Wi-Fi Alliance® ha aprobado la versión definitiva y la certificación técnica del protocolo WPA3, la próxima generación de seguridad de redes WiFi. Se han añadido nuevas funciones y características de cara a simplificar la seguridad del radio enlace. Las claves serán de 192 bits y el protocolo será compatible con versiones obsoletas. Otra característica interesante, las claves no se almacenarán y en el caso de descubrir dicha clave ya no se tendrá acceso al router (en el caso de cambio de dicha clave). WPA2 que nos ha acompañado desde hace 15 años

•  WPA3, el nuevo protocolo de seguridad para conexiones Wi-Fi diseñado para mejorar la seguridad en conexiones inalámbricas domésticas y empresariales.

Era necesario un nuevo protocolo de comunicaciones inalámbricas, y la Wi-Fi Alliance ha oficializado hoy el lanzamiento del nuevo WPA3. Después de que el protocolo de comunicaciones inalámbricas WEP tuvo el dudoso honor de ser casi totalmente destripado poco después de su implementación comercial, y aunque WPA y WPA2 mejoraron lo (por aquel entonces) presente, expertos en seguridad han descubierto varios agujeros.

Dotado con una retahíla de medidas de seguridad, el nuevo protocolo ha sido pensado para su implementación diferenciada en entornos domésticos y empresariales, ofreciendo en el primero caso protección contra ataques de diccionario y añadiendo en el segundo "el equivalente a cifrado con fuerza de 192 bits" para entornos gubernamentales y financieros, donde es habitual la presencia del cable para reducir el riesgo de intrusiones.

Los dispositivos certificados como compatibles con WPA3 podrán beneficiarse de la mencionada protección contra ataques de diccionario, que era una de las debilidades de WPA2. La tecnología directamente anterior permitía que un atacante bombardeara una conexión con un diccionario de palabras predefinidas o generadas al azar hasta dar con la contraseña de una red para permitir su acceso no autorizado, pero WPA3 solo permitirá un intento contra los datos offline.

Esta nueva funcionalidad llega gracias a un protocolo de autenticación denominado Simultaneous Authentication of Equals (SAE) que también aplica en casos donde los usuarios eligen contraseñas simples y fáciles de vulnerar. I


Contraseñas débiles más protegidas y conexiones vía QR

Esta medida se suma a otras igualmente interesantes como la autenticación simultánea de iguales, que protege los contenidos enviados entre dispositivos para evitar la captura de credenciales, el conocido como secreto perfecto hacia adelante, pensado para evitar que el descubrimiento de las claves actuales no pone en riesgo las anteriores (manteniendo así la persistencia en la seguridad de las comunicaciones previas a la brecha). Ambos avances buscan mejorar drásticamente la seguridad de las redes inalámbricas con contraseñas débiles.

A estas medidas de seguridad se suman otras diseñadas para hacer que conectar un dispositivo inalámbrico a una red doméstica sea considerablemente más fácil. Es el caso de Easy Connect, que facilitará la conexión de aparatos sin pantalla ni botones utilizando un teléfono móvil. Esencialmente todo lo que tendrá que hacer el usuario es escanear un código QR con su teléfono móvil para capturar los datos de conexión, que serán automáticamente reenviados al dispositivo deseado.

Dicha característica tiene obviamente en su punto de mira el Internet de las cosas, formado por (entre muchos otros) una creciente variedad de dispositivos domóticos que en no pocas ocasiones requieren aplicaciones específicas para poder conectarse a una red doméstica. Como tal, requerirá de la implicación de los fabricantes de hardware, que tendrán sus propios argumentos a favor y en contra para implementarla.


Otra novedad interesante relacionada con el uso de redes Wi-Fi públicas es el lanzamiento de Wi-Fi CERTIFIED Enhanced Open, una tecnología que permite el cifrado de datos individualizados en un intento por disminuir el riesgo de amenazas, como por ejemplo, los ataques de hombre en el medio (MiTM, Man in the Middle, por sus siglas en inglés).

Las prestaciones introducidas por el protocolo WPA3 se irán desplegando de forma gradual y obviamente solo estarán disponibles para los dispositivos compatibles. El proceso de certificación ya está en marcha, por lo que deberíamos ver los primeros routers, placas y tarjetas de red a lo largo de este año, sin descartar el lanzamiento de actualizaciones para algunos de los productos más recientes. WPA3 es retrocompatible con WPA2, por lo que los nuevos dispositivos podrán conectarse a redes antiguas sin problemas.

