Seguridad en la Capa 2 del Wi‑Fi: riesgos, señales y protección en una red doméstica
La Capa 2 del Wi‑Fi es muy diferente a la Capa 2 del Ethernet cableado.
Aquí no solo hablamos de MAC, tramas y control de acceso al medio, sino también de:
_ asociación y autenticación Wi‑Fi,
_ beacons,
_ CSMA/CA,
_ retransmisiones,
_ control de potencia,
_ gestión de roaming,
_ ataques de desautenticación,
_ spoofing de BSSID,
_ tramas de gestión sin cifrar.
Es una capa extremadamente vulnerable porque el medio es el aire: cualquiera puede escuchar, interferir o manipular.
1. Riesgos reales en la Capa 2 del Wi‑Fi
La Capa 2 del Wi‑Fi es una de las más vulnerables de toda la red doméstica. Aquí se gestionan las tramas inalámbricas, las MAC de los dispositivos, las tramas de gestión, la negociación de velocidad y la modulación. A diferencia del tráfico cifrado de datos, muchas tramas de control y gestión viajan sin cifrar, lo que permite a un atacante manipular el enlace sin necesidad de romper WPA2 o WPA3. Por eso los ataques en esta capa son tan efectivos: actúan sobre la base del enlace inalámbrico y pueden provocar desconexiones, reconexiones forzadas, saturación del canal o incluso suplantación del punto de acceso.
1.1 Ataques de desautenticación (Deauth)
El ataque de desautenticación es el clásico ataque Wi‑Fi en Capa 2. Un atacante envía tramas de desautenticación falsas para expulsar dispositivos, forzar reconexiones, intentar capturar el handshake o provocar una denegación de servicio. Funciona porque las tramas de gestión —incluidas las deauth— no van cifradas en WPA2, lo que permite que cualquiera pueda generarlas y enviarlas al aire. Es un ataque sencillo, silencioso y extremadamente efectivo.
1.2 Suplantación de BSSID (Evil Twin)
El ataque Evil Twin consiste en clonar el nombre de tu red, la MAC del punto de acceso y el canal para crear un punto de acceso falso. Cuando tus dispositivos ven dos redes idénticas, pueden conectarse al falso AP sin darse cuenta. El atacante captura tráfico, obtiene información de conexión y puede realizar ataques MITM. Es uno de los ataques más peligrosos porque explota la confianza del dispositivo en la red conocida.
1.3 Ataques de desasociación (Disassociation)
Los ataques de desasociación son similares a los de desautenticación, pero utilizan tramas de desasociación para romper la conexión entre el dispositivo y el punto de acceso. El impacto es el mismo: cortes, reconexiones constantes y pérdida de servicio. Son ataques de Capa 2 que no requieren romper cifrado y que pueden ejecutarse desde cualquier dispositivo con capacidad de inyección de tramas.
1.4 Saturación del canal (Jamming)
El jamming es un ataque físico‑lógico donde el atacante inunda el canal con ruido o tramas basura. No necesita romper cifrado ni suplantar nada: simplemente bloquea el medio inalámbrico. El impacto es devastador: Wi‑Fi lento, inestable o directamente inutilizable. Es un ataque de denegación de servicio puro en la Capa 2.
1.5 Captura de handshakes
La captura de handshakes no es un ataque directo, pero es un riesgo claro de Capa 2. El atacante espera a que un dispositivo se conecte, captura el handshake WPA2 y luego intenta romper la contraseña offline. Aunque el cifrado siga intacto, la captura del handshake es el primer paso para comprometer la red.
1.6 Ataques a la negociación de velocidad y modulación
El Wi‑Fi negocia tasas de transmisión, control de potencia y parámetros como RTS/CTS. Un atacante puede manipular estas negociaciones para degradar la velocidad, aumentar la latencia o provocar pérdida de tramas. Es un ataque más técnico, pero afecta directamente a la estabilidad del enlace en la Capa 2.
1.7 Sniffing pasivo
El sniffing pasivo es el ataque más silencioso. Cualquier persona puede escuchar beacons, probes, tramas de gestión y las MAC de los dispositivos. Esto permite hacer fingerprinting, seguimiento y análisis de hábitos sin necesidad de conectarse a la red. La Capa 2 del Wi‑Fi expone mucha información que viaja sin cifrar.
