Date post: | 11-Jan-2016 |
Category: |
Documents |
Upload: | felipe-garcia-del-rio |
View: | 221 times |
Download: | 0 times |
INSTITUTO POLITÉCNICO NACIONAL
ESCUELA SUPERIOR DE INGENIERÍA MÉCANICA Y ELÉCTRICA
UNIDAD CULHUACÁN
TESINA
SEMINARIO DE ACTUALIZACIÓN CON OPCIÓN A TITULACIÓN:“LAS TECNOLOGÍAS APLICADAS A LAS REDES DE COMPUTADORAS”
FNS 5092005/03/2007
SEGURIDAD EN REDES INALÁMBRICAS
QUE COMO PRUEBA ESCRITA DE SU EXAMENPROFESIONAL PARA OBTENER EL TÍTULO DE:
INGENIERO EN COMUNICACIONES Y ELECTRÓNICAPRESENTAN:
JANET PATRICIA ROJAS BAUTISTASERGIO GONZÁLEZ GUZMÁN
MÉXICO DF. DICIEMBRE DEL 2007.
II
Agradecimientos.
Agradezco a toda mi familia por el apoyo brindado a lo largo de mis estudios, pues sin su
ayuda no me hubiera sido posible terminar una carrera profesional. En especial agradezco a
mi mamá, que me acompaño y dedicó gran parte de su tiempo en mi formación y mi
educación porque gracias a su esmero ahora soy una persona con valores muy firmes.
También quiero agradecer a los profesores que me asistieron en el transcurso de mi
formación académica, por todas las enseñanzas y todos esos momentos únicos que me
dieron experiencia para poder afrontar los retos que se me presenten.
Janet Patricia Rojas Bautista.
III
A mis Padres:
Como un testimonio de mi infinito aprecio y agradecimiento por todauna vida de
esfuerzos y sacrificios brindándome siempre cariño y apoyo cuando más lo necesite.
Deseo con todo corazón que mi triunfo como hombre y profesionista los haga sentirse
orgullosos de mi porque todo se lo debo a sus consejos, cuidados, regaños y sobre todo a
su cariño.
Gracias por enseñarme a ser un hombre de bien y trabajar para conseguir lo que quiero
eso es lo más valioso que un padre le puede dejar a sus hijos, les estoy muy agradecido
por sus enseñanzas
Con amor, admiración y respeto.
A mi familia:
Por toda su confianza y apoyo cuandomás lo necesite, a los que sigues conmigo y a
los que ya se encuentran en el cielo siempre llevo en el corazón sus consejos y
enseñanzas.
A mis Amigos:
Por los buenos y malos momentos que hemos vivido juntos , los que conocí desde la
infancia y los que fui conociendo en el transcurso de mi vida, me siento afortunado de
tener amigos como los que tengo porque es difícil encontrar verdaderos amigos como
ustedes y ojala sigamos teniendo esta amistad para siempre.
A mis Profesores:
A todos mis profesores que tuve en mi vida escolar, a cada uno le aprendí cosas
buenas que me han servido para adquirir los conocimientos necesarios y cumplir mis
metas profesionales. A todos y cada uno de ellos un gran reconocimiento.
Sergio González Guzmán.
IV
Resumen.
La presente tesina aborda los aspectos generales de las redes locales inalámbricas
(WLAN) desde los orígenes de las comunicaciones inalámbricas hasta los estándares,
topologías y tecnologías utilizadas actualmente. Se pretende mostrar un panorama general
tomando en cuenta los requisitos indispensables que deben incluirse al implantar redes de
esta naturaleza: disponibilidad, escalabilidad, manejabilidad, interoperabilidad, seguridad y
costo.
Precisamente hablando de estos requisitos, se tratará a detalle el tema de la seguridad. Se
iniciara explicando lo importante que es proteger la información dentro de una organización
además de exponer los conceptos básicos en base a los tres principios esenciales de la
seguridad: integridad, confidencialidad y disponibilidad.
Una vez comprendidos estos principios se mostraran los controles de seguridad que se
tienen en la actualidad, explicando las ventajas y deficiencias al utilizar estos mecanismos.
Así mismo se conseguirá una amplia noción de los ataques inalámbricos, puntos débiles y
las vulnerabilidades a las que esta expuesta una red WLAN.
Se desarrollará un análisis a nivel empresarial de los riesgos existentes al implantar una red
de este tipo, considerando todos los aspectos que influyen en la operación de la
organización permitiéndonos obtener los objetivos y requerimientos de seguridad que la
organización demanda.
Para dar continuidad con el análisis de riesgos, se definirán los puntos que debe incluir una
política de seguridad eficaz, de aquí que todas las funciones de seguridad deberán estar
apegadas a estas políticas, las cuales deben mantenerse actualizadas dependiendo las
necesidades de la empresa.
V
Por último se explica en que consiste un plan de auditoría y su importancia para verificar
el correcto funcionamiento y aplicación de las políticas de seguridad, concluyendo con una
breve ejemplificación de una red inalámbrica bajo los criterios de planeación, tomando en
cuenta los niveles de seguridad apropiados de acuerdo a los exigencias de seguridad de
las organizaciones.
VI
ÍNDICE
Introducción 1
Capítulo 1. Fundamentos de redes inalámbricas. 2
1.1 Evolución de la tecnología inalámbrica. 2
1.2 Introducción a las redes inalámbricas. 4
1.2.1 Tipos de transmisiones inalámbricas. 6
1.3 Estándares y protocolos para redes WLAN. 11
1.3.1 Estándares de Seguridad. 12
1.4 Tecnologías inalámbricas. 15
1.5 Topologías WLAN básicas. 19
1.5.1 Topología de infraestructura. 19
1.5.2 Topología de igual a igual. 22
1.5.3 Topología de infraestructura extendida. 23
1.6 Dispositivos inalámbricos. 23
Capítulo 2. Seguridad de los sistemas de información. 26
2.1 Seguridad informática. 26
2.2 Conceptos básicos de seguridad de la información. 29
2.3 Amenazas, puntos débiles y vulnerabilidades. 32
2.3.1 Tipos de amenazas. 33
VII
Capítulo 3. Seguridad en redes WLAN. 39
3.1 Controles de seguridad en redes WLAN. 39
3.2 Sistemas de seguridad en equipos. 41
3.2.1 Mecanismos de seguridad en redes WLAN. 41
3.2.2 Monitorización de equipos WLAN. 47
3.2.3 Analizadores de red (sniffers). 49
3.3 Amenazas y vulnerabilidades en redes WLAN. 50
3.3.1 Redes abiertas 50
3.3.2 Redes con Cifrado de Información. 55
Capítulo 4. Administración de riesgos en redes WLAN a
nivel empresarial 77
4.1 Análisis de riegos en redes WLAN. 79
4.1.1 Estudio de la organización. 80
4.1.2 Inventario de activos de información. 81
4.1.3 Identificación de amenazas y vulnerabilidades. 83
4.2 Políticas de seguridad. 86
4.2.1 Elaboración de políticas de seguridad. 87
4.3 Revisión y auditoría de las políticas de seguridad. 90
4.3.1 Auditorías técnicas. 91
4.3.2 Auditorías de procesos y gestión. 94
4.4 Implementación de redes WLAN seguras. 96
4.4.1 Planeación. 97
4.4.2 Selección de la infraestructura. 98
4.4.3 Implementación. 98
VIII
4.4.4 Seguridad. 99
4.4.5 Configuración de seguridad en redes WLAN. 100
Conclusiones. 108
Bibliografía. 110
Glosario. 111
Índice de imágenes.
