Por Javier Nones , el miércoles, 12 de enero de 2011 | Etiquetas: wifi
Desde hoy, ya no sería correcto definir al cifrado WPA-PSK utilizado en redes Wi-Fi como una seguridad robusta e inviolable, todo gracias al cloud computing.
Una clave con este tipo de cifrado sólo es posible de romper en base a técnicas de de fuerza bruta o diccionario. Tomando en cuenta esto, un analista de seguridad se dio el trabajo de crear una aplicación que lo haga mediante fuerza bruta, logrando romper la clave WPA-PSK en cuestión de 6 sorprendentes minutos.
Thomas Roth, el alemán que trabajó en esta aplicación para probar cuán seguro era esta técnica de encriptación de datos, descifró la clave en 20 minutos en su primer intento. Después de pulir su aplicación, lo volvió a intentar, logrando el récord de 6 minutos en encontrarla.
Por supuesto, el cloud computing tuvo un papel importante en este logro. El servicio web Amazon EC2 proporcionó el hardware virtual para descifrar la clave. El alemán se valió de este servicio para crear una máquina virtual con las prestaciones suficientes para buscar una y otra vez la clave correcta de la red mediante su aplicación, hasta dar con ella.
Si antes WEP era inseguro, teníamos como segunda opción WPA. Ahora que también es vulnerable, qué deberemos usar entonces?
Vía FayerWayer
Me parece bien considerar como "insegura" una protección PSK, si consideramos que el alemán fuera nuestro vecino. Pero más bien, habría que conocer los algoritmos que utilizó y también que el atacante contara con los recursos económicos para atacarnos.
Siendo sensatos, más bien los atacantes wireless son leechers que buscan una forma económica de acceso a internet (gratuito, por supuesto). Aunque a veces pecan en lo sofisticado. no veo a los dichosos atacantes haciéndose con un cluster de VPS's alrededor del mundo, solo para entrar a una red "cualquiera".
Lo que sí, es que para instituciones de cierto nivel, donde comparten información más o menos relevantes, tendrían ya un problema más o menos grave. Aunque también supongo que deberían tenerse medidas de seguridad bien implementadas al interior de la red en la capa de protocolo y aplicación. O al menos, esa es su resposabilidad.