WPA2 vs. WPA3

Lanzado en 2018, WPA3 es una versión actualizada y más segura del protocolo de acceso protegido Wi-Fi para asegurar redes inalámbricas. Como describimos en la comparación de WPA2 con WPA, WPA2 ha sido la forma recomendada de asegurar su red inalámbrica desde 2004 porque es más seguro que WEP y WPA. WPA3 realiza más mejoras de seguridad que hacen que sea más difícil entrar en las redes adivinando contraseñas; También hace imposible descifrar datos capturados en el pasado i.mi., Antes de que la clave (contraseña) se rompiera.

Cuando la alianza Wi-Fi anunció detalles técnicos para WPA3 a principios de 2018, su comunicado de prensa promocionó cuatro características principales: un nuevo apretón de manos y más seguro para establecer conexiones, un método fácil para agregar nuevos dispositivos a una red, cierta protección básica al usar Abra los puntos de acceso y finalmente aumentó los tamaños de las llave.

La especificación final solo exige el nuevo apretón de manos, pero algunos fabricantes también implementarán las otras características.

Cuadro comparativo

Nuevo apretón de manos: autenticación simultánea de iguales (SAE)

Cuando un dispositivo intenta iniciar sesión en una red Wi-Fi protegida por contraseña, los pasos de suministrar y verificar la contraseña se toman a través de un apretón de manos de 4 vías. En WPA2, esta parte del protocolo era vulnerable a los ataques de Krack:

En un ataque clave de reinstalación [Krack], el adversario engaña a una víctima para reinstalar una llave ya en uso. Esto se logra manipulando y reproduciendo mensajes criptográficos de apretón de manos. Cuando la víctima reinstala la clave, los parámetros asociados, como el número de paquete de transmisión incremental (i.mi. nonce) y recibir número de paquete (i.mi. contador de repetición) se restablecen a su valor inicial. Esencialmente, para garantizar la seguridad, una clave solo debe instalarse y usarse una vez.

Incluso con actualizaciones a WPA2 para mitigar contra las vulnerabilidades de Krack, WPA2-PSK aún se puede agrietarse. Incluso hay guías de instrucciones para piratear contraseñas WPA2-PSK.

WPA3 arregla esta vulnerabilidad y mitiga otros problemas mediante el uso de un mecanismo de apretón de manos diferente para autenticar una autenticación de iguales de Wi-Fi Network, también conocida como intercambio de claves de libélula.

Los detalles técnicos sobre cómo WPA3 usa el intercambio de claves de Dragonfly, que es una variación de SPEKE (intercambio de claves exponencial de contraseña simple), se describe en este video.

Las ventajas del intercambio de claves de la libélula son el secreto y la resistencia al descifrado fuera de línea.

Resistente al descifrado fuera de línea

Una vulnerabilidad del protocolo WPA2 es que el atacante no tiene que mantenerse conectado a la red para adivinar la contraseña. El atacante puede olfatear y capturar el apretón de manos de 4 vías de una conexión inicial basada en WPA2 cuando es una proximidad de la red. Este tráfico capturado se puede usar fuera de línea en un ataque basado en el diccionario para adivinar la contraseña. Esto significa que si la contraseña es débil, se puede romper fácilmente. De hecho, las contraseñas alfanuméricas de hasta 16 caracteres se pueden descifrar bastante rápido para las redes WPA2.

WPA3 utiliza el sistema de intercambio de claves de liberación, por lo que es resistente a los ataques de diccionario. Esto se define de la siguiente manera:

La resistencia al ataque del diccionario significa que cualquier ventaja que un adversario pueda obtener debe estar directamente relacionada con la cantidad de interacciones que realiza con un participante de protocolo honesto y no a través del cálculo. El adversario no podrá obtener ninguna información sobre la contraseña, excepto si una suposición única de una ejecución de protocolo es correcta o incorrecta.

Esta característica de WPA3 protege las redes donde la contraseña de red-i.mi., La clave previa al intercambio (PSDK) es más débil que la complejidad recomendada.