Figura 1.1 Espectro electromagnético. 5
Figura 1.2 Distancia frente a velocidad. 15
Figura 1.3 Red de la modalidad de infraestructura. 20
Figura 1.4 Red ad-hoc. 22
Figura 1.5 Adaptadores de red inalámbricos. 23
Figura 1.6 Puntos de acceso. 24
Figura 1.7 Ejemplos de antenas. 25
Figura 1.8 Amplificadores. 25
Figura 2.1 Elementos que soporta la seguridad de la información. 27
Figura 2.2 Vulnerabilidades de los activos. 34
Figura 3.1 Ataque a una red desprotegida. 50
Figura 3.2 Ataque de negación de servicio (DoS) 51
Figura 3.3 Ataque man in the middle. 53
IX
Figura 3.4 Red antes del ataque. 54
Figura 3.5 Red tras el ataque. 54
Figura 3.6 Operación XOR del texto plano con el cifrado. 57
Figura 3.7 Operación XOR entre el paquete generado y el
Keystream. 58
Figura 3.8 Proceso de obtención del Keystream. 58
Figura 3.9 Autenticación EAP-TLS. 63
Figura 3.10 Zonas que define el sistema de portales cautivos. 65
Figura 3.11 Proceso de autenticación de portales cautivos. 66
Figura 3.12 Ataque Rogue AP. 68
Figura 3.13 Ejemplo de autenticación EAP. 70
Figura 3.14 Fases de la autenticación EAP. 71
Figura 3.15 Autenticación EAP-TLS. 71
Figura 3.16 Vulneración de sistema basado en EAP-TTLS 73
Figura 3.17 Ataque contra sistemas EAP-TTLS. 74
Figura 3.18 Ataque contra sistemas PEAP. 74
Figura 4.1 Modelo PDCA. 80
Figura 4.2 Formato de identificación de activos. 82
Figura 4.3 Formato de análisis de riesgos. 85
Figura 4.4 Tipos de auditoria. 94
Figura 4.5 Configuración para hogares y pequeñas empresas. 101
Figura 4.6 Seguridad a través de un servidor RADIUS. 102
Figura 4.7 Seguridad a través de un servidor RADIUS
y Firewall. 104
Figura 4.8 Configuración utilizando VPN para usuarios remotos. 105
Figura 4.9 Configuración utilizando VPN e IDS. 107
X
Índice de tablas.
Tabla 1.1 Uso de las radiofrecuencias. 15
Tabla 1.2 Parámetros de tecnologías inalámbricas. 17
Tabla 3.1 Características de los protocolos del cifrado. 76
Tabla 4.1 Elaboración de políticas de seguridad. 87
1
Introducción
Actualmente las redes inalámbricas tienen gran presencia en la mayoría de las
organizaciones, debido a su naturaleza y las ventajas que proporcionan sobre las redes
cableadas, una de las principales características de este tipo de redes es la movilidad que
ofrecen teniendo como resultado una mayor eficiencia y productividad en general.
El crecimiento exponencial del trabajo en red incluyendo las tecnologías inalámbricas ha
llevado en aumento los riesgos de seguridad, no solo en las WLAN, sino también en las
redes cableadas. Este inconveniente en particular es debido a que carecen de barreras
físicas de acceso, por tanto cualquier persona con conocimientos mínimos sobre seguridad
y con una tarjeta Wi-Fi instalada en una PC o dispositivo portátil puede potencialmente
lograr acceso a una red WLAN.
Por tanto, independientemente de que las redes WLAN sean o no seguras, lo que es cierto
es que esta tecnología ha desarrollado controles de seguridad para evitar que personas no
autorizadas puedan tener acceso a la red. Se ha demostrado que con los controles
existentes y realizando una administración adecuada de la seguridad de las redes WLAN se
pueden implementar redes inalámbricas de cualquier tamaño cumpliendo con los niveles
más altos de seguridad.
.
2
Capítulo 1. Fundamentos de redes inalámbricas.
1.1 Evolución de la tecnología inalámbrica.
Los primeros experimentos con transmisiones radioeléctricas se realizaron a finales del
siglo XIX. En mayo de 1895 el profesor ruso Alexander Popov, notificó haber enviado y
recibido una señal inalámbrica a una distancia de unos 600 metros. Ese mismo año,
Guglielmo Marconi logró trasmitir y recibir señales radioeléctricas desde el domicilio de
sus padres en Italia. Marconi es conocido por haber enviado la primera señal radioeléctrica
transatlántica desde el suroeste de Inglaterra hasta Terranova en 1901.
Muy pronto se extendió la utilización de la radiotelegrafía y se empezaron a desarrollar
rápidamente sus diversas aplicaciones. Por ejemplo, se demostró el interés de las señales
inalámbricas para las llamadas de socorro desde barcos. A principios del siglo XX ya se
habían instalado equipos inalámbricos en varios buques transatlánticos.
Como consecuencia de ello, en 1906 la primera Conferencia Radiotelegráfica Internacional
reunió a 29 estados marítimos en Berlín para firmar el Convenio Radiotelegráfico
Internacional, en el que se establece el principio de la intercomunicación obligatoria entre
tierra y los barcos en alta mar. En el anexo a dicho Convenio figuraba el primer reglamento
de la telegrafía inalámbrica. Desde entonces, dicho reglamento se ha ampliado y revisado
en varias conferencias de radiocomunicaciones y en la actualidad se conoce como
reglamento de radiocomunicaciones. Casualmente, fue también en 1906 que el canadiense
Reginald Fessenden efectuó la primera transmisión con modulación de voz.
Un siglo después estamos viviendo otro desarrollo espectacular de la utilización de las
comunicaciones inalámbricas. Un ejemplo notable de la revolución inalámbrica es el
3
increíble crecimiento de las comunicaciones telefónicas móviles desde que se instaló el
servicio por primera vez. En 1990 sólo existían aproximadamente 11 millones de teléfonos
móviles en todo el mundo. Esta cifra se elevó a más 300 millones a finales de 1998, y a
finales de 2004 se disparó hasta 1,750 millones, según las estadísticas de la Unión
Internacional de Telecomunicaciones (UIT, International Telecommunication Union).
De conformidad con su Constitución, la UIT se encarga de la atribución de espectro y del
registro de asignaciones de frecuencias, de las posiciones orbitales y otros parámetros de
los satélites a fin de evitar toda interferencia perjudicial entre las estaciones de
radiocomunicación de los distintos países. Por lo tanto, el sistema de gestión internacional
del espectro se basa en los procedimientos reglamentarios de notificación, coordinación y
registro de frecuencias. Es una función esencial que ofrece a las administraciones la
garantía de que sus servicios son reconocidos internacionalmente y están coordinados con
los servicios de otras administraciones.
Las soluciones tecnológicas innovadoras que utilizan transmisiones radioeléctricas están
sentando las bases de un verdadero mundo inalámbrico. Las radiocomunicaciones se han
vuelto imprescindibles en nuestras vidas, desde los dispositivos personales como los
teléfonos móviles, los relojes radio controlados, los auriculares inalámbricos, los sistemas
de transporte inteligentes (por ejemplo, los sistemas de control de peaje y los sistemas de
prevención de colisiones), la difusión de señales de televisión, los sistemas de
comunicaciones de emergencia y de alerta en caso de desastres, hasta los equipos de
interconexión de redes de uso doméstico o de oficina.
Las primeras tecnologías WLAN eran de baja velocidad y ofrecían de 1 a 2 Mbps, a pesar
de estas limitaciones, la flexibilidad y libertad que ofrece la tecnología inalámbrica
permitieron que esos productos encontraran un lugar en los mercados verticales.
Al darse cuenta de la necesidad de un estándar de tipo Ethernet, los fabricantes de
tecnología inalámbrica se asociaron en 1991 y formaron la alianza para la compatibilidad
de Ethernet inalámbrica (WECA, Wireless Ethernet Compatibility Alliance). La WECA
4
propuso y construyó un estándar basado en las tecnologías cooperantes. Mas tarde la
WECA cambio su nombre por el de Wi-Fi Alliance (Alianza Wi-Fi). En junio de 1997 el
Instituto de Ingeniería Eléctrica y Electrónica (IEEE, T he Institute of Electrical and
Electronics Engineers), una asociación técnico-profesional mundial sin fines de lucro
formada por profesionales de las nuevas tecnologías, dedicada a la estandarización, entre
otras cosas, hizo público el estándar 802.11 para las redes inalámbricas de área local.
1.2 Introducción a las redes inalámbricas.
Los términos Wi-Fi (Wireless Fidelity), Wireless, o inalámbrico hacen referencia a la
tecnología sin cables que permiten la interconexión de varias máquinas entre sí. La
conexión inalámbrica que se establece entre los usuarios remotos y una red proporcionan a
las empresas flexibilidad y beneficios muy importantes.
Las redes inalámbricas proporcionan todas las características y ventajas de las tecnologías
de las Redes de Área Local (LAN, Local Area Network) tradicionales sin limitaciones de
hilos ó cables.
A continuación se mencionan algunas de las ventajas proporcionadas por las WLAN:
Movilidad.
Escalabilidad.
Flexibilidad.
Ahorro de costes a corto y largo plazo.
Ventajas de instalación.
