Hola y bienvenidos a este vÃ­deo titulado Consultas sobre PMF y SA.
En este vÃ­deo en particular vamos a hablar de aspectos especÃ­ficos.
de marcos de gestiÃ³n protegidos que protegen a los clientes y los puntos de acceso
contra actores maliciosos que intenten suplantar la identidad de un cliente y un socio.
Entremos entonces en los detalles.
AsÃ­ que antes de los marcos de gestiÃ³n protegidos, y si recuerdan, esto es un
Breve resumen de los marcos de gestiÃ³n protegidos que aprendimos en un anterior
En un vÃ­deo se explica que existen ciertos marcos de gestiÃ³n denominados gestiÃ³n robusta.
marcos como los de desautenticaciÃ³n, disociaciÃ³n y acciÃ³n.
Y los marcos de gestiÃ³n protegidos se diseÃ±aron para que el punto de acceso
podrÃ­a aÃ±adir un MIC, un cÃ³digo de integridad de mensajes, a esos marcos para que cuando
Un receptor los recibiÃ³ como tu cliente inalÃ¡mbrico; te dio una sensaciÃ³n cÃ¡lida y agradable.
que ese fotograma procedÃ­a realmente de un punto de acceso legÃ­timo y no
Un actor malicioso que actÃºa como un punto de acceso no autorizado.
Esto es algo que viene incluido con los marcos de gestiÃ³n protegidos.
AsÃ­ que, al habilitar los marcos de administraciÃ³n protegidos, esto viene incluido.
Ya estÃ¡ activado por defecto, aunque hay un par de temporizadores que
Vas a modificarlo y eso es lo que vamos a analizar aquÃ­.
AsÃ­ que, antes de que existieran los marcos de gestiÃ³n protegidos, si ya estabas asociado
Hablemos entonces de protocolos como WPA2 o incluso del antiguo WPA original.
Si usted, un cliente legÃ­timo, estuviera asociado a su punto de acceso y entonces
Un atacante malintencionado realizÃ³ suplantaciÃ³n de identidad Wi-Fi y descubriÃ³ tu MAC.
direcciÃ³n, cambiaron su propia direcciÃ³n MAC para que se viera exactamente igual a la tuya y
Luego enviaron una solicitud de asociaciÃ³n al punto de acceso, que en realidad...
esto provoca que el punto de acceso te desconecte de la red LAN inalÃ¡mbrica y asÃ­ sucesivamente.
AsÃ­ es como funcionaba.
AquÃ­ tenemos una asociaciÃ³n de seguridad existente, una asociaciÃ³n existente
entre el punto de acceso y la estaciÃ³n, entonces, de repente, el malicioso
Actores a los que les gusta hablar de que cambiaron su direcciÃ³n MAC para que se viera exactamente como
La tuya y ellos envÃ­an su propia solicitud de asociaciÃ³n.
Bueno, llegado este punto, el punto de acceso se va a confundir un poco.
Creo que va a decir algo como "Espera un segundo, esta persona ya estÃ¡ asociada".
Mmm, tal vez algo pasÃ³, los expulsaron y ahora estÃ¡n asociados.
Nuevamente, la respuesta del punto de acceso serÃ­a conectarse para terminar
la conexiÃ³n, por lo que el cliente LAN legÃ­timo de Wiles de repente simplemente
perdieron su conexiÃ³n Wi-Fi y luego, en uno o dos segundos, les toma
Para volver a conectarse, el actor malicioso podrÃ­a asociarse con Ã©xito
a la red LAN inalÃ¡mbrica.
Ahora, afortunadamente para nosotros, cuando activas los marcos de administraciÃ³n protegidos, que
Se requiere para WPA3; tiene un mecanismo integrado del que trata este vÃ­deo.
para evitar ese tipo de cosas.
AsÃ­ es como funciona.
AsÃ­ que con marcos de gestiÃ³n protegidos tienes dos mecanismos:
un temporizador de retorno de asociaciÃ³n y un procedimiento de consulta SA, ambos
Fueron diseÃ±ados para prevenir ese tipo de ataque que acabo de mostrarte.
Hablemos primero del temporizador de regreso de la asociaciÃ³n.
Entonces, el funcionamiento es el siguiente: supongamos que se recibe una solicitud de asociaciÃ³n.
AsÃ­ que ahora el punto de acceso o el controlador de LAN inalÃ¡mbrica, o bien uno de los dos, es
Voy a comprobar si ya existe una asociaciÃ³n desde
Ese mismo cliente, desde la misma direcciÃ³n MAC.
Si existe, en lugar de simplemente expulsar a ese cliente, en realidad enviarÃ¡
una respuesta a esa solicitud de asociaciÃ³n en una respuesta de asociaciÃ³n
BÃ¡sicamente lo niega y muestra un cÃ³digo de estado 30, diciendo por favor.
