Módulo 5 · 5.3
Wifi, teletrabajo y desplazamientos
Módulo 5: Dispositivos, software y red · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá configurar de forma segura el wifi de la oficina y de casa, separar los dispositivos inteligentes y los invitados de su red de trabajo, y trabajar con seguridad fuera de la oficina, incluyendo lo que una VPN sí y no hace por usted.
Conceptos clave: router, contraseña de administración, WPA2, WPA3, SAE, modo de transición, WPS, UPnP, red de invitados, wifi pública, hotspot falso, https, VPN, hotspot de su teléfono
El router es su puerta de entrada
Todo lo que conecta su oficina o su puesto de teletrabajo con internet pasa por el router (a menudo en un único aparato junto con el módem de su proveedor). Realiza tres funciones: conecta su red con internet, detiene el tráfico externo que usted no ha solicitado (el cortafuegos) y, normalmente, también emite la red wifi.
Un router rara vez se revisa después de que el técnico se marcha. Por eso suele conservar la configuración de fábrica. Cuatro cosas que debe resolver de inmediato:
- Cambie la contraseña de administración. Es la contraseña de la página de configuración del router, no la contraseña del wifi. Las contraseñas por defecto suelen conocerse según la marca o la serie. Utilice una contraseña larga y única de su gestor de contraseñas.
- Desactive la administración desde fuera, salvo que su proveedor realmente la necesite. Así, la página de configuración solo es accesible desde su propia red.
- Desactive UPnP si no lo necesita. Con UPnP, cualquier dispositivo de su red puede abrir por sí mismo un puerto en el cortafuegos, incluida una cámara con una vulnerabilidad. El NCSC neerlandés recomienda desactivarlo.
- Actualice el firmware o compruebe que su proveedor lo hace automáticamente (lección 5.1). Si su router ya no recibe actualizaciones, sustitúyalo.
WPA2 y WPA3: cómo está cifrado su wifi
El wifi viaja por el aire. Cualquiera en las proximidades puede captar las señales. Por eso se cifra. El estándar lo gestiona la Wi-Fi Alliance.
| Modo | Valoración | Explicación |
|---|---|---|
| Abierta (sin contraseña) | No apta para su empresa | Cualquiera puede unirse y, sin https, leer el tráfico. |
| WEP, WPA (la primera versión), TKIP | Insegura | Obsoleta y vulnerada. Si la ve, sustituya el router o cambie la configuración. |
| WPA2-Personal (AES) | Suficiente, con una contraseña larga | Quien capture la conexión de un dispositivo puede luego, desde su casa, sin necesidad de permanecer cerca, seguir probando contraseñas indefinidamente. Una contraseña wifi corta o predecible cae rápido. |
| WPA3-Personal | La mejor opción | Utiliza SAE en lugar del antiguo sistema de clave compartida. Según la Wi-Fi Alliance, un atacante ya no puede probar contraseñas sin conexión: cada intento requiere una nueva comprobación con el propio router. Y aunque alguien averigüe la contraseña más tarde, no podrá descifrar el tráfico capturado anteriormente (forward secrecy). |
| Modo de transición WPA2/WPA3 | Bueno como paso intermedio | Los dispositivos nuevos se conectan con WPA3, los más antiguos con WPA2. Útil mientras aún tenga dispositivos antiguos, aunque estos solo reciben la protección de WPA2. |
Según la Wi-Fi Alliance, WPA3 es obligatorio para los dispositivos con el certificado Wi-Fi CERTIFIED, por lo que casi cualquier router o teléfono nuevo lo admite. Elija WPA3 si todos sus dispositivos lo admiten; en caso contrario, el modo de transición.
Use en todos los casos una contraseña wifi larga, por ejemplo una frase de contraseña de cuatro o cinco palabras sueltas (lección 2.1). De todos modos queda guardada en sus dispositivos; rara vez tendrá que escribirla.
WPS (Wi-Fi Protected Setup) es un botón o código PIN para vincular dispositivos fácilmente. La variante con código PIN tiene un fallo de diseño conocido: por la forma en que responde el router, un atacante no necesita probar cien millones de combinaciones, sino solo unas once mil, y así encuentra la contraseña del wifi (CERT/CC, 2011). Desactive WPS si su router lo permite.