Fiabilidad de entornos complejos.
Reducción del tiempo de instalación.
Los principales factores que deben considerarse antes de implantar una red inalámbrica son
los siguientes:
5
Alta disponibilidad.
Escalabilidad.
Manejabilidad.
Arquitectura Abierta.
Seguridad.
Coste.
Los sistemas inalámbricos no son completamente inalámbricos. Estos sistemas, diseñados y
construidos con microprocesadores y circuitos digitales estándar, se conectan con sistemas
LAN cableados tradicionales, debe alimentarse a los dispositivos inalámbricos para que
puedan proporcionar energía para codificar, decodificar, comprimir, descomprimir,
transmitir y recibir las señales inalámbricas, además, las Redes Inalámbricas de Área Local
(WLAN, Wireless Local Area Network) no reemplazan la necesidad de los servidores,
switches y routers cableados tradicionales de una LAN típica ya que es un medio de
transmisión.
Figura 1.1. Espectro electromagnético.
Las ondas electromagnéticas difieren únicamente en su frecuencia, las ondas de energía, las
ondas de radio, las microondas, las ondas de luz infrarroja, las ondas de luz visible, las
ondas de luz ultravioleta, los rayos X y los rayos gamma comparten algunas características
6
importantes:
1. Todas las ondas viajan a la velocidad de la luz c = 299.792 metros por segundo, en
el vacío.
2. Todas estas ondas obedecen a la ecuación frecuencia ( f ) * longitud de onda ( ) =
velocidad de la luz ( c )
3. Todas las ondas viajan en el vacío, sin embargo, tienen interacciones muy diferentes
con los tipos de materiales.
La principal diferencia entre las ondas electromagnéticas es su frecuencia. Las ondas de
baja frecuencia tiene una longitud de onda larga, y las ondas de frecuencia alta tienen una
longitud de onda corta, la longitud de onda representa la distancia desde un pico al
siguiente en el seno de la onda.
1.2.1 Tipos de transmisión en redes WLAN.
Las WLAN utilizan un medio de transmisión, al igual que las LAN, en lugar de utilizar
cable de par trenzado o fibra óptica, las WLAN utilizan luz infrarroja (IR) u ondas de
radiofrecuencias (RF). La RF es utilizada más frecuentemente debido a su mayor alcance,
mayor ancho de banda y cobertura más amplia.
Infrarrojos.
La comunicación se realiza entre un diodo emisor que emite una luz en la banda de IR,
sobre la que se superpone una señal, convenientemente modulada con la información de
control, y un fotodiodo receptor cuya misión consiste en extraer de la señal recibida la
información de control. Los emisores y receptores de infrarrojos deben estar alineados tras
la posible reflexión de rayo en superficies como las paredes. Al tratarse de un medio de
transmisión óptico es inmune a las radiaciones electromagnéticas producidas por los
equipos domésticos o por los demás medios de transmisión (coaxial, cables pares, red de
distribución de energía eléctrica, etc.).
7
En infrarrojos no existen problemas de seguridad ni de interferencias ya que estos rayos no
pueden atravesar los objetos (paredes por ejemplo). Tampoco es necesario permiso para su
utilización, en microondas y ondas de radio si es necesario un permiso para asignar una
frecuencia de uso. a continuación las ventajas y desventajas del tipo de transmisión
infrarrojo con respecto a ondas de radiofrecuencia.
Menor coste de equipos transmisores / receptores de infrarrojos.
Menor consumo de potencia transmisores / receptores de infrarrojos.
Privacidad.
Menor alcance y velocidad de transmisión.
Movilidad limitada.
Radiofrecuencia.
La mayoría de dispositivos para redes WLAN hoy en día trabajan con radiofrecuencias,
por lo que es necesario tomar en cuenta la forma de transmisión, ya que es importante al
momento de la elección de componentes, pues la forma de cómo se transmiten los datos
influye de manera directa en el rendimiento de la red.
Todo tipo de dispositivo que intercambie información usando tecnología de
radiofrecuencia, obviamente necesita una frecuencia en la que deberá de localizar la señal
emitida por el otro dispositivo, dicha señal es la que lleva la información.
Las WLAN utilizan las bandas de frecuencia 2.4 y 5 Gigahertz (GHz), estas porciones del
espectro de RF están reservadas en casi todo el mundo para los dispositivos sin licencia. El
espectro de frecuencia, señaliza todas las frecuencias utilizadas y en que son aplicadas, este
espectro cambia sus asignaciones de frecuencias, de acuerdo al país.
En los Estados Unidos los fabricantes deben recibir la certificación de la Comisión Federal
de Comunicaciones (FCC, Federal Communications Commission) antes de vender equipos
inalámbricos. En el caso de México, quien se encarga de asignar las frecuencias es la
Secretaria de Comunicaciones y Transportes (SCT). Los usuarios finales no necesitan una
8
autorización para operar los dispositivos en espacio comercial, pero deben mantenerse
dentro de los límites operativos legales definidos por la organización competente.
Para minimizar la interferencia la FCC estipula una técnica de señal de transmisión
llamada Spread Spectrum Modulation, la cual tiene potencia de transmisión de 1 watt,
existen dos técnicas que distribuyen la señal convencional de un espectro de propagación
similar o equivalente: la secuencia directa y el salto de frecuencia.
En la secuencia directa, el flujo de bits de entrada se multiplica por una señal de frecuencia
mayor, basada en una función de propagación determinada. El flujo de datos original puede
ser entonces recobrado en el extremo receptor correlacionado con la función de
propagación conocida. Este método requiere un procesador de señal digital para
correlacionar la señal de entrada.
En la técnica de salto de frecuencia los dispositivos receptores y emisores se mueven
sincronamente en un patrón determinado de una frecuencia a otra, brincando ambos al
mismo tiempo y en la misma frecuencia predeterminada. Como en el método de frecuencia
directa, los datos deben ser reconstruidos en base al patrón de salto de frecuencia. Este
método es viable para las redes inalámbricas, pero la asignación actual en las bandas ISM
no es adecuada, debido a la competencia con otros dispositivos, como por ejemplo las
bandas de 2.4 y 5.8 Mhz que son utilizadas por hornos de microondas.
En los sistemas de radio existen tres formas de cómo se maneja la banda de frecuencia
disponible.
− Espectro disperso por salto de frecuencias (FHSS, Frequency Hopping
Spread Spectrum)
− Espectro disperso de secuencia directa (DSSS, Direc Sequence Spread
Spectrum)
− 802.11g OFDM (Multicanalización por división de frecuencia ortogonal,
Orthogonal Frequency-Division Multiplexing).
9
El espectro disperso es una técnica de modulación que esparce una señal de transmisión
por un intervalo amplio de radiofrecuencias. Esta técnica es ideal para las comunicaciones
de datos, porque es menos susceptible a sufrir la interferencia de señales de radio. De las
tecnologías de señalización disponibles, las que más ventajas ofrecen son DSSS y OFDM.
Muy pocos fabricantes, ofrecen productos WLAN basados en IR o FHSS.
FHSS
FHSS es una técnica de espectro disperso que utiliza la agilidad de la frecuencia para
dispersar los datos por encima de los 83 MHz de espectro. La agilidad de la frecuencia es la
capacidad de la radio de cambiar rápidamente la frecuencia de la transmisión, dentro de la
banda de frecuencia RF utilizable. En Estados Unidos, basándose en los estándares fijados
por la FCC, las WLAN FHSS utilizan los 83 MHz en la banda ISM de los 2.4 GHz.
En los sistemas FHSS, la portadora cambia la frecuencia, o saltos, de acuerdo a una
secuencia pseudoaleatoria, conocido como código de salto. Esta secuencia define al canal
FHSS. El código de salto es una lista de frecuencias a la que la portadora salta a intervalos
de tiempo especificados. El transmisor utiliza una secuencia de salto para seleccionar su
frecuencia de transmisión. La portadora se mantiene en una frecuencia dada durante un
periodo de tiempo especificado, que se conoce como tiempo dwell. El transmisor utiliza
entonces una pequeña cantidad de tiempo, denominada tiempo de salto, para moverse a la
siguiente frecuencia cuando la lista de frecuencias se ha completado. El transmisor empieza
por el principio y repite la secuencia. La radio receptora se sincroniza con la secuencia de
salto de la radio transmisora para que la receptora este en la frecuencia correcta en el
momento preciso.
