Cómo funciona un pentest wifi

Por qué este test es distinto

Todos los demás tests de esta serie empiezan con algo que nos entregas: una URL, una cuenta cloud, un binario. Un pentest wifi empieza con lo que tu edificio emite. La radio no se para en la pared, así que el primer atacante de la cola es alguien que está en el aparcamiento.

Por eso se hace en las instalaciones, en las bandas de 2,4, 5 y 6 GHz, y responde a tres preguntas por orden: qué se ve desde fuera, a qué se puede uno unir y adónde lleva unirse. La tercera es la que convierte un hallazgo de wifi en un hallazgo de negocio.

Un cliente «conectado por dos vías» está a la vez en una red cableada y en una red inalámbrica, y el riesgo que nombra NIST es que un atacante que consigue acceso inalámbrico a ese cliente lo use después para atacar recursos de la red cableada (NIST SP 800-153). La wifi pocas veces es el premio. Es la puerta.

Fase uno: alcance y rules of engagement

No se enciende nada hasta que el papeleo está bien. Las rules of engagement de un test wifi llevan restricciones que las otras disciplinas no ven nunca, porque el medio se comparte con gente que no es tu plantilla.

• Las sedes, y las posiciones físicas desde las que podemos probar. Un aparcamiento no es el rellano del vecino.
• Los SSID que entran, y los que quedan fuera de forma explícita. Las redes de tus vecinos quedan fuera siempre.
• Si se permite la desautenticación, en qué SSID y en qué horas.
• Personas de contacto con nombre en la sede, y una condición de parada que cualquiera pueda invocar.

Dos de esas son guía publicada, no estilo de la casa. NIST dice a quien evalúa que no escanee dispositivos de organizaciones vecinas que estén dentro del alcance de la radio, y que se centre en identificar y localizar posibles dispositivos no autorizados en vez de escanearlos de forma activa. Añade que puede hacer falta avisar a quien administra el sistema de detección de que va a haber un escaneo, para que esté preparado ante las alarmas (NIST SP 800-115, apartado 4.4.2).

Qué necesitas tener listo antes del primer día

La posición de partida normal es la de caja gris: tú nos das los SSID y las sedes, y nosotros no recibimos ninguna credencial corporativa.

• Un inventario de puntos de acceso. Modelo, firmware, sede, controlador. Si está incompleto, dilo: un inventario incompleto ya es un hallazgo.
• La topología de controlador y RADIUS. Qué servidor autentica a quién, qué método EAP de 802.1X está desplegado y quién emitió el certificado del servidor.
• El mapa de SSID. Corporativo, invitados, IoT, dispositivos personales, eventos, y cualquier SSID antiguo que nadie retirase.
• La segmentación prevista. No el diagrama viejo: lo que las VLAN y las listas de control de acceso aplican hoy.
• Acceso físico. Tarjetas, acompañamiento y las horas en las que podemos estar en el edificio.
• Un vale de invitado, si el acceso de invitados necesita uno. Probamos también qué pasa sin él.

Fases dos y tres: escuchar, y después elegir el camino

Aquí el reconocimiento es de verdad pasivo al principio. Las herramientas de escaneo pasivo no transmiten datos y no afectan al funcionamiento de los dispositivos desplegados (NIST SP 800-115, apartado 4.4.1), así que las primeras horas no pueden romper nada. Esa pasada produce:

• Cada baliza que hay dentro del alcance, por banda, con el conjunto de seguridad que anuncia de verdad cada SSID y no el que dice el controlador.
• Qué dispositivos buscan qué redes, y qué dice eso de dónde ha estado tu gente.
• El alcance de la señal contra el plano de planta, para que veas hasta dónde sigue siendo usable cada SSID fuera del edificio.
• Dispositivos que no son tuyos, y tuyos que no deberían estar ahí.

Después elegimos los caminos que merecen el tiempo. Una nave industrial con WPA3-Enterprise y sin red de invitados no es un edificio de oficinas compartido con un SSID de eventos abierto desde 2023.

