OPSEC52 / Semana 21 — Wi-Fi de hotel y pública: la red a la que te conectaste se hizo para vigilarte

El Wi-Fi del hotel, del aeropuerto o de la cafetería es la red de otro, gestionada para los fines de otro. El cifrado ha cerrado la mayoría de los viejos ataques de cafetería. El riesgo real es la propia red: lo que registra, lo que vincula a tu identidad y el único momento en que puede ponerte delante una página falsa.

Modelo de amenaza: el operador de la red y quien la alquile o la comprometa; portales cautivos que vinculan la sesión a tu nombre o habitación; registros de DNS y de conexión que sobreviven a tu estancia; puntos de acceso gemelos malvados; y los demás dispositivos de la misma red.

Qué cambió y qué no

Hace diez años el consejo clásico era «el de la mesa de al lado puede leer tu correo». Eso casi ha terminado: prácticamente todos los sitios y aplicaciones cifran su tráfico, así que un fisgón pasivo en la red de una cafetería ve adónde te conectas, no lo que dices.

Lo que no ha cambiado es de quién es la red. El acceso al Wi-Fi de un hotel suele pedir tu número de habitación y apellido, lo que une cada conexión posterior con el pasaporte que dejaste en recepción. El operador (a menudo una empresa externa que da Wi-Fi a cientos de hoteles) ve los nombres que consultas (DNS), cuándo y cuánto tiempo estuviste conectado y la dirección de hardware de tu dispositivo. Es un registro ordenado y con fecha de ti, en manos de una empresa que nunca elegiste, en un país cuyas normas quizá desconoces.

Los tres riesgos reales

1. El portal cautivo. La página de «aceptar condiciones» es el único momento en que la red puede mostrarte una página elegida por ella. Un portal malicioso o comprometido puede pedirte «iniciar sesión con Google», «actualizar el controlador de red» o instalar un «certificado de seguridad». Nada de eso hace falta nunca para conectarse. La única interacción aceptable es: marcar una casilla, escribir el número de habitación y listo.

2. El gemelo malvado. Cualquiera puede emitir una red llamada Hotel_Guest o Airport Free WiFi. Tu teléfono puede unirse solo porque recuerda el nombre. El gemelo no puede leer el tráfico cifrado, pero controla tu DNS y puede servir su propio portal cautivo: ver el riesgo 1.

3. El registro que te sobrevive. Incluso una red honrada guarda registros de conexión y de DNS. Si alguien pregunta después «¿qué huésped de la habitación 412 consultó este exchange a las 02:10?», la respuesta puede existir.

Cómo aplicarlo hoy

• Mete todo en un túnel que elijas tú. Una VPN de confianza (Semana 1) convierte lo que el hotel ve de ti en una única conexión cifrada a un único servidor. Conéctala justo después del portal cautivo, antes de abrir nada más, y activa el interruptor de corte (kill switch) para que nada se filtre mientras se reconecta.
• O usa tu propia conexión. Un punto de acceso desde el móvil con una eSIM local o de viaje (comprada sin documento cuando sea posible: ver Semana 4) evita por completo la red del hotel. Para trabajo sensible suele ser más sencillo que confiar en una VPN sobre un Wi-Fi hostil.
• Cifra tu DNS. Activa DNS sobre HTTPS en el navegador o en el sistema (Semana 17). Sin ello, incluso una sesión sin VPN le dice a la red, por su nombre, cada sitio que visitas.
• Dale al portal lo mínimo. Si acepta solo el apellido, usa solo el apellido. Nunca inicies sesión con una cuenta social, nunca instales nada y nunca aceptes un certificado o perfil que te ofrezca.
• Aleatoriza tu dirección de hardware. iOS y Android modernos usan por defecto una MAC privada por red; comprueba que esté activada y, en portátiles, activa las direcciones de hardware aleatorias. Así tu dispositivo no se reconoce de un hotel a otro.
• Olvida la red al irte y desactiva la conexión automática a redes abiertas. Eso elimina el truco más fácil del gemelo malvado.
• Cortafuegos activado, compartir desactivado. En una red compartida tu portátil es accesible para todos los huéspedes. Desactiva el uso compartido de archivos, deja AirDrop en «solo contactos» o apagado y mantén activado el cortafuegos del sistema.

Para usuarios de cripto

No ejecutes un nodo completo, la sincronización de un monedero ni una sesión en un exchange sobre el Wi-Fi del hotel sin un túnel: solo los nombres DNS (un exchange, un nodo, un explorador de bloques) son una señal clara de lo que tienes. Si tienes que operar durante el viaje, hazlo desde tu propio punto de acceso más una VPN o Tor, y nunca escribas una frase semilla en un dispositivo conectado a una red que no controlas.

Errores comunes

• «Tiene contraseña, así que es segura». La contraseña del Wi-Fi impresa en la tarjeta de la habitación la comparten todos los huéspedes. Protege al hotel de la calle, no a ti del hotel.
• Abrir el portátil y dejar que todo se sincronice primero. Correo, nubes y mensajería se reconectan en cuanto llega el Wi-Fi, antes que tu VPN. Levanta primero la VPN o confía en el interruptor de corte.
• Confiar en el portal porque parece profesional. Los portales son fáciles de copiar. La prueba no es su aspecto, sino lo que te pide.

El movimiento de esta semana

Antes de tu próximo viaje, configúralo una vez y pruébalo en casa:

1. VPN instalada, interruptor de corte activado y conexión automática en redes no fiables.
2. DNS sobre HTTPS activado en el navegador.
3. Dirección de hardware privada/aleatoria activada para el Wi-Fi en todos los dispositivos.
4. Conexión automática a redes abiertas desactivada; cortafuegos activado; uso compartido desactivado.

En el camino: conéctate, pasa el portal con lo mínimo, levanta el túnel y luego todo lo demás.

Curado por Cyber Satoshi. Parte de OPSEC52 — 52 semanas, 52 pilares de privacidad, primero el modelo de amenaza. Ver también Semana 1 (disciplina de salida VPN), Semana 4 (compartimentación del teléfono), Semana 17 (fugas de DNS) y Semana 20 (registros de dispositivos en la frontera).