DSSS
El primer desarrollo de la tecnología DSSS estaba en el rango de frecuencias de los 900
MHz, en ese momento no había ningún estándar de modulación. El concepto básico de este
esquema era utilizar todo el canal para producir un canal rápido de 860 kbps, o dividir el
10
canal en secciones mas pequeñas para producir mas canales, sin embargo estos canales
trabajaban con velocidades mas lentas, como por ejemplo tres canales de 215 kbps o dos
canales a 344 kbps.
La practica de utilizar mas cantidad del canal para aumentar la velocidad de transmisión ya
no es utilizada, el nuevo esquema para el 802.11 es utilizar técnicas de modulación muy
avanzadas para conseguir esas velocidades mas altas. DSSS define un canal como una
banda continua de frecuencias, con un canal de 22 MHz. En Estados Unidos, cada canal
opera desde una de las 11 frecuencias centrales definidas y se extiende 11 MHz en cada
dirección. Mientras que FHSS utiliza cada frecuencia durante un periodo corto de tiempo
según un patrón repetitivo, DSSS utiliza un rango de frecuencia ancho de 22 MHz durante
todo el tiempo. La señal se extiende por las diferentes frecuencias
OFDM.
Los estándares 802.11a y 802.11g utilizan la multiplexión por división de frecuencia
ortogonal para conseguir velocidades de datos de hasta 54 Mbps. Ortogonal es un termino
matemático que significa recto, derecho o cierto. En matemáticas esta palabra describe
elementos independientes. La cualidad ortogonal se ve mejor en el dominio de la
frecuencia, observando el análisis espectral de una señal. OFDM funciona porque las
frecuencias de las subportadoras se seleccionan de tal manera que por cada frecuencia de la
subportadora, todas las demás subportadoras no contribuyen a la forma de onda global.
OFDM divide una portadora de datos de alta velocidad en varias subportadoras de
velocidad mas baja, que después se transmiten en paralelo. Cada portadora de alta
velocidad tiene un ancho de 20 MHz y se divide en 52 subcanales, cada uno de ellos con
una anchura aproximada de 300 KHz.
La OFDM utiliza 48 de estos subcanales para los datos y los cuatro restantes para la
corrección de errores, esta técnica codificada entrega una velocidades de datos mas altas y
un alto grado de corrección de errores, además de utilizar el espectro electromagnético más
11
eficientemente debido a que todas las portadoras son ortogonales entre si, previniéndose así
la interferencia entre portadoras estrechamente espaciadas.
1.3 Estándares y protocolos para redes WLAN.
El protocolo IEEE 802.11 es un estándar de comunicaciones publicado por IEEE que
define el uso de los dos niveles más bajos (capa física y de enlace de datos) de la
arquitectura del modelo de referencia de Interconexión de Sistemas Abiertos (OSI, Open
System Interconection). En general, los protocolos de la rama 802.x definen la tecnología
de redes de área local.
Las redes inalámbricas como ya habíamos mencionado se reparten entre dos clases
principales subdivididas por la banda de frecuencia. Las primeras tecnologías usaban la
banda de 2.4 GHz que incluyen los estándares del IEEE 802.11b (11Mbps) y es compatible
con su sucesor 802.11g a 54 Mbps. Esta primera opción es la más común actualmente.
Por otro lado, tanto 802.11a como 802.11h, que operan en la banda de 5 GHZ, consiguen
un rendimiento nominal de 54 Mbps. 802.11h, referida en Estados Unidos como “de
compatibilidad en Europa”, es la variante Europea del estándar Americano. Sus dos
características más importantes son la selección dinámica y la potencia de transmisión
variable, obligatorias para el mercado Europeo según el Instituto Europeo de Estándares de
Comunicación (ETSI) con el fin de asegurar que los sistemas tengan una capacidad de
transmisión razonable.
IEEE 802.11c, especifica métodos para la conmutación inalámbrica, o lo que es lo mismo,
métodos para conectar diferentes tipos de redes mediante redes inalámbricas. El 802.11d
normalmente se le conoce como el “Método Mundial” y se refiere a las diferencias
regionales en tecnologías como a cuantos y cuales son los canales disponibles para usarse
en las distintas regiones del mundo. Como usuario sólo necesitamos especificar el país en el
que queremos usar la tarjeta WLAN y el controlador se ocupa del resto.
12
El protocolo IEEE 802.11e define la calidad del servicio y las extensiones para el flujo de
medios para 802.11a/h y g. El objetivo es ajustar las redes de 54 Mbps para aplicaciones
multimedia y de voz sobre IP, o lo que es lo mismo, telefonía a través de redes IP e
Internet. La red debe soportar valores de transmisión de datos garantizados para servicios
individuales o retrasos de propagación mínimos para que sean útiles con multimedia o voz.
El protocolo 802.11f describe como se tratan los estándares de las comunicaciones de
clientes de móviles fuera de zona entre puntos de acceso (“Roaming”) con IAPP, el
Protocolo de Puntos de Acceso manejando de los detalles.
1.3.1 Estándares de Seguridad.
802.11i fue elegido para resolver los problemas de seguridad que comprometieron en su
momento las redes inalámbricas. Las características más importantes de 802.11i incluyen la
autenticación.
En los primeros años de este siglo, cuando sólo existía la encriptación WEP y antes que
fuera desarrollado el estándar de seguridad 802.11i con la encriptación WPA y WPA2, el
IEEE comenzó a buscar soluciones que fueran capaces de mejorar la seguridad Wi-Fi. El
resultado buscado se consiguió adaptando el estándar 802.1x que se había aprobado en
2001 para redes cableadas. En 2004 se finalizó la adaptación para redes inalámbricas WIFI.
Este estándar de seguridad en redes se basa en el control de acceso a puertos y es
imprescindible y muy recomendable su utilización en toda red empresarial que pretenda
lograr una seguridad robusta. 802.1x introduce importantes cambios en el esquema de
seguridad WI-FI.
El estándar 802.1x ofrece las siguientes modificaciones en Seguridad WI-FI.
Se necesita autenticar a los usuarios antes de conectarse a una red inalámbrica
WI-FI
La autenticación se realiza con un protocolo conocido como EAP - Extensible
13
Authentication Protocol. Existen varias versiones de EAP:LEAP, TLS, TTLS,
PEAP, FAST, etc.
La autenticación se realiza mediante un servidor de tipo RADIUS.
Es de resaltar, algunos cambios de fundamental importancia: En el esquema de 802.1x, se
autentica al usuario y no al dispositivo, como se hacía, por ejemplo en el filtrado de
Direcciones MAC (MAC Address). Esto es muy importante porque impide que se pueda
entrar a la red, aún cuando a uno le roben o pierda su laptop o PDA. La otra diferencia
importante es que con 802.1x, el Punto de Acceso no puede "autorizar" a nadie el acceso a
la red. La función de autorización recae en el servidor RADIUS.
RADIUS es el acrónimo de Remote Authentication Dial In User Service. Como su nombre
lo indica es un servidor que tiene la función de autenticar a los usuarios que se conectan
remotamente.
Originalmente estaba pensado para accesos por líneas cableadas, pero cuando se modificó
el estándar 802.1x para seguridad WI-FI, se adaptó también como herramienta de
autenticación para las redes inalámbricas. El servidor RADIUS cumple varias funciones en
la arquitectura de seguridad de una red inalámbrica WIFI, las cuales se detallan a
continuación:
Recibir pedido de conexión de los usuarios WI-FI.
Autenticar a los clientes WI-FI y luego Autorizar su acceso a la red.
Devolver toda la información de configuración necesaria para que el cliente
acceda a la red entre ellas la clave.
Para robustecer la seguridad WI-FI, el servidor RADIUS puede generar claves
"dinámicas", es decir que las puede ir cambiando cada tanto. El administrador
puede configurar el intervalo.
14
El servidor RADIUS generalmente es un software aunque existen algunos dispositivos. Las
versiones servidor de Windows 2000 y Windows 2003 incluyen un servidor RADIUS, que
se denomina IAS (Internet Access Server). Este, como la mayoría de los servidores
RADIUS tiene varias limitaciones de plataforma, S.O, etc que se comentarán más adelante.