Secreto de avance

La red inalámbrica utiliza una señal de radio para transmitir información (paquetes de datos) entre un dispositivo cliente (E.gramo. teléfono o computadora portátil) y el punto de acceso inalámbrico (enrutador). Estas señales de radio se transmiten abiertamente y pueden ser interceptadas o "recibidas" por cualquier persona en la vecindad. Cuando la red inalámbrica está protegida a través de una contraseña, ya sea WPA2 o WPA3, las señales están encriptadas, por lo que un tercero que intercepta las señales no podrá comprender los datos.

Sin embargo, un atacante puede registrar todos estos datos que están interceptando. Y si pueden adivinar la contraseña en el futuro (lo cual es posible a través de un ataque de diccionario en WPA2, como hemos visto anteriormente), pueden usar la clave para descifrar el tráfico de datos registrado en el pasado en esa red.

WPA3 proporciona secreto hacia adelante. El protocolo está diseñado de una manera que incluso con la contraseña de red, es imposible que un espiopper fisquee el tráfico entre el punto de acceso y un dispositivo de cliente diferente.

Cifrado inalámbrico oportunista (OWE)

Descrito en este documento técnico (RFC 8110), el cifrado inalámbrico oportunista (OWE) es una nueva característica en WPA3 que reemplaza el 802.11 autenticación "abierta" que se usa ampliamente en puntos de acceso y redes públicas.

Este video de YouTube proporciona una descripción técnica de OWE. La idea clave es utilizar un mecanismo de intercambio de claves Diffie-Hellman para cifrar toda la comunicación entre un dispositivo y un punto de acceso (enrutador). La clave de descifrado para la comunicación es diferente para cada cliente que se conecta al punto de acceso. Entonces, ninguno de los otros dispositivos en la red puede descifrar esta comunicación, incluso si se escuchan (que se llama oler). Este beneficio se llama Protección de datos individualizada-El tráfico de datos entre un cliente y el punto de acceso es "individualizado"; Entonces, si bien otros clientes pueden oler y grabar este tráfico, no pueden descifrarlo.

Una gran ventaja de OWE es que protege no solo las redes que requieren una contraseña para conectarse; También protege redes "no garantizadas" abiertas que no tienen requisitos de contraseña, e.gramo. Redes inalámbricas en bibliotecas. OWE proporciona a estas redes cifrado sin autenticación. Sin aprovisionamiento, sin negociación, y no se requieren credenciales: simplemente funciona sin que el usuario tenga que hacer nada o incluso saber que su navegación ahora es más segura.

Una advertencia: Owe no protege contra los puntos de acceso "pícaros" (AP) como los AP de honeypot o gemelos malvados que intentan engañar al usuario para que se conecten con ellos y robe información.

Otra advertencia es que WPA3 Supports, pero no exige el cifrado no unido. Es posible que un fabricante obtenga la etiqueta WPA3 sin implementar el cifrado no autenticado. La función ahora se llama Open mejorado con certificación Wi-Fi, por lo que los compradores deben buscar esta etiqueta además de la etiqueta WPA3 para garantizar que el dispositivo que esté comprando admite un cifrado no autenticado.

Protocolo de aprovisionamiento del dispositivo (DPP)

Protocolo de aprovisionamiento del dispositivo Wi-Fi (DPP) reemplaza la configuración protegida de Wi-Fi menos segura (WPS). Muchos dispositivos en la automatización del hogar, o Internet de las cosas (IoT), no tienen una interfaz para la entrada de contraseña y deben confiar en los teléfonos inteligentes para intermedio su configuración de Wi-Fi.

La advertencia aquí una vez más es que la alianza Wi-Fi no ha ordenado que esta característica se use para obtener la certificación WPA3. Entonces, técnicamente no es parte de WPA3. En cambio, esta característica ahora es parte de su programa Certificado de Connect certificado por Wi-Fi. Así que busque esa etiqueta antes de comprar hardware certificado por WPA3.

DPP permite que los dispositivos se autenticen a la red Wi-Fi sin una contraseña, utilizando un código QR o etiquetas NFC (comunicación de campo cercano, la misma tecnología que impulsa las transacciones inalámbricas en Apple Pay o Android Pay) Etiquetas.

Con la configuración protegida de Wi-Fi (WPS), la contraseña se comunica desde su teléfono al dispositivo IoT, que luego utiliza la contraseña para autenticar a la red Wi-Fi. Pero con el nuevo Protocolo de aprovisionamiento de dispositivos (DPP), los dispositivos realizan autenticación mutua sin contraseña.