Vuelve mÃ¡s tarde y asÃ­ es como se ve aquÃ­ en una versiÃ³n mÃ¡s rÃ­gida.
Disculpa, la imagen estÃ¡ un poco borrosa; no pude tomar una captura de pantalla nÃ­tida.
que esto, pero puedes ver arriba que dice respuesta de asociaciÃ³n.
Esto proviene de la solicitud de asociaciÃ³n del cÃ³digo de estado del punto de acceso.
Rechazado temporalmente. IntÃ©ntelo de nuevo mÃ¡s tarde. El cÃ³digo de estado es 30.
Ver 1e y hexadecimal es igual a 30 y luego abajo dice esto
Es resultado del tiempo de regreso de la asociaciÃ³n; dice que puedes intentarlo de nuevo.
Ahora bien, esto estÃ¡ en milisegundos, por lo que serÃ­a un segundo o 1000 milisegundos.
Ese temporizador de ahÃ­ es lo que puedes configurar, al menos en el Cisco.
Controladores LAN inalÃ¡mbricos 9800. Te mostrarÃ© cÃ³mo puedes configurar ese temporizador.
a un valor diferente si lo desea.
Bien, ahora hay otra cosa que sucede una vez que regresa esa asociaciÃ³n.
El temporizador se inicia en el punto de acceso y dice: "De acuerdo, no voy a permitir...".
Cualquier otra solicitud de asociaciÃ³n de este cliente en particular durante ese perÃ­odo
TambiÃ©n dice: hmm, tal vez deberÃ­a comprobar si el cliente real
Â¿Sigue estando realmente conectado conmigo o no? Ese es el propÃ³sito de
Esto es para que las consultas de asociaciÃ³n de seguridad vuelvan a aparecer una vez que se haya procesado dicha asociaciÃ³n.
El cronÃ³metro empieza a correr y recuerda que todo empezÃ³ porque alguien
Intentaban suplantar tu identidad y te enviaron una solicitud de asociaciÃ³n y acceso.
Point dijo que ya tenÃ­a uno para ese chico o esa chica, asÃ­ que empezÃ³
El temporizador de regreso de la asociaciÃ³n ahora, en el segundo en que se inicia, tambiÃ©n envÃ­a
un mensaje al cliente, el cliente legÃ­timo que realmente estÃ¡ asociado
Ahora, esto se denomina solicitud de consulta SA y se encuentra dentro de un marco de acciÃ³n especÃ­fico.
Ya sabes cuÃ¡l es un marco de gestiÃ³n, asÃ­ que esto entra dentro de la gestiÃ³n protegida.
Un marco de acciÃ³n es un tipo de marco de gestiÃ³n robusto y este es el
Los puntos de acceso son la forma que tienen de decir: "Oye, cliente, Â¿sigues aquÃ­ de verdad?", creo.
Tengo una relaciÃ³n contigo, pero Â¿estÃ¡s realmente aquÃ­?
un temporizador llamado intervalo de consulta SA, asÃ­ que este es nuestro segundo temporizador ahora es
mÃ¡s corto obviamente que el temporizador de regreso de la asociaciÃ³n y el cliente si
Ãl realmente estÃ¡ asociado con el legÃ­timo que tiene que responder con un
Respuesta a la consulta SA, por lo que los datos dentro de estos marcos dentro de la consulta SA
La solicitud y la respuesta a la consulta SA recuerdan que esto es unidifusiÃ³n entre la
punto de acceso y cliente legÃ­timo, por lo que vamos a utilizar protecciÃ³n.
marcos de gestiÃ³n para proteger eso, de hecho, vamos a protegerlo de verdad.
encriptando el archivo, en este caso la clave temporal tk que se creÃ³
cuando ese cliente se asociÃ³ por primera vez y pasÃ³ por el apretÃ³n de manos terrestre
se utilizarÃ¡ para cifrar estas solicitudes y marcos de respuesta y
AquÃ­ tienen un ejemplo de cÃ³mo se ve esto. Una vez mÃ¡s, nuestro cliente
tiene una asociaciÃ³n vÃ¡lida y aparece el actor malicioso intentando
En este caso, al falsificarlo, el actor malicioso recuperarÃ¡ esa asociaciÃ³n.
respuesta diciendo rechazado, intente de nuevo mÃ¡s tarde, ahora pronto, eso sucede con la asociaciÃ³n
El tiempo de recuperaciÃ³n comienza; vimos en la diapositiva anterior que eran 1000 milisegundos.
o un segundo, pero eso es configurable, y luego, cuando eso comienza, el SA
El tiempo de consulta tambiÃ©n comenzarÃ¡, aunque serÃ¡ menor durante ese tiempo de consulta de SA.
el punto de acceso envÃ­a al cliente legÃ­timo una solicitud de consulta SA y
Con suerte, si ese cliente realmente existe y estÃ¡ realmente asociado,
Enviar una respuesta a la consulta SA ahora una vez que expire el temporizador de recuperaciÃ³n de la asociaciÃ³n.
