Las redes Wi-Fi transmiten señales de radio que pueden ser interceptadas por dispositivos cercanos. Las redes no seguras o mal aseguradas permiten acceso no autorizado, interceptación de datos y potencial compromiso de red. Asegurar redes Wi-Fi implica configurar protocolos de cifrado, controles de acceso, configuraciones de router y prácticas de gestión de red. Diferentes configuraciones de seguridad proporcionan diferentes niveles de protección, y las capacidades del router varían por modelo y fabricante. Esta guía proporciona procedimientos técnicos para asegurar redes Wi-Fi, cubriendo protocolos de cifrado, configuración de router, métodos de control de acceso y prácticas de seguridad continuas.
Riesgos de Seguridad Wi-Fi
Las redes Wi-Fi no seguras o comprometidas permiten varios ataques:
- Acceso No Autorizado: Los atacantes pueden conectarse a redes no seguras, consumiendo ancho de banda y potencialmente accediendo a recursos de red
- Interceptación de Tráfico: El tráfico Wi-Fi no cifrado puede ser interceptado y analizado, exponiendo datos transmitidos
- Acceso a Dispositivos: Los dispositivos conectados pueden ser accesibles para otros dispositivos en la misma red
- Actividades Maliciosas: Los atacantes pueden usar redes comprometidas para actividades ilegales, con actividad rastreada al propietario de la red
- Ataques Man-in-the-Middle: Los atacantes pueden interceptar y modificar comunicaciones entre dispositivos y servicios de internet
- Robo de Credenciales: Las credenciales interceptadas de conexiones no cifradas o débilmente cifradas pueden usarse para acceso no autorizado
- Propagación de Red: Una vez en una red, los atacantes pueden intentar comprometer otros dispositivos conectados
Las medidas de seguridad reducen estos riesgos pero no pueden eliminarlos completamente. Múltiples capas de seguridad proporcionan mejor protección que medidas únicas.
Accediendo a Configuración del Router
Los cambios de configuración del router se hacen a través de la interfaz de administración basada en web del router:
- Dirección IP del Router: Encontrar la dirección IP del router, típicamente 192.168.0.1, 192.168.1.1 o 10.0.0.1 (varía por fabricante y configuración)
- Interfaz de Acceso: Ingresar la dirección IP en un navegador web para acceder a la interfaz de administración del router
- Credenciales Administrativas: Iniciar sesión usando el nombre de usuario y contraseña administrativos del router
Las credenciales administrativas predeterminadas típicamente están impresas en una etiqueta en el router o proporcionadas en documentación. Estas credenciales predeterminadas son públicamente conocidas y deben cambiarse inmediatamente. Las interfaces del router varían por fabricante, pero las configuraciones de seguridad típicamente se encuentran bajo secciones etiquetadas "Inalámbrico", "Seguridad" o "Avanzado".
Cambiar Contraseña Administrativa Predeterminada
Las contraseñas administrativas del router controlan el acceso a todas las configuraciones del router. Las contraseñas predeterminadas están documentadas públicamente y son conocidas por atacantes:
- Contraseña Fuerte: Crear una contraseña fuerte y única para administración del router
- Credenciales Únicas: No reutilizar la contraseña del router para otros servicios o la contraseña de red Wi-Fi
- Gestión de Contraseña: Almacenar la contraseña de forma segura, como en un gestor de contraseñas
- Actualizaciones de Contraseña: Cambiar la contraseña si hay cualquier sospecha de compromiso
El acceso administrativo al router proporciona control sobre todas las configuraciones de red, reglas de firewall y dispositivos conectados. Las credenciales administrativas comprometidas permiten a atacantes reconfigurar la red, deshabilitar características de seguridad y mantener acceso persistente.
Configurar Contraseña de Red Wi-Fi
La contraseña de red Wi-Fi (también llamada clave precompartida o PSK) controla qué dispositivos pueden conectarse a la red inalámbrica:
- Longitud de Contraseña: Usar al menos 12 caracteres, preferiblemente 16 o más
- Complejidad: Incluir letras mayúsculas, minúsculas, números y símbolos
- Impredecibilidad: Evitar contraseñas basadas en información personal, direcciones o palabras del diccionario
- Unicidad: Usar una contraseña diferente a la contraseña administrativa del router
- Actualizaciones Regulares: Cambiar la contraseña periódicamente, especialmente si se ha compartido con otros o si se sospecha acceso no autorizado
Las contraseñas fuertes resisten ataques de fuerza bruta que intentan adivinar la contraseña a través de intentos repetidos. Las contraseñas más largas y complejas requieren significativamente más recursos computacionales para romper.
