1 00:00:04,700 --> 00:00:09,180 Hola y bienvenidos a este vídeo titulado "Marcos de gestión protegidos por WPA". 2 00:00:09,180 --> 00:00:11,320 también llamado PMF. 3 00:00:11,320 --> 00:00:17,320 Así que comencemos, es una buena idea que repasemos rápidamente las diferentes 4 00:00:17,320 --> 00:00:20,040 Tipos de marcos 802.11. 5 00:00:20,040 --> 00:00:24,020 Sabemos que 802.11 define tres tipos de tramas Wi-Fi. 6 00:00:24,020 --> 00:00:27,320 Ya tienes tus datos, que es lo que son la mayoría de los fotogramas cuando estás 7 00:00:27,320 --> 00:00:30,480 hacer tus apuestas locales, navegar por internet y todo lo demás. 8 00:00:30,480 --> 00:00:34,260 Existen tramas específicas llamadas tramas de control, como por ejemplo, la trama de autorización para enviar. 9 00:00:34,260 --> 00:00:36,000 y listo para enviar. 10 00:00:36,000 --> 00:00:38,100 Y luego tienes una variedad de marcos de gestión. 11 00:00:38,100 --> 00:00:41,740 Ahora, dentro de la sección de marcos de gestión, que es en lo que realmente nos centramos, 12 00:00:41,740 --> 00:00:47,100 Aquí tenemos cosas como balizas, tus solicitudes de sondeo y sondeos. 13 00:00:47,100 --> 00:00:52,200 respuestas, autenticación, marcos de asociación, marcos de acción. 14 00:00:52,200 --> 00:00:54,820 Esos son, por tanto, considerados marcos de gestión. 15 00:00:54,820 --> 00:01:01,560 Ahora bien, cuando pensamos en esos marcos de gestión, sí que tenemos cierta vulnerabilidad. 16 00:01:01,560 --> 00:01:04,040 Ahora pensemos, en primer lugar, ¿qué son realmente estos marcos de gestión? 17 00:01:04,040 --> 00:01:07,820 ¿Para qué se utilizan? Se utilizan para iniciar y finalizar sesiones de red. 18 00:01:07,820 --> 00:01:13,660 servicios. También proporcionan a los clientes de la LAN inalámbrica mucha información sobre 19 00:01:13,660 --> 00:01:18,060 El BSS, cuáles son sus capacidades, qué puede hacer. 20 00:01:18,060 --> 00:01:21,960 También puede informar a los clientes que actualmente están asociados al BSS que 21 00:01:21,960 --> 00:01:24,760 tomar alguna medida o hacer algo. 22 00:01:24,760 --> 00:01:29,640 Ahora bien, si esos marcos de gestión se falsifican, por ejemplo, si un acceso no autorizado... 23 00:01:29,640 --> 00:01:35,260 El punto comienza a anunciar sus propias balizas y se hace parecer exactamente 24 00:01:35,260 --> 00:01:40,560 como tu punto de acceso legítimo, y a esto lo llamamos gemelo malvado y comienza 25 00:01:40,560 --> 00:01:44,720 Al suplantar esos marcos de gestión, puede indicar a los clientes que hagan cosas. 26 00:01:44,720 --> 00:01:49,360 lo cual puede resultar en la denegación del servicio, atrayendo a los clientes a realmente 27 00:01:49,360 --> 00:01:53,600 asociar los puntos de acceso gemelos malvados al punto de acceso real, ralentizando 28 00:01:53,600 --> 00:01:56,560 caídas de tráfico wifi y todo tipo de cosas. 29 00:01:56,560 --> 00:01:58,600 Por ejemplo, aquí tenemos un gemelo malvado. 30 00:01:58,600 --> 00:02:02,940 Ha estado monitorizando las balizas, así que sabemos cuál es el BSSID y la dirección MAC. 31 00:02:02,940 --> 00:02:05,340 direcciones del punto de acceso legítimo. 32 00:02:05,340 --> 00:02:10,180 Así que, utilizando diversos métodos, podemos hacer que nuestro gemelo malvado simule eso. 33 00:02:10,180 --> 00:02:14,180 La misma dirección MAC y el mismo SSID. 34 00:02:14,180 --> 00:02:18,420 Y así, un ataque común es un ataque de autenticación D donde ahora simplemente 35 00:02:18,420 --> 00:02:22,500 Envía un mensaje de desautenticación a ese cliente diciendo: Necesito expulsarlo 36 00:02:22,500 --> 00:02:25,960 Si te desconectas, el cliente queda entonces desvinculado. 