Hola y bienvenidos a esta grabaciÃ³n sobre una funciÃ³n de WPA3 llamada ProtecciÃ³n de balizas.
Hagamos un breve repaso de quÃ© son las balizas.
Los marcos de baliza son marcos de gestiÃ³n 802.11 y se utilizan para muchas cosas.
por diferentes razones.
Seguramente ya sabes que los utilizan los clientes de redes LAN inalÃ¡mbricas.
para descubrir la red LAN inalÃ¡mbrica.
Â¿Sabes quÃ© redes SSID hay a mi alrededor y cuÃ¡les son sus capacidades?
Dentro de la baliza se indican cosas como quÃ© mecanismos de autenticaciÃ³n son
Â¿QuÃ© mecanismos de cifrado se utilizan? Â¿QuÃ© canales se utilizan?
Un montÃ³n de cosas.
Las balizas estÃ¡n repletas de informaciÃ³n.
TambiÃ©n ayudan a los clientes de la red LAN inalÃ¡mbrica a mantener su conexiÃ³n.
a la red LAN inalÃ¡mbrica.
Un cliente de red inalÃ¡mbrica debe poder recibir balizas si, por alguna razÃ³n,
ya sea porque el cliente se ha mudado demasiado lejos o porque ha habido un aumento
en interferencias de radiofrecuencia y ya no puede recibir balizas que
Los clientes pueden tener que buscar una red LAN inalÃ¡mbrica diferente a la que conectarse.
Ahora las balizas se envÃ­an en texto plano y sin cifrar, por lo que si realizas una conexiÃ³n Wi-Fi
Puedes leer los rastros del analizador de paquetes de datos de principio a fin.
Ahora bien, una vez asociadas a una red LAN inalÃ¡mbrica, podrÃ­a producirse suplantaciÃ³n de identidad en las balizas.
En ese caso, tienes un punto de acceso no autorizado que estÃ¡ enviando sus antiguas balizas.
El peor escenario posible es tener un punto de acceso que en realidad
suplantando la direcciÃ³n MAC de su punto de acceso legÃ­timo, pero las balizas
La direcciÃ³n MAC fraudulenta que estÃ¡ enviando estÃ¡ causando fallos o errores en los clientes.
informaciÃ³n. Puede resultar en la disociaciÃ³n de clientes, limitaciÃ³n de velocidad
El cliente, Â¿sabes quÃ© pasa si el punto de acceso no autorizado dice: "Oh, solo admito"?
Esta red LAN inalÃ¡mbrica solo admite un megabit por segundo y eso es todo.
Â¡Guau, imagina cÃ³mo afectarÃ¡ eso a tu conexiÃ³n Wi-Fi si empiezas a usarla!
Creer eso y limitar la velocidad a ese nivel.
Incluso puede forzarte a cambiar a un canal diferente enviando un mensaje de error.
Anuncio del cambio.
Por ello, WPA3 aÃ±adiÃ³ protecciÃ³n mediante balizas para reducir algunos de estos riesgos.
Entonces, Â¿cÃ³mo se protegen?
Bueno, si has visto mi vÃ­deo sobre tramas de gestiÃ³n protegidas por WPA3, supongo que PMF
El mismo concepto se aplica aquÃ­.
La idea es que no podemos cifrar las balizas, por lo que aÃºn asÃ­ hay que enviarlas.
en texto plano para que todo el mundo pueda leerlos, incluso los clientes que no lo son.
AÃºn no estÃ¡ asociada a la red LAN inalÃ¡mbrica, pero lo estamos considerando.
Por lo tanto, no podemos cifrarlo, pero podemos validar su integridad y autenticaciÃ³n.
del faro aÃ±adiendo un cÃ³digo de integridad de mensaje o un MAC.
Ya tenemos el punto de acceso y utilizaremos una llave especial solo para este propÃ³sito.
clave temporal la gran TK.
AsÃ­ como existen otras claves que los puntos de acceso proporcionarÃ¡n a
los clientes, por ejemplo, la clave temporal del grupo, la IG TK, esos y
Este se transmite en Epos a travÃ©s del mensaje clave LAN nÃºmero tres.
AsÃ­ que tienes que pasar por ese apretÃ³n de manos cuÃ¡druple para recibir
esta clave. Ahora bien, Â¿quÃ© significa esto para los clientes que no estÃ¡n asociados a
Â¿Ya tienes la red inalÃ¡mbrica?
Aun asÃ­, podrÃ¡n recibir esas balizas y analizarlas.
y ver quÃ© hay dentro de ellos, solo hasta que realmente se asocien
a la red inalÃ¡mbrica y han pasado por el protocolo de enlace Epos sobre LAN.
no podrÃ¡n analizar ese cÃ³digo de integridad del mensaje y no podrÃ¡n
para determinar si el punto de acceso es legÃ­timo o no autorizado hasta
Ya han pasado por esa parte.
Esto es solo para garantizar la integridad, no el cifrado, y se comparte entre
Todos los clientes, al igual que la clave temporal del grupo, estÃ¡n asociados con
ese SSID. Ahora bien, para tener esta funciÃ³n, debe tener protegida la red Wi-Fi.
Marcos de gestiÃ³n activados.
