¿WiFi pública y Tor?

4

Quiero configurar un punto de acceso WiFi público en una zona turística muy densa donde todavía no hay un punto de conexión WiFi.

Mis preocupaciones son la seguridad de dicha solución, en particular:

  • Personas que registran el tráfico de otros usuarios
  • Preocupación por la línea de Internet registrada en mí

Se me ocurrió esta "solución" para habilitar solo el tráfico habilitado para TLS (HTTPS, IMAPS, POP3S, SMTPS) y luego pasarlo a través de Tor.

¿Crees que hay algo mal con esta idea?

El punto es no exponer a los usuarios a riesgos de seguridad.

    
pregunta Aria 07.09.2016 - 19:15
fuente

3 respuestas

10
  

¿Crees que hay algo mal con esta idea?

Sí , unos cuantos puntos. Pasar todo a través de TOR tiene las siguientes consecuencias:

  • Tráfico mucho más lento, que en un punto público de WiFi está matando
  • Verificaciones de seguridad constantes. Google, CloudFlare y Akamai requieren CAPTCHAs. De vez en cuando está bien, pero en todas las solicitudes puede ser irritante.
  • Sitio bloqueado que no permite el tráfico de salida de TOR.

TOR no protege en absoluto a las personas que detectan el tráfico de WiFi. El enlace ascendente TOR solo se puede colocar detrás del punto de acceso WiFi. Para evitar que los usuarios se alcancen entre sí, debe habilitar aislamiento de AP en el propio punto de acceso. Solo permitir tráfico TLS / SSL / HTTPS, etc. tampoco tiene mucho sentido. Esto limita a los usuarios en lo que pueden hacer sin proporcionar ninguna seguridad adicional.

    
respondido por el Yorick de Wid 07.09.2016 - 19:33
fuente
2

Solo permitir el tráfico habilitado para TLS protegería a los usuarios de la supervisión del tráfico en la capa de transporte, pero aún es posible ver a qué servidores se comunica un usuario. Por lo tanto, un atacante obtiene los nombres de los servidores y aún podría obtener información útil del tamaño de las solicitudes / respuestas, la sincronización y los servidores contactados. Pero es muy poco probable que un atacante pueda extraer contraseñas, datos personales o cookies de los datos.

El problema es que esto protege solo de un atacante pasivo. Un atacante activo podría crear un gemelo malvado, un punto de acceso con el mismo nombre. Podría permitir el tráfico no TLS e incluso intentar reducir el tráfico TLS. ( HSTS mitiga este problema en muchos sitios web de hoy, pero no completamente).

Ese es un problema que todos los WiFi sin cifrar tienen hoy y la única solución sería que el usuario autentique su Punto de acceso. Podría hacer esto con la configuración de WPA-Enterprise, pero creo que desde una perspectiva de usabilidad es demasiado complicado para los usuarios. Otra solución sería dar un único WPA-PSK (claves precompartidas) a cada nuevo usuario. (Si le está dando a todos los usuarios el mismo PSK, un atacante podría configurar un gemelo malvado de nuevo o descifrar el tráfico si ha registrado el protocolo de enlace WPA).

El uso de TOR mitigaría el problema de que usted sería responsable de las cosas que las personas hacen a través de su conexión a Internet, pero como @ yorick-de-wid ya mencionó, esto tiene algunas consecuencias de usabilidad. En Alemania, como ejemplo, hay un proyecto llamado Freifunk , que es una iniciativa no comercial para redes inalámbricas gratuitas. Proporcionan una puerta de enlace, donde puede enrutar el tráfico de sus usuarios. La conexión a la puerta de enlace se cifra mediante un túnel VPN. Recomendaría utilizar un servicio de este tipo, si está disponible en su área.

    
respondido por el sven.to 07.09.2016 - 21:51
fuente
0

¿Por qué no configurar la autenticación 802.1x? Los dispositivos que admiten cualquier forma correcta de WiFi crypto casi siempre soportarán algo como WPA2 Enterprise también. En lugar de dirigir a los usuarios a un simple portal web cautivo, donde ingresan su código de acceso (en una red 802.11 no segura), solo tienen que usar ese código de acceso como nombre de usuario + contraseña y tendrán su propia conexión segura. Si desea tener una alternativa insegura, puede agregar un segundo SSID sin criptografía para aquellos con dispositivos más antiguos o malos.

    
respondido por el John Keates 07.09.2016 - 23:58
fuente

Lea otras preguntas en las etiquetas