Claves de cifrado más largas

La mayoría de las implementaciones de WPA2 utilizan claves de cifrado AES de 128 bits. El IEEE 802.11i Standard también admite claves de cifrado de 256 bits. En WPA3, los tamaños clave más largos: el equivalente de la seguridad de 192 bits, solo tiene el mandato de WPA3-Enterprise.

WPA3-Enterprise se refiere a la autenticación empresarial, que utiliza un nombre de usuario y una contraseña para conectarse a la red inalámbrica, en lugar de solo una contraseña (también conocida como clave previa al intercambio) que es típico para las redes domésticas.

Para aplicaciones de consumo, el estándar de certificación para WPA3 ha hecho que los tamaños de claves más largos sean opcionales. Algunos fabricantes utilizarán tamaños de claves más largos, ya que ahora son compatibles con el protocolo, pero la responsabilidad va a estar en los consumidores para elegir un enrutador/punto de acceso que lo haga.

Seguridad

Como se describió anteriormente, a lo largo de los años, WPA2 se ha vuelto vulnerable a diversas formas de ataque, incluida la técnica de Krack infame para la cual los parches están disponibles, pero no para todos.

En agosto de 2018, se descubrió otro vector de ataque para WPA2.^[1] Esto facilita a un atacante que olfatee los apretones de manos WPA2 obtener el hash de la clave previa al intercambio (contraseña). El atacante puede usar una técnica de fuerza bruta para comparar este hash con los hash de una lista de contraseñas de uso común, o una lista de conjeturas que intenta todas las variaciones posibles de letras y números de longitud variable. Usando recursos de computación en la nube, es trivial adivinar cualquier contraseña de menos de 16 caracteres.

En resumen, la seguridad WPA2 es tan buena como la rota, pero solo para WPA2-Personal. WPA2-Enterprise es mucho más resistente. Hasta que WPA3 esté ampliamente disponible, use una contraseña segura para su red WPA2.

Soporte para WPA3

Después de su introducción en 2018, se espera que tome 12-18 meses para que el apoyo se convierta en la corriente principal. Incluso si tiene un enrutador inalámbrico que admite WPA3, es posible que su teléfono o tableta anterior no reciba las actualizaciones de software necesarias para WPA3. En ese caso, el punto de acceso volverá a WPA2 para que aún pueda conectarse al enrutador, pero sin las ventajas de WPA3.

En 2-3 años, WPA3 se convertirá en la corriente principal y si está comprando hardware de enrutador ahora es aconsejable a prueba de sus compras en el futuro.

Recomendaciones

1. Siempre que sea posible, elija WPA3 sobre WPA2.
2. Al comprar hardware certificado por WPA3, busque también las certificaciones de Connect Open y Wi-Fi mejoradas Wi-Fi. Como se describió anteriormente, estas características mejoran la seguridad de la red.
3. Elija una contraseña larga y compleja (clave previa al intercambio):
   1. Use números, letras superiores y minúsculas, espacios e incluso caracteres "especiales" en su contraseña.
   2. Hazlo un pasefrase en lugar de una sola palabra.
   3. Haz que sea largo 20 caracteres o más.
4. Si está comprando un nuevo enrutador o punto de acceso inalámbrico, elija uno que admita WPA3 o planifique lanzar una actualización de software que admitirá WPA3 en el futuro. Los proveedores de enrutadores inalámbricos lanzan periódicamente actualizaciones de firmware para sus productos. Dependiendo de cuán bueno sea el proveedor, lanzan actualizaciones con más frecuencia. mi.gramo. Después de la vulnerabilidad de Krack, TP-Link fue uno de los primeros proveedores en lanzar parches para sus enrutadores. También lanzaron parches para enrutadores más antiguos. Entonces, si está investigando qué enrutador comprar, mire el historial de las versiones de firmware publicadas por ese fabricante. Elija una empresa que sea diligente sobre sus actualizaciones.
5. Use una VPN cuando use un punto de acceso Wi-Fi público, como un café o biblioteca, independientemente de si la red inalámbrica está protegida con contraseña (i.mi., seguro) o no.