Como se mostró, el servidor RADIUS tiene la función de Autenticar y de Autorizar a los
clientes de WIFI. Los servidores RADIUS más completos incluyen una tercera función que
es el Accounting, por eso se denominan "AAA" o "Triple A". Para finalizar, digamos que
en lo que respecta a Seguridad WI-FI, los Servidores RADIUS, además de autenticar y
autorizar el acceso de usuarios añaden otras ventajas muy relevantes:
A diferencia de las VPN, protegen la capa 2 pues cifran el canal antes que el
usuario sea autenticado y reciba su IP. La VPN necesita una dirección IP para
autenticar al usuario.
El servidor RADIUS genera claves dinámicamente, lo que mitiga
significativamente las deficiencias del protocolo de encriptación WEP.
Antes de la introducción de 802.11i, los fabricantes de WLAN intentaron compensar los
fallos internos de WEP usando una solución conocida como Acceso Protegido Wi-Fi
(WPA), desarrollado al amparo de la alianza Wi-Fi. Las características más importantes de
WPA son la anulación de llaves Débiles (“WEP plus”), habilitación de la autentificación
EAP y el protocolo temporal de integración de llaves (TKIP). TKIP está diseñado para
evitar los puntos débiles reemplazando las llaves estáticas con llaves modificadas
dinámicamente e implementando comprobaciones de integridad ampliamente
incrementadas. Por razones de compatibilidad descendente TKIP aún usa el débil flujo de
codificación RC4. WPA2 es el término que Wi-Fi Alliance usa para referirse a la
implementación de todos los componentes obligatorios del estándar 802.11i.
15
1.4 Tecnologías inalámbricas.
Las WLAN son solo uno de los usos que se dan al espectro de RF. A continuación se ilustra
la relación de velocidad “distancia frente a datos” que existe entre las diferentes tecnologías
inalámbricas, así como las distintas bandas de radiofrecuencia y su uso típico.
Figura 1.2. Distancia frente a velocidad.
Tabla 1.1. Uso de las Radiofrecuencias.
BANDA DE
FRECUENCIADESIGNACIÓN USO Y PROPAGACIÓN
30 a 30 KHz.
Frecuencia muy baja
(VLF, Very Low
Frequency)
Denominadas ondas superficiales, se utilizan
en todo el mundo para las comunicaciones a
larga distancia.
30 a 300 KHzFrecuencia baja
(LF, Low Frequency)
Denominadas ondas terrestres, se utilizan para
la comunicación a larga distancia y la difusión
de ondas largas.
300 a 3000 KHz
Frecuencia media
(MF, Medium
Frequency)
También denominadas ondas terrestres, se
utilizan en la difusión de ondas medias.
LANinalámbricasinfrarrojas
LANinalámbricasde espectro
disperso
LAN inalámbricasde banda estrecha
Circuito y datos de paqueteCelular
PCS de banda estrecha Satélite
PCS de banda ancha
Local Ancho
50 Mbps
10 Mbps
2 Mbps
1 Mbps
56 kbps
19.6 kbps
9.6 kbps
Ve
locida
des de
datos
Área cubierta
16
3 a 30 MHz
Frecuencia alta
(HF, High
Frequency)
Continuación tabla 1.1
Denominadas ondas de cielo, se utilizan para la
comunicación a larga distancia y la difusión de
ondas cortas.
30 a 300 MHz
Frecuencia muy alta
(VHF, Very High
Frequency)
Denominadas ondas de espacio, se utilizan para
intervalos cortos, comunicaciones móviles y
difusión de sonido.
300 a 3000 MHz
Frecuencia ultra
elevada
(UHF, Ultra High
Frequency)
También denominadas ondas de espacio, se
utilizan para intervalos cortos, difusión de
televisión y enlaces punto a punto.
3 a 30 GHz
Frecuencia súper
elevada
(SHF, Super High
Frequency)
También denominadas ondas de espacio, se
utilizan para enlaces punto a punto, radar y
comunicación por satélite.
Mas de 30 GHz
Frecuencia
extremadamente
Alta (EHF, Extra
Higt Frequency)
También denominadas ondas de espacio, se
utilizan en comunicaciones entre satélites y
telefonía de radio microcelular.
Las tecnologías inalámbricas están compuestas de muchos parámetros variables, algunas
tecnologías proporcionan comunicaciones de una sola dirección, mientras que otras ofrecen
comunicaciones simultáneas en dos direcciones. Así mismo, algunos operan a niveles de
energía bajos, y otras operan a niveles de energía altos y pueden ser digitales o analógicas.
En la siguiente tabla se pueden visualizar los parámetros de las tecnologías inalámbricas.
17
Tabla 1.2 Parámetros de tecnologías inalámbricas.
FRECUENCIA BAJA (HZ) A ALTA (GHZ)
Nivel de energía Bajo(<1 MW) a alto (>100.000 W)
Ancho de banda Banda estrecha a banda ancha
Diálogo Unidireccional a dúplex
Intervalo de señal Corto(<30,5 m) a largo (miles de millas)
Tipo de señal Digital o analógica
Ruta de la señal Directa o reflexiva
Aplicaciones Fija o móvil
Cobertura Área local o amplia
Velocidad de datos Baja (10 kbps) a alta (>10 Mbps)
Coste Barata a cara
Las tecnologías inalámbricas llevan entre nosotros muchos años. La televisión, la radio
AM/FM, la TV por satélite, los teléfonos móviles, los dispositivos de control remoto, los
sistemas de alarma y los teléfonos inalámbricos son algunas de las cosas que forman parte
de la vida cotidiana.
Dentro de la tecnología inalámbrica encontramos la tecnología celular y digital, que se
remontan de la década de los 1940, cuando se inicio la telefonía móvil comercial. La
revolución inalámbrica empezó después de que aparecieran los microprocesadores
económicos y la conmutación digital. Los siguientes puntos describen estas tecnologías:
Terrestre (basada en tierra). Esta categoría incluye las microondas y los
infrarrojos, entre otros, el coste es relativamente bajo y normalmente se requiere
una línea visual.
Tecnologías celulares móviles:
− Primera generación (AMPS, CDPD). Estos sistemas principalmente
analógicos utilizan señales eléctricas continuas para la transmisión y
18
recepción de información, con velocidades de hasta 14.4 kbps.
− Segunda generación (PCS) Estos sistemas digitales tienen varias ventajas,
incluyendo una mejor cobertura, mas llamadas por canal, menor
interferencia por ruido, y la posibilidad de añadir nuevas características
como la mensajería corta, maneja velocidades de hasta 64 kbps.
− Tercera generación (WCDMA/IMT2000, CDMA2000). 3G es una
tecnología móvil de banda ancha. Además de voz y datos, 3G envía audio y
video a los dispositivos inalámbricos en cualquier parte del mundo. Las dos
tecnologías 3G en competencia son CDMA de banda ancha (WCDMA en
Norteamérica, UMTS en Europa) y CDMA2000. Las velocidades pueden
alcanzar los 2 Mbps.
Tecnología DSSS y FHSS. Son tecnologías de espectro disperso utilizadas por
las WLAN, incluyendo 802.11b, y que operan a 11 Mbps, la cobertura de la
línea de visión esta disponible hasta los 40.2 km.
Satélite (celestial). Además de para entregar la señal de TV, los satélites también
pueden servir a los usuarios de voz móviles y a los usuario remotos que suelen
estar lejos de los cables. El costo de este servicio es alto. Algunos tipos de
satélites son LEO (Orbita Terrestre Baja), MEO (Orbita Terrestre Media) y
GEO (Orbita Terrestre Geosincrona).
Otra Tecnología inalámbrica importante es el Radio Celular que proporciona el servicio de
telefonía móvil empleando una red de sitios celulares distribuidos por un área amplia. Un
sitio celular contiene un transceptor de radio y un controlador de estación base. La estación
base manipula recibe y transmite, el trafico de las áreas móviles ubicadas en su área
geográfica. Un sitio celular también tiene una torre y unas antenas, así como un enlace
como un switch distante.
Las redes inalámbricas funcionan en base a transmisiones infrarrojo o radiofrecuencias para
unir los dispositivos portátiles a las redes. Éstas adquieren día a día mayor popularidad
porque día a día son más necesarias.
19
Las señales infrarrojo sólo funcionan dentro de la misma habitación pero las transmisiones
de radiofrecuencias pueden funcionar casi a través de cualquier pared. Esto es interesante y
conveniente ya que por ejemplo, en una oficina puede necesitarse compartir la información
dentro del mismo espacio (como una habitación / oficina). Para este fin puede utilizarse una
red inalámbrica infrarrojo. Nadie se tropieza con los cables ni contaminan visualmente. Por
igual, no necesita que la información traspase paredes. Para oficinas más extensas o
cualquier otro lugar de mayor dimensión, las redes de radiofrecuencias pueden representar
una gran opción para solucionar dicho asunto.
