Los miedos a que las comunicaciones sean escuchadas por terceros no autorizados han desaparecido en las redes cableadas, pero existen  en redes inalámbricas o WLAN (Wireless LAN), porque el medio de transmisión (el aire) es compartido por todos los equipos.

Entre las topologías de  redes inalámbricas se encuentran

a)      Redes tipo ad-hoc: Consiste en un grupo de ordenadores que se comunican cada uno directamente con los otros a través de las señales de radio sin usar un punto de acceso. Las configuraciones «Ad-hoc» son comunicaciones de tipo punto a punto. Solamente los ordenadores dentro de un rango de transmisión definido pueden comunicarse entre ellos.

a)      Redes de tipo infraestructura: Contrario al modo Ad-hoc donde no hay un elemento central, en el modo infraestructura hay un elemento de  coordinación, un punto de acceso o estación base. El equipo llamado Access Point  (AP, punto de acceso) hace de switch, de manera que los demás ordenadores se conectan a él, le envían sus paquetes y él decide cómo hacerlos llegar al destino, que puede ser enviarlo de nuevo al aire o sacarlo por el cable que le lleva al resto de la red . Salir por el cable es la configuración más habitual en las empresas, donde la WLAN se considera una extensión de la red cableada.

Como ocurría con el switch en las redes cableadas, hemos de:

a)     Proteger el access point físicamente. La protección física es más complicada que en el caso del switch, porque el AP tiene que estar cerca de los usuarios para que puedan captar la señal inalámbrica, mientras que para conectar la toma de red de la mesa con el switch podemos utilizar cables largos.

b)     Proteger el access point lógicamente utilizando usuario y contraseña.

c)      Controlar qué clientes pueden conectarse a él . Hacer una  autenticación.

d)     Separar dos grupos de usuarios, haciendo que el mismo AP emita varias SSID distintas, con autenticaciones distintas. Estas distintas SSID suelen tener asociada una VLAN etiquetada.

e)     Encriptar la transmisión entre el ordenador y el AP.

3.1.  Asociación y transmisión

Para que un ordenador pueda trabajar en una red cableada normal (sin autenticación en el puerto), basta con enchufar un cable Ethernet entre la tarjeta de red del equipo y la toma de red en la pared, por ejemplo. En wifi se establecen dos fases: asociación y transmisión. Durante la asociación el usuario elige la SSID a la que se quiere conectar y entonces su tarjeta inalámbrica contacta con el AP que ofrece esa SSID. Negocian varias características de la comunicación, pero sobre todo el AP puede solicitar algún tipo de autenticación para decidir si debe dejarle asociarse o no. Generalmente es una clave alfanumérica que se registra en la configuración del AP y que el usuario debe introducir para poder trabajar con él.

La autenticación es más habitual en redes inalámbricas que en redes cableadas.  Las AP admiten varios tipos de autenticación:

a)      Abierta: no hay autenticación, cualquier equipo puede asociarse con el AP.

b)      Compartida: la misma clave que utilizamos para cifrar la usamos para autenticar.

c)      Acceso seguro: usamos distintas claves para autenticar y cifrar. El usuario solo necesita saber una, la clave de autenticación: la clave de cifrado se genera automáticamente  durante la asociación.

d)      Autenticación por MAC: el AP mantiene una lista de MAC autorizadas y solo ellas pueden asociarse.

Una vez asociados al AP, podemos empezar la fase de transmisión, durante la cual estableceremos conversaciones con el AP. Si queremos evitar que un tercero capture los paquetes intercambiados e intente conocer lo que transmitimos, el cliente y el AP deberán activar el cifrado de cada paquete. El tipo de cifrado (algoritmo, longitud de la clave, etc.) se negocia durante la asociación. Por tanto, el AP admite varias combinaciones:

a)      Autenticación abierta y sin cifrado: se utiliza en lugares públicos. En estos casos, el sistema operativo nos avisa de que vamos a conectarnos a una red sin seguridad.

b)      Autenticación abierta y transmisión cifrada: es el esquema habitual de las primeras redes wifi.

c)      Autenticación compartida y transmisión cifrada: es una mala combinación, porque la autenticación es muy vulnerable y, conocida esa clave, tendrán acceso a descifrar las comunicaciones de cualquier ordenador conectado a ese AP.

d)      Autenticación segura y transmisión cifrada: es la mejor solución porque utiliza una clave distinta para cada cosa. La más conocida es WPA.

3.2. Cifrado: WEP, WPA, WPA2

Para dar seguridad a las comunicaciones  inalámbricas se creó el primer estándar  que se llamó WEP (Wireline Equivalent Privacy, privacidad equivalente al cable). Intenta dar a los redes inalámbricas la seguridad que se tiene en las redes cableadas. La principal diferencia entre las redes cableadas e inalámbricas es que en las redes inalámbricas puede intentar entrar en la red cualquier persona dentro del alcance, aunque sea fuera de la empresa, mientras que en una red cableada hay que tener acceso físico a dicha red, es decir, hay que estar dentro de la empresa. Cuando se utiliza WEP, el punta de acceso y las estaciones de trabajo tienen que compartir una clave (clave WEP).

Sin embargo, en poco tiempo se encontraron debilidades al algoritmo de cifrado utilizado en WEP. En poco tiempo (cada vez menos, con el aumento de la capacidad de proceso de los ordenadores personales) cualquiera podía obtener la clave WEP. Las autoridades de estandarización empezaron a trabajar en un nuevo estándar. Se llamó WPA (Wi-Fi Protected Access) e introduce muchas mejoras:

a)      Utilización de nuevos algoritmos más seguros. Hay un aumento de longitud de las claves.

b)      Rotación automática de claves. Cada cierto tiempo cambian las claves del AP y el cliente.

c)      Se distingue entre los ámbitos personal y empresarial. En el ámbito personal es suficiente con el esquema de una única clave que conocen todos (WPA le llama PSK [Pre-Shared Key]); en el ámbito empresarial no tiene sentido, por lo que se utiliza el  WPA empresarial, que  introduce un servidor RADIUS donde poder almacenar un usuario y una clave para cada empleado.

En general, conviene tener todas las redes en WPA, pero puede ocurrir que los equipos viejos solo admitan WEP, en cuyo caso hay que decidir entre actualizarlos o bajar la seguridad de todos los demás.

3.3. WPA empresarial: RADIUS

La seguridad de una empresa no es suficiente con cambiar la clave regularmente o  tener una clave única compartida por todos. Para ello es mejor el WPA empresarial. Un esquema de funcionamiento del WPA empresarial es:

a)      Dentro de la LAN de la empresa hay un ordenador que ejecuta un software servidor RADIUS. En RADIUS hay una base de datos de usuarios y contraseñas, y el servidor admite preguntas sobre ellos.
b)      Los AP de la empresa tienen conexión con ese ordenador.
c)      Los AP ejecutan un software cliente RADIUS, siendo capaz de hacer preguntar y analizar las respuestas.
d)      El servidor RADIUS tiene la lista de las direcciones IP de los AP que le pueden preguntar. El AP necesita que se le configure una contraseña definida en el servidor.
e)      Cuando un cliente quiere asociarse a un AP, le pide usuario y contraseña. Le hace una pregunta al servidor RADIUS utilizando la contraseña configurada para este servidor. Dependiendo de la respuesta, el AP acepta la asociación o no.

Con WPA empresarial, no sólo se mejora la seguridad, ya que cada usuario tiene su contraseña, y en cualquier momento se puede añadir o eliminar un usuario, sino que además, se puede llevar un registro de quién entra en la red en cada momento.

Con la introducción de la rotación de claves por parte de la WPA, se disuadió a los hackers de intentar obtener las claves por el método que venían haciéndolo hasta el momento. Cambiaron de táctica  y concentraron su trabajo en la clave PSK de la fase de asociación. Utilizaron la fuerza bruta de dos formas:
a) Probando contraseñas una tras otra. Éstas serían todas las combinaciones posibles de letras y números o una selección mediante un diccionario. Además,  los AP no tienen un control del número de intentos fallidos.
b) Si consiguieran capturar las tramas de inicio de conexión de un cliente, podrían aplicar un ataque de diccionario sobre la información de esas tramas.