Seguridad básica en redes wifi públicas

Ahora que en las estaciones de tren y aeropuertos las WiFi públicas gratuitas se están haciendo más populares, es interesante revisar unos consejos básicos sobre su seguridad.

Las pruebas a realizar son:

1) ¿Está cifrada? Por lo general, no es necesario introducir una password para configurar dicha WiFi en nuestro terminal. Una vez conectados, es posible que nos pidan usuario o que nos loguemos en alguna red social para “identificarnos”, pero la red inalámbrica en sí misma no está cifrada. Esto puede hacer que cualquiera nos pueda interceptar la señal y ver todo lo que hacemos. Por otro lado, si nos piden autenticarnos con una red social, mucho cuidado. Recientemente se ha producido un percance de seguridad relacionado con esto: resulta que permitían introducir el usuario/password de twitter para registrarse, pero estos datos quedaban almacenados en claro en el servidor, por lo que quien tenga acceso a éste podrá robar las credenciales completas.

2) Una vez conectados a la WiFi, ¿qué sucede si usamos una herramienta tipo “Fing” (para Android e iOS). ¿Salen dispositivos o no sale nadie? Si aparecen más dispositivos, además de “My Phone”, como en este ejemplo:

Eso quiere decir que cualquiera puede vernos, y por tanto, seremos susceptibles de ser atacados.
Lo ideal es que no salga nada, es decir, sólo nuestro móvil, como si estuviésemos solos en la red. Esto quiere decir que el operador de la red tiene activada una funcionalidad básica de seguridad llamada “aislamiento de clientes” (client isolation). Eso hace que otros usuarios no vean si hay otros en la red, como si fuesen compartimentos separados.

En nuestro estudio, hemos podido ver como redes WiFi de infraestructuras muy importantes no cumplían ni el punto 1 ni el 2, por tanto, apenas es necesario tener conocimientos para espiar el tráfico de los usuarios, obtener sus passwords, etc… De forma muy interesante, hemos visto que sitios donde “sospecharíamos” que no se espera seguridad (cierto restaurante de comida rápida) sí han hecho bien los deberes y al menos, el segundo punto, lo cumplen, dificultando la labor de un ciberdelincuente.

Como siempre, las recomendaciones básicas son:

1) No usar esas WiFi, mejor usa tu tarifa de datos o bien, si estás en el extranjero, adquirir un dispositivo que con una SIM local (las hay a precios razonables) te genera un punto de acceso privado para ti. Otra opción es tener un teléfono libre, pero eso implicará tener un número de teléfono diferente.

2) Si no queda otro remedio, usa un sistema de VPN, el cual cifre completamente todas las comunicaciones. Para ello, dependiendo del caso, se podrá usar:

a. Personal de empresa: si tu empresa pone VPN a tu servicio, ¡úsala! Tu tráfico pasará por la empresa y por tanto irá de forma segura. Es posible que no se permita tráfico no de negocio (tráfico de ocio), pero, ¿vale la pena correr el riesgo?

b. Personas particulares: existen varias empresas que dan este servicio por una cuota muy razonable, es la forma más sencilla, pues te dan la aplicación y sólo necesitas tu usuario y password. Si por el contrario eres un “manitas”, puedes reutilizar un ordenador antiguo o bien adquirir un “barebone” (ordenador pequeño, sin ventilador) e instalarle Sophos XG Home Edition. Con esto podrás crear tu propia VPN saliendo desde casa.

3) Si aún las recomendaciones anteriores debes usar la WiFi, desactiva todos los servicios (plugins de Chrome, Dropbox, plugins de gMail, Facebook, etc…), siempre verifica que conectas a los servicios por HTTPS (conexiones seguras) escribiendo con atención las URLS (direcciones de las páginas web) y que no aparecen alertas en el navegador. Si aparecen, lo mejor es apagar y no usar esa WiFi (aunque quizás pueda ser tarde).

Espero que todos estos consejos puedan ser intersantes y recordad que si para vuestros equipos personales, podéis instalar Sophos Home Edition, el antimalware de Sophos gratuito para usuarios domésticos y con filtrado web (bloqueo de categorías no deseadas), ideal para los equipos compartidos con los más pequeños de la casa.

Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación: