WPA2 es el sistema de protección de las redes wifi mas modernas y que se considera totalmente seguro. Sin embargo, unos investigadores han descubierto un agujero de seguridad que permite a usuarios autorizados de la red espiar el tráfico de otros usuarios.
Los detalles del ataque, conocido como "Hole 196" (Agujero 196) se revelarán la próxima semana en la Black Hat, la conferencia de seguridad informática, en Las Vegas.
¿Como se origina esta vulnerabilidad? En un sistema WPA el tráfico de datos se encripta utilizando dos claves, una es la Pairwise Transient Key (PTK) que sirve para encriptar el tráfico entre el cliente y el punto de acceso y que es única para cada cliente, y la Group Pairwise Key (GTK), que sirve para encriptar los paquetes de datos que van destinados a varios de los clientes de la red.
Explicado con un ejemplo; en la red del dibujo tenemos un punto de acceso (AP) al que hay cuatro equipos conectados (A, B, C, D). Cada uno de estos cuatro equipos tiene su clave PTK, que le permite comunicarse de forma segura con AP (los otros equipos de la red no pueden espiar la comunicación). En el caso de que C quiera enviar un paquete que deba ser recibido por los demás equipos, entonces lo encriptará usando la GTK.
El agujero de seguridad se origina porque los equipos de la red no validan el origen de los paquetes encriptados con la clave GTK; esto significa que si C quiere engañar a AP haciéndose pasar por D, todo lo que tiene que hacer es cifrar los paquetes falsos con la GTK. Este engaño le permite alterar la configuración de la conexión entre AP y D, robando la clave PTK que la protege y espiando el tráfico entre ambos.
La importancia de esta vulnerabilidad es limitada ya que solo puede ser explotada desde ordenadores que tengan acceso a la red. En una red doméstica, donde todos los equipos que tienen acceso están controlados, no hay ningún problema, pero en una red empresarial con un gran número de ordenadores, no siempre adecuadamente controlados, esta vulnerabilidad es un problema muy grave.
FUENTE: Network World.