37 00:02:25,960 --> 00:02:29,420 Abandona el ámbito inalámbrico apenas por un segundo. 38 00:02:29,420 --> 00:02:34,240 Y luego, si la siguiente señal que escucha proviene de esa baliza en particular 39 00:02:34,240 --> 00:02:39,500 punto de acceso, podría terminar asociándose con el gemelo malvado. 40 00:02:39,500 --> 00:02:42,280 Y ahora podría enviar su información al gemelo malvado en lugar de al 41 00:02:42,280 --> 00:02:46,000 acceso no autorizado, en lugar del punto de acceso real. 42 00:02:46,000 --> 00:02:50,220 Ahora bien, pensemos en estos marcos de gestión: ¿qué sucede cuando entramos en...? 43 00:02:50,220 --> 00:02:52,840 Marcos de gestión protegidos, hablaré de eso en un momento. 44 00:02:52,840 --> 00:02:55,420 No estamos hablando de cifrarlos. 45 00:02:55,420 --> 00:02:57,760 No se puede cifrar el tráfico de gestión. 46 00:02:57,760 --> 00:03:02,760 Y la razón es que los marcos de gestión están diseñados para ser escuchados. 47 00:03:02,760 --> 00:03:07,520 y comprendido por todos los clientes, incluso por aquellos que no se han asociado con 48 00:03:07,520 --> 00:03:11,780 El BSS todavía. Después de todo, si vas a hacer roaming, necesitas poder 49 00:03:11,780 --> 00:03:16,540 Véase, por ejemplo, en texto plano, las balizas y las respuestas de las sondas. 50 00:03:16,540 --> 00:03:19,800 Así puedes decidir si realmente quieres conectarte a esa zona inalámbrica o 51 00:03:19,800 --> 00:03:22,880 No. Por lo tanto, no podemos cifrarlos. 52 00:03:22,880 --> 00:03:26,900 Pero lo que sí podemos hacer es protegerlos de otras maneras. 53 00:03:26,900 --> 00:03:28,940 Hablemos de eso. 54 00:03:28,940 --> 00:03:35,980 Así pues, 802.11w fue en realidad la primera especificación IEEE en la que se protegió 55 00:03:35,980 --> 00:03:39,220 Primero se introdujeron los marcos de gestión. 56 00:03:39,220 --> 00:03:42,440 Y los marcos de gestión, cuando pensamos en ellos, como la lista que acabo de hacer 57 00:03:42,440 --> 00:03:45,960 Como ya se mencionó, a grandes rasgos podemos categorizar los marcos de gestión en dos. 58 00:03:45,960 --> 00:03:50,400 tipos. Hay algunos que se envían antes del protocolo de enlace terrestre EAP, 59 00:03:50,400 --> 00:03:55,180 tales como respuestas a sondas, solicitudes de sondas, balizas, y existen esos 60 00:03:55,180 --> 00:03:57,480 que se envían después. 61 00:03:57,480 --> 00:04:03,260 Así pues, los marcos de gestión protegidos, 802.11w especificaban algunas de las funciones de gestión. 62 00:04:03,260 --> 00:04:08,940 marcos como la clase o categoría especial denominada gestión robusta 63 00:04:08,940 --> 00:04:15,300 marcos. Y estos son los que podemos proteger mediante marcos de gestión protegidos. 64 00:04:15,300 --> 00:04:19,280 Ahora bien, los marcos de gestión robustos, por definición, son aquellos marcos de gestión. 65 00:04:19,280 --> 00:04:23,900 Se utilizan después de que un cliente haya completado su protocolo de enlace EAP a través de tierra. 66 00:04:23,900 --> 00:04:27,420 ¿De qué marcos estamos hablando? 67 00:04:27,420 --> 00:04:33,420 Por lo tanto, los marcos de gestión robustos incluyen la disociación, la desautenticación, 68 00:04:33,420 --> 00:04:34,960 Marcos de acción robustos. 