Resumen de este problema:

• Se ha detectado una debilidad en el encriptado TKIP (WPA/TKIP y WPA2/TKIP).

• El nivel de riesgo actual es bajo pero puede incrementarse.

• Se sugiere como solución habilitar el soporte AES, formando y migrando a los clientes a WPA2/AES.

• Impacto de esta solución: los puntos de acceso inalámbricos deberán ser actualizados o reemplazados. Los dispositivos de los clientes (o software suplicante) deberá ser reconfigurado, actualizado o reemplazado.

Análisis detallado del problema y recomendaciones:

Investigaciones recientes han revelado un método para comprometer, parcialmente, las redes encriptadas con WPA-TKIP y WPA2-TKIP, habilitando la extracción e inyección de datos falsos. Actualmente, solo se pueden extraer unos pocos tipos de paquetes y pequeñas cantidades de datos, no estando comprometida la clave de encriptado, por lo que el impacto en la seguridad es limitado. Sin embargo, este problema de seguridad podrá ser explotado en un futuro. Debido a que la inversión en una red inalámbrica es una inversión estratégica a largo plazo, se deben tener en cuenta los potenciales ataques contra TKIP en el futuro. Por este motivo, el Equipo de Operaciones de eduroam recomienda que los nuevos despliegues de Proveedores de Identidad no hagan uso de TKIP como su algoritmo de encriptado, siendo TKIP considerado como obsoleto. Por otra parte, no es necesario realizar un migrado inmediato de los despliegues existentes, pero deberá tenerse en cuenta para realizarlo de forma planeada en un futuro (por ejemplo, cuando se planee un reemplazo de los sistemas que actualmente se encuentran en producción), recomendándose un migrado al tipo de encriptado AES. Este aviso técnico proporciona información a los Proveedores de Servicio sobre las posibilidades de migración desde encriptado TKIP a encriptado AES, dependiendo de los sistemas con los que cuenten en la actualidad.

Nuevos despliegues:

Si va a desplegar un nuevo Proveedor de Servicio, deberías proveer solo WPA2/AES como método de encriptado. Como el resto de esquemas de encirptado antiguos pueden estar comprometidos (WEP, WPA/TKIP, WPA2/TKIP) o tener capacidades limitadas en cliente (WPA/AES), no es admisible introducir estos sistemas obsoletos en nuevos despliegues.

Aviso técnico completo en PDF (inglés).