Los teléfonos portátiles (móviles o celulares) utilizan esta tecnología inalámbrica. Son
redes de área amplia (WAN, del inglés wide area network) y ejemplifican a la perfección lo
efectivo y práctico de la tecnología inalámbrica.
1.5 Topologías WLAN Básicas.
Las redes LAN inalámbricas se construyen utilizando las siguientes topologías básicas:
Topología de infraestructura básica.
Topología igual a igual.
Topología de infraestructura extendida.
Marcación telefónica.
Banda ancha.
1.5.1 Topología de infraestructura.
Una topología de infraestructura básica (BSS, Basic Service Set) es aquella que extiende
una red LAN con cable existente para incorporar dispositivos inalámbricos mediante una
estación base, denominada punto de acceso. El punto de acceso une la red LAN inalámbrica
20
y la red LAN con cable y sirve de controlador central de la red LAN inalámbrica. El punto
de acceso coordina la transmisión y recepción de múltiples dispositivos inalámbricos dentro
de una extensión específica; la extensión y el número de dispositivos dependen del estándar
de conexión inalámbrica que se utilice y del producto. En la modalidad de infraestructura,
puede haber varios puntos de acceso para dar cobertura a una zona grande o un único punto
de acceso para una zona pequeña, ya sea un hogar o un edificio pequeño.
Figura 1.3. Red de la modalidad de infraestructura.
Para que se este tipo de redes funcione, el portátil o dispositivo inteligente, denominado
"estación" en el ámbito de las redes LAN inalámbricas, primero debe identificar los puntos
de acceso y las redes disponibles. Este proceso se lleva a cabo mediante el control de las
tramas de señalización procedentes de los puntos de acceso que se anuncian a sí mismos o
mediante el sondeo activo de una red específica con tramas de sondeo.
La estación elige una red entre las que están disponibles e inicia un proceso de
autenticación con el punto de acceso. Una vez que el punto de acceso y la estación se han
verificado mutuamente, comienza el proceso de asociación.
La asociación permite que el punto de acceso y la estación intercambien información y
datos de capacidad. El punto de acceso puede utilizar esta información y compartirla con
otros puntos de acceso de la red para diseminar la información de la ubicación actual de la
21
estación en la red. La estación sólo puede transmitir o recibir tramas en la red después de
que haya finalizado la asociación.
En la modalidad de infraestructura, todo el tráfico de red procedente de las estaciones
inalámbricas pasa por un punto de acceso para poder llegar a su destino en la red LAN con
cable o inalámbrica.
El acceso a la red se administra mediante un protocolo que detecta las portadoras y evita las
colisiones. Las estaciones se mantienen a la escucha de las transmisiones de datos durante
un período de tiempo especificado antes de intentar transmitir (ésta es la parte del protocolo
que detecta las portadoras). Antes de transmitir, la estación debe esperar durante un período
de tiempo específico después de que la red está despejada. Esta demora, junto con la
transmisión por parte de la estación receptora de una confirmación de recepción correcta,
representa la parte del protocolo que evita las colisiones. Observe que, en la modalidad de
infraestructura, el emisor o el receptor es siempre el punto de acceso.
Dado que es posible que algunas estaciones no se escuchen mutuamente, aunque ambas
estén dentro del alcance del punto de acceso, se toman medidas especiales para evitar las
colisiones. Entre ellas, se incluye una clase de intercambio de reserva que puede tener lugar
antes de transmitir un paquete mediante un intercambio de tramas "petición para emitir" y
"listo para emitir", y un vector de asignación de red que se mantiene en cada estación de la
red. Incluso aunque una estación no pueda oír la transmisión de la otra estación, oirá la
transmisión de "listo para emitir" desde el punto de acceso y puede evitar transmitir durante
ese intervalo.
El proceso de movilidad de un punto de acceso a otro no está completamente definido en el
estándar. Sin embargo, la señalización y el sondeo que se utilizan para buscar puntos de
acceso y un proceso de reasociación que permite a la estación asociarse a un punto de
acceso diferente, junto con protocolos específicos de otros fabricantes entre puntos de
acceso, proporcionan una transición fluida.
22
La sincronización entre las estaciones de la red se controla mediante las tramas de
señalización periódicas enviadas por el punto de acceso. Estas tramas contienen el valor de
reloj del punto de acceso en el momento de la transmisión, por lo que sirve para comprobar
la evolución en la estación receptora. La sincronización es necesaria por varias razones
relacionadas con los protocolos y esquemas de modulación de las conexiones inalámbricas.
1.5.2 Topología de igual a igual.
En una topología de igual a igual ad hoc (IBSS, independent BSS) los propios dispositivos
inalámbricos crean la red LAN y no existe ningún controlador central ni puntos de acceso.
Cada dispositivo se comunica directamente con los demás dispositivos de la red, en lugar
de pasar por un controlador central. Esta topología es práctica en lugares en los que pueden
reunirse pequeños grupos de equipos que no necesitan acceso a otra red. Ejemplos de
entornos en los que podrían utilizarse redes inalámbricas ad hoc serían un domicilio sin red
con cable o una sala de conferencias donde los equipos se reúnen con regularidad para
intercambiar ideas.
Figura 1.4 Red ad hoc.
23
Por ejemplo, cuando se combinan con la nueva generación de software y soluciones par a
par inteligentes actuales, estas redes inalámbricas ad hoc pueden permitir a los usuarios
móviles colaborar, participar en juegos de equipo, transferir archivos o comunicarse de
algún otro modo mediante sus PC o dispositivos inteligentes sin cables.
1.5.3 Topología de infraestructura extendida.
Un conjunto de servicio extendido (ESS, Extended Service Set) se define como dos o más
BSS que están conectadas mediante un sistema de distribución común. Esto permite la
creación de una red inalámbrica de un tamaño y una complejidad arbitrarios. Como ocurre
con un BSS, todos los paquetes deben atravesar a uno de los AP.
1.6 Dispositivos inalámbricos.
Una vez establecidos las distintas topologías que determinarán como se comunicarán los
puntos dentro de la red WLAN, debo determinar que dispositivos son necesarios. A
continuación definiremos los elementos físicos que la constituyen.
Adaptadores de red inalámbricos.
Estos son las interfaces que conectarán los equipos de los usuarios (PC, Notebooks, etc.) a
la estructura de red. Estos elementos tienen distintos modelos según la forma en que se
conectarán al equipo del usuario. Hay tres dispositivos internos para conectarse a los buses
PCMCIA, PCI y COMPACTFLASH y uno externo para conectarlo al conector USB del
equipo usuario.
Figura 1.5 Adaptadores de red inalámbricos.
24
Punto de Acceso Inalámbrico.
Este dispositivo permite a los equipos que poseen Adaptadores de Red Inalámbricos
conectarse entre sí. Además permite comunicarse con otros Puntos de Acceso de modo de
ampliar la cobertura de la LAN. Esta última función se asocia a una funcionalidad como
Bridge. Además de conectar equipos de usuarios se pueden conectar switches o routers
pertenecientes a la infraestructura de red de cableado de cobre o fibra preexistente.
Cuando es necesario unir mi LAN con otra LAN (Internet por ejemplo), es necesario
utilizar este dispositivo que será el encargado de interpretar las direcciones de origen y
destino de mis comunicaciones internas o externas y encaminarlas convenientemente.
Figura 1.6 Puntos de Acceso.
Antenas.
Si bien cada uno de los dispositivos WLAN anteriores poseen un dispositivo radiador
básico que le permite comunicarse con otros dispositivos cercanos, es posible que las
distancias entre los usuarios sea tal en donde deba utilizar Antenas con características
especiales. Normalmente el tipo de antena utilizar se elige según la topología de los puntos
a unir. Por ejemplo para una topología punto a punto utilizaremos una antena direccional
que concentre la potencia en un determinado sentido. Para una topología Punto-Multipunto
utilizaremos una Antena Omnidireccional en el centro geográfico de mi red y antenas
direccionales en apuntando a este centro en los puntos circundantes.
25
Figura 1.7 Ejemplos de antenas.
Amplificadores.
Cuando con la potencia radiada por las antenas no se alcanzan a cubrir adecuadamente la
dispersión de usuarios de la red, es necesario agregar amplificadores para la señal de
transmisión.
