Seguridad en redes Wi-Fi abiertas, ¿qué pautas debes seguir?

Si bien es cierto que gracias a las redes 3G y 4G uno puede conectarse a Internet cómodamente desde su smartphone, o compartir la conexión de datos de su teléfono con su ordenador portátil, las redes Wi-Fi siguen siendo la puerta de acceso a Internet para muchos usuarios. Cafeterías, centros comerciales, aeropuertos u hoteles son algunos de los lugares en los que podemos encontrar una red Wi-Fi a la que conectar nuestro ordenador o nuestro dispositivo móvil; un complemento a las redes de datos móviles que, incluso, es la base de las redes híbridas en las que trabajan los operadores.

Solo tenemos que echar un vistazo desde nuestro smartphone para darnos cuenta que estamos rodeados de redes Wi-Fi y muchas de ellas suelen estar abiertas, ya sea porque su gestor es algo descuidado o porque, realmente, sean de acceso público. Una red pública de acceso gratuito siempre es algo bien recibido por los usuarios; sin embargo, es importante que tomemos ciertas precauciones a la hora de conectarnos a este tipo de redes para intercambiar información con otros usuarios o trabajar.

En una red de uso público nunca vamos a saber quién más está conectado y cuáles son sus intenciones; dicho de otra forma, es complicado saber si hay alguien que esté analizando el tráfico para ver si caza una contraseña al más puro estilo del FireSheep que quitó el sueño a más de un usuario hace tres años. Eventos, cafeterías, estaciones no se libran de este tipo de amenazas, máxime si el tráfico no está cifrado.

Los riesgos de las redes Wi-Fi abiertas

Teniendo en cuenta lo que hemos comentado, creo que más o menos todos nos podemos hacer una idea de los riesgos a los que nos enfrentamos si, por ejemplo, conectamos nuestro portátil a una red pública sin tomar las medidas adecuadas. Con el caso de FireSheep (y puedo decir que me consta que, en un evento al que asistí, hubo alguien que lo usó para robar credenciales), nos dimos cuenta que podían suplantar nuestra identidad digital sin demasiados esfuerzos.

En una red insegura, alguien se podría poner a escudriñar la red con algo tan simple como Whireshark y conseguir contraseñas, por ejemplo, de un buzón de correo que no este usando POP o IMAP bajo SSL.

Cifrar tu tráfico es la mejor solución

A diferencia de Reino Unido, donde la legislación para prevenir el terrorismo obliga a controlar las redes Wi-Fi de acceso público, los usuarios somos nuestra mejor defensa y, por tanto, queda en nuestra mano proteger nuestra privacidad adecuadamente.

Evidentemente, la mejor forma de evitar a los intrusos es usar conexiones cifradas, algo que Google nos ofrece por defecto cuando estamos identificados en sus servicios y hacen que Gmail, Google+ o Google Calendar se sirvan bajo https. Twitter también aprendió la lección y nos ofrece el servicio bajo SSL también y, en el caso de Facebook, es algo que tenemos que activar nosotros mismos a través de las opciones de configuración de nuestra cuenta (al igual que ocurre en LinkedIn).

Para un servicio web, ofrecer conexiones no cifradas es mucho más cómodo porque implica menor carga; sin embargo, desde el punto de vista del usuario no es la mejor de las opciones. Hay empresas que, a estas alturas, aún ofrecen su servicio de correo electrónico corporativo sin cifrar con el riesgo que ello implica y, además, hay servicios habituales que, aunque lo soportan, tampoco ofrecen por defecto conexiones seguras.

Si viajamos mucho y nos conectamos a redes no seguras, puede ser interesante que cifremos todo nuestro tráfico de navegación, incluso aunque los servicios a los que accedamos no sean críticos. Una buena forma de hacerlo es recurrir a extensiones como HTTPS Everywhere, KB SSL Enforcer o Force-TLS que cifran el tráfico en servicios como el buscador de Google (interesante si no hemos iniciado sesión) o Wikipedia para forzar una navegación más segura.

¿La solución más simple? Usar una VPN

Honestamente, creo que es recomendable darse una vuelta por LinkedIn y Facebook para ajustar la configuración de nuestra cuenta y forzar el uso de conexiones seguras. Sin embargo, no siempre vamos a tener esta opción disponible, por ejemplo, si no tenemos bajo SSL el panel de administración de nuestro blog (aunque es algo que podríamos solventar comparando un certificado para nuestro dominio y plugins como WordPress HTTPS.

Para este tipo de situaciones en las que una extensión de navegador o una buena configuración no son suficientes, puede ser interesante que recurramos a la artillería pesada: usar una conexión VPN. La VPN nos permite establecer un canal cifrado de comunicación y, de esta forma, librarnos de los posibles espías que haya por la red que estemos usando; una solución ideal para grandes eventos que forma parte del kit básico de cualquier usuario que asiste a un congreso.

Servicios como Spotflux son una muy buena opción a tener en cuenta a la hora de buscar una solución para gestionar una VPN para nuestro equipo. También podemos echarle un ojo a Remobo o, incluso, a Comodo.

Ojo con los servicios compartidos

A veces, por comodidad y simplicidad, podemos compartir carpetas con nuestros amigos o compañeros de trabajo; unas carpetas que compartimos desde nuestro PC sin poner demasiadas opciones de seguridad.

¿El problema? Que salgamos por ahí con carpetas compartidas y nos conectemos a una red abierta; una puerta abierta casi con "felpudo de bienvenida" para que cualquier con algo de maña y tiempo se ponga a probar (y en una oficina, más de una vez te encuentras cosas que asustan bastante).