Hola y bienvenidos a este video titulado "Posibles problemas con el hash".
Elemento. AsÃ­ que, a modo de repaso, por si acaso llegas a este vÃ­deo sin saber nada de Ã©l...
No has visto ningÃºn otro vÃ­deo sobre este tema en particular, solo como un
Como ya sabemos, WPA3SAE primero debe generar un nÃºmero llamado contraseÃ±a.
elemento antes de realizar el intercambio SAE.
Por lo tanto, el elemento de contraseÃ±a serÃ¡ un nÃºmero que se introduce en el
diversas fÃ³rmulas que se utilizan durante el proceso de confirmaciÃ³n SAE.
Â¿Ahora bien, cÃ³mo se crea ese elemento de contraseÃ±a?
Bueno, se hace encontrando un elemento comÃºn, que es un punto comÃºn en
una curva elÃ­ptica.
Y en vÃ­deos anteriores, hablamos sobre cÃ³mo los puntos en curvas elÃ­pticas
deben coincidir con ciertas fÃ³rmulas.
El valor de x que uses, tienes que introducirlo en la fÃ³rmula, y
Si obtiene un valor y vÃ¡lido, entonces ya tienes tus dos puntos vÃ¡lidos.
Â¿Entonces cÃ³mo se hace esto?
Bueno, existen dos formas matemÃ¡ticas complejas de derivar estos valores vÃ¡lidos de x y
y puntos al proporcionar tu contraseÃ±a, tu SSID y algunas otras cosas.
como datos de entrada. Entonces, Â¿cÃ³mo tomamos la contraseÃ±a, el SSID, las direcciones MAC y otros datos?
cosas y encontrar algÃºn valor que podamos comparar con la elÃ­ptica
Â¿FÃ³rmula de la curva para comprobar si se trata realmente de una coordenada x vÃ¡lida?
Bueno, las dos formas son el hash a elemento y la caza y picoteo.
El hash del elemento es mÃ¡s reciente.
Es mÃ¡s seguro que cazar y picotear.
Y si un punto de acceso LAN inalÃ¡mbrico anuncia capacidades de hash a elemento,
y si el cliente lo admite, preferirÃ¡ el hash al elemento.
Muy bien, puede que estÃ©s pensando: genial, simplemente voy a usar hash.
al elemento entonces.
Es mÃ¡s nuevo, es mÃ¡s seguro.
Simplemente voy a usarlo.
Ahora les voy a mostrar en las siguientes diapositivas este aspecto en particular.
El vÃ­deo presenta algunos inconvenientes, errores o limitaciones.
De hecho, lo notÃ© en el laboratorio cuando usaba varios hashes para elementos.
combinaciones en la creaciÃ³n de mi red LAN inalÃ¡mbrica.
Te lo dirÃ© sin rodeos.
No puedo explicar por quÃ© estÃ¡ sucediendo esto.
Ya entiendo perfectamente todos los mecanismos de cÃ³mo funciona el mando y
El punto de acceso comunica quiÃ©n habla con el cliente, cuÃ¡ndo y quÃ© mensajes se envÃ­an.
estÃ¡n pasando, y simplemente me rendÃ­ y no pude entender por quÃ© lo que estÃ¡s haciendo
Lo que estÃ¡n a punto de ver estÃ¡ sucediendo realmente.
AsÃ­ que solo puedo mostrarte lo que podrÃ­as experimentar y aconsejarte sobre cÃ³mo hacerlo.
evÃ­talo. De acuerdo, siendo ese el caso.
Por lo tanto, algunos puntos de acceso mÃ¡s antiguos que sÃ­ admiten la bÃºsqueda y el picoteo no
Admite hash a elemento.
AsÃ­ que quizÃ¡s recuerdes que cuando saliÃ³ WPA3 por primera vez dijeron, oh, tÃº
Puede crear una versiÃ³n personal llamada WPA3SAE.
Bien, si estÃ¡s usando WPA3SAE, eso significa que tienes que crear
un elemento de contraseÃ±a.
Tienes que hacerlo porque, en Ãºltima instancia, eso te ayudarÃ¡ a crear el secreto.
clave, que en Ãºltima instancia te ayudarÃ¡ a crear tu maestro de pares
clave. AsÃ­ que empezamos con el elemento de la contraseÃ±a.
Y asÃ­, la forma original consistÃ­a en cazar y picotear.
Y luego vino la conversiÃ³n de hash a elemento.
AsÃ­ que si tienes puntos de acceso antiguos como, por ejemplo, un Cisco
El 3802i es un ejemplo porque es el que tengo aquÃ­ en mi laboratorio.
DescubrÃ­, para mi gran consternaciÃ³n, que no admiten la conversiÃ³n de hash a elemento.
Solo apoyan la caza y el picoteo.