Figura 1.8 Amplificadores.
26
Capítulo 2. Seguridad de los sistemas de información.
La seguridad de los sistemas de información (SSI) se refiere en primer lugar y
esencialmente a la información y a los "tratamientos" que se le aplican. Las necesidades,
requerimientos y objetivos técnicos u organizacionales derivan naturalmente de ella. Se
deben tomar en cuenta tres criterios fundamentales: la confidencialidad, la integridad y la
disponibilidad, tanto de los datos como de los sistemas y de los entornos en los cuales estos
se encuentran.
La SSI está directamente vinculada con la apreciación y el tratamiento de los riesgos. Estos
riesgos se califican como operativos porque afectan directamente a las actividades de las
instituciones y empresas. Efectivamente, el organismo que utiliza soportes de las
tecnologías de la información y la comunicación (TIC), especialmente Internet, para
realizar sus actividades y transacciones comerciales, está directamente involucrado en la
SSI.
2.1 Principios de la seguridad informática.
La información es un activo que, como otros activos importantes de las organizaciones
tiene un gran valor, por lo tanto, existe la necesidad de proteger a la información. La
seguridad de la información tiene como principal objetivo proteger los recursos y
mantener los procesos de red empresariales.
La información puede existir en muchas formas y estar soportada por diferentes
medios ya que la información puede estar impresa, almacenada en algunos dispositivos
electrónicos o magnéticos, viajando por la red de la empresa o por Internet, etc.
27
Podemos identificar 3 elementos importantes que la seguridad de la información busca
proteger estos son:
a) La información
b) Los Equipos que la soportan (Software y Hardware)
c) Las personas que la utilizan.
Figura 2.1. Elementos que soporta la seguridad de la información.
a) Información.
En este grupo están los elementos que contienen información registrada, en medios
electrónicos o físicos, dentro de los más importantes tenemos:
Libros.
Manuales.
Patentes.
Información de mercado.
Código de programación.
LaInformación
La Seguridad dela Información
Los equipos quela soportan
Las personas quela utilizan
28
Líneas de comando.
Archivos de configuración.
Listas de Clientes y/o proveedores.
Planillas de sueldos de empleados.
Plan de negocios de una organización, etc.
b) Equipos que soportan la información:
b.1 Software.
Este grupo de activos contiene todos los programas computacionales que se utilizan
para la automatización de procesos, es decir, acceso, lectura, tránsito y
almacenamiento de la información como son:
Las aplicaciones comerciales.
Programas institucionales.
Sistemas operativos.
Las aplicaciones deberán estar seguras para que la comunicación entre las bases de
datos, otras aplicaciones y los usuarios se realice de forma segura, atendiendo a los
principios básicos de la seguridad de la información.
b. 2 Hardware.
Estos activos representan toda la infraestructura tecnológica que brinda soporte a la
información durante su uso, tránsito y almacenamiento. Los activos que pertenecen a
este grupo son cualquier equipo en el cual se almacene, procese o transmita la
información de la organización como son:
Las computadoras.
Los servidores.
29
Los equipos portátiles.
Los mainframes.
Los medios de almacenamiento.
Los equipos de conectividad, enrutadores, switchs, etc.
c) Usuarios.
El grupo usuarios se refiere a los individuos que utilizan la estructura tecnológica y de
comunicación de la organización y que manejan la información. El enfoque de la seguridad
en los usuarios, está orientado hacia la toma de conciencia de formación del hábito de la
seguridad para la toma de decisiones y acción por parte de todos los empleados de una
organización, desde su alta dirección hasta los usuarios finales de la información,
incluyendo los grupos que mantienen en funcionamiento la estructura tecnológica, como los
técnicos, operadores y administradores de ambientes tecnológicos. Ejemplos de este tipo de
activos:
Empleados del área de contabilidad.
Directivos de la organización.
2.2 Conceptos básicos de la seguridad de la información.
Una vez que conocemos los diferentes tipos de activos que podemos encontrar en las
organizaciones, ahora profundizaremos en los principios básicos que nos ayudarán a
proteger el activo de mayor valor en los negocios modernos: la información.
Proteger los activos significa mantenerlos seguros contra amenazas que puedan afectar su
funcionalidad:
Corrompiéndola.
accediéndola indebidamente.
eliminándola o hurtándola.
30
Por lo tanto, entendemos que la seguridad de la información tiene como propósito proteger
a los activos de una organización con base en la preservación de tres principios básicos:
1. Integridad.
2. Confidencialidad.
3. Disponibilidad.
1) Principio de la integridad de la información.
El primero de los tres principios de la seguridad de la información que aplicamos es la
integridad, la cual nos permite garantizar que la información no ha sido alterada de forma
no autorizada en su contenido, por tanto, es íntegra.
La integridad de la información es fundamental para el éxito de la comunicación. El
receptor deberá tener la seguridad de que la información obtenida, leída u oída es
exactamente la misma que fue colocada a su disposición para una debida finalidad.
La perdida de integridad ocurre cuando la información se corrompe, falsifica o burla. Una
información se podrá alterar de varias formas, tanto su contenido como el ambiente que la
soporta. Por lo tanto, la perdida de la integridad de la información se podrá considerar bajo
dos aspectos:
a) Alteraciones del Contenido de la Información: Donde se realizan inserciones,
sustituciones o remociones de partes de su contenido.
b) Alteraciones en los Elementos que Soportan la Información: Donde se realizan
alteraciones en la estructura física y lógica de donde una información está almacenada
o soportada.
31
2) Principio de la confidencialidad de la información.
El principio de la confidencialidad de la información tiene como propósito el asegurar que
sólo el personal autorizado tenga acceso a la información.
La información que se intercambian entre individuos y organizaciones no siempre deberá
ser conocida por todo el mundo. Mucha de la información generada por las personas se
destina a un grupo específico de individuos, y muchas veces a una única persona. Eso
significa que estos datos deberán ser conocidos sólo por un grupo controlado de personas,
definido por el responsable de la información.
Por ese motivo, se dice que la información posee un grado de confidencialidad que se
deberá preservar para que personas sin autorización no la conozcan. Tener confidencialidad
en la comunicación, es la seguridad de que lo que se dijo a alguien o escribió en algún lugar
será escuchado o leído sólo por quien tenga ese derecho.
3) Principio de disponibilidad de la información:
Una vez que nos aseguramos que la información correcta llegue a los destinatarios o
usuarios correctos, ahora lo que debemos garantizar es que llegue en el momento oportuno,
y precisamente de esto trata el tercer principio de la seguridad de la información: la
disponibilidad. Para que una información se pueda utilizar, deberá estar disponible. Esto se
refiera a la disponibilidad de la información y de toda la estructura física y tecnológica que
permite el acceso, tránsito y almacenamiento.
La disponibilidad de la información permite que:
Se utilice cuando sea necesario.
Que esté al alcance de sus usuarios y destinatarios.
Se pueda accederla en el momento en que necesitan utilizarla.
32
Este principio está asociado a la adecuada estructuración de un ambiente tecnológico y
humano que permita la continuidad de los negocios de la organización o de las personas,
sin impactos negativos para la utilización de la información.
No basta estar disponible: la información deberá estar accesibles en forma segura para que
se pueda usar en el momento en que se solicita y que se garantice su integridad y
confidencialidad.
Así, el ambiente tecnológico y los soportes de la información deberán estar funcionando
correctamente y en forma segura para que la información almacenada en los mismos y que
transita por ellos pueda ser utilizada por sus usuarios.
2.3 Amenazas.
Las amenazas son agentes capaces de explotar los fallos de seguridad, que denominamos
puntos débiles o vulnerabilidades y, como consecuencia de ello, causar pérdidas o daños a
los activos de una organización, afectando a sus negocios.
Los activos están constantemente sometidos a amenazas que pueden colocar en riesgo la
integridad, confidencialidad y disponibilidad de la información. Estas amenazas siempre
existirán y están relacionadas a causas que representan riesgos, las cuales pueden ser:
Causas naturales o no naturales.
Causas internas o externas.
Por lo tanto, entendemos que uno de los objetivos de la seguridad de la información es
impedir que las amenazas exploten puntos débiles y afecten alguno de los principios
básicos de la seguridad de la información (integridad, disponibilidad, confidencialidad),
causando daños al negocio de las organizaciones. Dada la importancia de las amenazas y el
impacto que puede tener para la información de las organizaciones revisemos ahora su
clasificación.