69 00:04:34,960 --> 00:04:36,260 Esos tres de ahí mismo. 70 00:04:36,260 --> 00:04:41,000 Ahora bien, con los marcos de acción robustos, existen muchos tipos de marcos que se incluyen en 71 00:04:41,000 --> 00:04:46,040 Esta categoría de marcos de acción robustos, como la gestión del espectro y los canales 72 00:04:46,040 --> 00:04:49,400 Anuncios de cambio de punto de acceso, donde este podría decir: "Oh, acabo de..." 73 00:04:49,400 --> 00:04:50,660 Se detectó algún radar. 74 00:04:50,660 --> 00:04:54,400 Necesitamos abandonar este canal y pasar al canal 157 en su lugar o 75 00:04:54,400 --> 00:04:55,380 Algo así. 76 00:04:55,380 --> 00:04:58,180 Eso se consideraría un anuncio de cambio de canal. 77 00:04:58,180 --> 00:05:04,860 Tramas QoS, acuses de recibo de bloqueo, transición BSS rápida cuando estás haciendo 78 00:05:04,860 --> 00:05:07,800 itinerancia rápida y otros. 79 00:05:07,800 --> 00:05:14,700 Ahora bien, existen diversas maneras en que estos marcos podrían ser mal utilizados por 80 00:05:14,700 --> 00:05:18,920 Los hackers maliciosos podrían suplantarlos y obtener a su cliente. 81 00:05:18,920 --> 00:05:22,240 creer su falsa imagen de gestión. 82 00:05:22,240 --> 00:05:25,940 Por ejemplo, fíjese en ese segundo anuncio, el del cambio de canal. 83 00:05:25,940 --> 00:05:30,940 ¿Qué ocurre si un punto de acceso no autorizado se hace pasar por el punto de acceso legítimo? 84 00:05:30,940 --> 00:05:35,800 Supongamos que actualmente estás conectado al canal uno de una banda de 2,4 gigahercios. 85 00:05:35,800 --> 00:05:38,460 LAN inalámbrica, y de repente recibes un anuncio de cambio de canal 86 00:05:38,460 --> 00:05:41,260 diciendo, ¡oigan, todos deben cambiar al canal 11! 87 00:05:41,260 --> 00:05:46,700 Bueno, si sigues eso, puede que estés sintonizando un canal que 88 00:05:46,700 --> 00:05:50,060 En realidad, está a cargo del punto de acceso no autorizado. 89 00:05:50,060 --> 00:05:51,820 Y ahora sí que estás en un buen lío. 90 00:05:51,820 --> 00:05:55,760 Y esa es solo una forma en que estos fotogramas podrían ser falsificados y utilizados para 91 00:05:55,760 --> 00:05:58,180 propósitos nefastos. 92 00:05:58,180 --> 00:06:04,960 Hablemos entonces de cómo PMF se aplica realmente para proteger a estos directivos. 93 00:06:04,960 --> 00:06:09,420 marcos. Dado que no podemos cifrarlos, ¿qué podemos hacer? 94 00:06:09,420 --> 00:06:13,180 Así pues, PMF permite la adición de una firma criptográfica. 95 00:06:13,180 --> 00:06:15,900 Así que cada vez que veas esa palabra "firma", debería sonar una campanita. 96 00:06:15,900 --> 00:06:18,880 tu cabeza, bing, bing, bing, bing, bing, una firma significa que estamos hablando 97 00:06:18,880 --> 00:06:21,300 acerca de un código de integridad de mensajes. 98 00:06:21,300 --> 00:06:25,100 Estamos hablando de proteger la integridad de los datos para que cuando 99 00:06:25,100 --> 00:06:29,880 Cuando lo recibes, sabes que los bits no han sido alterados durante el transporte. 100 00:06:29,880 --> 00:06:32,660 Y sabes que proviene de una fuente legítima. 101 00:06:32,660 --> 00:06:34,160 ¡De eso estamos hablando! 102 00:06:34,160 --> 00:06:35,520 Eso es lo que hace PMF. 103 00:06:35,520 --> 00:06:41,580 Agrega un código de integridad de mensaje a estos robustos tipos de marcos de gestión. 104 00:06:41,580 --> 00:06:42,980 de lo que acabamos de hablar. 