Tema 23
Las redes Wi-Fi extienden la superficie de ataque más allá del cableado. Una auditoría inalámbrica autorizada evalúa cifrado, autenticación, segmentación, cobertura, puntos de acceso no autorizados y riesgos de suplantación.
Wi-Fi permite movilidad y acceso flexible, pero también expone la red a un medio compartido. La señal puede atravesar paredes, alcanzar espacios públicos y ser observada por dispositivos cercanos.
Una auditoría Wi-Fi no se limita a comprobar si existe contraseña. Debe revisar autenticación, cifrado, configuración de access points, redes invitadas, segmentación, rogue AP, evil twin, cobertura y monitoreo.
Por su naturaleza física, una prueba inalámbrica requiere alcance geográfico claro, autorización explícita y cuidado para no afectar redes de terceros cercanas.
El alcance inalámbrico debe definir qué SSID, ubicaciones, horarios y técnicas están permitidas. También debe indicar qué queda fuera, especialmente redes vecinas o dispositivos de terceros.
| Concepto | Descripción | Interés para auditoría |
|---|---|---|
| SSID | Nombre visible o lógico de la red | Identifica redes autorizadas y falsas |
| BSSID | Dirección MAC del access point | Distingue APs reales de suplantaciones |
| Canal | Frecuencia usada por la red | Ayuda a mapear cobertura e interferencia |
| Banda | 2.4 GHz, 5 GHz o 6 GHz | Afecta alcance, rendimiento y exposición |
| Cliente | Dispositivo conectado o buscando red | Puede revelar riesgos de configuración |
WPA reemplazó a WEP, que hoy debe considerarse inseguro. WPA2 sigue siendo común y WPA3 mejora varios aspectos, especialmente con SAE en redes personales y mejoras en protección de autenticación.
En redes personales o pequeñas, WPA2/WPA3-Personal usa una clave compartida. El riesgo principal es que todos los usuarios conocen la misma clave y su fortaleza depende de la calidad de esa contraseña.
Riesgos comunes:
WPA-Enterprise utiliza 802.1X y normalmente RADIUS para autenticar usuarios o dispositivos. Permite credenciales individuales, certificados y políticas más finas.
Un rogue AP es un punto de acceso no autorizado conectado o asociado a la infraestructura. Puede ser instalado por error, por comodidad o con intención maliciosa.
Riesgos:
Un evil twin es un punto de acceso falso que imita una red legítima para inducir a usuarios o dispositivos a conectarse. Su objetivo puede ser capturar credenciales, interceptar tráfico o engañar al usuario.
En una auditoría, este tipo de prueba requiere autorización específica porque puede afectar usuarios y credenciales.
| Riesgo | Señal | Mitigación |
|---|---|---|
| Suplantación de SSID | Nombre igual con BSSID distinto | Validar certificados y usar WPA-Enterprise correctamente |
| Captura de credenciales | Portal falso o autenticación débil | Concientización y controles técnicos |
| Conexión automática | Dispositivos se asocian sin validar | Perfiles gestionados y validación de servidor |
| Intercepción | Tráfico pasando por AP falso | HTTPS, VPN y detección de rogue AP |
Algunas pruebas inalámbricas implican desautenticación o interferencia con clientes. Estas técnicas pueden interrumpir conectividad, afectar operaciones o impactar redes cercanas.
La red de invitados debe ofrecer internet sin acceso innecesario a recursos internos. Es una de las áreas más importantes de validación.
No todas las redes Wi-Fi deben tener el mismo acceso. Usuarios corporativos, invitados, IoT, proveedores y dispositivos críticos deberían estar separados.
| Red | Acceso esperado | Riesgo si falla |
|---|---|---|
| Corporativa | Recursos internos según identidad | Acceso excesivo si no hay control por usuario |
| Invitados | Solo internet | Entrada directa a red interna |
| IoT | Servicios específicos | Dispositivos débiles como pivote |
| Proveedores | Acceso limitado y temporal | Persistencia de terceros |
| Administración | Solo equipos autorizados | Control de infraestructura desde Wi-Fi |
Ocultar el SSID no debe considerarse un control de seguridad fuerte. Los dispositivos pueden seguir revelando el nombre al intentar conectarse, y la red puede detectarse por otros medios.
Problemas comunes:
El filtrado MAC puede limitar conexiones casuales, pero no debe ser control principal. Las direcciones MAC pueden observarse y suplantarse.
WPS fue diseñado para facilitar conexión, pero históricamente introdujo riesgos. En redes corporativas y entornos sensibles debería estar deshabilitado.
La cobertura excesiva puede exponer la red fuera de las instalaciones. Una auditoría puede mapear intensidad de señal y zonas desde donde se detectan SSID corporativos.
Las redes Wi-Fi deben monitorearse para detectar rogue AP, cambios de configuración, clientes sospechosos y eventos anómalos.
| Evento | Riesgo | Respuesta esperada |
|---|---|---|
| AP no autorizado | Entrada no controlada a la red | Investigar ubicación y desconectar |
| SSID duplicado | Posible evil twin | Validar BSSID, ubicación y certificados |
| Muchos fallos de autenticación | Intentos de acceso o configuración incorrecta | Alertar y correlacionar |
| Cliente en red incorrecta | Segmentación o perfiles mal aplicados | Revisar políticas y MDM |
La seguridad Wi-Fi también depende de los clientes. Un dispositivo mal configurado puede conectarse a redes falsas o exponer información sobre redes conocidas.
La evidencia debe demostrar configuración, exposición o riesgo sin capturar tráfico sensible de terceros.
Las correcciones deben fortalecer autenticación, segmentación y monitoreo.
Un flujo responsable puede ser:
La seguridad Wi-Fi combina cifrado, autenticación, segmentación, configuración de clientes, monitoreo y control físico de cobertura. Una auditoría responsable permite detectar accesos no autorizados, configuraciones débiles y exposición innecesaria.
En el próximo tema veremos pentesting de APIs REST, GraphQL y servicios expuestos, donde el foco estará en objetos, autorización, tokens, endpoints y abuso de lógica de backend.