AsÃ­ que esto es lo que descubrÃ­, para mi disgusto, que Cisco
El controlador de LAN inalÃ¡mbrica 9800 aÃºn le permitirÃ¡ hacerlo al configurar o
Al editar una red LAN inalÃ¡mbrica para seleccionar el hash del elemento, incluso si los puntos de acceso
EstÃ¡ gestionando, no lo apoyes.
Ahora podrÃ­as pensar, bueno, espera un segundo, el controlador lo sabe todo
Los puntos de acceso controlan.
Contiene toda su informaciÃ³n porque tuvieron que unirse a travÃ©s de capwap.
Â¿DeberÃ­a, entonces, el controlador saber quÃ© puntos de acceso son mÃ¡s antiguos y
Â¿QuÃ© puntos de acceso no son compatibles con H2E y cuÃ¡les sÃ­ lo son?
Â¿Y no crees que es lÃ³gico que si seleccionas H2E en tu configuraciÃ³n inalÃ¡mbrica...?
LAN que recibes algÃºn tipo de mensaje de error o una ventana emergente que dice, no compatible
o algo asÃ­, no, no verÃ¡s nada de eso.
Te permitirÃ¡ crear la LAN inalÃ¡mbrica, seleccionando el hash por elemento, incluso
si los puntos de acceso descendentes que gestiona son antiguos y ni siquiera lo saben
quÃ© es realmente un hash a elemento.
Ahora bien, tenga en cuenta que se supone que esta capacidad de hash a elemento
ser anunciado en balizas.
El punto de acceso cada, ya sabes, 10 milisegundos, en realidad cada 100
Se supone que los milisegundos, al enviar sus balizas, incluyen un poco
Hay un elemento informativo ahÃ­, que te mostrarÃ© en un minuto.
dice: Â«Apoyo la conversiÃ³n de hash a elementoÂ».
AsÃ­ que, clientes, si quieren hacer eso, yo tambiÃ©n puedo hacerlo.
AsÃ­ pues, nos encontramos ante una situaciÃ³n en la que el controlador de la LAN inalÃ¡mbrica ha sido
configurada diciendo que esta LAN inalÃ¡mbrica, esta LAN inalÃ¡mbrica WP3 va a
Utilice el hash para crear el elemento de contraseÃ±a.
Y luego se envÃ­a eso al punto de acceso y al punto de acceso
EstÃ¡ diciendo, eh, no sÃ© quÃ© es eso.
Â¿QuÃ© es H2E? Â¿QuÃ© va a pasar en esa situaciÃ³n?
Â¿QuÃ© ocurre en ese caso?
Esto es lo que les voy a mostrar.
En un mundo ideal, esto es lo que verÃ­as salir de tu acceso.
apunta cada 100 milisegundos con esas balizas.
AquÃ­ tenÃ©is una baliza que podÃ©is ver aquÃ­.
AquÃ­ estÃ¡, mÃ¡s o menos, la primera parte.
Puedes ver el elemento de informaciÃ³n RSN.
Y justo debajo estÃ¡ la extensiÃ³n RSN.
Me encanta cÃ³mo escriben con mayÃºscula la X ahÃ­, el elemento de extensiÃ³n.
Y hay una parte ahÃ­ llamada hash SAE a elemento.
Y si ese bit estÃ¡ establecido en uno, eso significa que esto es verdadero.
AsÃ­ es como el punto de acceso informa a todos los clientes y potenciales clientes.
Clientes, apoyo esta capacidad.
Si deseas usarlo, puedes hacerlo porque sÃ© cÃ³mo manejarlo.
Eso es lo que deberÃ­as ver.
De acuerdo. Ahora, las diapositivas restantes les mostrarÃ¡n lo que vi en
el laboratorio cuando estaba usando puntos de acceso mÃ¡s antiguos que no admiten hash a
elemento. Sabemos que en su 9800, si vuelvo aquÃ­ un poco
un poco. Justo aquÃ­.
Por defecto, utiliza tanto H2E como HNP.
AsÃ­ que si no hace clic en nada en este cuadro, esta contraseÃ±a SAE
L, si lo dejas asÃ­, el valor predeterminado es tanto H2E como HNP.
Ahora bien, Â¿quÃ© verÃ¡s si el punto de acceso real no lo admite?
Â¿H2E? Â¿QuÃ© va a pasar entonces?
Muy bien. Entonces, lo que van a ver es esto.
SÃ­. Entonces, cuando un cliente intente conectarse, verÃ¡ que parece
Como si estuviera funcionando.
Miren esto. A ver, dÃ©jenme que haga esto aquÃ­ arriba.
Vemos los cuatro mensajes de autenticaciÃ³n SAE, Â¿verdad?
Los dos commits, las dos confirmaciones, indican que todo parece estar bien.