Protocolos de Cifrado Wi-Fi
Los protocolos de cifrado protegen datos transmitidos sobre redes Wi-Fi de interceptación:
WPA3 (Wi-Fi Protected Access 3)
WPA3 es el estándar actual para seguridad Wi-Fi, introducido en 2018:
- Seguridad Mejorada: Usa Autenticación Simultánea de Iguales (SAE) para prevenir ataques de contraseña sin conexión
- Secreto Directo: Proporciona protección incluso si la contraseña se compromete más tarde
- Soporte de Dispositivo: Requiere dispositivos compatibles con WPA3 (dispositivos de aproximadamente 2018 y posteriores)
- Disponibilidad: No todos los routers soportan WPA3; los routers más nuevos tienen más probabilidad de incluir soporte
Usar WPA3 si tanto el router como los dispositivos conectados lo soportan. WPA3 proporciona seguridad más fuerte que protocolos anteriores.
WPA2 (Wi-Fi Protected Access 2)
WPA2 es el estándar anterior, ampliamente soportado y aún seguro cuando está correctamente configurado:
- Soporte Amplio: Compatible con la mayoría de dispositivos Wi-Fi
- Cifrado AES: Usa cifrado AES para protección de datos
- Seguridad: Proporciona buena seguridad cuando se usa con contraseñas fuertes
- Vulnerabilidades Conocidas: La vulnerabilidad KRACK (2017) afecta WPA2 pero típicamente se mitiga con actualizaciones de dispositivos
WPA2 sigue siendo aceptable para la mayoría de casos de uso cuando WPA3 no está disponible. Asegurar que los dispositivos estén actualizados para proteger contra vulnerabilidades conocidas.
WPA (Wi-Fi Protected Access)
WPA es un protocolo más antiguo que debe actualizarse:
- Desactualizado: Reemplazado por WPA2 y WPA3
- Debilidades: Tiene vulnerabilidades de seguridad conocidas
- Recomendación de Actualización: Actualizar a WPA2 o WPA3 si es posible
WEP (Wired Equivalent Privacy)
WEP está obsoleto e inseguro:
- Inseguro: Tiene fallas de seguridad fundamentales que lo hacen fácilmente rompible
- No Debe Usarse: Nunca usar WEP para seguridad de red
- Actualización Requerida: Los routers que solo soportan WEP deben reemplazarse
Abierto/Sin Cifrado
Las redes sin cifrado no proporcionan protección:
- Sin Seguridad: Todo el tráfico se transmite en texto plano
- **No Debe Usarse:</strong> Nunca usar redes abiertas para actividades sensibles
- Redes Públicas: Las redes Wi-Fi públicas a menudo están no cifradas; usar VPNs o evitar actividades sensibles en estas redes
Las configuraciones de protocolo de cifrado típicamente se encuentran en las configuraciones de seguridad inalámbrica del router. Seleccionar el protocolo más alto soportado tanto por el router como por los dispositivos conectados.
Configuración de Nombre de Red (SSID)
El Identificador de Conjunto de Servicios (SSID) es el nombre de red transmitido por el router:
Cambiar SSID Predeterminado
- Identificación de Marca: Los SSIDs predeterminados a menudo revelan el fabricante del router, proporcionando información que los atacantes pueden usar
- Nombre Único: Cambiar a un nombre único que no revele información personal
- Privacidad: Evitar usar nombres que incluyan tu nombre, dirección o número de apartamento
- Evitar Atención: Evitar nombres provocativos que pueden atraer atención no deseada
Cambiar el SSID no mejora significativamente la seguridad pero reduce divulgación de información. La contraseña y el protocolo de cifrado son factores de seguridad más importantes.
Ocultar SSID
Los routers pueden configurarse para ocultar el SSID, previniendo que el nombre de red aparezca en escaneos estándar de dispositivos:
- Beneficio Limitado: Los SSIDs ocultos aún pueden detectarse usando herramientas de análisis de red
- Inconveniencia: Requiere entrada manual del SSID en dispositivos conectados
- Seguridad Falsa: Proporciona beneficio de seguridad real mínimo
Ocultar el SSID proporciona beneficio de seguridad mínimo. Una contraseña fuerte y cifrado apropiado son más importantes que ocultar SSID. Muchos expertos en seguridad recomiendan mantener el SSID visible para conveniencia mientras se mantienen configuraciones de contraseña y cifrado fuertes.
Actualizaciones de Firmware del Router
Las actualizaciones de firmware del router parchean vulnerabilidades de seguridad y añaden características:
- Parches de Seguridad: Las actualizaciones corrigen vulnerabilidades de seguridad descubiertas en software del router
- Actualizaciones de Características: Las actualizaciones pueden añadir nuevas características de seguridad o soporte de protocolo
- Proceso de Actualización: Verificar actualizaciones a través de la interfaz de administración del router o sitio web del fabricante
- Actualizaciones Automáticas: Habilitar actualizaciones automáticas si el router soporta esta característica
- Routers Heredados: Los routers que ya no reciben actualizaciones de firmware deben reemplazarse por razones de seguridad
Los procedimientos de actualización de firmware varían por fabricante. Algunos routers requieren instalación manual de actualizaciones, mientras que otros soportan actualizaciones automáticas. Consultar la documentación del fabricante para procedimientos de actualización.