Red de invitados: separar lo que no debe estar junto
Una oficina pequeña enseguida tiene dispositivos de fiabilidad muy diferente en la misma red: los portátiles con la contabilidad, el NAS con los expedientes de clientes, pero también los teléfonos de los visitantes, un televisor inteligente en la sala de espera, un termostato y algunas cámaras. Si todos están en una misma red, una cámara hackeada puede comunicarse directamente con el NAS.
Por eso debe crear una red de invitados: una segunda red wifi con nombre y contraseña propios, que da acceso a internet pero no a los dispositivos de su red principal. Casi todos los routers lo permiten. Coloque ahí:
- a los visitantes y sus teléfonos;
- los dispositivos inteligentes: televisor, termostato, timbre, altavoz y, cuando sea posible, las cámaras. El NCSC neerlandés lo recomienda explícitamente;
- los dispositivos personales de los empleados, si estos no necesitan acceso a los datos de la empresa.
Después de configurarlo, compruebe que funciona: desde un teléfono conectado a la red de invitados no debería poder encontrar la impresora ni el NAS.
Teletrabajo
En casa trabaja en una red que su empresa no administra, a menudo compartida con familiares, una consola de videojuegos y el altavoz inteligente de los vecinos en la lista de redes. Acuerde con su equipo:
- el router de casa recibe el mismo tratamiento básico: contraseña de administración propia, WPA2 o WPA3 con una contraseña larga, firmware actualizado;
- el portátil de trabajo es para trabajar: que no lo usen los hijos ni otros convivientes, y bloquéelo cuando se ausente (lección 5.2);
- las actualizaciones también deben llegar en casa. Un portátil que no pisa la oficina durante semanas a veces se pierde actualizaciones gestionadas de forma centralizada. Compruébelo;
- el acceso a los sistemas de la empresa se realiza mediante una conexión segura: un servicio en la nube con https y verificación en dos pasos (2FA), o una VPN hacia la oficina. Nunca abra un puerto a la ligera para acceder "rápidamente" al NAS desde casa.
Fuera de la oficina: wifi pública
En un hotel, tren o cafetería no sabe quién administra la red. El mayor riesgo es un hotspot falso: un atacante crea una red con el mismo nombre que la real, por ejemplo "Hotel-Invitados". Su teléfono se conecta automáticamente, y todo su tráfico pasa por su dispositivo.
Afortunadamente, hoy en día la mayor parte del tráfico pasa por https (lección 4.2) y el correo circula por conexiones cifradas. El atacante puede ver qué sitios visita, pero no lo que escribe. Aun así, persisten riesgos: una página de inicio de sesión que le redirige a un sitio falso, un aviso de "instale este certificado" o aplicaciones antiguas que no cifran.
El NCSC neerlandés aconseja:
- utilice preferiblemente datos móviles o el hotspot de su propio teléfono en lugar de wifi pública;
- no permita que su dispositivo se conecte automáticamente a redes wifi;
- no realice gestiones bancarias ni trabajo confidencial en wifi pública, y no descargue ni instale nada en ella;
- desactive la compartición de archivos y cierre sesión cuando termine.
Si recibe una advertencia de certificado en wifi pública en un sitio que conoce bien, no continúe. Es precisamente la señal de que alguien está observando.
Lo que una VPN hace y lo que no
La palabra VPN se usa para dos cosas distintas. Una VPN empresarial conecta su portátil de forma cifrada con la red de su oficina, de modo que pueda acceder al NAS o al programa de contabilidad desde fuera. Un servicio comercial de VPN envía todo su tráfico de internet cifrado al servidor de un proveedor, que después lo reenvía a internet.
| Una VPN sí hace | Una VPN no hace |
|---|---|
| Cifrar su tráfico entre su dispositivo y el servidor VPN, de modo que la red (wifi) local no pueda verlo | Protegerle del phishing: un sitio falso sigue siendo igual de falso a través de una VPN |
| Darle acceso seguro a la red de la oficina (VPN empresarial) | Detener malware o limpiar un portátil infectado |
| Ocultar su dirección IP a los sitios que visita | Hacerle anónimo: iniciar sesión en un servicio sigue revelando quién es usted |
| Eliminar la necesidad de confianza: ahora el proveedor de la VPN puede ver lo que antes veía la red del hotel |
Una VPN, por tanto, desplaza el punto en el que debe depositar su confianza. En una red desconocida puede tener sentido. En su propia red doméstica con sitios https, una VPN comercial añade poco a su seguridad.
