KRACK (hacking) al WPA2, ¿cómo te puedes proteger?

En la semana del 16 de Octubre de 2017 corrió como la pólvora la noticia de que el protocolo WPA2 había sido hackeado. En otras palabras: cualquier router wifi que utilice ese protocolo se ha vuelto inseguro de la noche a la mañana. Y eso que WPA2 era la versión que “solucionaba” ciertas inseguridades de su hermano anterior, el WPA.

Aquí tenéis un aviso oficial del problema, desde el portal de la OSI ("Oficina de Seguridad del Internauta", Gobierno de España):

https://www.osi.es/es/actualidad/avisos/2017/10/routers-wifi-vulnerables-han-conseguido-romper-el-protocolo-de-seguridad

Es decir, que el protocolo WPA2 (“Wifi Protected Access 2”) que hasta ahora se daba por seguro, en realidad contiene cierto fallo que, una vez descubierto, se ha convertido en su punto vulnerable. De este modo un ciberdelincuente, con el ataque preciso (al que han denominado "KRACK"), podrá hacerse con todas tus contraseñas, datos personales (entre otras cosas) y, en general, con todo lo que discurra por tu red.

Entonces, ¿qué podemos hacer?

Ante esta situación (y en cualquier otra) lo que hay que hacer es prevenir y mitigar el riesgo.

Antes de nada entendamos la situación

El impacto de la situación es enorme debido a que el problema está en el proceso de identificación del protocolo WPA2, es decir, no depende de los aparatos como tal (ordenadores, tablets, routers, móviles...) sino de la "lógica" con la que se gestionan las claves y que viene marcada por dicho protocolo WPA2. Por ello todo el mercado que lo use está afectado.

No obstante, WPA2 es una "capa más de seguridad" sobre las que ya se están usando (aunque no lo sepamos), de manera que lo importante hasta que se resuelva el fallo es que quien quiera hacer alguna gestión en la que tenga que dar claves, datos personales, datos bancarios, hacer pagos, etc. lo haga únicamente en el caso de usar páginas seguras.

¿Qué páginas podemos considerar como seguras?

Como pauta podemos seguir estos dos puntos conjuntamente:

• Las páginas "HTTPS" (es decir, aquellas cuyo "http" inicial de la dirección web acaba en una "s") ya que en este tipo de páginas la información viaja encriptada. O sea, en condiciones normales tendríamos una encriptación generada por el propio https más otra "re-encriptación" generada por el propio WPA2 (los mensajes se están doblemente encriptados). Lo que ocurre es que con este fallo los ciberdelincuentes se saltan ésta segunda encriptación por lo que únicamente nos quedamos con la "seguridad" del https. Por eso hay que usar este tipo de páginas cuando se den datos sensibles (no deben darse en las páginas “que sólo son http” ya que en ellas la información no se encripta la primera vez (de manera que un ciberdelincuente, una vez se haya saltado el WPA2 podrá ver usuarios, claves, etc. que se vayan escribiendo).
• Las páginas certificadas, que son las que en la barra de navegación muestran un candado cerrado y en verde. Los sitios web que lo tienen poseen un certificado oficial que los valida como reales. Es decir, no son sitios "de falsos o suplantados” (como podría ser, como ejemplo, una página de GMail falsa que hubieran creado para hacer picar al usuario y así hacerse con sus claves en un claro ejercicio de “phising”).

Si hacemos eso ¿estamos del todo seguros?

No al 100%, pero es lo más seguro a día de hoy. La realidad es que incluso el propio protocolo "https" tiene sus defectos que se traducen en agujeros de seguridad por los que se pueden saltar sus "ventajas". En cuanto a los certificados, hay de muchos niveles de validez y no todos sirven hacer de todo a los sitios web, de manera que aunque veamos un candado en verde, sí es signo de que tiene un certificado pero no sabremos a priori qué "calidad" tiene.

Que no cunda el pánico

Para que todo este grave problema del protocolo WPA2 surta efecto, es decir, para que un ciberdelincuente penetre en nuestra red wifi aprovechando el defecto encontrado, ha de estar en el rango de cobertura de la nuestra red. Normalmente los routers tienen unos 100 metros de alcance en condiciones sin obstáculos (paredes, columnas, etc.). Es decir, si alguien sufre un ataque aprovechando la debilidad del protocolo WPA2 es porque el delincuente está cerca. En este caso no existen ataques "remotos" (desde otros ordenadores lejanos a través de Internet), eso sí que sería extremadamente grave.

Como pautas preventivas, se puede recomendar que:

• Cuando no se use un router (porque no se está en casa, por tanto no hace falta para móviles, tablets, etc.) debería apagarse. Así se disminuiría la "exposición al riesgo" (por disminución de tiempo). Incluso hará desistir a delincuentes que hubieran detectado la clave pues tendrán "tiempos muertos" que les harán optar por otros objetivos.
• También deberían cambiarse las claves del router con cierta asiduidad y por claves seguras. En este artículo tienes consejos para ello: "Cómo inventar claves mejores".
• Es muy aconsejable habilitar validaciones de doble canal en aquellos sitios web que los provean.
• Tener instalado y actualizado un antivirus. Aquí tienes alguna propuesta: "¿Qué antivirus instalo? Relación de ellos y otras utilidades fáciles". 
• Procurar realizar copias en algún disco duro externo (u otra ubicación) de los archivos que no quieras perder en caso de algún “desastre inesperado”.