Defiende tu Wi-Fi® de los ataques de IA
Wi-Fi® es algo que todos usamos en nuestra vida cotidiana. Lo utilizamos para chatear, compartir experiencias, trabajar, ver imágenes de gatos e incluso para jugar. Hacemos esto a través de nuestros dispositivos como una computadora portátil o un teléfono inteligente. Conectarse a una red Wi-Fi® es algo que hacemos sin siquiera mirar, pero ¿te preocupa la seguridad cuando te unes al Wi-Fi® de tu café favorito?
Cuando se conecta a una red Wi-Fi®, selecciona un nombre de red (SSID) y luego simplemente escribe la contraseña. Si ingresa la contraseña correcta, está conectado. Detrás de escena, en este proceso, su dispositivo elige un protocolo de encriptación para proteger sus datos mientras están conectados. El enrutador es quien dicta el protocolo que se utilizará.
Los protocolos de cifrado Wi-Fi® que se usan comúnmente son WEP, WPA y WPA2. WEP es el menos seguro y WPA2 el más seguro. Tener una red Wi-Fi® segura ayuda a mantener a salvo el tráfico y mantener fuera a los intrusos. Por ejemplo, si va a enviar un correo electrónico con datos corporativos confidenciales, no quiere que nadie detecte su red.
Usando AI para adivinar contraseñas
Hoy en día la mayoría de los ataques se llevan a cabo de 2 maneras: fuerza bruta y ataque de diccionario.
El ataque por fuerza bruta consta todas las combinaciones posibles una a una en la forma “aaa111”, luego “aaa112” y así sucesivamente hasta llegar a la última combinación posible de “zzz999”. Este ejemplo solo contenía 3 letras y 3 números. Las posibilidades crecen exponencialmente cuando agrega más caracteres y agrega símbolos.
Los ataques de diccionario usan una colección básica de contraseñas para intentarlo. La mayoría de los diccionarios se crean utilizando contraseñas filtradas y contraseñas comunes. Y se agregan cambios comunes que las personas hacen para “proteger” sus contraseñas, como cambiar “a” por “4”, por lo que “password” se convierte en “p4ssword”.
IA para crear diccionarios
Sabemos que la IA se puede utilizar para analizar y sacar conclusiones más rápido que los humanos. Así que los científicos lo han aplicado para aprender los patrones que las personas usan para crear sus contraseñas y generar diccionarios más precisos.
Investigadores han entrenado redes neuronales para generar un diccionario de contraseñas. Utilizaron una lista de contraseñas filtradas para entrenar a la red neuronal y el resultado superó a las herramientas de hacking populares como hashcat y john the ripper.
Para este experimento se usaron redes neuronales adversas generativas (GAN, por sus siglas en inglés). En general, GAN consta de 2 redes, una genera las contraseñas y la otra da retroalimentación. El GAN ejecuta múltiples iteraciones de forma autónoma, lo que hace que la generación del diccionario sea más rápida.
Los problemas con los protocolos actuales
El protocolo WEP es el menos seguro. Esto es por la forma en que funciona. Para hackear una red que usa este protocolo, solo necesita buscar el tráfico. Una vez que tiene suficiente tráfico, la contraseña se obtiene fácilmente con cualquier herramienta de hacking de Wi-Fi® (aircrack-ng, por ejemplo). Esto significa que cualquier persona con una antena podria hackear tu Wi-Fi® si les das suficiente tiempo.
Los protocolos WPA y WPA2 son más fuertes pero también tienen algunos problemas. La versión doméstica (o estándar) de este protocolo que usa una clave precompartida (PSK, por sus siglas en inglés) puede ser vulnerada si se aplica fuerza bruta a la PSK. La versión empresarial ofrece la seguridad más alta, esta no usa un PSK, si no un servidor con usuarios y contraseñas, aunque este es el más seguro es el más difícil de configurar, y el que requiere mayor inversión.
WPA3
Esta es la primera actualización del protocolo desde 2004. Este protocolo está dirigido a todos los dispositivos portátiles, teléfonos inteligentes, tabletas e incluso IoT. Una de las características nuevas más importantes de WPA3 es que utilizará marcos de gestión protegidos (PMF, por sus siglas en ingles).
WPA3-Personal
“WPA3-Personal: autenticación basada en contraseñas más resistente incluso cuando los usuarios eligen contraseñas que no cumplen con las recomendaciones de complejidad típicas. WPA3 aprovecha la autenticación simultánea de iguales (SAE), un protocolo de establecimiento de clave segura entre dispositivos para proporcionar protecciones más sólidas a los usuarios contra intentos de adivinación de contraseñas por parte de terceros. “1
Uno de los mayores problemas con WPA2 personal era que si el usuario seleccionaba “una contraseña débil” sería fácil de hackear. WPA3 resuelve este problema reforzando la seguridad sin importar la contraseña que el usuario elija. Entonces, ahora puede elegir una contraseña que sea fácil de recordar sin tener que preocuparse por un riesgo de seguridad. Esto es gracias a la sustitución de PSK con Autenticación simultánea de iguales (SAE, por sus siglas en inglés).