El atacante siempre podrÃ­a intentarlo de nuevo y este proceso se repetirÃ­a.
AquÃ­ podemos ver que existe este tipo de ataque, mientras que el malicioso
El actor podrÃ­a haber tenido la intenciÃ³n original de usar esto para intentar provocar.
Un cliente Wi-Fi legÃ­timo; puede que el actor malicioso ni siquiera lo sea realmente.
Me preocupa conectarme realmente al Wi-Fi, quiero decir, despuÃ©s de todo...
Es posible que un atacante malicioso no posea la clave maestra de par ni el secreto compartido.
o cualquier otra cosa; su Ãºnica intenciÃ³n es intentar expulsar a un cliente legÃ­timo.
Y por eso lo estÃ¡ haciendo, para que asÃ­ no pueda empezar.
el cliente, pero hay un inconveniente: Â¿quÃ© sucede si ese actor malicioso decide...?
Â¿Sabes quÃ©? Voy a seguir haciendo esto cada segundo o cada
En medio segundo o algo asÃ­, voy a configurar algo automÃ¡tico.
Algo que imita a este cliente, ya sabes, tal vez este cliente sea mi director ejecutivo.
Y como no me cae bien mi director ejecutivo, voy a imitar su direcciÃ³n MAC.
DirecciÃ³n MAC y voy a enviar solicitudes de asociaciÃ³n cada 500.
milisegundos o algo asÃ­ una y otra vez, bueno, piÃ©nsalo.
Lo que estÃ¡ sucediendo en segundo plano requerirÃ¡ cierto procesamiento de la CPU.
energÃ­a y algo de memoria en nombre del punto de acceso y del cliente
Un cliente legÃ­timo debe pasar por todo esto porque ese punto de acceso es
Tendremos que seguir enviando estas respuestas de la asociaciÃ³n denegadas
Al realizar las solicitudes de consulta de ensayos, el cliente va a estar constantemente
enviar una respuesta a la consulta del ensayo, asÃ­ que si esto estÃ¡ sucediendo una y otra vez y
Una vez mÃ¡s, podrÃ­a agotar algunos recursos en el punto de acceso.
y el cliente y tal vez ralentizar la transmisiÃ³n real de datos legÃ­timos
Tramas Wi-Fi, por lo que esto podrÃ­a usarse en ese sentido como una especie de forma rudimentaria.
de un ataque de denegaciÃ³n de servicio, asÃ­ que no hay nada que puedas hacer al respecto.
Eso, pero al menos el cliente no estÃ¡ siendo expulsado realmente de la
LAN inalÃ¡mbrica, asÃ­ que lo Ãºltimo que quiero mostrarte es cÃ³mo en el 9800 cÃ³mo...
Puedes gestionar esto, Â¿cÃ³mo puedes configurarlo? Como dije, cuando enciendes
Los marcos de gestiÃ³n protegidos que requieren esta funciÃ³n ya estÃ¡n disponibles.
Ahora bien, esto se encuentra en la secciÃ³n de ediciÃ³n de LAN inalÃ¡mbrica, obviamente, y usted puede
Mira, aquÃ­ estÃ¡n los dos temporizadores, asÃ­ que por defecto la asociaciÃ³n regresa
El temporizador serÃ¡ de un segundo y el temporizador de la consulta del ensayo serÃ¡ de 200 milisegundos.
Sin embargo, aquÃ­ puede ver, dentro de la asociaciÃ³n del temporizador de regreso, que usted...
Obtuve un rango, no muy amplio, sino de entre uno y veinte segundos, y el ensayo
El temporizador de consulta tiene un valor de entre 100 y 500 milisegundos, asÃ­ que si le preocupa
sobre un actor malicioso que podrÃ­a estar enviando solicitudes de asociaciÃ³n falsificadas
una y otra vez, aumentando el uso de recursos, tal vez...
Lo que quieres hacer es tomar este temporizador de regreso de la asociaciÃ³n y aumentarlo.
De un segundo a quizÃ¡s 10 o 15 segundos si haces eso, entonces ni de lejos
Se tendrÃ¡n que generar tantas preguntas y respuestas de ensayos como sea necesario para que
Con esto concluye este video. Muchas gracias por verlo y espero que les haya gustado.