Por lo tanto, no se trata de una funciÃ³n independiente, sino de algo opcional.
pero si lo quieres, ya tienes que estar usando PMF.
Ahora bien, si utilizas Wi-Fi 7 o superior, resulta que la protecciÃ³n de balizas
Al igual que se requieren marcos de gestiÃ³n protegidos.
Ahora, de hecho, en los marcos de gestiÃ³n protegidos por WPA3 ya se requiere en
Al menos en los dispositivos Cisco no se puede crear una LAN inalÃ¡mbrica WPA3 sin tener
marcos de gestiÃ³n protegidos.
Ahora bien, la protecciÃ³n de balizas como caracterÃ­stica secundaria es opcional en
Wi-Fi 6E o inferior es necesario, pero por encima de eso sÃ­ que lo tienes.
Ahora bien, Â¿cÃ³mo lo habilitamos realmente?
Bueno, en la versiÃ³n 17.15 o posterior, y eso es fundamental aquÃ­ si estÃ¡s
Vamos a hacer esto en el laboratorio, asegÃºrate de que tu controlador estÃ©...
Si su sistema operativo es 17.15 o superior, verÃ¡ que al seleccionar WPA3 como su configuraciÃ³n de red, esto es lo que verÃ¡.
Ahora habrÃ¡ una casilla de verificaciÃ³n que puede marcar para el tipo de LAN inalÃ¡mbrica.
ProtecciÃ³n de baliza.
Ahora bien, Â¿cÃ³mo sabemos realmente si estÃ¡ funcionando, si estÃ¡ haciendo algo?
Si abres el marco de tu baliza, verÃ¡s aquÃ­, en la secciÃ³n "Extendido".
capacidades octeto 11, por lo que serÃ¡ como el Ãºltimo octeto bajo extendido
capacidades: si abres eso, verÃ¡s una bandera establecida en el nÃºmero uno que dice
ProtecciÃ³n de baliza habilitada, sÃ­, es cierto, y luego abajo del todo
Tuve que recortar algunas partes de la baliza, pero en la parte inferior verÃ¡s
Este elemento adicional se llama elemento de gestiÃ³n mik y esto en realidad
Contiene el cÃ³digo de integridad del mensaje, por lo que estas dos cosas juntas
Proporcione su confirmaciÃ³n de que la funciÃ³n de protecciÃ³n de balizas estÃ¡ activada.
Ahora realmente no hay forma de ver el verdadero gran TK, al igual que no hay...
forma de ver la clave temporal del grupo porque, aunque se transmita
Desde el punto de acceso al cliente en el mensaje clave nÃºmero tres de Epos-Rlan
Recuerda que el mensaje clave nÃºmero tres de Epos-Rlan es en realidad el contenido
estÃ¡n cifrados con la clave de cifrado que se derivÃ³ en el mensaje.
NÃºmero uno, aquÃ­ abajo podemos ver los datos clave de la WPA y esto va
para ser nuestra clave temporal de grupo, posiblemente una iGtk y la gran tk si somos
Haciendo eso tambiÃ©n, y todo esto estÃ¡ cifrado con la clave de cifrado.
entre el cliente y el punto de acceso, asÃ­ que solo algunas reflexiones finales sobre
Por lo tanto, la protecciÃ³n de balizas solo protegerÃ¡ al cliente del acceso no autorizado.
puntos que intentan suplantar la identidad legÃ­tima mediante la duplicaciÃ³n de MAC
punto de acceso si alguien tiene un punto de acceso no autorizado y no lo ha detectado.
Se molestaron en hacerlo, dicen, Â¿sabes quÃ©? Voy a insertar un acceso
punto que estÃ¡ anunciando exactamente el mismo SSID que el SSID corporativo y
Voy a dejar mi direcciÃ³n MAC como estÃ¡, no la voy a cambiar.
Entonces, recuerda que la protecciÃ³n de balizas no protege contra eso.
Es responsabilidad del cliente decidir a quÃ© punto de acceso va a intentar conectarse.
La uniÃ³n suele depender de la potencia o la claridad de la seÃ±al.
que el punto de acceso tiene en su baliza, asÃ­ que si mi empresa legÃ­tima
Mi punto de acceso estÃ¡ detrÃ¡s de un par de paredes y la seÃ±al eres tÃº.
Conocen el nivel de acceso de moderado a dÃ©bil y, de repente, se instala un punto de acceso no autorizado.
Es muy probable que mi cliente estÃ© en la misma habitaciÃ³n que yo.
IntentarÃ¡ conectarse al punto de acceso no autorizado y esta funciÃ³n no funcionarÃ¡.
Para evitar ese Ãºltimo pensamiento, el antiguo acceso a la aeronÃ¡utica de Cisco Wave 2
modelos de puntos y algunos modelos que tienes aquÃ­, lamentablemente no tienen
la capacidad del hardware para admitir la protecciÃ³n de balizas, por lo que si desea
Intenta hacer esto en el laboratorio con tu propio punto de acceso, que tal vez hayas comprado.
Si lo compras en eBay o algo asÃ­, asegÃºrate de no comprar uno de los mÃ¡s antiguos.
AsÃ­ es, porque no podrÃ¡s hacerlo, y con esto concluye este video.