1 00:00:04,300 --> 00:00:09,140 Hola y bienvenidos a este vídeo titulado Consultas sobre PMF y SA. 2 00:00:09,140 --> 00:00:12,640 En este vídeo en particular vamos a hablar de aspectos específicos. 3 00:00:12,640 --> 00:00:18,640 de marcos de gestión protegidos que protegen a los clientes y los puntos de acceso 4 00:00:18,640 --> 00:00:24,020 contra actores maliciosos que intenten suplantar la identidad de un cliente y un socio. 5 00:00:24,020 --> 00:00:27,240 Entremos entonces en los detalles. 6 00:00:27,240 --> 00:00:32,120 Así que antes de los marcos de gestión protegidos, y si recuerdan, esto es un 7 00:00:32,120 --> 00:00:36,400 Breve resumen de los marcos de gestión protegidos que aprendimos en un anterior 8 00:00:36,400 --> 00:00:41,000 En un vídeo se explica que existen ciertos marcos de gestión denominados gestión robusta. 9 00:00:41,000 --> 00:00:47,060 marcos como los de desautenticación, disociación y acción. 10 00:00:47,060 --> 00:00:50,900 Y los marcos de gestión protegidos se diseñaron para que el punto de acceso 11 00:00:50,900 --> 00:00:56,240 podría añadir un MIC, un código de integridad de mensajes, a esos marcos para que cuando 12 00:00:56,240 --> 00:01:00,140 Un receptor los recibió como tu cliente inalámbrico; te dio una sensación cálida y agradable. 13 00:01:00,140 --> 00:01:03,880 que ese fotograma procedía realmente de un punto de acceso legítimo y no 14 00:01:03,880 --> 00:01:07,780 Un actor malicioso que actúa como un punto de acceso no autorizado. 15 00:01:07,780 --> 00:01:12,100 Esto es algo que viene incluido con los marcos de gestión protegidos. 16 00:01:12,100 --> 00:01:15,220 Así que, al habilitar los marcos de administración protegidos, esto viene incluido. 17 00:01:15,220 --> 00:01:18,560 Ya está activado por defecto, aunque hay un par de temporizadores que 18 00:01:18,560 --> 00:01:23,740 Vas a modificarlo y eso es lo que vamos a analizar aquí. 19 00:01:23,740 --> 00:01:28,600 Así que, antes de que existieran los marcos de gestión protegidos, si ya estabas asociado 20 00:01:28,600 --> 00:01:33,280 Hablemos entonces de protocolos como WPA2 o incluso del antiguo WPA original. 21 00:01:33,280 --> 00:01:37,620 Si usted, un cliente legítimo, estuviera asociado a su punto de acceso y entonces 22 00:01:37,620 --> 00:01:41,840 Un atacante malintencionado realizó suplantación de identidad Wi-Fi y descubrió tu MAC. 23 00:01:41,840 --> 00:01:46,700 dirección, cambiaron su propia dirección MAC para que se viera exactamente igual a la tuya y 24 00:01:46,700 --> 00:01:50,440 Luego enviaron una solicitud de asociación al punto de acceso, que en realidad... 25 00:01:50,440 --> 00:01:54,760 esto provoca que el punto de acceso te desconecte de la red LAN inalámbrica y así sucesivamente. 26 00:01:54,760 --> 00:01:56,840 Así es como funcionaba. 27 00:01:56,840 --> 00:02:01,900 Aquí tenemos una asociación de seguridad existente, una asociación existente 28 00:02:01,900 --> 00:02:04,840 entre el punto de acceso y la estación, entonces, de repente, el malicioso 29 00:02:04,840 --> 00:02:09,220 Actores a los que les gusta hablar de que cambiaron su dirección MAC para que se viera exactamente como 30 00:02:09,220 --> 00:02:13,320 La tuya y ellos envían su propia solicitud de asociación. 31 00:02:13,320 --> 00:02:16,260 Bueno, llegado este punto, el punto de acceso se va a confundir un poco. 32 00:02:16,260 --> 00:02:19,680 Creo que va a decir algo como "Espera un segundo, esta persona ya está asociada". 33 00:02:19,680 --> 00:02:24,520 Mmm, tal vez algo pasó, los expulsaron y ahora están asociados. 34 00:02:24,520 --> 00:02:29,160 Nuevamente, la respuesta del punto de acceso sería conectarse para terminar 35 00:02:29,160 --> 00:02:33,180 la conexión, por lo que el cliente LAN legítimo de Wiles de repente simplemente 36 00:02:33,180 --> 00:02:38,440 perdieron su conexión Wi-Fi y luego, en uno o dos segundos, les toma 37 00:02:38,440 --> 00:02:44,220 Para volver a conectarse, el actor malicioso podría asociarse con éxito 38 00:02:44,220 --> 00:02:46,160 a la red LAN inalámbrica. 