Un ataque de repetición consiste en capturar una transmisión válida, como un mensaje de inicio de sesión, un token o una orden, y reenviarla de forma maliciosa para obtener acceso o repetir una acción.
Cómo funcionan los ataques de repetición
El atacante no necesita descifrar ni entender los datos interceptados. Le basta con grabar un mensaje que el receptor acepta como auténtico y volver a enviarlo más tarde. Para ello necesita acceso al tráfico, normalmente desde una posición de ataque de intermediario, una red Wi-Fi abierta o un receptor de radio. Ejemplos típicos:
- Reenviar un mensaje de autenticación o un hash capturado para iniciar sesión como la víctima (CWE-294, omisión de autenticación por captura y repetición).
- Reutilizar un token de sesión robado o una petición de API firmada, algo muy cercano al secuestro de sesión.
- Grabar la señal de radio de un mando de coche, una puerta de garaje o una alarma con códigos fijos y reproducirla para abrir.
- Repetir una orden de pago o transferencia para que se ejecute dos veces.
Por qué son importantes
Los ataques de repetición demuestran que el cifrado por sí solo no basta: un mensaje cifrado puede seguir siendo válido si se repite. Los dispositivos IoT débiles y los sistemas de radio antiguos siguen siendo vulnerables, y fallos de protocolo como el ataque KRACK contra WPA2 de 2017 se basaban en reenviar mensajes del handshake. Las bifurcaciones de blockchain también necesitaron protección contra la repetición para que una transacción en una cadena no pudiera repetirse en la otra.
Cómo prevenirlos
- Usar protocolos con nonces, marcas de tiempo o números de secuencia, como TLS y Kerberos, y rechazar los duplicados.
- Emitir tokens de corta duración vinculados a una sesión o dispositivo y usar contraseñas de un solo uso que caduquen tras utilizarse.
- Emplear códigos variables (rolling codes) y desafío-respuesta en cerraduras inalámbricas y mandos.
- Exigir claves de idempotencia en las operaciones de pago y de API.
