> For the complete documentation index, see [llms.txt](https://b4zh.gitbook.io/b4zh/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://b4zh.gitbook.io/b4zh/autenticacion-ap-cliente.md). # AUTENTICACIÓN AP - CLIENTE AUTENTICACIÓN AP - CLIENTE TIPOS DE AUTENTICACION * AUTENTICACIÓN ABIERTA Es un metodo de autenticacion inseguro debido a que cualquier dispostivo (cliente) realiza una peticion de autenticación y el AP la acepta sin realizar ninguna verificación. Se basa mas en el cifrado del la sesión que en la seguridad de la autenticacion * AUTENTICACIÓN POR CLAVE PRECOMPARTIDA (PRE-SHARED KEY) En este método de autenticación se utiliza una clave compartida previamente configurada, y tanto AP como cliente deben tener configurada la misma clave para realizar el proceso de autenticación. La seguridad de este metodo de autenticacion depende de la robustez de la clave. ## Proceso de autenticación inicial * Descubrimiento de la red: Escaneo pasivo: el dispositivo cliente escucha las señales beacon que el AP emite periodicamente para anunciar la presencia de una red dentro de el. Escaneo activo: el dispositivo cliente envia solicitudes de sondeo (probe request), esperando una respuesta de sondeo (probe responses) del AP. * Solicitud de asociación El dispositivo cliente envia una solicitud de asociacion al AP, esta solicitud incluye informacion de las caracteristicas del dispostivo, frecuencia soportada, tipos de seguridad soportados, etc. * Respuesta de asociación El AP responde con una confirmacion de asociacion aceptando o rechazando la solicitud de asociacion, si dicha solicitud es aceptada el AP asigna al cliente una direccion IP y demas parametros de red necesarios, como la mascara de subred, etc. ## EAPOL Protocolo de red (Extensible Authentication Protocol over LAN) usado principalmente en LAN (redes de aera local) para enviar entre los dispostivos de la red el EAP, facilitando el handshake de 4 vias en redes WPA/WPA2 El proceso consta de 4 partes + 1 tomando en cuenta los paquetes enviados EAPOL-Start: mensaje enviado por el cliente (previamente autenticado) al AP autenticador para iniciar el proceso de autenticacion. EAPOL-Request/Identity: mensaje enviado por AP al cliente en el cual se solicita conocer su identidad. EAPOL-Response/Identity: mensaje enviado por el cliente al AP en respuesta a la solicitud anterior del AP, enviando sus datos de identidad * EAPOL-Request y EAPOL-Response: mensajes que transpontan la informacion de la autenticacion (contraseñas, certicados, etc) \ EAPOL-Succes o EAPOL-Failure: mensajes que indican el exito o fracaso de la autenticacion Despues de haber completado el protocolo EAPOL viene el handshake de 4 pasos ## handshake 4 pasos En redes WPA2 el proceso de autenticacion incluye un proceso de 4 pasos. Este proceso asegura la generacion y distribucion de claves criptográficas para asegurar la comunicación entre cliente y AP 1ER PASO: AP ENVIA EL NONCE * NONCE DEL AP: El AP genera un numero aleatorio llamado ANonce (Authenticator Nonce) * TRANSMISION: El AP envia el ANonce al cliente o suplicante * Proposito: El Nonce garantiza que cada sesion tenga una clave unica y protege contra ataques de repetición 2DO PASO: SUPLLICANTE RESPONDE CON SU PROPIO NONCE Y MIC * NONCE DEL SUPLICANTE: El suplicante genera su propio numero aleatorio llamado SNonce (Supplicant Nonce). * Cálculo PTK: Usando el ANonce, el SNonce, la PSK, la MAC del AP y la MAC del cliente, los 2, el AP y el cliente generan una clave temporal de sesión, la PTK (Pairwise Temporal Key), para cifrar el trafico unicast entre el AP y el cliente. * MIC: El cliente envia el SNonce y un mensaje de integridad (MIC) al AP. El MIC se calcula utilizando la PTK. * Transmisión: El dispositivo envía el SNonce y el MIC al AP. 3ER PASO: AP ENVÍA LAS CLAVES DE GRUPO TEMPORAL (GTK) * Generación de GTK: AP genera la GTK para cifrar el trafico multicast y broadcast de la red. * Encriptación de GTK: AP encripta la GTK usando la PTK * Transmisión de GTK: AP envía la GTK encriptada al suplicante junto con otro MIC para verificar la integridad del mensaje. 4TO PASO: SUPLICANTE CONFIRMA LA RECEPCION * Verificación: Suplicante recibe la GTK encriptada y verifica el MIC * Confirmación: El cliente envía un mensaje de confirmación al AP indicandole que ha recibido y desencriptado correctamente la GTK. Para proceder a relizar la autenticación de forma correcta. ## conceptos clave NONCE: numeros aleatorios generados utilizados una sola vez que aseguran la unicidad de las claves utilizadas en cada sesión de conexión. Garantizan que incluso si se reutiliza la PSK, las claves derivadas seran diferentes para cada sesion de conexion PTK: clave temporal unica para cada sesion, derivada de la PSK, ANonce, SNonce, y las MAC del AP y cliente. usada para cifrar trafico unicast en la red. GTK: usada para cifrar el trafico multicast y broadcast de la red, Generada por el AP y compartida con todos los dispositivos conectados de forma segura usando la PTK MIC: codigo que asegura la integridad y autenticidad de los mensajes, se calcula usando la PTK para verificar que los mensajes no han sido alterados. ## importancia seguridad; el hanshake de 4 pasos asegura que el AP y el cliente autentiquen su identidad y compartan claves seguras proteccion contra ataques; los Nonces y mics protegen contra ataques de repeticion e intentos de interceptacion integridad y confidencialidad: las claves derivadas garantizan que los datos transmitidos sean confidenciales y no hayan sido alterados