AsÃ­ pues, resulta evidente que tanto el punto de acceso como el cliente llegaron a un acuerdo sobre el uso de una contraseÃ±a.
Que pudieran usar esa coincidencia, pero por alguna razÃ³n.
Y luego revisas los mensajes de asociaciÃ³n, empiezas a hacer
EAP sobre llaves terrestres.
AsÃ­ que aquÃ­ decimos: vemos el mensaje uno, el mensaje dos, el mensaje tres, y luego
Justo ahÃ­, justo despuÃ©s del mensaje clave EAP sobre tierra tres, el cliente
Enviar un mensaje de disociaciÃ³n al punto de acceso.
Ahora bien, como ya he dicho, no puedo explicar la mecÃ¡nica de por quÃ© estÃ¡ sucediendo esto.
Lo que hay debajo del capÃ³. Solo quiero que sepas que si ves esto, eso es lo que hay.
Lo que sucede es que tu controlador estÃ¡ usando tanto H2E como
HNP, pero el punto de acceso real no admite H2E.
Y entonces, este extraÃ±o comportamiento se produce cuando el cliente casi lo consigue todo.
el camino a seguir.
Pero luego, al final del tercer mensaje, dice: no, he terminado.
Me voy de este mundo inalÃ¡mbrico.
Eso es lo que verÃ¡s allÃ­.
Ahora bien, si ves eso, tambiÃ©n podrÃ­as decir: Â«Â¡Oh, hombre, me voy!Â».
Para iniciar el rastreo radiactivo en mi controlador 9800 y ver quÃ© sucede.
Enciende. Y esto es lo que verÃ¡s.
AquÃ­ dice, aquÃ­ dice clave EAP, M3 enviado correctamente.
Normalmente, el controlador no interviene en el mensaje de autenticaciÃ³n.
intercambio, los mensajes de asociaciÃ³n intercambiados o la clave EAP sobre tierra
Intercambio de mensajes.
Normalmente, eso solo se hace entre el punto de acceso y el cliente.
Es muy urgente.
Y, si lo piensas bien, un controlador podrÃ­a estar gestionando
Cientos de puntos de acceso y miles y miles de clientes.
El controlador simplemente no tiene suficiente ancho de banda para poder procesar
Todos esos mensajes que iban y venÃ­an con miles de clientes.
No lo ve.
Pero cuando activas el rastreo radioactivo y comienzas a rastrear, para
Por ejemplo, un cliente en particular, es como si el controlador enviara un
Mensaje descendente al punto de acceso que dice: oye, dime quÃ© estÃ¡s haciendo
Lo estoy haciendo. Quiero tener visibilidad de los mensajes que se estÃ¡n enviando.
AsÃ­ que ten en cuenta que normalmente el controlador no verÃ­a estos mensajes EAP.
Ãl no participarÃ­a en eso.
Pero cuando activas el rastreo radiactivo, es como si obtuviera una copia de ellos.
EstÃ¡ recibiendo mensajes desde el punto de acceso, asÃ­ que sabe lo que estÃ¡ pasando.
Y aquÃ­ mismo se muestra, tal como vimos en el rastreo del analizador de red,
DespuÃ©s de que se envÃ­a el tercer mensaje EAP sobre tierra, de repente
Al intentar eliminar el cliente, aparece el siguiente mensaje: "Motivo de eliminaciÃ³n del cliente: Tiempo de espera agotado de EAP"
Fracaso. AsÃ­ que, una vez mÃ¡s, no puedo explicar quÃ© sucede internamente.
AquÃ­ y por quÃ© estÃ¡ sucediendo esto.
Pero estos son los dos indicadores de lo que verÃ­as si las cosas...
EstÃ¡n fallando tanto con la conversiÃ³n de hash a elemento como con la bÃºsqueda y el picoteo.
Ahora bien, Â¿quÃ© ocurre si en el controlador cambiamos el hash a solo elemento?
Â¿Y si seleccionamos esa opciÃ³n en el menÃº desplegable?
Bueno, entonces el fracaso se producirÃ¡ mucho, muchÃ­simo mÃ¡s rÃ¡pido.
VerÃ¡s que el cliente enviarÃ¡ su primer mensaje de confirmaciÃ³n.
Y entonces el punto de acceso enviarÃ¡ un mensaje de confirmaciÃ³n de vuelta.
Mira aquÃ­ mismo, escribe commit.
Pero justo ahÃ­, el punto de acceso enviarÃ¡ de vuelta su mensaje de confirmaciÃ³n.
Un mensaje que indica un fallo no especificado.
Y entonces el cliente se desautenticarÃ¡.
Y entonces todo vuelve a empezar.
Esto simplemente empieza a repetirse.
AsÃ­ que ni siquiera llegarÃ¡ a los mensajes EAP sobre tierra en este caso particular.
caso con hash solo para elementos.
Esto es lo que ves.
