36 universidades españolas exponen datos personales y contraseñas

Eduroam es una red de conexiones WiFi disponibles en más de 3.100 de universidades de todo el mundo, y que alcanza ya a más de 100 países y cientos de miles de estudiantes. Gracias a ella, cualquier usuario puede usar sus mismas credenciales conectarse independientemente de la universidad que visite, incluso si está en otro país. Cada estudiante, investigador o profesor tiene asignado su usuario y contraseña. Sin embargo, con que haya una sola universidad que configure mal el sistema, los nombres de usuario y contraseña pueden acabar filtrados.

Por ello, Wizcase analizó la seguridad en esta red a finales de 2020, y descubrieron un grave y preocupante fallo: que es posible crear una red maliciosa gemela de eduroam que sea indistinguible de cara al usuario. Con ello, el dispositivo puede enviar sus credenciales de acceso a la nueva red si no se usa el certificado eduroamCAT. Este fallo no es culpa de la red WiFi de eduroam en sí, sino de los administradores que la configuran en cada universidad. La propia eduroam es consciente de estas prácticas y afirma que es inaceptable, pero no obliga a que se arregle.

Eduroam no es seguro si se usa PAP

En la mayoría de redes eduroam se permite al usuario conectarse con un nombre de usuario y contraseña en lugar de con una clave compartida previa. Para ello, se usa un sistema llamado “Extensible Authentication Protocol”, o EAP. La autenticación se realiza en varias fases, donde cada fase depende de que la anterior tenga una implementación segura.

Esa autenticación del WiFi se puede realizar de dos maneras: usando Plain Authentication Protocol (PAP) o Microsoft Challenge Handshake Authentication Protocol v2 (MSCHAPv2). Con PAP, las credenciales se transmiten al servidor en texto plano porque se confía en que la autenticación externa sea segura. En el caso de MSCHAPv2, la contraseña se transmite en forma de hash cifrado en lugar de en texto plano.

Sin embargo, en Android, cuando se detecta una red WiFi del mismo nombre, no se comprueba si el certificado usado es o no de fiar. Así, la conexión se realiza automáticamente si lo tenemos activado, o al menos el sistema pregunta si queremos seguir con un certificado que no sea de fiar. La mayoría de usuarios dicen que sí sin comprobar si el certificado es o no de fiar. En Windows ocurre lo mismo, mientras que en iOS no es posible conectarse si no se tiene un certificado correcto.

El uso de certificado es muy importante, ya que permite establecer una confianza entre el punto de acceso y el dispositivo a la hora de comprobar la legitimidad de cada uno y cifrar la conexión entre ambos. Por ello, es realmente grave que pueda establecerse la conexión incluso cuando se usa un certificado cuya autenticidad no puede verificarse.

cifrado pap mschap eduroam

Como vemos en la imagen, si se usa MSCHAPv2 por defecto, el atacante no puede conocer las credenciales de usuario porque están cifradas. Con PAP las recibe tal cual en texto plano.

Listado de universidades con WiFi inseguro

De las 3.100 universidades analizadas, más de 1.500 usan PAP. De ellas, sólo 600 usan PAP en la autenticación interna, dando pie a que un hacker obtenga las credenciales. Si tu universidad está entre las afectadas, es buena idea que lo comuniques a los administradores de la red para evitar robo de credenciales, phishing, suplantación de identidad, e incluso cometer actividades ilícitas usando tu nombre o datos personales si acceden a toda tu información de la universidad.

Además, es conveniente desactivar la conexión automática a eduroam. Gracias a ello, evitaremos que puedan acceder a nuestro tráfico. Además, ten cuidado en las universidades a las que te conectes, ya que, aunque la tuya sea segura, otra a la que vayas puede no serlo. A su vez, es importante instalar el certificado eduroamCAT para garantizar que los certificados coinciden siempre. Si falla, hay que contactar con la universidad para que lo acepten.

eduroam seguro mapa

En el mapa podemos ver cómo las universidades que no ofrecen PAP están en verde, mientras que las que usan PAP y ofrecen alternativas están en amarillo. Las que sólo ofrecen PAP están en rojo, y por desgracia en España podemos ver que hay muchas rojas, aunque también hay muchas en verde. El listado es el siguiente:

Rojo: