¿Es seguro navegar por Internet en una red WiFi pública?

¡Están por todas partes! Hoteles, aeropuertos, bibliotecas, restaurantes, escuelas, centros cívicos, ayuntamientos… Hoy hablamos de redes WiFi públicas a las que cualquiera puede conectarse desde su dispositivo.

La seguridad de este tipo de redes es un tema de debate que se plantea con frecuencia. ¿Qué pasa si me conecto a mi Facebook desde una de ellas? ¿Puedo consultar mi gmail en una red WiFi pública?

¿Es seguro navegar por Internet en una red WiFi pública?

Seguro que te has preguntado esto alguna vez, ¿verdad? Pues bien, hoy en programarivm nos atrevemos a dar dos respuestas a esta pregunta. Sí, has oído bien, ¡dos respuestas! Una para usuarios normales que no quieren complicarse la vida con los ordenadores, y otra para informáticos.

Las redes WiFi públicas son inseguras

La naturaleza de este tipo de redes es insegura en sí misma porque están diseñadas para que un montón de desconocidos puedan conectarse a las mismas en cualquier momento. No es como la red de tu casa o la de tu empresa, donde solo un pequeño grupo de personas tiene el acceso autorizado.

Cualquiera puede ver el tráfico que circula en una red WiFi pública. En jerga informática esto se llama “esnifar el tráfico”. Basta con instalar en tu ordenador una aplicación de esnifado o análisis de paquetes, que suelen ser gratuitas por cierto.

Es tan fácil que Hide My Ass!, una empresa británica que ofrece servicios de VPN, demostró que incluso una niña de 7 años puede hacerlo.

Betsy Davies no es superdotada, simplemente aplicó los pasos que encontró en un tutorial de Internet, e instaló un programa analizador de tráfico de red para ver la información que circulaba en el cibercafé donde se encontraba.

Wireshark es uno de los mejores programas analizadores de redes que existen en la actualidad, es gratis y de código abierto. También hay software especializado que captura automáticamente las contraseñas que viajan por la red. SniffPass, por ejemplo, monitoriza el tráfico del correo electrónico, FTP y web (protocolos POP3, IMAP4, SMTP, FTP y HTTP) en busca de contraseñas, y cuando encuentra una te la enseña instantáneamente.

¿Queda claro? Toda la información que viaja en una red inalámbrica pública es completamente visible. La solución consiste en encriptar los datos sensibles: contraseñas, tarjetas de crédito, cookies, emails, datos privados, etc.

Ahora vamos a comentar algunas vulnerabilidades de las redes WiFi.

Webs HTTP que piden contraseñas

Regla básica: nunca metas contraseñas en webs HTTP mientras navegas en una WiFi pública. Acuérdate de Betsy Davies… Las páginas web HTTP no encriptan la comunicación. Cualquiera que ejecute Wireshark en un PC conectado a la WiFi pública donde estás tú, verá tus contraseñas y tus cookies.

¿Trabajas con CMSs como WordPress, Joomla!, Drupal, Prestashop, Magento o Moodle? Asegúrate de que tu site es seguro y tiene instalado un certificado SSL. Sin HTTPS, tu web es insegura. Nunca la administres conectado a una WiFi pública. Echa un vistazo a este post donde ya hablé de este problema.

Piden contraseñas

Webs que parecen HTTPS pero que no lo son

Como norma general, piénsatelo dos veces antes de conectarte a una red WiFi pública y meterte en una web que te pide tu nombre de usuario y tu contraseña. ¡Aunque sea HTTPS!

Por desgracia, muchas webs ponen HTTPS en el login, pero luego lo quitan en el resto de la navegación. Pues bien, estas webs son inseguras. No es suficiente que “parezcan HTTPS”. Existe un riesgo de robo de contraseña si tales websites no implementan bien SSL/TLS en todas y cada una de sus páginas.

Resulta sorprendente, pero hay muchas webs que a día de hoy no implementan bien HTTPS…

No hay peligro si todas las páginas de una web están cifradas con SSL/TLS, puesto que en HTTPS solo viajan claves públicas y mensajes encriptados. Hablamos de servidores web en los que confiamos y que suponemos bien configurados. Aquí incluimos servicios como Gmail, Facebook, Twitter, y un largo etcétera. Incluso tu blog WordPress si está bien configurado.