El único requisito que tendremos en WPA3 es el handshake mejorado, así que supone que la gran mayoría de dispositivos lo soportarán sin problema con una actualización de firmware. No obstante, es posible que notemos un impacto en el consumo de CPU del propio dispositivo, al tener que gestionar una carga adicional, lo mismo ocurriría con los clientes (smartphones, tablets y portátiles entre otros).

Resumen caracterísitcas WPA3

• Protección contra ataques de fuerza bruta. Ofrece una protección mejorada frente a este tipo de ataques sin conexión. Esto hace mucho más difícil a un atacante averiguar una contraseña. Incluso aunque elijamos claves menos complejas (algo que no es recomendable, claro).
• WPA3 Forward Secrecy. Ahora utiliza el protocolo de enlace SAE. Se trata de una característica de seguridad que evita que los atacantes puedan descifrar el tráfico capturado anteriormente, incluso aunque hubieran conseguido la clave en otra ocasión.
• Protección de redes públicas abiertas. Esto es importante para quienes nos conectemos en estaciones, restaurantes, centros comerciales… Ahora la seguridad ha sido reforzada a través de cifrado de datos individualizado. Es una función que cifra el tráfico inalámbrico entre nuestro dispositivo y el punto de acceso Wi-Fi.
• Cifrado fuerte para redes sensibles. Al usar WPA3 Enterprise, las redes Wi-Fi que controlan información confidencial pueden proteger las conexiones con un cifrado de 192 bits.

Consejos para tener una red WiFi segura

Medidas que NO funcionan para proteger el Wifi:

• Cifrado WEP: es de sobra conocido que este tipo de cifrado se ha quedado obsoleto. La razón principal por la cual se sigue usando es la compatibilidad con adaptadores 802.11b, y es quizá por ello que muchos ISP lo activan por defecto
• Filtrado MAC: restringir la navegación a las direcciones MAC de tus ordenadores puede parecer una solución, pero no es efectiva. Con las direcciones detectadas por el intruso y utilidades como MacMakeUp, que cambian la dirección del dispositivo, el mac-spoofing se lleva a cabo en un segundo.
• Ocultar el SSID: ocultar el nombre de la red inalámbrica es como caminar detrás de una puerta y pretender que nadie te ve. Sí es interesante, por otra parte, cambiar el nombre del SSID por algo que no se parezca al nombre por defecto o se pueda relacionar con tu ubicación. Por ejemplo cambiar el nombre del Wifi te tu compañía WLAN_XXX, JAZZTEL_XXX,  VODAFONE_XXXX, ADAMO_XXX,TELMEX, INFINITUM,

Medidas efectivas para proteger y asegurar nuestro Wifi contra intrusos:

• Cifrado WPA/WPA2: la tecnología de cifrado WPA, compatible con adaptadores 802.11g o superiores, es mucho más fuerte que WEP. Cualquier router dispone de WPA-PSK; en lugar de un código hexadecimal, hay una frase de paso de longitud variable (que debería ser resistente a ataques de diccionario). Mejor usar si tu router tiene WPA2-AES
• Cambiar la contraseña por defecto del router: es lo primero que debes hacer. El hipotético intruso querrá abrir puertos en el router para usar su programa P2P favorito u ocultar sus movimientos. Cambia la contraseña del router para tener la última palabra sobre la conexión.
• Mantener el firmware del punto de acceso actualizado: Las vulnerabilidades de cada punto de acceso se publican periódicamente en internet y por lo tanto, a nosotros nos compete el mantener actualizado el mismo o cambiarlo si tenemos fuertes sospechas de que puede ser fácilmente atacable.
• Desactivar el acceso remoto al router: El 99% de los usuarios domésticos no necesita esta función que permite acceder al router desde cualquier punto con acceso a Internet. Denegar acceso desde Wan (Disable wan access)
• Deshabilita WPS si el router dispone del mismo. El protocolo WPS (WiFi Protected Setup), que permite conectar los dispositivos utilizando un PIN en lugar de la clave WPA, es vulnerable, se ha demostrado que un atacante podría obtener el PIN.  Por este motivo, te recomendamos que lo deshabilites.

Fuentes:
https://www.elotrolado.net/noticia_la-wi-fi-alliance-lanza-el-certificado-wpa3-para-proteger-las-futuras-redes-inalambricas_37010
https://www.welivesecurity.com/la-es/2018/06/27/wpa3-nuevo-protocolo-seguridad-conexiones-wifi/
https://www.redeszone.net/2018/06/26/renovar-routers-wi-fi-dispositivos-inalambricos-usar-wpa3/
https://www.redeszone.net/2018/06/26/estandar-wpa3-wi-fi-caracteristicas/