2. Señales de que estás sufriendo un ataque o fallo en Capa 2 del Wi‑Fi
Los ataques y fallos en la Capa 2 del Wi‑Fi suelen manifestarse como comportamientos erráticos, desconexiones inesperadas o variaciones bruscas en la calidad del enlace. A diferencia de los problemas de Internet o de saturación del router, los fallos en esta capa afectan directamente a la asociación, autenticación y transmisión de tramas inalámbricas. Tanto el router o punto de acceso como los dispositivos y la experiencia del usuario muestran señales claras cuando la Capa 2 está siendo comprometida.
2.1 Señales visibles en el router o punto de acceso
El router o AP es el primer dispositivo que revela anomalías en la Capa 2. Muchos eventos de desautenticación indican que alguien está enviando tramas deauth para expulsar dispositivos. Cambios de canal inesperados pueden ser síntoma de interferencias extremas o intentos de jamming. La saturación de interferencias revela que el canal está siendo inundado con ruido o tramas basura. Si los dispositivos se conectan y desconectan sin motivo, es probable que haya ataques de desasociación o suplantación de BSSID.
2.2 Señales en los dispositivos
Los dispositivos también muestran síntomas claros cuando la Capa 2 está bajo ataque. Si el Wi‑Fi se cae al acercarte o alejarte del punto de acceso, puede haber un Evil Twin o un ataque de desautenticación. Las reconexiones constantes indican que las tramas de gestión están siendo manipuladas. Mensajes de “contraseña incorrecta” sin haber cambiado nada suelen aparecer cuando el dispositivo intenta asociarse a un AP falso. La lentitud extrema sin saturación de Internet apunta a jamming, manipulación de modulación o pérdida de tramas.
2.3 Señales en la experiencia de usuario
La experiencia del usuario también se ve afectada. Microcortes al reproducir vídeo indican caídas de asociación o ataques de desauth. La pérdida de paquetes en juegos online revela inestabilidad en la transmisión de tramas. Una latencia muy variable es típica de saturación del canal o manipulación de tasas de transmisión. Si el móvil tarda mucho en asociarse, puede haber interferencias, ataques de disassociation o un Evil Twin activo.
2.4 Señales avanzadas (si monitorizas)
Las herramientas de monitorización permiten detectar señales más técnicas. Un aumento de tramas deauth o disassoc es una señal directa de ataque. Beacons duplicados indican que alguien está imitando tu red. Un BSSID duplicado en otro canal es un síntoma claro de Evil Twin. La presencia de handshakes capturados en logs revela intentos de obtener la contraseña mediante ataques offline.
3. Cómo proteger la Capa 2 del Wi‑Fi
La Capa 2 del Wi‑Fi es especialmente vulnerable porque muchas de sus tramas de gestión viajan sin cifrar y pueden ser manipuladas por cualquier atacante dentro del alcance de la señal. Proteger esta capa implica actuar sobre el cifrado, las tramas de gestión, el canal, la potencia, la identificación de la red y la segmentación interna. Con unas pocas medidas bien aplicadas, la mayoría de ataques de desautenticación, suplantación o saturación pueden mitigarse de forma eficaz.
3.1 Usa WPA3 siempre que sea posible
WPA3 es la mejor defensa actual en redes domésticas. Protege las tramas de gestión mediante PMF obligatorio, utiliza un handshake más robusto basado en SAE y ofrece resistencia a ataques offline. Incluso si un atacante captura el handshake, no podrá intentar romper la contraseña de forma tradicional. WPA3 reduce drásticamente la superficie de ataque en la Capa 2.
3.2 Activa PMF (Protected Management Frames)
En WPA2, PMF es opcional, pero es una de las protecciones más importantes. PMF protege frente a ataques de desautenticación, desasociación y suplantación de BSSID. Sin PMF, cualquier atacante puede enviar tramas de gestión falsas y expulsar dispositivos del Wi‑Fi. Activarlo convierte estos ataques en inefectivos.
3.3 Ocupa canales limpios
La elección del canal es fundamental. Usar 5 GHz o 6 GHz reduce interferencias y evita saturación. Evitar canales congestionados mejora la estabilidad del enlace. Configurar el router para elegir canal automáticamente permite adaptarse a cambios en el entorno inalámbrico. Un canal limpio reduce el riesgo de jamming y mejora la calidad de las tramas.
