Cracking WPS (Wi-Fi Protected Setup) de forma "offline"

El WPS (Wi-Fi Protected Setup) de los dispositivos inalámbricos entre los que destacan routers y puntos de acceso, es una característica incorporada en el estándar 802.11N para facilitar la conexión de los clientes inalámbricos a estos equipos, sin necesidad de introducir largas contraseñas de acceso. WPS además permite sincronizar los equipos de forma automática durante 60 segundos con tan sólo presionar un botón en cada dispositivo (router o AP y cliente inalámbrico).
Años después se descubrió una grave vulnerabilidad (Reaver) que permitía crackear el código PIN del WPS, por lo que cualquier atacante ya no necesitaría crackear una contraseña WPA o WPA2 con muchos caracteres, sino que simplemente podría realizar un ataque de fuerza bruta contra el WPS que tiene tan sólo 8 dígitos. Con una longitud de 8 dígitos el número de combinaciones es de 10^8, sin embargo, la arquitectura del PIN de WPS divide el PIN en dos subpines.
El PIN1 tiene cuatro dígitos y por tanto el número de combinaciones es de 10^4. El PIN2 varía dependiendo del fabricante, en el primer caso (y más común) se utiliza el último dígito como checksum, por lo que el número de combinaciones de este PIN2 es de tan sólo 10^3, en el segundo y último caso se usaría este último dígito como PIN también, en este caso el número de combinaciones sería de 10^4. Por tanto, estamos ante una tecnología que con un máximo de 20.000 combinaciones se podría crackear, aunque normalmente son 11.000 combinaciones por usar el último dígito como checksum. Crackear un PIN WPS lleva muy poco tiempo si el router o AP no limitan el número de intentos ni se satura, de hecho más grave es que algunos operadores proporcionen un PIN WPS predeterminado en sus equipos, por lo que las herramientas necesarias podríamos crackear un PIN WPS en máximo 30 segundos.
Ahora Dominique Bongard ha descubierto un método para realizar ataques contra el WPS de los routers sin necesidad de que el router de la víctima esté encendido para realizar un ataque por fuerza bruta, de esta forma basta con capturar el intercambio de paquetes en un primer intento y posteriormente de manera offline crackear la contraseña. Este método será mucho más rápido que de forma "online" debido a que no habrá que probar cientos de PIN contra el router, por lo que ahorraremos mucho tiempo.
El método ha sido explicado de forma detallada por Bongard pero él ha preferido no liberar el código fuente, aunque ha dejado varios elementos que permiten reproducirlo y, en el foro de Kali han hecho parte del trabajo.
Anteriormente se descubrió esta posibilidad en el WPS de equipos Broadcom pero parece ser que se ha descubierto un método para hacerlo en otros chipsets.
Actualmente este método está en estudio, en la siguiente imagen se puede ver cómo se crackea el PIN WPS de un router TP-LINK con chipset RaLink: Se puede encontrar más información y el enlace de descarga en el foro de Kali Linux, también os recomendamos visitar los foros de Crack-WiFi y Wifi-Libre donde se encuentra más información sobre estos métodos. Si quieres saber técnicamente cómo funciona el protocolo WPS, recomendamos visitar esta presentación.

Fuente: Redes Zone