Fase cuatro: la parte que solo es de wifi

Aquí es donde el proyecto deja de parecerse a un test de red. Se divide según lo que corran tus SSID.

Redes con clave compartida

La pregunta es lo barato que sale sacar la clave, y desde 2018 eso no necesita ni un handshake de cuatro vías. El ataque PMKID saca el PMKID del elemento de información RSN de una sola trama EAPOL, y no necesita ni una captura completa ni que un cliente se conecte; su autor esperaba que funcionase contra redes 802.11i/p/q/r con itinerancia activada (hashcat, agosto de 2018).

Redes con 802.1X

El objetivo es la decisión de confianza que toma el cliente, no la clave. NIST es tajante: un atacante puede derrotar con facilidad los métodos de autenticación débiles montando un punto de acceso no autorizado, y por eso su recomendación es usar EAP-TLS siempre que sea posible (NIST SP 800-97). Cuando los certificados autentican solo al servidor de autenticación, el cliente necesita una copia de ese certificado para poder autenticarlo. Si tus dispositivos no lo comprueban, un punto de acceso que se le parece recoge el intercambio y tu PKI no tiene nada que decir.

Todo lo que rodea a la radio

Los portales cautivos y las consolas de los controladores son aplicaciones web, y se prueban contra la OWASP Web Security Testing Guide. El firmware cuenta también: CVE-2023-25717, que afecta a los puntos de acceso Ruckus ZoneDirector, SmartZone y Solo, está en el catálogo CISA KEV, añadido el 12 de mayo de 2023. Y donde sobrevive WPS, un fallo de diseño reduce el espacio de búsqueda del PIN de 10⁸ a unos 11.000 intentos: el punto de acceso revela si la primera mitad es correcta, y el último dígito es una suma de comprobación (CERT/CC VU#723755).

Fases cinco y seis: atacar, y después seguirlo hacia dentro

Los hallazgos no son hallazgos hasta que se demuestran, dentro de los límites acordados en la fase uno. Lo que se gana su sitio más a menudo:

• Un punto de acceso no autorizado que clona un SSID legítimo. MITRE lo cataloga como T1557.004, Evil Twin, dentro de acceso a credenciales y recolección, y señala que se puede dirigir al usuario a una página de inicio de sesión falsa o a un portal cautivo para capturar sus credenciales. En tu estructura, ese ataque de gemelo malvado apunta a los portátiles de la plantilla.
• La recuperación fuera de línea de una clave compartida a partir del material capturado, contra diccionarios realistas.
• El cruce de invitados a corporativo: unirse como lo haría una visita, y después intentar alcanzar cualquier cosa que no sea internet.

Los fallos de protocolo se nombran con precisión. CVE-2017-13077 permite reinstalar la clave temporal de la clave transitoria por parejas durante el handshake de cuatro vías, así que un atacante dentro del alcance de la radio puede repetir, descifrar o falsificar tramas; el NVD le da 6,8 en CVSS v3.0. CVE-2019-9494 afectaba a SAE en hostapd y wpa_supplicant hasta la versión 2.7, donde las diferencias de tiempo y los patrones de acceso a caché filtraban lo suficiente para recuperar la contraseña completa. Hay actualizaciones del fabricante para las dos, y las dos siguen vivas en estructuras cuyos puntos de acceso nunca se actualizaron.

Después lo seguimos. Una credencial capturada por el aire merece figurar en el informe; la misma credencial usada para movimiento lateral hasta un servidor de ficheros merece corregirse este trimestre. Y ese tramo, el que va de la primera credencial a un recurso que importa, casi nunca es espectacular: es reutilización de credenciales y protocolos de administración que nadie acotó.

Fase siete: el informe, y después el retest

El entregable tiene que servir a dos públicos que no leen nada parecido.