Otro aspecto importante de WPA3-Personal es que el proceso de autenticación sigue siendo el mismo. Por lo tanto, aún puede conectarse a una red Wi-Fi® sin mirar el proceso.
Por último, otro problema que estaba presente en WPA2 y se corrigió en WPA3 es el “secreto de envío”. Este error permitió a cualquiera que obtuviera el PSK descifrar potencialmente todos los paquetes de la red (incluyendo los capturados previo a la obtención de la contraseña). Por lo tanto, esta característica protege el tráfico de datos incluso si una contraseña se ve comprometida después de que se transmitieron los datos.
WPA3-Enterprise
WPA3-enterprise se basa en WPA2-enterprise, por lo que la mayoría de las características son similares.
WPA3-Enterprise ofrece un modo opcional para usar protocolos de seguridad de fuerza mínima de 192 bits y herramientas criptográficas. Estas características son:
- Encriptación autenticada: Protocolo Galois / contador en modo de 256 bits (GCMP-256). Deducción
- y confirmación de claves: Modo de autenticación de mensajes hash de 384 bits (HMAC) con algoritmo de hash seguro (HMAC-SHA384)
- Establecimiento y autenticación de claves: elíptico curva de Diffie-Hellman (ECDH) el intercambio y la firma de curva elíptica digital Algoritmo (ECDSA) usando una de 384 bits de curva elíptica
- robusta protección del marco de gestión: de 256 bits Broadcast / Multicast integridad del código de autenticación de mensajes de Galois Protocolo (BIP-GMAC-256)
When will this be available
WPA3 fue lanzado el 26 de junio de 2018, se espera que los enrutadores y dispositivos capaces de usar este protocolo no estén disponibles hasta el próximo año (2019). Esto se debe a que los dispositivos deben ser revisados y certificados Wi-Fi CERTIFIED® WPA3® por Wi-Fi Alliance®
Tenga en cuenta lo siguiente antes de comprar un enrutador WPA3. Tanto el cliente como el enrutador deben ser compatibles con WPA3 para usar WPA3. Pero si quiere ir corriendo a la tienda para ser el primero en tener un enrutador WPA3, no se preocupe por la compatibilidad con versiones anteriores. Los enrutadores WPA3 también podrán manejar WPA2.
Cómo protegerse de los ataques de IA
Ahora que sabemos que la actualización a WPA3 aumentará nuestra seguridad, hay algunas consideraciones que debemos tener en cuenta al elegir una contraseña.
Algunos expertos recomiendan usar un generador de contraseñas y un servicio de administrador (por ejemplo: LastPass, 1password) con autenticación de 2 factores (2FA, por sus siglas en inglés).
Otra recomendación es usar diferentes contraseñas para diferentes sitios.
PD: recuerda: ninguna tecnología permanece segura por mucho tiempo.
Referencias
1Wi-fi.org. (2018) Wi-Fi Alliance® presenta la seguridad Wi-Fi CERTIFIED WPA3 ™ | Wi-Fi Alliance. [en línea] Disponible en: https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-introduces-wi-fi-certified-wpa3-security [Consultado el 23 de julio de 2018].
Wi-fi.org. (2018) Seguridad | Wi-Fi Alliance. [en línea] Disponible en: https://www.wi-fi.org/discover-wi-fi/security [Consultado el 23 de julio de 2018].
Iyer, K. (2018). Wi-Fi Alliance lanza el protocolo de seguridad WPA3. [en línea] TechWorm. Disponible en: https://www.techworm.net/2018/06/wpa3-security-protocol.html [Consultado el 23 de julio de 2018].
Hoffman, C. (2018). ¿Qué es WPA3 y cuándo lo obtendré en mi Wi-Fi? [en línea] Howtogeek.com. Disponible en: https://www.howtogeek.com/339765/what-is-wpa3-and-when-will-i-get-it-on-my-wi-fi/ [Consultado el 23 de julio de 2018].
James, F. (2018). Cómo se puede usar la inteligencia artificial para adivinar contraseñas. [en línea] Hacker mediodía. Disponible en: https://hackernoon.com/how-artificial-intelligence-can-be-used-for-password-guessing-cf4fd4184a46 [Consultado el 14 de agosto de 2018].
Roussey, B. (2018). Las herramientas con alimentación de AI hacen que las contraseñas de adivinación sean sencillas: OSTechnical. [en línea] OSTechnical IT Staffing Solutions. Disponible en: https://www.ostechnical.com/ai-powered-tools-make-guessing-passwords-easy/ [Consultado el 14 de agosto de 2018].