39 00:02:46,160 --> 00:02:50,100 Ahora, afortunadamente para nosotros, cuando activas los marcos de administración protegidos, que 40 00:02:50,100 --> 00:02:55,380 Se requiere para WPA3; tiene un mecanismo integrado del que trata este vídeo. 41 00:02:55,380 --> 00:02:58,060 para evitar ese tipo de cosas. 42 00:02:58,060 --> 00:02:59,960 Así es como funciona. 43 00:02:59,960 --> 00:03:04,320 Así que con marcos de gestión protegidos tienes dos mecanismos: 44 00:03:04,320 --> 00:03:09,400 un temporizador de retorno de asociación y un procedimiento de consulta SA, ambos 45 00:03:09,400 --> 00:03:13,420 Fueron diseñados para prevenir ese tipo de ataque que acabo de mostrarte. 46 00:03:13,420 --> 00:03:16,480 Hablemos primero del temporizador de regreso de la asociación. 47 00:03:16,480 --> 00:03:22,460 Entonces, el funcionamiento es el siguiente: supongamos que se recibe una solicitud de asociación. 48 00:03:22,460 --> 00:03:27,160 Así que ahora el punto de acceso o el controlador de LAN inalámbrica, o bien uno de los dos, es 49 00:03:27,160 --> 00:03:31,520 Voy a comprobar si ya existe una asociación desde 50 00:03:31,520 --> 00:03:34,480 Ese mismo cliente, desde la misma dirección MAC. 51 00:03:34,480 --> 00:03:39,940 Si existe, en lugar de simplemente expulsar a ese cliente, en realidad enviará 52 00:03:39,940 --> 00:03:46,100 una respuesta a esa solicitud de asociación en una respuesta de asociación 53 00:03:46,100 --> 00:03:50,440 Básicamente lo niega y muestra un código de estado 30, diciendo por favor. 54 00:03:50,440 --> 00:03:53,300 Vuelve más tarde y así es como se ve aquí en una versión más rígida. 55 00:03:53,300 --> 00:03:57,100 Disculpa, la imagen está un poco borrosa; no pude tomar una captura de pantalla nítida. 56 00:03:57,100 --> 00:04:01,720 que esto, pero puedes ver arriba que dice respuesta de asociación. 57 00:04:01,720 --> 00:04:06,840 Esto proviene de la solicitud de asociación del código de estado del punto de acceso. 58 00:04:06,840 --> 00:04:12,520 Rechazado temporalmente. Inténtelo de nuevo más tarde. El código de estado es 30. 59 00:04:12,520 --> 00:04:19,840 Ver 1e y hexadecimal es igual a 30 y luego abajo dice esto 60 00:04:19,840 --> 00:04:23,460 Es resultado del tiempo de regreso de la asociación; dice que puedes intentarlo de nuevo. 61 00:04:23,460 --> 00:04:28,300 Ahora bien, esto está en milisegundos, por lo que sería un segundo o 1000 milisegundos. 62 00:04:28,300 --> 00:04:33,160 Ese temporizador de ahí es lo que puedes configurar, al menos en el Cisco. 63 00:04:33,160 --> 00:04:37,200 Controladores LAN inalámbricos 9800. Te mostraré cómo puedes configurar ese temporizador. 64 00:04:37,200 --> 00:04:40,040 a un valor diferente si lo desea. 65 00:04:40,040 --> 00:04:44,460 Bien, ahora hay otra cosa que sucede una vez que regresa esa asociación. 66 00:04:44,460 --> 00:04:48,940 El temporizador se inicia en el punto de acceso y dice: "De acuerdo, no voy a permitir...". 67 00:04:48,940 --> 00:04:53,020 Cualquier otra solicitud de asociación de este cliente en particular durante ese período 68 00:04:53,020 --> 00:04:59,220 También dice: hmm, tal vez debería comprobar si el cliente real 69 00:04:59,220 --> 00:05:04,240 ¿Sigue estando realmente conectado conmigo o no? Ese es el propósito de 70 00:05:04,240 --> 00:05:11,820 Esto es para que las consultas de asociación de seguridad vuelvan a aparecer una vez que se haya procesado dicha asociación. 71 00:05:11,820 --> 00:05:15,740 El cronómetro empieza a correr y recuerda que todo empezó porque alguien 72 00:05:15,740 --> 00:05:20,340 Intentaban suplantar tu identidad y te enviaron una solicitud de asociación y acceso. 