Consejos de seguridad de routers Wireless

Hace no mucho, he estado investigando en Internet la capacidad de poder "romper" redes Wireless (En adelante Wifi) que vienen en los rúteres por defecto. 

Voy a hacer unos pequeños apuntes para poder ayudar a todo el que lea (Ah, no, que sigo estando solo... Bah, da igual) el cómo poder proteger su Wifi de manera mucho más segura.

1º Conoce cómo entrar a tu router.

Un router wifi tiene un modo de acceso, para poder hacerle cambios. Para acceder a él, comúnmente, el proveedor de servicios manda, junto con el router, un disco que instalas en tu ordenador y te da acceso a tu router y a cambiar una serie de preferencias.

Si el proveedor de servicios no ha suministrado un disco de instalación o algo de ese estilo, no te preocupes, puedes entrar aún así en él. Para ello, en un navegador debes introducir la IP de tu puerta de enlace (Comúnmente, en todos los rúteres, la puerta de enlace es 192.168.1.1, con lo que en el navegador debe quedar algo así como "http://192.168.1.1" (sin comillas, claro), y desde ahí podrás entrar. En este caso has de especificar un usuario y contraseña, que comúnmente debe ser 1234 en los dos campos. Si no da acceso con esos códigos, usa Google para adivinarlo (lo que viene a ser que pongas marca y modelo del router y "contraseña" y te aparecerá alguna).

2º Protege la contraseña de entrada y cambia las opciones

Un router, tal cual de fábrica, te viene con dos códigos únicos y relacionados: ESSID y BSSID

El ESSID es el nombre que comúnmente aparece cuando buscas wifi, algo así como "WLAN_XX", "JAZZTEL_XX". "VodafoneXXXX", "WLAN_XXXX" u otros que no tienen éste patrón.

El BSSID es el identificador único de tu punto de acceso wifi. Algunos confunden que la BSSID y la MAC del router son exactamente el mismo coso, pero no es así. Cierto que tienen similitudes como 6 grupos de 2 letras, así como 11:22:33:44:55:66, tomando estos números valores desde 1-0 y A-F (para el que no lo sepa, son valores hexadecimales), pero el BSSID es sólo del punto de acceso y la MAC del router es la dirección fisica del router, que no del punto de acceso.

Existen programas que conociendo estos dos únicos valores te sacan la clave exacta que tienes, sea WEP o WPA*

*WEP y WPA: Encriptaciones de los routeres. WEP es común en routeres WLAN_XX y JAZZTEL_XX y WPA en WLAN_XXXX y VodafoneXXXX

Para asegurar la conexión, cambiaremos el valor ESSID y la contraseña, ya sea WPA o WEP.

Antes de configurar el router, es recomendable hacerlo por cable Ethernet, para no quedarse parado en las configuraciones (Cuando cambias valores mediante Wifi, el router reinicia los ajustes y a veces desconecta de tu ordenador por los cambios que haces)

Una vez dentro del router, habrá un apartado llamado Wireless (Si usas el disco, sigue las opciones y te debería aparecer).

Una vez cambies el valor ESSID, a los 10 segundos debe aparecer el nuevo nombre de la red que hayas especificado. El BSSID seguirá inalterable, al igual que la contraseña del router, con lo que también cambiaremos dicha clave.

Para ello, el apartado ahora será Encryptation. Para más seguridad, recomiendo usar claves del tipo WPA/PSK, más difíciles de crackear que las tradicionales WEP o WPA de serie.

Una vez cambiados los valores del ESSID y la clave de entrada, el router puede estar totalmente protegido a primera vista, pero en realidad aún sigue estando vulnerable. Para fortalecer aún más la red, podemos activar o desactivar una serie de cosas, a saber:

• Filtro MAC: Es un filtro único que afecta a la wifi. El router tiene una tabla MAC, de acceso o denegación. Si activas éste filtro y especificas que sólo se conecten ordenadores con una determinada MAC, conseguirás que el que te quiera entrar no pueda hacerlo tan fácilmente. La configuración del filtro es diferente en los rúteres, con lo que es preferible buscarlo en Google que hacer uno genérico
  
  
• Servidor DHCP: Cuando un ordenador se conecta al router, sea mediante Wifi o cable, el router suministra una dirección IP, una máscara de subred, la puerta de enlace y las direcciones de los servidores DNS, para que funcione normalmente y sin problemas. Si desactivas el DHCP, tendrías que introducir manualmente los valores de la conexión. Como medida de seguridad, es a gusto del consumidor: si solo usas dos PC (un fijo y un portátil) y no los sacas de casa, desactivas el DHCP y pones todo "a capela" para que, si alguien se conecte, le resulte más dificil.
  
  PD: Si usas aparatos como teléfonos móviles, PDAs o aparatos que requieren el uso de wifi si pueden, has de saber que algunos de ellos no son adaptables si no tienen un servidor DHCP y no se le puede poner una dirección IP estática.
  
  PD 2: Una vez deshabilitado el servidor DHCP, nada más le des a Apply, el ordenador desconectará de la conexión, dado que el DHCP está desactivado y ya no ofrece esa IP asignada a tu ordenador. Es recomendable que si vas a desactivar el DCHP, tengas ya asignada una IP estática para no sufrir mucho retraso en la configuración. Para asignar una dirección IP, ve a Conexiones de Red, Propiedades en el adaptador de red que usas y en Protocolo de Internet versión 4, propiedades y asignas los valores que quieres dar.

• Cambio de la contraseña de entrada al router: El usuario y contraseña de entrada al router también puede ser modificable. Así evitaremos que si alguien consigue entrar, pueda modificar valores.
  
  
• Cambio de la dirección de la puerta de enlace: La dirección 192.168.1.1, por defecto en los routers, también puede ser modificable. Puedes asignar direcciones más seguras como 192.168.X.1 (x es el valor cambiable, de 0 a 254).
  
  Atención: Si cambias la dirección del router, los ordenadores también cambiarán de "red". Por ejemplo, si la dirección es 192.168.64.1, el resto de ordenadores tendrán que tener como dirección IP 192.168.64.X, siendo X el valor que quieras dar a la IP de tu ordenador (omitiendo el 0 y el 255, que son las IP de red y de broadcast). Con el servidor DHCP no será necesario, cogerá la red sola, pero sin DHCP, deberá ser así.

Una vez hechos todos los cambios, es recomendable resetear el router (Ojo, no resetear de fábrica, sino apagar y encender) para que surtan efecto. Por defecto el router puede hacerlo solo debido a los cambios, pero por si acaso, se hará así también.

PD: Posiblemente haya cientos, sino miles, de apuntes de éste tipo, pero este es totalmente personal y reproducido por un servidor como yo, aunque las cosas que diga sean demasiado obvias, no puedo dejar de recordarlo para los lectores.

PD 2: Si algún usuario me remite algún tipo de duda, por ejemplo que no sabe cómo funciona el DHCP o cosas relacionadas, comenten en el problema y haré una nueva entrada con la solución del problema

PD 3: Este artículo es meramente orientativo. Como seguro que aunque ponga que no lo distribuyáis por ahí o cosas así os la va a soplar a dos manos, no voy a poner el típico mensaje de "no lo distribuyas sin permiso", así que si os queréis hacer los listos hablando de direcciones MAC o servidores DHCP como si supiérais de lo que estáis hablando, adelante, pero no resolveré dudas para vuestro propio "lucro" con otras personas.

Fuentes usadas:
Elhacker.net
Algunos recursos de Cisco Systems
Experiencias propias configurando un router, y otras cosas de la vida.