105 00:06:42,980 --> 00:06:47,460 Así pues, el micrófono en realidad permite al receptor, que normalmente es el cliente, 106 00:06:47,460 --> 00:06:48,880 para verificar un montón de cosas. 107 00:06:48,880 --> 00:06:51,760 En primer lugar, verifica que el marco no haya sido manipulado durante el transporte. 108 00:06:51,760 --> 00:06:53,820 En otras palabras, los bits no han sido modificados. 109 00:06:53,820 --> 00:06:57,980 Y lo que es más importante, permite al receptor verificar que esto realmente 110 00:06:57,980 --> 00:07:01,720 Provino de mi punto de acceso, mi punto de acceso legítimo al que estoy asociado. 111 00:07:01,720 --> 00:07:05,960 con, no con algún punto de acceso fraudulento que intente suplantar mi identidad legítima 112 00:07:05,960 --> 00:07:11,000 punto de acceso. Así que las tramas que provienen del punto de acceso, esas robustas 113 00:07:11,000 --> 00:07:14,340 marcos de gestión, algunos de ellos son de unidifusión. 114 00:07:14,340 --> 00:07:18,500 Por ejemplo, si el punto de acceso le envía una desconexión o desautenticación 115 00:07:18,500 --> 00:07:22,160 mensaje o algo así, eso es desde el punto de acceso hacia usted como un específico 116 00:07:22,160 --> 00:07:26,400 cliente. Así que para crear el mick para esos, simplemente vamos a usar el del cliente. 117 00:07:26,400 --> 00:07:27,840 Tecla de confirmación. 118 00:07:27,840 --> 00:07:30,800 Recuerde, cuando el cliente se asoció por primera vez, pasó por el EPU por tierra. 119 00:07:30,800 --> 00:07:34,320 Mediante un apretón de manos, se creó una clave transitoria por pares. 120 00:07:34,320 --> 00:07:38,840 Y luego parte de esa clave transitoria por pares fue, en cierto modo, redefinida como 121 00:07:38,840 --> 00:07:43,080 una clave de confirmación clave, específicamente con el propósito de crear estas 122 00:07:43,080 --> 00:07:45,040 Códigos de integridad de mensajes. 123 00:07:45,040 --> 00:07:46,060 Para eso sirve. 124 00:07:46,060 --> 00:07:51,100 Por lo tanto, esa misma clave de confirmación se puede usar para crear una mezcla para estos. 125 00:07:51,100 --> 00:07:54,420 Unicast, marcos de gestión robustos. 126 00:07:54,420 --> 00:07:59,220 Ahora bien, a veces el punto de acceso enviará una trama de gestión robusta que 127 00:07:59,220 --> 00:08:03,180 Es una transmisión que se utiliza para todos los clientes de la red LAN inalámbrica. 128 00:08:03,180 --> 00:08:07,500 Y no puedes usar la clave de confirmación de ningún cliente para crear una mezcla. 129 00:08:07,500 --> 00:08:12,440 para esos casos. En ese caso, el punto de acceso tiene su propia característica especial. 130 00:08:12,440 --> 00:08:18,580 clave denominada clave temporal del grupo de integridad que utiliza para crear y 131 00:08:18,580 --> 00:08:20,360 Aplicar la mezcla a esos. 132 00:08:20,360 --> 00:08:23,560 Y hablaremos más sobre eso en un momento. 133 00:08:23,560 --> 00:08:25,580 Aquí tenéis una comparación. 134 00:08:25,580 --> 00:08:29,460 Como se puede ver en el registro del analizador de paquetes de la parte superior, se trata de un marco de gestión. 135 00:08:29,460 --> 00:08:30,760 Se trata de una desautenticación. 136 00:08:30,760 --> 00:08:33,480 Por lo tanto, esto se consideraría un marco de gestión sólido, pero no hay ninguno. 137 00:08:33,480 --> 00:08:34,640 protección aquí. 138 00:08:34,640 --> 00:08:38,600 No hay indicio alguno de protección de la integridad mediante un micrófono ni nada parecido. 139 00:08:38,600 --> 00:08:43,620 de lo contrario. Mientras que más abajo, si vemos un marco de desautenticación aquí, nosotros 140 00:08:43,620 --> 00:08:46,680 De hecho, se puede ver que dice "datos" y que contiene algunos datos. 141 00:08:46,680 --> 00:08:52,240 Y este, este es precisamente el Mick que se añadió mediante gestión protegida. 142 00:08:52,240 --> 00:08:56,060 marco. Ahora bien, si lo abrimos un poco más, vemos incluso 143 00:08:56,060 --> 00:09:01,100 Más información y más confirmación de que esto ha sido protegido a través de 144 00:09:01,100 --> 00:09:03,840 PMF. Y eso es lo que vemos aquí mismo. 145 00:09:03,840 --> 00:09:06,420 Así que si lo abrimos aún más, en primer lugar, podemos ver debajo de las banderas 146 00:09:06,420 --> 00:09:09,740 En este campo, existe una bandera llamada bandera protegida. 147 00:09:09,740 --> 00:09:13,880 Y si está configurado en uno, como en este caso, indica que estos datos están protegidos. 148 00:09:13,880 --> 00:09:17,440 Ahí mismo tienes la confirmación de que PMF está en ti. 149 00:09:17,440 --> 00:09:19,140 Ahora, algunas cosas más aquí abajo. 150 00:09:19,140 --> 00:09:22,180 Ya sabemos que los datos que aparecen aquí abajo son los de Mick. 151 00:09:22,180 --> 00:09:24,200 Ese es el código de integridad del mensaje. 152 00:09:24,200 --> 00:09:26,060 ¿Qué ocurre con los parámetros CCNP? 153 00:09:26,060 --> 00:09:28,260 ¿Qué es eso? Vale. 154 00:09:28,260 --> 00:09:34,800 Se trata, pues, de un marco de gestión robusto de unidifusión, unidifusión desde el acceso 155 00:09:34,800 --> 00:09:36,820 Señalar al cliente, ¿verdad? 156 00:09:36,820 --> 00:09:38,900 Desde el punto de acceso de Cisco hasta el cliente. 157 00:09:38,900 --> 00:09:45,760 Por lo tanto, el protocolo CCNP, ahora, normalmente cuando pensamos en CCNP, pensamos 158 00:09:45,760 --> 00:09:50,960 se presenta como una fórmula o un algoritmo para averiguar cómo cifrar datos. 159 00:09:50,960 --> 00:09:53,120 y cómo descifrar los datos. 160 00:09:53,120 --> 00:09:57,100 Pero si consultas las especificaciones del CCNP, también incluye una parte sobre eso. 161 00:09:57,100 --> 00:10:01,720 sobre cómo creamos y aplicamos códigos de integridad de mensajes. 162 00:10:01,720 --> 00:10:03,980 Así que CCNP hace ambas cosas. 163 00:10:03,980 --> 00:10:09,040 En este caso particular, simplemente estamos utilizando el código de integridad del mensaje. 164 00:10:09,040 --> 00:10:14,120 Parte de CCNP. Esto significa que se utilizó CCNP para crear la integridad del mensaje. 165 00:10:14,120 --> 00:10:19,500 código de integridad. Y entonces dice, en primer lugar, que el índice clave es 166 00:10:19,500 --> 00:10:26,200 cero, de lo que se habla es de que a veces puede haber un cambio 167 00:10:26,200 --> 00:10:31,460 en una clave. Y si hay un momento en que la clave se está girando o cambiando, 168 00:10:31,460 --> 00:10:35,960 En un momento dado, podría haber más de una clave posible. 169 00:10:35,960 --> 00:10:39,860 Por lo tanto, el índice clave le indicaría que la clave más antigua es la más antigua. 170 00:10:39,860 --> 00:10:44,180 Estamos usando, por ejemplo, la clave cero, o ahora la estamos protegiendo con una clave más reciente. 171 00:10:44,180 --> 00:10:48,460 como la clave uno. Ahora bien, en el caso de tramas unicast, esto siempre sería 172 00:10:48,460 --> 00:10:54,360 cero. Este índice clave será más aplicable cuando hablemos de protección. 