73 00:05:20,340 --> 00:05:24,520 Point dijo que ya tenía uno para ese chico o esa chica, así que empezó 74 00:05:24,520 --> 00:05:30,500 El temporizador de regreso de la asociación ahora, en el segundo en que se inicia, también envía 75 00:05:30,500 --> 00:05:34,080 un mensaje al cliente, el cliente legítimo que realmente está asociado 76 00:05:34,080 --> 00:05:39,400 Ahora, esto se denomina solicitud de consulta SA y se encuentra dentro de un marco de acción específico. 77 00:05:39,400 --> 00:05:42,840 Ya sabes cuál es un marco de gestión, así que esto entra dentro de la gestión protegida. 78 00:05:42,840 --> 00:05:48,620 Un marco de acción es un tipo de marco de gestión robusto y este es el 79 00:05:48,620 --> 00:05:52,080 Los puntos de acceso son la forma que tienen de decir: "Oye, cliente, ¿sigues aquí de verdad?", creo. 80 00:05:52,080 --> 00:05:57,300 Tengo una relación contigo, pero ¿estás realmente aquí? 81 00:05:57,300 --> 00:06:02,580 un temporizador llamado intervalo de consulta SA, así que este es nuestro segundo temporizador ahora es 82 00:06:02,580 --> 00:06:06,940 más corto obviamente que el temporizador de regreso de la asociación y el cliente si 83 00:06:06,940 --> 00:06:11,300 Él realmente está asociado con el legítimo que tiene que responder con un 84 00:06:11,300 --> 00:06:18,360 Respuesta a la consulta SA, por lo que los datos dentro de estos marcos dentro de la consulta SA 85 00:06:18,360 --> 00:06:22,740 La solicitud y la respuesta a la consulta SA recuerdan que esto es unidifusión entre la 86 00:06:22,740 --> 00:06:26,720 punto de acceso y cliente legítimo, por lo que vamos a utilizar protección. 87 00:06:26,720 --> 00:06:30,700 marcos de gestión para proteger eso, de hecho, vamos a protegerlo de verdad. 88 00:06:30,700 --> 00:06:36,360 encriptando el archivo, en este caso la clave temporal tk que se creó 89 00:06:36,360 --> 00:06:39,900 cuando ese cliente se asoció por primera vez y pasó por el apretón de manos terrestre 90 00:06:39,900 --> 00:06:46,400 se utilizará para cifrar estas solicitudes y marcos de respuesta y 91 00:06:46,400 --> 00:06:50,480 Aquí tienen un ejemplo de cómo se ve esto. Una vez más, nuestro cliente 92 00:06:50,480 --> 00:06:54,620 tiene una asociación válida y aparece el actor malicioso intentando 93 00:06:54,620 --> 00:06:59,160 En este caso, al falsificarlo, el actor malicioso recuperará esa asociación. 94 00:06:59,160 --> 00:07:05,480 respuesta diciendo rechazado, intente de nuevo más tarde, ahora pronto, eso sucede con la asociación 95 00:07:05,480 --> 00:07:09,720 El tiempo de recuperación comienza; vimos en la diapositiva anterior que eran 1000 milisegundos. 96 00:07:09,720 --> 00:07:14,980 o un segundo, pero eso es configurable, y luego, cuando eso comienza, el SA 97 00:07:14,980 --> 00:07:20,520 El tiempo de consulta también comenzará, aunque será menor durante ese tiempo de consulta de SA. 98 00:07:20,520 --> 00:07:24,880 el punto de acceso envía al cliente legítimo una solicitud de consulta SA y 99 00:07:24,880 --> 00:07:28,660 Con suerte, si ese cliente realmente existe y está realmente asociado, 100 00:07:28,660 --> 00:07:34,980 Enviar una respuesta a la consulta SA ahora una vez que expire el temporizador de recuperación de la asociación. 101 00:07:34,980 --> 00:07:39,260 El atacante siempre podría intentarlo de nuevo y este proceso se repetiría. 102 00:07:39,260 --> 00:07:46,300 Aquí podemos ver que existe este tipo de ataque, mientras que el malicioso 103 00:07:46,300 --> 00:07:51,700 El actor podría haber tenido la intención original de usar esto para intentar provocar. 104 00:07:51,700 --> 00:07:55,540 Un cliente Wi-Fi legítimo; puede que el actor malicioso ni siquiera lo sea realmente. 105 00:07:55,540 --> 00:07:59,900 Me preocupa conectarme realmente al Wi-Fi, quiero decir, después de todo... 106 00:07:59,900 --> 00:08:04,980 Es posible que un atacante malicioso no posea la clave maestra de par ni el secreto compartido. 107 00:08:04,980 --> 00:08:09,520 o cualquier otra cosa; su única intención es intentar expulsar a un cliente legítimo. 