Parte: 13 — Seguridad móvil, IoT e inalámbrica · Fuente: Hacking Exposed Wireless (Wright, Cache) y documentación de hcxtools ⏱️ Duración estimada: 120 min · Nivel: Avanzado
Ejecutar ataques modernos contra redes WiFi WPA2/WPA3-PSK en un entorno propio y controlado: captura del handshake de 4 vías y del PMKID (sin necesidad de clientes conectados), crackeo offline con hashcat, y montaje de un Evil Twin con portal cautivo para capturar credenciales. El alumno entenderá por qué el PMKID cambió el juego, cómo WPA3-SAE resiste estos ataques, y qué defensas aplicar.
⚠️ Nota ética y legal: monta tu propio AP de laboratorio y ataca solo tu red. Capturar handshakes, clonar SSIDs o desautenticar clientes de redes ajenas es ilegal en la mayoría de jurisdicciones. Nunca operes sobre redes que no controlas.
Al finalizar, el alumno podrá:
| # | Tema | Por qué importa |
|---|---|---|
| 1 | 802.11, modo monitor e inyección | Base de toda auditoría WiFi |
| 2 | Handshake WPA2 de 4 vías | Material para crackeo offline |
| 3 | Ataque PMKID (clientless) | Captura sin clientes conectados |
| 4 | Crackeo con hashcat | Convertir captura en contraseña |
| 5 | Evil Twin y portal cautivo | Robo de credenciales/phishing WiFi |
| 6 | WPA3-SAE y PMF | Por qué resisten los ataques clásicos |
| 7 | Defensas y detección | Endurecer la red propia |
En WPA2-Personal, la clave de red deriva de la contraseña y SSID; el handshake demuestra posesión sin transmitirla directamente. Una captura suficiente permite comprobar candidatos offline, por lo que la resistencia depende de una contraseña aleatoria y larga. PMKID puede aportar material de verificación en configuraciones compatibles, pero no está disponible en todo AP ni «rompe WPA2» sin adivinar la credencial.
Un Evil Twin explota selección de red y confianza del usuario. En empresa, validar el certificado del servidor EAP y desplegar perfiles gestionados evita aceptar un autenticador impostor. En redes personales, WPA3-SAE resiste la verificación offline pasiva del mismo modo que WPA2-PSK, aunque implementación, transición y contraseña siguen importando. PMF protege determinadas tramas de gestión; no autentica una página web falsa.
El laboratorio usa AP, cliente y canal propios dentro de un entorno controlado. No se desautentican equipos ajenos: la reconexión se provoca manualmente o con el propio cliente. Las listas de prueba contienen una contraseña conocida y pocas alternativas para demostrar el mecanismo, no diccionarios contra redes reales.
Un AP anuncia WPA2/WPA3 para compatibilidad. Un cliente antiguo usa WPA2 y conserva riesgo de PSK débil; otro usa SAE. El informe no declara «WPA3 roto», sino que identifica negociación por cliente y recomienda eliminar transición cuando el inventario lo permita, contraseña robusta y PMF según soporte.
| Término | Definición útil |
|---|---|
| 4-way handshake | Intercambio que confirma claves y deriva claves de sesión. |
| PMKID | Identificador derivado que algunas configuraciones exponen para gestión de claves. |
| SAE | Autenticación basada en contraseña usada por WPA3-Personal. |
| PMF | Protección de ciertas tramas de gestión IEEE 802.11. |
| Evil Twin | AP impostor que imita identidad de una red. |
Existe dominio cuando el alumno explica qué prueba una captura, diferencia WPA2, SAE y PMF, ejecuta la demostración sin afectar terceros y recomienda controles según tipo de red y clientes.
# Modo monitor
sudo airmon-ng start wlan0
sudo airodump-ng wlan0mon # descubrir tu AP y su canal
# Captura de handshake (tu red)
sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w cap wlan0mon
# Para generar un handshake, reconecta manualmente tu cliente de laboratorio.
# Captura de PMKID
sudo hcxdumptool -i wlan0mon -o pmkid.pcapng --enable_status=1
hcxpcapngtool -o hash.hc22000 pmkid.pcapng
# Crackeo offline
hashcat -m 22000 hash.hc22000 wordlist.txt
airmon-ng y localiza tu AP y su canal con airodump-ng.hcxdumptool obtén el PMKID de tu AP sin clientes y conviértelo a .hc22000.Sobre tu propia red WPA2, captura el PMKID, conviértelo y recupera la contraseña con hashcat. Criterio de aceptación: hashcat muestra la clave crackeada correspondiente a la contraseña que configuraste, y explicas la diferencia con el intento equivalente sobre WPA3-SAE, que no debe ser crackeable offline.
| Síntoma / mensaje | Causa y cómo arreglar |
|---|---|
| No entra en modo monitor | Chipset sin soporte; usa un adaptador compatible y mata procesos con airmon-ng check kill |
| Handshake no válido | Captura incompleta; asegura los 4 mensajes EAPOL o usa PMKID |
| PMKID vacío | El AP no lo expone o usa WPA3; prueba el handshake tradicional |
| hashcat muy lento | Diccionario/hardware; usa GPU y reglas, o un diccionario dirigido |
| Evil Twin sin clientes | Señal débil o PMF activo; ajusta potencia en tu laboratorio aislado |
❓ ¿El ataque PMKID necesita clientes conectados? No: esa es su ventaja. Se obtiene directamente del AP si este incluye el PMKID, permitiendo crackeo offline sin esperar a un handshake.
❓ ¿WPA3 es inmune a todo esto? SAE evita la verificación offline pasiva propia de WPA2-PSK a partir de una captura equivalente, pero contraseñas débiles, modo transición, configuración e implementación siguen importando. La comparación debe declarar clientes y configuración.
❓ ¿Por qué el Evil Twin funciona incluso con WPA2 fuerte? Porque ataca al usuario, no al cifrado: si la víctima se conecta al AP falso e introduce credenciales en un portal, la fortaleza del cifrado del AP legítimo es irrelevante. PMF y verificación de servidor lo mitigan.
Clase 271 — Seguridad de Bluetooth y BLE
Clase 273 — Seguridad de sistemas de control industrial (ICS/SCADA)