Y tenga en cuenta: un servidor VPN en su oficina es en sí mismo un dispositivo perimetral accesible desde internet. Los servidores VPN desactualizados son una puerta de entrada conocida para el ransomware (lección 1.3). Actualícelo, active la verificación en dos pasos (2FA) y apáguelo cuando no lo use.
En la práctica: así se ve
Su correo también viaja por la red cuando está fuera. Configure por ello su programa de correo con conexiones cifradas. En WebOké, por ejemplo, esto significa IMAP en el puerto 993 con SSL/TLS y SMTP en el puerto 587 con STARTTLS (o 465 con SSL/TLS); en otros proveedores los puertos suelen ser los mismos. Si en su programa de correo aparece "sin seguridad" o el puerto 143 o 25 sin cifrado, corríjalo.
Resumen
- Asigne a su router una contraseña de administración propia, desactive la administración desde fuera, UPnP y WPS, y actualice el firmware.
- Elija WPA3, o el modo de transición WPA2/WPA3, con una contraseña wifi larga. Nunca WEP, WPA o TKIP.
- Coloque a los visitantes y los dispositivos inteligentes en una red de invitados, separada de sus dispositivos de trabajo.
- Fuera de la oficina: prefiera los datos móviles o su propio hotspot, no se conecte automáticamente y deténgase ante una advertencia de certificado.
- Una VPN cifra el tramo hasta el servidor VPN, pero no protege contra el phishing ni el malware, y no le hace anónimo.
Cuestionario
Ejercicio
Ejercicio D5.3: Revisar su router y su wifi. Inicie sesión en la página de configuración de su router (en casa o en la oficina). Revise la contraseña de administración, el cifrado, WPS, UPnP, la administración desde fuera, el firmware y la red de invitados. Marque la lista de verificación, pruebe la red de invitados y responda a las preguntas de reflexión.
Ejercicio D5.3: Revisar su router y su wifi
Así puede abordarlo: (1) Inicie sesión en la página de configuración de su router (la dirección y la contraseña inicial figuran en el manual o en la etiqueta) o en la aplicación de su proveedor. Si es un router de su proveedor, compruebe qué ajustes puede modificar usted. (2) Cambie la contraseña de administración por una contraseña larga y única de su gestor de contraseñas. (3) Compruebe el cifrado wifi: WPA3, o modo de transición WPA2/WPA3 si tiene dispositivos más antiguos; nunca WEP, WPA o TKIP. Configure una contraseña wifi larga (frase de contraseña). (4) Desactive WPS, UPnP y la administración remota si no los necesita. (5) Compruebe que el firmware está actualizado y se actualiza automáticamente. (6) Cree una red de invitados y coloque en ella a los visitantes y los dispositivos inteligentes (televisor, termostato, altavoz, cámaras cuando sea posible). (7) Pruebe la red de invitados: conecte un teléfono a la red de invitados e intente encontrar la impresora, el NAS o una carpeta compartida. No debería poder hacerlo. (8) Compruebe la lista de dispositivos conectados en su router. Si no reconoce un dispositivo, averigüe qué es. (9) Compruebe su programa de correo en el portátil y el teléfono: entrada y salida con SSL/TLS o STARTTLS (por ejemplo, IMAP 993, SMTP 587 o 465).
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma similar.
- Manual de DirectAdmin 8.1: Todos los ajustes de un vistazo: servidores, puertos y seguridad
- NCSC neerlandés, Hotspots wifi (en neerlandés): https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- NCSC neerlandés, Medidas básicas de seguridad para dispositivos inteligentes (en neerlandés): https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- NCSC neerlandés, 6 puntos de atención para el teletrabajo (en neerlandés): https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, seguridad del wifi (en inglés): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, la vulnerabilidad de WPS (en inglés): https://www.kb.cert.org/vuls/id/723755