108 00:08:09,520 --> 00:08:14,400 Y por eso lo está haciendo, para que así no pueda empezar. 109 00:08:14,400 --> 00:08:18,640 el cliente, pero hay un inconveniente: ¿qué sucede si ese actor malicioso decide...? 110 00:08:18,640 --> 00:08:22,280 ¿Sabes qué? Voy a seguir haciendo esto cada segundo o cada 111 00:08:22,280 --> 00:08:25,460 En medio segundo o algo así, voy a configurar algo automático. 112 00:08:25,460 --> 00:08:30,160 Algo que imita a este cliente, ya sabes, tal vez este cliente sea mi director ejecutivo. 113 00:08:30,160 --> 00:08:34,400 Y como no me cae bien mi director ejecutivo, voy a imitar su dirección MAC. 114 00:08:34,400 --> 00:08:38,700 Dirección MAC y voy a enviar solicitudes de asociación cada 500. 115 00:08:38,700 --> 00:08:42,060 milisegundos o algo así una y otra vez, bueno, piénsalo. 116 00:08:42,060 --> 00:08:47,440 Lo que está sucediendo en segundo plano requerirá cierto procesamiento de la CPU. 117 00:08:47,440 --> 00:08:52,900 energía y algo de memoria en nombre del punto de acceso y del cliente 118 00:08:52,900 --> 00:08:56,120 Un cliente legítimo debe pasar por todo esto porque ese punto de acceso es 119 00:08:56,120 --> 00:08:59,520 Tendremos que seguir enviando estas respuestas de la asociación denegadas 120 00:08:59,520 --> 00:09:04,360 Al realizar las solicitudes de consulta de ensayos, el cliente va a estar constantemente 121 00:09:04,360 --> 00:09:08,260 enviar una respuesta a la consulta del ensayo, así que si esto está sucediendo una y otra vez y 122 00:09:08,260 --> 00:09:12,860 Una vez más, podría agotar algunos recursos en el punto de acceso. 123 00:09:12,860 --> 00:09:16,460 y el cliente y tal vez ralentizar la transmisión real de datos legítimos 124 00:09:16,460 --> 00:09:21,180 Tramas Wi-Fi, por lo que esto podría usarse en ese sentido como una especie de forma rudimentaria. 125 00:09:21,180 --> 00:09:24,720 de un ataque de denegación de servicio, así que no hay nada que puedas hacer al respecto. 126 00:09:24,720 --> 00:09:28,280 Eso, pero al menos el cliente no está siendo expulsado realmente de la 127 00:09:28,280 --> 00:09:33,440 LAN inalámbrica, así que lo último que quiero mostrarte es cómo en el 9800 cómo... 128 00:09:33,440 --> 00:09:36,640 Puedes gestionar esto, ¿cómo puedes configurarlo? Como dije, cuando enciendes 129 00:09:36,640 --> 00:09:41,520 Los marcos de gestión protegidos que requieren esta función ya están disponibles. 130 00:09:41,520 --> 00:09:45,720 Ahora bien, esto se encuentra en la sección de edición de LAN inalámbrica, obviamente, y usted puede 131 00:09:45,720 --> 00:09:49,660 Mira, aquí están los dos temporizadores, así que por defecto la asociación regresa 132 00:09:49,660 --> 00:09:54,760 El temporizador será de un segundo y el temporizador de la consulta del ensayo será de 200 milisegundos. 133 00:09:54,760 --> 00:09:58,660 Sin embargo, aquí puede ver, dentro de la asociación del temporizador de regreso, que usted... 134 00:09:58,660 --> 00:10:03,400 Obtuve un rango, no muy amplio, sino de entre uno y veinte segundos, y el ensayo 135 00:10:03,400 --> 00:10:08,900 El temporizador de consulta tiene un valor de entre 100 y 500 milisegundos, así que si le preocupa 136 00:10:08,900 --> 00:10:13,720 sobre un actor malicioso que podría estar enviando solicitudes de asociación falsificadas 137 00:10:13,720 --> 00:10:18,420 una y otra vez, aumentando el uso de recursos, tal vez... 138 00:10:18,420 --> 00:10:21,740 Lo que quieres hacer es tomar este temporizador de regreso de la asociación y aumentarlo. 139 00:10:21,740 --> 00:10:28,320 De un segundo a quizás 10 o 15 segundos si haces eso, entonces ni de lejos 140 00:10:28,320 --> 00:10:34,400 Se tendrán que generar tantas preguntas y respuestas de ensayos como sea necesario para que 141 00:10:34,400 --> 00:10:38,260 Con esto concluye este video. Muchas gracias por verlo y espero que les haya gustado.