Deshabilitar Wi-Fi Protected Setup (WPS)
Wi-Fi Protected Setup (WPS) es una característica diseñada para simplificar conexión de dispositivos pero tiene vulnerabilidades de seguridad:
- Vulnerabilidad PIN: El método PIN de WPS es vulnerable a ataques de fuerza bruta debido a su longitud de PIN corta
- Falla de Diseño: El método de validación PIN de WPS permite a atacantes determinar el PIN correcto a través de intentos repetidos
- Recomendación: Deshabilitar WPS en configuraciones del router si no se necesita
- Alternativa: Usar autenticación de contraseña estándar en lugar de WPS
Los ataques PIN de WPS pueden comprometer la seguridad de red incluso con contraseñas fuertes, ya que WPS sortea la autenticación normal. Deshabilitar WPS a menos que funcionalidad específica lo requiera.
Configuración de Gestión Remota
La gestión remota permite administración del router desde fuera de la red local:
- Deshabilitado Predeterminado: La gestión remota típicamente está deshabilitada por defecto en la mayoría de routers
- Riesgo de Seguridad: Habilitar gestión remota expone la interfaz de administración del router a ataques de internet
- Recomendación: Mantener gestión remota deshabilitada a menos que se requiera específicamente
- Si se Habilita: Si la gestión remota debe habilitarse, usar contraseñas fuertes y considerar restringir acceso por dirección IP si se soporta
- Gestión en la Nube: Algunos routers incluyen características de gestión en la nube; deshabilitar estas si no se necesitan
La gestión remota aumenta la superficie de ataque al permitir acceso desde internet. La mayoría de usuarios domésticos no necesitan capacidades de gestión remota.
Configuración de Red Invitado
Las redes invitado crean redes inalámbricas separadas que están aisladas de la red principal:
- Aislamiento de Red: Los dispositivos en redes invitado no pueden acceder a dispositivos en la red principal
- Contraseña Separada: Las redes invitado usan contraseñas diferentes a la red principal
- Límites de Ancho de Banda: Algunos routers permiten límites de ancho de banda para redes invitado
- Dispositivos IoT: Útil para conectar dispositivos de Internet de las Cosas (IoT) que pueden tener seguridad más débil
- Acceso de Visitantes: Proporciona acceso a internet para visitantes sin otorgar acceso a la red principal
El aislamiento de red invitado no siempre es perfecto; la implementación varía por router. Algunos routers proporcionan mejor aislamiento que otros. Las redes invitado proporcionan una capa adicional de seguridad pero no deben considerarse aislamiento completamente seguro.
Monitoreo de Dispositivos Conectados
Revisar regularmente dispositivos conectados ayuda a identificar acceso no autorizado:
- Lista de Dispositivos: Las interfaces de administración del router típicamente muestran listas de dispositivos conectados
- Identificación de Dispositivo: Revisar nombres de dispositivos y direcciones MAC para identificar dispositivos autorizados
- Dispositivos Desconocidos: Investigar dispositivos desconocidos que aparecen en la red
- Remediación: Si se encuentran dispositivos no autorizados, cambiar la contraseña Wi-Fi y revisar otras configuraciones de seguridad
- Herramientas de Monitoreo: Algunos routers ofrecen aplicaciones móviles o características de monitoreo mejoradas para gestión de dispositivos más fácil
La identificación de dispositivos puede ser difícil, ya que los nombres de dispositivos pueden no ser descriptivos o pueden ser cambiados por usuarios. Las direcciones MAC pueden ayudar a identificar dispositivos, aunque las direcciones MAC pueden falsificarse por atacantes.
Seguridad Física del Router
El acceso físico a routers puede comprometer la seguridad de red:
- Restablecimiento Físico: El acceso físico permite a atacantes restablecer routers a valores predeterminados de fábrica, sorteando todas las configuraciones de seguridad
- Acceso de Configuración: El acceso físico puede permitir cambios de configuración directos
- Colocación: Posicionar routers en ubicaciones seguras que limiten acceso físico
- Rango de Señal: Considerar colocación del router para limitar fuerza de señal extendiéndose más allá de áreas de cobertura deseadas
La seguridad física a menudo se pasa por alto pero es importante. Los routers deben colocarse en ubicaciones que prevengan acceso físico no autorizado.