173 00:10:54,360 --> 00:10:58,160 fotogramas de transmisión, como un anuncio de cambio de canal o algo así 174 00:10:58,160 --> 00:11:03,240 Eso. Porque en ese caso particular, el punto de acceso podría rotar su 175 00:11:03,240 --> 00:11:07,100 Claves para proteger el tráfico de difusión y multidifusión. 176 00:11:07,100 --> 00:11:11,480 Sin embargo, eso no se verá realmente con tráfico unicast. 177 00:11:11,480 --> 00:11:16,340 Pero la extensión CCNP, el vector de inicialización, esto también es una especie de 178 00:11:16,340 --> 00:11:19,440 Interesante. Esto se usa para evitar repeticiones. 179 00:11:19,440 --> 00:11:21,820 Esto se denomina protección antirrepetición. 180 00:11:21,820 --> 00:11:26,140 Verás, cada vez que uno de estos marcos se apaga, estos, estos protegidos 181 00:11:26,140 --> 00:11:30,520 Los marcos de gestión están protegidos con PMF, que funciona como un contador. 182 00:11:30,520 --> 00:11:32,540 Fíjate que aquí al final pone ocho. 183 00:11:32,540 --> 00:11:34,480 Esto, y esto proviene del punto de acceso. 184 00:11:34,480 --> 00:11:38,920 Eso significa que este es el octavo marco de gestión protegido. 185 00:11:38,920 --> 00:11:43,820 Este punto de acceso ha enviado a este cliente en particular durante la duración 186 00:11:43,820 --> 00:11:45,540 de esta asociación. 187 00:11:45,540 --> 00:11:49,480 Y si tiene más para enviar, seguirá aumentando. 188 00:11:49,480 --> 00:11:53,900 Esto podría utilizarse si este cliente recibiera repentinamente un correo protegido. 189 00:11:53,900 --> 00:11:58,100 marco de gestión que parecía provenir de este punto de acceso, 190 00:11:58,100 --> 00:12:02,240 pero supongamos que el vector de inicialización era el número siete o seis en 191 00:12:02,240 --> 00:12:05,620 Al final, diría el cliente, eso no es válido. 192 00:12:05,620 --> 00:12:10,460 Estas cifras solo deberían ir en aumento, no mantenerse iguales ni disminuir. 193 00:12:10,460 --> 00:12:13,480 Eso podría ser un ataque de repetición. 194 00:12:13,480 --> 00:12:15,340 Y entonces el cliente simplemente lo borraría. 195 00:12:15,340 --> 00:12:17,320 Simplemente lo ignoraría. 196 00:12:17,320 --> 00:12:18,640 Así es como lo hacemos aquí. 197 00:12:18,640 --> 00:12:21,240 Por lo tanto, los marcos de gestión protegidos no solo añaden integridad al mensaje. 198 00:12:21,240 --> 00:12:25,460 Código para verificar que el paquete proviene de un remitente legítimo. 199 00:12:25,460 --> 00:12:31,100 También protege contra la repetición. 200 00:12:31,100 --> 00:12:35,040 Y esto te muestra aquí una baliza que ha sido captada. 201 00:12:35,040 --> 00:12:38,780 Y dentro de la baliza, se anunciará desde el punto de acceso. 202 00:12:38,780 --> 00:12:43,960 Si PMF está en uso o no en la LAN inalámbrica, puede ver que hay un par. 203 00:12:43,960 --> 00:12:46,560 de banderas para ello aquí. 204 00:12:46,560 --> 00:12:49,680 Y esto se debe a que cuando realmente entras en tu, por ejemplo, tu 205 00:12:49,680 --> 00:12:53,540 controlador de LAN inalámbrica, y estás en la configuración o, ya sabes, 206 00:12:53,540 --> 00:12:59,500 Al editar la configuración de la red inalámbrica, verá que para WPA3, en primer lugar, 207 00:12:59,500 --> 00:13:03,380 WPA2, déjame volver aquí. 208 00:13:03,380 --> 00:13:06,740 Así que marcos de gestión protegidos, y veremos esto próximamente 209 00:13:06,740 --> 00:13:10,280 En tan solo un segundo, son opcionales para WPA2. 210 00:13:10,280 --> 00:13:11,900 Puedes tenerlas o no tenerlas. 