WPA3
En seguridad inalámbrica, WPA3 es la generación actual de protección de Wi-Fi, cuyo handshake SAE sustituye al de clave precompartida de WPA2 para resistir los intentos de adivinar la contraseña offline. Es una mejora real con límites honestos, y es la superficie inalámbrica que cubre una evaluación en parques que siguen manteniendo WPA2 a su lado.
Cómo funciona
La vulnerabilidad que WPA3 se propone corregir es que el modo personal de WPA2 permite a un atacante capturar el handshake y adivinar después la contraseña offline, a la velocidad que le dé su hardware. WPA3-Personal lo sustituye por SAE (Simultaneous Authentication of Equals), un handshake en el que el propio intercambio no le entrega al atacante el material para adivinar offline, de modo que una contraseña débil ya no es trivialmente rompible a partir de un handshake capturado. WPA3 aporta además secreto hacia delante, así que grabar tráfico no le permite a un atacante descifrarlo más tarde si acaba encontrando la contraseña. WPA3-Enterprise se construye sobre 802.1X con opciones criptográficas más fuertes. WPA2 es el estándar anterior, todavía muy usado, y los dos conviven en la mayoría de los parques durante la larga migración.
Qué sale mal
WPA3 se presenta muchas veces como el cierre del problema inalámbrico, y no lo es. El fallo real más frecuente es el modo de transición, en el que un punto de acceso ofrece WPA3 y WPA2 a la vez para que los dispositivos antiguos puedan conectarse: el atacante fuerza a un cliente a bajar a WPA2 y ataca eso, así que la red es tan fuerte como el protocolo más débil que sigue aceptando. Las primeras implementaciones de SAE tuvieron además una familia de vulnerabilidades de canal lateral y de degradación que socavaban la promesa en cierto hardware. Desde el lado del atacante, la jugada ganadora rara vez es romper SAE; es encontrar el respaldo de WPA2, la contraseña débil que sobrevive de todas formas, o un cliente dispuesto a conectarse directamente a una red impostora.
Dónde aparece esto en una auditoría
Probamos la configuración inalámbrica tal y como está desplegada, no como está etiquetada: si WPA3 se impone o corre en un modo de transición que permite bajar a WPA2, si las claves precompartidas son lo bastante fuertes como para importar, y si la autenticación empresarial valida como es debido. Donde WPA2 sigue presente, evaluamos contra él las rutas de captura y crackeo y la de PMKID. También se prueba el comportamiento del cliente, porque un cliente que se fía de un evil twin vuelve irrelevante la configuración del punto de acceso. Las recomendaciones enlazan con el hardening general. Esto forma parte de cómo probamos tu configuración inalámbrica.