Medidas de Seguridad Adicionales
Las medidas de seguridad adicionales proporcionan capas extra de protección:
Filtrado de Dirección MAC
El filtrado de dirección MAC permite solo dispositivos específicos (identificados por dirección MAC) conectarse:
- Control de Acceso: Proporciona control de acceso adicional más allá de autenticación de contraseña
- Métodos de Sorteo: Las direcciones MAC pueden falsificarse por atacantes, haciendo esta medida sorteable
- Sobrecarga de Gestión: Requiere mantener una lista de direcciones MAC permitidas y actualizarla para nuevos dispositivos
- Seguridad Limitada: Proporciona beneficio de seguridad mínimo pero puede disuadir acceso no autorizado casual
El filtrado de dirección MAC añade complejidad de gestión con beneficio de seguridad limitado. No debe confiarse como medida de seguridad primaria.
VPN en Router
Algunos routers soportan funcionalidad VPN, enrutando todo el tráfico de red a través de una VPN:
- Cifrado de Tráfico: Cifra todo el tráfico de todos los dispositivos en la red
- Visibilidad ISP: Previene que los proveedores de servicios de internet monitoreen actividad de red
- Requisitos de Router: Requiere soporte de router para protocolos VPN y configuración
- Impacto de Rendimiento: Puede impactar rendimiento de red dependiendo de ubicación y velocidad del servidor VPN
Las VPNs a nivel de router protegen todos los dispositivos automáticamente pero requieren routers compatibles y configuración de servicio VPN.
Segmentación de Red (VLANs)
Los routers avanzados soportan Redes de Área Local Virtuales (VLANs) para segmentar tráfico de red:
- Aislamiento de Tráfico: Separa diferentes tipos de dispositivos o grupos de usuarios en segmentos de red aislados
- Límites de Seguridad: Crea límites de seguridad entre segmentos de red
- Configuración Avanzada: Requiere características avanzadas de router y conocimiento de configuración
- Casos de Uso: Útil para separar dispositivos IoT, redes invitado o redes de negocios de dispositivos personales
La configuración de VLAN es una característica avanzada que requiere conocimiento técnico. La mayoría de usuarios domésticos no necesitan segmentación VLAN, aunque puede proporcionar seguridad adicional para configuraciones de red complejas.
Signos de Compromiso de Red
Indicadores de que una red puede haber estado comprometida:
- Degradación del Rendimiento: Lentitud inusual que puede indicar uso de ancho de banda no autorizado
- Dispositivos Desconocidos: Dispositivos no reconocidos apareciendo en la lista de dispositivos conectados
- Cambios de Configuración: Configuraciones del router cambiadas sin tu conocimiento
- Redirección de Tráfico: Tráfico web siendo redirigido a sitios inesperados
- Bloqueo Administrativo: Incapacidad para acceder a la interfaz de administración del router (la contraseña puede haber sido cambiada)
- Actividad de Red Inusual: Alto uso de red durante períodos cuando los dispositivos deberían estar en reposo
Estos síntomas también pueden indicar otros problemas como mal funcionamiento del router o problemas legítimos de configuración. Investigar antes de asumir compromiso, pero tomar estos signos seriamente.
Respuesta a Compromiso de Red
Si se sospecha compromiso de red:
- Desconectar Dispositivos: Desconectar dispositivos importantes de la red
- Restablecimiento del Router: Realizar un restablecimiento de fábrica en el router para eliminar todos los cambios de configuración
- Reconfiguración: Reconfigurar el router con nuevas contraseñas y configuraciones de seguridad
- Cambios de Contraseña: Cambiar contraseñas para dispositivos y cuentas que estaban conectadas a la red comprometida
- Revisión de Seguridad: Revisar todas las configuraciones de seguridad y asegurar que estén correctamente configuradas
El restablecimiento de fábrica elimina todas las configuraciones personalizadas y devuelve el router a configuración predeterminada. Reconfigurar todas las configuraciones de seguridad después del restablecimiento.
Limitaciones de la Seguridad Wi-Fi
Las medidas de seguridad Wi-Fi tienen limitaciones:
- Rango de Señal: Las señales Wi-Fi se extienden más allá de límites físicos, haciendo difícil la contención completa de señal
- Vulnerabilidades de Protocolo: Los protocolos de seguridad pueden tener vulnerabilidades no descubiertas o fallas de implementación
- Seguridad de Dispositivo: Los dispositivos conectados pueden tener vulnerabilidades que comprometen la seguridad de red
- Prácticas del Usuario: La seguridad depende de prácticas del usuario como gestión de contraseñas y hábitos de actualización
- Acceso Físico: El acceso físico a routers puede sortear medidas de seguridad de software
- Vulnerabilidades de Día Cero: Nuevas vulnerabilidades pueden emerger que aún no están parcheadas
Ninguna configuración de seguridad proporciona protección perfecta. Múltiples capas de seguridad y buenas prácticas reducen el riesgo pero no pueden eliminarlo completamente. La revisión y actualizaciones regulares ayudan a mantener seguridad con el tiempo.