Ya hemos hablado varias veces de ello. Las tecnologías inalámbricas tienen un riesgo inherente mayor. La información viaja por el aire, un medio compartido en el sentido más estricto de la palabra.

Los distintos protocolos tienen esto en cuenta e incluyen mecanismos de cifrado y de autenticación, en algunos casos con poco éxito. El caso más claro es el WEP, con una longitud de clave y de vector de inicialización demasiado corta y un sistema de comprobación de la integridad de los datos prácticamente inútil.

Otro caso es el bluetooth, basado en una modificación del SAFER+. En principio, utilizar una modificación de un algoritmo conocido no es una buena idea, ya que con el tiempo puede descubrirse que el resultado es vulnerable.

Actualmente la mayor dificultad es poder capturar el tráfico que se intercambian los dispositivos durante el proceso de emparejamiento. Si se consigue esta información, el sistema el mecanismo de autenticación y de cifrado es inseguro. De hecho, oficialmente se recomienda hacer el emparejamiento de dispositivos en un "lugar seguro".


Dentro de poco va a llegar el USB inalámbrico. A día de hoy, por las conexiones USB viajan muchos datos sensibles, como las contraseñas que tecleas o los datos que lees de un disco duro externo. Es obvio lo peligroso que sería que alguien consiguiera capturar este tráfico, fuera capaz de suplantar la identidad de un teclado, o hacer un ataque de "man-in-the-middle" con un disco duro.

Según la especificación, el algoritmo de cifrado a utilizar es AES-128 con CCM, proporcionando así confidencialidad y autenticación. También se permite utilizar RSA para el intercambio de las claves simétricas, aunque se obliga a que el nivel de seguridad sea comparable al de AES-128. Parece que en este caso han optado por utilizar algoritmos conocidos y probados con una longitud de clave suficiente. Esperaremos a ver los primeros dispositivos.


Patxi Astiz
S21sec labs