211 00:13:11,900 --> 00:13:15,380 Son necesarios para WPA3. 212 00:13:15,380 --> 00:13:18,720 Así que probablemente me saltaré esa diapositiva cuando llegue a ella. 213 00:13:18,720 --> 00:13:22,300 Entonces, si es así, para eso sirven estas banderas. 214 00:13:22,300 --> 00:13:27,480 Por lo tanto, en una red LAN inalámbrica WPA3, esperaríamos que ambos estuvieran activados. 215 00:13:27,480 --> 00:13:33,020 No solo es posible la protección del marco de gestión, eso es cierto, sino que 216 00:13:33,020 --> 00:13:35,400 Se requiere protección del marco de gestión. 217 00:13:35,400 --> 00:13:36,580 Eso también es cierto. 218 00:13:36,580 --> 00:13:38,520 Por lo tanto, es capaz y necesario. 219 00:13:38,520 --> 00:13:44,040 En cambio, si viéramos esta baliza desde una red LAN inalámbrica WPA2, donde 220 00:13:44,040 --> 00:13:47,840 Si hubieras configurado la protección del marco de administración como opcional, entonces... 221 00:13:47,840 --> 00:13:51,900 Verás que la protección es posible, pero también verás que se requiere protección. 222 00:13:51,900 --> 00:13:57,480 lo cual es falso. Pero en cualquier caso, si ves que alguno de estos bits está activado, 223 00:13:57,480 --> 00:14:03,400 Eso significa que podemos utilizar tramas de gestión protegidas en esta red LAN inalámbrica. 224 00:14:03,400 --> 00:14:09,360 De acuerdo. Quizás lo hayas notado en algún análisis anterior. 225 00:14:09,360 --> 00:14:13,180 Encontré rastros de los que se mencionaba algo en la red de seguridad robusta, 226 00:14:13,180 --> 00:14:16,140 un elemento de las balizas. 227 00:14:16,140 --> 00:14:17,920 Existía algo llamado BIP. 228 00:14:17,920 --> 00:14:23,040 ¿Qué es BIP? Hemos estado hablando sobre cómo algunos marcos de gestión robustos... 229 00:14:23,040 --> 00:14:25,960 se envían como transmisiones o multidifusiones. 230 00:14:25,960 --> 00:14:28,680 Por ejemplo, una desautenticación de multidifusión. 231 00:14:28,680 --> 00:14:31,920 Si el punto de acceso dice: "Necesito desconectar a todos ahora mismo", 232 00:14:31,920 --> 00:14:37,780 o un anuncio de cambio de canal, o algunos marcos de acción dirigidos a un grupo. 233 00:14:37,780 --> 00:14:42,020 Ahora bien, si queremos utilizar marcos de administración protegidos contra ellos, no podemos. 234 00:14:42,020 --> 00:14:48,400 crear el MIC utilizando la clave temporal de cualquier cliente en particular, porque solo 235 00:14:48,400 --> 00:14:50,680 Ese cliente podrá validarlo. 236 00:14:50,680 --> 00:14:52,680 Otros clientes no lo harán. 237 00:14:52,680 --> 00:14:58,980 Así que, en cambio, existe algo llamado integridad de difusión o multidifusión. 238 00:14:58,980 --> 00:15:00,820 protocolo que se utiliza. 239 00:15:00,820 --> 00:15:02,480 Y eso es BIP. 240 00:15:02,480 --> 00:15:04,520 Y ya hemos empezado a experimentar con esto. 241 00:15:04,520 --> 00:15:05,560 Hablamos un poco. 242 00:15:05,560 --> 00:15:11,940 Entonces, en 802.11w, recuerde que esa es la especificación del marco de gestión protegido. 243 00:15:11,940 --> 00:15:16,860 Se introdujo una nueva clave para su uso con esta transmisión: la integridad de la multidifusión. 244 00:15:16,860 --> 00:15:21,380 protocolo, que se denomina clave temporal del grupo de integridad. 245 00:15:21,380 --> 00:15:24,940 Es tarea de los puntos de acceso obtener esta información. 