Y de nuevo, Â¿quÃ© observamos en un rastro radiactivo en este caso?
En este caso, vemos que en realidad es un poco mÃ¡s explÃ­cito.
Indica que hay una discrepancia entre el hash esperado y el cÃ³digo de estado del elemento (PWE).
Ahora bien, esto, obviamente, te dejarÃ¡ un poco rascÃ¡ndote la cabeza.
cabeza porque dirÃ¡s, espera un segundo, cuando pueda descifrar esto inalÃ¡mbrico
En la opciÃ³n LAN del menÃº desplegable que aparece al final, seleccionÃ© Ãºnicamente H2E.
Yo seleccionÃ© eso.
Si selecciono esa opciÃ³n, entonces el punto de acceso estÃ¡ enviando sus balizas.
DeberÃ­a estar con ese hash a elemento igual a verdadero, lo que significa que lo apoyo.
Esto. Y si los clientes ven eso, se supone que deben usar hash, se supone que deben
para seleccionar un grupo de diffi-helmin que se asigne a un hash de elemento.
Y esto tambiÃ©n es una cosa.
Entonces, quizÃ¡s te preguntes cuÃ¡ndo un cliente envÃ­a su mensaje de confirmaciÃ³n al acceso
En ese punto, Â¿cÃ³mo sabe el punto de acceso si ese cliente obtuvo su contraseÃ±a?
Â¿Elemento que utiliza HNP o H2E?
No, si realmente examinas el registro de seguimiento de un mensaje de confirmaciÃ³n,
No hay ningÃºn campo que diga: "UsÃ© uno u otro".
No la hay. Bueno, lo sabe porque hay ciertas elipsis.
Grupos de curvas difusas de helmintos que se utilizan para el hash a elemento, y hay
otros grupos que se utilizan para cazar y picotear.
Por lo tanto, en el mensaje de confirmaciÃ³n del cliente, se indicarÃ¡ explÃ­citamente
Indica quÃ© grupo de difficile se utilizÃ³.
AsÃ­ que, en este caso particular, cuando llegÃ³ ese mensaje de confirmaciÃ³n de
El cliente, el grupo diffi-helmin, no era un grupo hash a elemento.
Era un grupo que cazaba y picoteaba.
Y el controlador, el punto de acceso, dice: He sido configurado para
hash solo para elementos.
Â¿Por quÃ© el cliente intenta conectarse conmigo mediante el mÃ©todo de bÃºsqueda y conexiÃ³n intermitente?
Eso no encaja.
Eso no funcionarÃ¡.
Pero lo gracioso aquÃ­ es que la razÃ³n por la que el cliente hace eso es porque
El punto de acceso es antiguo.
Y en realidad no dijo que fuera capaz de convertir elementos en sus balizas.
porque no lo apoya.
AsÃ­ pues, volviendo a empezar, si profundizamos un poco mÃ¡s, Â¿por quÃ© estÃ¡ sucediendo esto?
No puedo explicÃ¡rtelo con palabras, pero esto es lo que verÃ¡s.
Muy bien. Â¿CuÃ¡l es la conclusiÃ³n que podemos sacar de todo esto?
Â¿CÃ³mo evitar estos problemas?
Bueno, en primer lugar, si usas Wi-Fi 6E o Wi-Fi 7, tienes que hacer hash.
al elemento. AsÃ­ que, obviamente, si estÃ¡s usando Wi-Fi 6E o Wi-Fi 7, estÃ¡s
Vamos a tener un punto de acceso mÃ¡s nuevo.
Solo los puntos de acceso mÃ¡s recientes admiten esa funciÃ³n.
Y asÃ­ admitirÃ¡n la conversiÃ³n de hash a elemento.
No tienes que preocuparte por eso.
Pero si estÃ¡s usando una versiÃ³n antigua de Wi-Fi, como Wi-Fi 6 o algo asÃ­...
Incluso a un nivel inferior, es posible que su punto de acceso no admita la conversiÃ³n de hash a elemento.
Y podrÃ­as encontrarte con este tipo de problemas al configurar
Puedes usarlo con tu mando 9800 o posiblemente con cualquier otro mando.
Esta es la moraleja de la historia.
Si sabes de antemano que ninguno de tus puntos de acceso es compatible con Wi-Fi 6E
o superior, simplemente configure sus redes LAN inalÃ¡mbricas con bÃºsqueda y picoteo.
En tu controlador, no te quedes con la configuraciÃ³n predeterminada tanto de H2E como de HNP.
Ya hemos visto cÃ³mo eso causa problemas.
Simplemente ve a esa ventana desplegable y selecciona solo HNP, y no tendrÃ¡s
Si hay algÃºn problema, no se preocupen. Eso es todo por este video.
Muchas gracias por ver el vÃ­deo.
Y realmente espero que te haya sido Ãºtil.