Tus emails corren peligro

Como hemos dicho, cualquier persona puede leer fácilmente las comunicaciones que se llevan a cabo en las redes WiFi públicas. Esto, claro, incluye los correos electrónicos.

No hay peligro si utilizas programas cliente de correo electrónico como Outlook o Thunderbird y encriptas tus comunicaciones con SSL/TLS.

Asegúrate por tanto de que tu cuenta de correo funciona con SSL, si no los crackers podrán leer tus emails y también tendrán acceso a tus contraseñas.

Algunas configuraciones típicas para el email seguro son:

  • IMAP en el puerto 993
  • POP en el puerto 995
  • SMTP en el puerto 465 o 587

Además, siempre puedes añadir una capa de seguridad adicional a tus emails con el protocolo OpenPGP para protegerlos en la capa de aplicación de la pila TCP/IP.

Puntos de acceso WiFi falsos

¿Alguna vez fuiste a conectarte a una red WiFi abierta y te sorprendió ver que había dos redes con un nombre muy parecido?

Por ejemplo:

  • HOTEL MILFRON
  • HOTEL MILFRON WI-FI

¡Cuidado! Esto es un cracker malicioso que ha creado un punto de acceso WiFi falso, para ellos es relativamente fácil hacerlo. Si te pasa algo así no te conectes a ninguna de estas dos redes. Sal de dudas, informa a tu hotel de este hecho.

Si te conectas a su punto de acceso el cracker te robará cualquier información sensible que introduzcas en Internet: tus contraseñas, emails, tarjetas de crédito, etc. También puede redirigirte a webs falsas para capturar tus datos. Este ataque se llama man-in-the-middle.

Puntos de acceso comprometidos

Puntos de acceso comprometidos

En realidad nadie nos puede asegurar de que el router de tal o cual restaurante, hotel o aeropuerto está manipulado maliciosamente por alguien que tiene acceso físico al aparato. O quizás algún cracker ha explotado una vulnerabilidad y ha modificado la configuración DNS.

El caso es que siempre existe un cierto riesgo cuando te conectas a una red WiFi pública. Alguien podría redirigirte a webs falsas con la intención de robar tus contraseñas. La solución a todos estos problemas son las VPN.

Conclusión

Hemos considerado dar dos respuestas a la pregunta que planteamos en el artículo de hoy: ¿son seguras las redes WiFi públicas? Una es para informáticos y la otra es para usuarios normales.

Respuesta para usuarios normales

La respuesta rápida para los usuarios que no quieren complicarse la vida con cuestiones técnicas es: ¡ten mucho cuidado con las redes WiFi! Los crackers pueden robarte tus contraseñas. El riesgo mayor desaparece por completo si navegas por sitios que no te piden tus datos privados; por ejemplo periódicos digitales, revistas, la Wikipedia, blogs, etc.

El tráfico de red que se intercambian el punto de acceso de la WiFi pública y tu ordenador debe estar encriptado para considerarse seguro. El problema es que solo los expertos pueden averiguar si tales comunicaciones están bien encriptadas o no.

Si necesitas conectarte a Internet en una red WiFi por cuestiones de trabajo, la respuesta es rotunda, ¡no lo hagas! No pongas en riesgo la seguridad de tu empresa en una red pública; conéctate a una Red Privada Virtual (VPN), que para eso están.

Respuesta para informáticos

¡Que no cunda el pánico! Si las comunicaciones están cifradas no hay que alarmarse. A continuación hablaré a título personal.

Si me veo en una situación donde estoy en una WiFi pública, no dispongo de VPN, y necesito conectarme a mi Google+ o a mi Twitter, o a cualquiera de mis servidores HTTPS bien configurados, yo me conectaría. Luego, desde una red segura, por ejemplo en mi casa, actualizaría mi contraseña “por si las moscas”.

Nunca me conectaría a una WiFi pública si en el transcurso de mi navegación por la Web tuviera que utilizar los datos de una empresa. El riesgo hipotético lo asumo para mí pero no para los demás, a no ser que sea algo extremadamente urgente, una cuestión de vida o muerte.

Pero esto ya es entrar en debates más o menos profundos en temas relacionados con la seguridad informática…

Recuerda, la solución a las cuestiones más técnicas de índole existencial sobre qué es seguro y qué no es seguro se llama VPN: Virtual Private Network. Conectándote a una VPN solucionas todos los problemas de seguridad que plantean las redes inalámbricas públicas.