246 00:15:24,940 --> 00:15:29,720 Así que recuerda que el punto de acceso, al arrancar, aparecerá 247 00:15:29,720 --> 00:15:32,740 con una llave maestra de grupo, una GMK. 248 00:15:32,740 --> 00:15:38,380 Y a partir de eso, se derivará una clave temporal de grupo para el cifrado. 249 00:15:38,380 --> 00:15:40,960 Datos de difusión y multidifusión. 250 00:15:40,960 --> 00:15:46,680 También derivará esto y la clave temporal del grupo de integridad en 251 00:15:46,680 --> 00:15:52,060 IGTK. Y al igual que con GTK, la clave temporal del grupo se proporciona a los clientes. 252 00:15:52,060 --> 00:16:02,080 En el tercer mensaje, la razón por la que tuvimos que idear esto es porque 253 00:16:02,080 --> 00:16:07,820 CCMP o GCMP, dependiendo de cuál uses, hablamos sobre cómo funcionan esos 254 00:16:07,820 --> 00:16:12,660 Los algoritmos tienen una sección dedicada a cómo ciframos y desciframos. 255 00:16:12,660 --> 00:16:16,400 datos. Y luego también tienen otra sección en esos protocolos sobre 256 00:16:16,400 --> 00:16:20,240 ¿Cómo creamos los códigos de integridad de mensajes y cómo los validamos? 257 00:16:20,240 --> 00:16:24,280 Bueno, la sección del código de integridad del mensaje, en realidad, todo eso es para 258 00:16:24,280 --> 00:16:30,340 Cosas de unidifusión. Por eso, CCMP y GCMP se diseñaron para realizar toda su seguridad. 259 00:16:30,340 --> 00:16:35,360 En unidifusión. Realmente no pueden manejar difusión ni multidifusión. 260 00:16:35,360 --> 00:16:38,360 Y por eso se creó BIP. 261 00:16:38,360 --> 00:16:40,020 Y BIP tuvo que crear su propia clave. 262 00:16:40,020 --> 00:16:43,460 Y por eso desarrollaron el IGTK para BIP. 263 00:16:43,460 --> 00:16:46,520 Y eso es lo que crea el código de integridad del mensaje. 264 00:16:46,520 --> 00:16:50,040 Así que podemos ver aquí mismo, en el mensaje número tres, que es cuando va a suceder. 265 00:16:50,040 --> 00:16:53,900 Para salir. Unas últimas reflexiones. 266 00:16:53,900 --> 00:16:59,620 En tramas de gestión protegidas por PMF, una vez más, para una gestión robusta de unidifusión. 267 00:16:59,620 --> 00:17:03,740 En este caso, el MIC se crea tomando los datos temporales individuales del cliente. 268 00:17:03,740 --> 00:17:09,980 La clave se procesa mediante el algoritmo CCMP o GCMP y genera un mensaje. 269 00:17:09,980 --> 00:17:14,780 Código de integridad para esa trama en particular, esa trama Wi-Fi. 270 00:17:14,780 --> 00:17:21,340 Para tramas de difusión o multidifusión, utilizamos el IGTK y lo aplicamos con BIP. 271 00:17:21,340 --> 00:17:22,800 contra los datos. 272 00:17:22,800 --> 00:17:25,900 Y eso crea un micrófono para el cuadro de transmisión. 273 00:17:25,900 --> 00:17:29,040 Como ya mencioné, WPA2 fue la primera opción. 274 00:17:29,040 --> 00:17:31,300 PMF es un servicio opcional. 275 00:17:31,300 --> 00:17:34,840 WPA3 requiere tramas de gestión protegidas. 276 00:17:34,840 --> 00:17:37,200 Y aquí mismo puedes ver una captura de pantalla. 277 00:17:37,200 --> 00:17:43,400 Si intentas crear una LAN inalámbrica WPA3 y dejas PMF desactivado, 278 00:17:43,400 --> 00:17:44,840 Vas a recibir este mensaje de error. 279 00:17:44,840 --> 00:17:46,900 Y de hecho te dirá que debe ser obligatorio. 280 00:17:46,900 --> 00:17:51,780 Es obligatorio. Debes activarlo para esta red LAN inalámbrica en particular. 281 00:17:51,780 --> 00:17:56,060 Y con esto concluye este vídeo sobre marcos de gestión protegidos. 282 00:17:56,060 --> 00:17:57,060 Muchas gracias por ver el vídeo.