3.4 Controla la potencia del punto de acceso
No es necesario usar potencia máxima si no lo requiere la vivienda. Reducir la potencia evita que la señal llegue a la calle o a viviendas colindantes, disminuyendo el alcance del ataque. Un AP con potencia ajustada es más difícil de detectar y más resistente a intentos de suplantación o interferencia.
3.5 Cambia el SSID por uno no identificable
El SSID no debe revelar información personal ni del operador. Evitar nombres como “Movistar_1234”, “Vodafone‑WiFi” o “Casa de Oscar” reduce el riesgo de ataques dirigidos. Un SSID neutro y no identificable dificulta el fingerprinting y evita que un atacante sepa qué equipo o proveedor utilizas.
3.6 Aísla dispositivos
La segmentación interna es clave. Activar AP Isolation para invitados evita que puedan ver otros dispositivos de la red. Usar VLAN internas, si el router lo permite, separa IoT del resto de la red y evita que un dispositivo comprometido afecte a otros. La separación lógica reduce el impacto de cualquier ataque en la Capa 2.
3.7 Protege la MAC del punto de acceso
La MAC del AP es su identidad en la red. No clonar MAC innecesariamente evita conflictos y suplantaciones. Revisar si aparece tu BSSID duplicado en otro canal permite detectar ataques Evil Twin. La protección de la MAC es esencial para evitar que un atacante imite tu red.
3.8 Monitoriza
La monitorización es la herramienta más eficaz para detectar ataques en la Capa 2. Revisar los logs del router permite identificar tramas deauth, disassoc o cambios de canal. Usar apps de análisis Wi‑Fi revela APs falsos, canales saturados o beacons duplicados. Detectar anomalías a tiempo evita que un ataque se convierta en una caída completa del servicio.
4. ¿Por qué la Capa 2 del Wi‑Fi es tan vulnerable?
La Capa 2 del Wi‑Fi es, con diferencia, el punto más atacado de toda la red doméstica. A diferencia del cable Ethernet, el medio inalámbrico es compartido: cualquier dispositivo dentro del alcance puede escuchar, interferir o intentar manipular las tramas. Además, en WPA2 muchas tramas de gestión viajan sin cifrar, lo que permite a un atacante enviar desautenticaciones, desasociaciones o suplantar el BSSID sin necesidad de romper la contraseña. El simple hecho de que el aire sea el medio de transmisión convierte la Capa 2 del Wi‑Fi en un entorno abierto donde todo se negocia públicamente.
La autenticación depende de handshakes que pueden capturarse y analizarse offline. El roaming y la asociación son procesos abiertos que cualquier atacante puede observar y manipular. Las tramas de gestión, los beacons y los probes exponen información sobre la red y los dispositivos, permitiendo fingerprinting, seguimiento y análisis de hábitos. Y como el canal es compartido, cualquiera puede saturarlo con ruido o tramas basura, provocando jamming sin necesidad de conocimientos avanzados.
En resumen, la Capa 2 del Wi‑Fi es vulnerable porque su funcionamiento es visible, manipulable y accesible para cualquiera dentro del alcance de la señal. Es el punto donde más ataques se concentran y donde la protección debe ser más estricta.
Conclusión
La Capa 2 del Wi‑Fi es crítica y, al mismo tiempo, una de las más vulnerables de toda la red doméstica. En esta capa se gestionan procesos esenciales como la asociación y la autenticación, las tramas de gestión, las direcciones MAC, el control de acceso al medio, el roaming y la emisión de beacons. Todo lo que permite que un dispositivo se conecte, permanezca asociado y transmita datos depende de esta capa. Por eso los ataques más comunes —desautenticación, Evil Twin, jamming o captura de handshakes— ocurren exclusivamente aquí, donde el medio es compartido y muchas tramas viajan sin cifrar.
La buena noticia es que la mayoría de estos riesgos pueden mitigarse con medidas relativamente sencillas. WPA3 refuerza la autenticación y protege las tramas de gestión. PMF bloquea los ataques de desauth y disassoc. El aislamiento de dispositivos y la segmentación interna reducen el impacto de cualquier intrusión. Una buena configuración del canal y de la potencia del punto de acceso limita la superficie de ataque. Y la monitorización permite detectar APs falsos, canales saturados o actividad sospechosa antes de que afecte a la red.
La Capa 2 del Wi‑Fi seguirá siendo un objetivo para los atacantes, pero con las protecciones adecuadas puedes reducir el riesgo casi a cero y mantener una red doméstica estable, segura y resistente.
Comentarios
Publicar un comentario