• Un resumen ejecutivo que una persona no técnica pueda leer de principio a fin: qué podría alcanzar alguien desde fuera de tu edificio, y qué costaría.
• Hallazgos ordenados por impacto en el negocio, cada uno con una prueba de concepto reproducible: la posición, las tramas, la configuración.
• Una declaración de aislamiento comprobada: si invitados, IoT y dispositivos personales están de verdad separados del corporativo, y por qué mecanismo. Eso es un resultado de segmentación de red, no una captura de pantalla del controlador.
• Un inventario de puntos de acceso y de SSID tal como se ha medido, que muchas veces es el primero exacto que has tenido.
• Recomendaciones de corrección que nombran el ajuste, el dispositivo y a quién le toca.

Para una carpeta de auditoría, la trazabilidad importa tanto como los hallazgos: alcance, método, fechas y evidencia firmada del retest. Y esa expectativa está convergiendo entre marcos: DORA, NIS2 y el ENS piden pruebas con requisitos que se solapan sin ser los mismos, así que el alcance hay que construirlo para la norma desde el principio.

Después el retest, que en wifi hace más falta que en casi nada. Una corrección aquí suele ser un cambio en el controlador o en RADIUS que tiene que propagarse a cada punto de acceso y a cada perfil de cliente, y la propagación es donde las correcciones fallan en silencio: una sede en una rama de firmware más antigua, un SSID que falta en el perfil. En la consola nada de eso se ve.

Cuánto dura, y los marcos que hay detrás

Una sola sede son normalmente unos días de pruebas en las instalaciones, más el alcance antes y el retest después. Varias sedes, o un montaje complejo de controlador y segmentación, van de una a dos semanas. El rango se mueve con el número de sedes y la distancia entre ellas, con el número de SSID y de configuraciones distintas que hay detrás, con que haya 802.1X en juego y con lo completo que esté el inventario el primer día.

Sobre la periodicidad, y no sobre la duración, NIST recomienda una evaluación técnica de seguridad de la red inalámbrica al menos una vez al año, más evaluaciones periódicas al menos trimestrales, salvo que la monitorización continua ya recoja todo lo que esas evaluaciones producirían (NIST SP 800-153, apartado 3.4).

Cuatro documentos le dan la columna vertebral al proyecto, y se nombran en el informe para que un auditor pueda seguir la forma. PTES para la estructura: siete apartados que van de las interacciones previas al encargo a la elaboración del informe, pasando por recogida de inteligencia, modelado de amenazas, análisis de vulnerabilidades, explotación y postexplotación. NIST SP 800-115 para el método: cuatro fases, planificación, descubrimiento, ataque e informe, con la guía de escaneo inalámbrico que se cita a lo largo de este artículo en su apartado 4.4. La NIST SP 800-97 para cómo elegir la autenticación de 802.11. La OWASP WSTG v4.2 cubre las interfaces del portal y del controlador, y MITRE ATT&CK nombra las técnicas.

Qué no cubre un pentest wifi

• No es un estudio de cobertura. Medimos la cobertura donde crea exposición, no para afinar el rendimiento.
• No es un pentest interno completo. Demostramos el cruce hacia los sistemas internos y llegamos lo justo para establecer el impacto. Dibujar toda la estructura desde ahí es pentesting interno, y se acota aparte.
• No es monitorización continua. Un punto de acceso no autorizado que alguien enchufe la semana siguiente a que nos vayamos es un problema de detección, y NIST mantiene la monitorización y la evaluación periódica como controles separados a propósito.
• No ve lo que estaba apagado. En un escaneo solo se descubren los dispositivos activos, así que lo que esté dormido durante la ventana de pruebas no sale en el informe.
• No dice nada de tus vecinos. No probamos redes que no son tuyas, ni siquiera las que se cuelan por tu planta.
• No es un ataque exhaustivo a la clave. Que no hayamos recuperado la clave en tres días no es lo mismo que que la clave sea fuerte, y decimos cuál de las dos cosas tienes.
• No cubre todas las radios por defecto. Bluetooth, BLE, Zigbee, LoRa y los enlaces propietarios por debajo de 1 GHz entran solo si se acotan. NIST señala que los dispositivos que usan tecnología no estándar, o frecuencias fuera del rango de la herramienta de escaneo, no se detectarán ni se reconocerán bien. Ponlo sobre la mesa al acotar, o mira pentesting de IoT.