques reales como captura de handshake, fuerza bruta WPS y downgrade WPA3.

• Mejoras las políticas de cifrado según la realidad tecnológica de tu entorno.

• Automatizas la supervisión criptográfica en entornos inalámbricos.

• Educas y refuerzas a tu equipo con indicadores concretos de exposición, rotación y autenticación inalámbrica.