Ataque Krack a redes WPA2

ataque KRACK

Cómo y a quién afecta el ataque KRACK

El  pasado lunes se daba a conocer una grave vulnerabilidad en el protocolo WPA2 utilizado en las redes WiFi para garantizar la seguridad de las comunicaciones. De esta manera, la transmisión de datos cifrada con el algoritmo simétrico AES256 no es del todo segura como se preveía en el protocolo, debido a un fallo en el intercambio de credenciales iniciales entre el equipo del usuario (ordenador portátil, smartphone o tablet) y el punto de acceso inalámbrico.

En un ataque de tipo KRACK (del inglés Key Reinstallation Attack) el atacante engaña a la víctima haciendo que vuelva a utilizar una clave ya utilizada. Para ello se manipulan y sustituyen los mensajes con el handshake cifrado. Lo que ocurre es que el protocolo WPA2 no garantiza que una clave deba ser utilizada una única vez, lo que permite que un atacante pueda aprovechar esta vulnerabilidad para tener acceso a las credenciales iniciales que van a determinar el cifrado de los datos. De este modo, un agresor podría capturar todo tipo de datos sensibles como: contraseñas de acceso a servicios Web, números de tarjetas de crédito en compras on-line, mensajes de correo electrónico, etc.

Cabe destacar que un ataque KRACK no está destinado a capturar la clave de acceso a la WiFi, sino a tener acceso a las credenciales iniciales de cada sesión para poder interceptar y descifrar todos los datos que se transmiten cifrados entre el equipo portátil y el punto de acceso al que se conecta de forma inalámbrica. Es decir, podría espiar todo lo que hacemos a través de la red WiFi.

Un experto en seguridad llamado Kevin Beaumont explicó además que el ataque “no funciona contra dispositivos Windows o iOS”, y hace hincapié en que Android parece ser el principal problema.  No obstante, ante la gravedad del problema empresas como Microsoft, Google o Apple liberaron en pocas horas parches para actualizar sus sistemas operativos y corregir esta vulnerabilidad en el diseño e implementación de WPA2.

No obstante, siguen existiendo numerosos equipos vulnerables, sobre todo teniendo en cuenta que muchos dispositivos de la Internet of the Things se conectan hoy en día a Internet vía WiFi.

Si quieres saber cómo ser menos vulnerable a los ataques, entérate de cuáles son los principales errores en el uso de contraseñas.

Somos vulnerables a ataques a causa de la mala praxis en el uso de contraseñas?

Malos-habitos-en-las-contrasenas
Lo que no debes hacer si no quieres ser vulnerable a los hackeos

Existe una gran desinformación y una muy mala praxis acerca de cómo utilizar contraseñas de manera segura para proteger nuestras cuentas de ataques ajenos. Y es que los usuarios de alrededor del mundo no estamos verdaderamente concienciados del peligro que puede suponer utilizar una contraseña que no cumpla con los estándares básicos de seguridad. Lo cierto, aunque no lo creamos, es que somos vulnerables y así lo ha demostrado una investigación de Kaspersky Lab donde quedó demostrado que las personas ponen en peligro su seguridad en la red al elegir mal sus contraseñas, seleccionando aquellas que son más simples para recordar, entre otras malas costumbres.

Esta investigación reveló tres errores muy comunes entre los usuarios al escoger sus contraseñas, convirtiéndolos en objetivos claros de los ataques y de los hackers. Esta mala praxis se resume en los siguientes puntos:

  1. Comúnmente se tiende a utilizar contraseñas débiles que son fáciles de recordar pero al mismo tiempo de descubrir.
  2. Se suele usar la misma contraseña para diferentes cuentas y plataformas, lo que significa que si una de ellas es hackeada, las otras también podrían ser vulnerables a serlo.
  3. Además de poner contraseñas simples y de repetirlas en varias cuentas, dos errores francamente garrafales pero muy comunes, tendemos a hacer un uso inadecuado de éstas compartiéndolas con otras personas o usando métodos inseguros para recordarlas. ¿Qué sentido tiene poner una contraseña difícil de descifrar si luego la apuntamos en un blog de notas conectado con la nube o que cualquiera puede ver?

La investigación realizada por la compañía internacional de seguridad, Kaspersky Lab, demostró que la mayoría de los usuarios no está utilizando contraseñas suficiente fuertes que sean capaces de protegerles de ataques y extorsiones. Tan solo un 47% utiliza combinaciones de letras en mayúscula y en minúscula y solo un 64% mezcla números y letras. Estas dos indicaciones son básicas y deberían ser estrictamente respetadas si no queremos caer en el error de ser hackeados.

El estudio también ha demostrado que muy pocas cuentas utilizan una contraseña eficaz o difícil de descifrar. Tan solo un 30% de los usuarios crea nuevas o varias contraseñas para sus diferentes cuentas, por el contrario, 1 de cada 10 personas utiliza la misma contraseña para todas sus cuentas. Un dato muy preocupante que hace entender porqué un 18% de los usuarios se han enfrentado a algún intento de hackeo en alguna de sus cuentas.

Este estudio también nos revela, como ya hemos adelantado en los puntos del inicio del artículo, que los usuarios hacen un uso indebido de sus contraseñas al compartirlas con otras personas o al usar métodos inseguros para recordarlas, como por ejemplo apuntarlas en un blog de notas o en un word subido a la nube. Las estadísticas indican que un 28% de los usuarios han compartido dicha información con algún familiar cercano y un 11% con amigos. Esto permite que las contraseñas se vayan filtrando indebidamente y puedan llegar a manos equivocadas. Así mismo un 22% de los encuestados admitió haberlas escrito en un bloc de notas para recordarlas, hecho que convierte a esos usuarios en vulnerables debido a que otras personas pueden verlas y utilizarlas, a pesar de que sus contraseñas sean fuertes.

Como hemos podido comprobar estos errores son muy básicos y tienen fácil remedio. Hace falta que seamos un poco más conscientes del peligro que corremos al caer en estos malos hábitos y los rectifiquemos, solo así dejaremos de estar en el centro de la diana de los hackers. No obstante, hará falta mucho más para poder decir que estamos totalmente a salvo de estos ataques.