33
2.3.1 Tipos de amenazas.
Las amenazas son constantes y pueden ocurrir en cualquier momento. Esta relación de
frecuencia-tiempo, se basa en el concepto de riesgo, lo cual representa la probabilidad de
que una amenaza se concrete por medio de una vulnerabilidad o punto débil. Las mismas se
podrán dividir en tres grandes grupos.
1. Amenazas Naturales – condiciones de la naturaleza y la intemperie que podrán
causar daños a los activos, tales como fuego, inundación, terremotos.
2. Intencionales – son amenazas deliberadas, fraudes, vandalismo, sabotajes,
espionaje, invasiones y ataques, robos y hurtos de información, entre otras.
3. Involuntarias - son amenazas resultantes de acciones inconscientes de usuarios,
por virus electrónicos, muchas veces causadas por la falta de conocimiento en el uso
de los activos, tales como errores y accidentes.
Las amenazas siempre han existido y es de esperarse que conforme avance la tecnología
también surgirán nuevas formas en las que la información puede llegar a estar expuesta, por
tanto es importante conocer el marco general en cómo clasifican las vulnerabilidades o
puntos débiles que pueden hacer que esas amenazas impacten nuestro sistemas,
comprometiendo los principios de la seguridad de nuestra información. Los puntos débiles
son los elementos que, al ser explotados por amenazas, afectan la confidencialidad,
disponibilidad e integridad de la información de una organización. Uno de los primeros
pasos para la implementación de la seguridad es rastrear y eliminar los puntos débiles de un
ambiente de tecnología de la información. Al ser identificados los puntos débiles, será
posible dimensionar los riesgos a los cuales el ambiente está expuesto y definir las medidas
de seguridad apropiadas para su corrección. La existencia de puntos débiles está
relacionada con la presencia de elementos que perjudican el uso adecuado de la
información y del medio en que la misma se está utilizando.
34
Las vulnerabilidades a las cuales los activos están expuestos pueden ser:
Físicas.
Naturales.
De hardware.
De software
De medios de almacenamiento.
De comunicación.
Humanas.
Físicas.
Figura 2.2. Vulnerabilidades de los activos.
a) Vulnerabilidades Físicas.
Los puntos débiles de orden físico son aquellos presentes en los ambientes en los cuales la
información se está almacenando o manejando. Como ejemplos de este tipo de
vulnerabilidad se distinguen:
Instalaciones inadecuadas del espacio de trabajo.
Ausencia de recursos para el combate a incendios.
Disposición desorganizada de cables de energía y de red.
Ausencia de identificación de personas y de locales.
35
Estos puntos débiles, al ser explotados por amenazas, afectan directamente los principios
básicos de la seguridad de la información, principalmente la disponibilidad.
b) Vulnerabilidades Naturales.
Los puntos débiles naturales son aquellos relacionados con las condiciones de la naturaleza
que puedan colocar en riesgo la información. Muchas veces, la humedad, el polvo y la
contaminación podrán causar daños a los activos. Por ello, los mismos deberán estar
protegidos para poder garantizar sus funciones.
La probabilidad de estar expuestos a las amenazas naturales es determinante en la elección
y montaje de un ambiente. Se deberán tomar cuidados especiales con el local, de acuerdo
con el tipo de amenaza natural que pueda ocurrir en una determinada región geográfica.
Entre las amenazas naturales más comunes podemos citar:
Ambientes sin protección contra incendios.
Locales próximos a ríos propensos a inundaciones.
Infraestructura incapaz de resistir a las manifestaciones de la naturaleza como
terremotos, maremotos, huracanes etc.
c) Vulnerabilidades de Hardware.
Los posibles defectos en la fabricación o configuración de los equipos de la empresa que
pudieran permitir el ataque o alteración de los mismos.
Existen muchos elementos que representan puntos débiles de hardware. Entre ellos
podemos mencionar:
Ausencia de actualizaciones conforme con las orientaciones de los fabricantes.
de los programas que se utilizan.
Conservación inadecuada de los equipos.
36
d) Vulnerabilidades de Software.
Los puntos débiles de aplicaciones permiten que ocurran accesos indebidos a sistemas
informáticos incluso sin el conocimiento de un usuario o administrador de red.
Los puntos débiles relacionados con el software podrán ser explotados por diversas
amenazas ya conocidas. Entre éstos destacamos:
― La configuración e instalación indebidas de los programas de computadora, que
podrán llevar al uso abusivo de los recursos por parte de usuarios mal
intencionados.
Las aplicaciones son los elementos que realizan la lectura de la información y que permiten
el acceso de los usuarios a dichos datos en medio electrónico y, por esta razón, se
convierten en el objetivo predilecto de agentes causantes de amenazas.
También podrán tener puntos débiles de aplicaciones los programas utilizados para la
edición de texto e imagen, para la automatización de procesos y los que permiten la lectura
de la información de una persona o empresa, como los navegadores de páginas del Internet.
Los sistemas operativos como Microsoft Windows y Unix , que ofrecen la interfaz para
configuración y organización de un ambiente tecnológico. Estos son el blanco de ataques,
pues a través de los mismos se podrán realizar cualquier alteración de la estructura de una
computadora o red.
e) Vulnerabilidades de Medios de Almacenamiento.
Los medios de almacenamiento son los soportes físicos o magnéticos que se utilizan para
almacenar la información. Entre los tipos de soporte o medios de almacenamiento de la
información que están expuestos podemos citar:
Disquetes.
37
CD-Rom.
Cintas Magnéticas.
Discos Duros de los servidores y PC`s.
Si los soportes que almacenan información, no se utilizan de forma adecuada, el contenido
en los mismos podrá estar vulnerable a una serie de factores que podrán afectar la
integridad, disponibilidad y confidencialidad de la información
f) Vulnerabilidades de Comunicación.
Este tipo de punto débil abarca todo el tránsito de la información. Donde sea que la
información transite, ya sea vía cable, satélite, fibra óptica u ondas de radio, debe existir
seguridad. El éxito en el tránsito de los datos es un aspecto crucial en la implementación de
la seguridad de la información. Hay un gran intercambio de datos a través de medios de
comunicación que rompen barreras físicas tales como teléfono, Internet, WAP, fax, etc.
Siendo así, estos medios deberán recibir tratamiento de seguridad adecuado con el
propósito de evitar que:
Cualquier falla en la comunicación haga que una información quede no
disponible para sus usuarios, o por el contrario, estar disponible para quien no
posee derechos de acceso.
La información sea alterada en su estado original, afectando su integridad.
Por lo tanto, la seguridad de la información también está asociada con el desempeño de los
equipos involucrados en la comunicación, pues se preocupa por: la calidad del ambiente
que fue preparado para el tránsito, tratamiento, almacenamiento y lectura de la información.
38
g) Vulnerabilidades Humanas.
Esta categoría de vulnerabilidad está relacionada con los daños que las personas pueden
causar a la información y al ambiente tecnológico que la soporta.
Los puntos débiles humanos también pueden ser intencionales o no. Muchas veces, los
errores y accidentes que amenazan a la seguridad de la información ocurren en ambientes
institucionales. La mayor vulnerabilidad es el desconocimiento de las medidas de seguridad
adecuadas para ser adoptadas por cada elemento constituyente, principalmente los
miembros internos de la empresa.
Destacamos dos puntos débiles humanos por su grado de frecuencia:
La falta de capacitación específica para la ejecución de las actividades
inherentes a las funciones de cada uno.
La falta de conciencia de seguridad para las actividades de rutina, los errores
Omisiones, insatisfacciones etc.
En lo que se refiere a las vulnerabilidades humanas de origen externo, podemos considerar
todas aquéllas que puedan ser exploradas por amenazas como:
Vandalismo.
Estafas.
Invasiones, etc.
Ingeniería Social.
39
Capítulo 3. Seguridad en Redes WLAN.
Cada vez más usuarios disfrutan de la flexibilidad y comodidad que brinda una red
inalámbrica para el acceso a Internet y redes privadas. Sin embargo, además de ventajas,
las conexiones inalámbricas presentan algunos riesgos para la seguridad que debería
solucionar antes de empezar a utilizarlas.
Las principales características por lo que las redes inalámbricas son vulnerables son las
siguientes:
a) Día con día la tecnología inalámbrica se vuelve más accesible por el bajo costo
de los equipos.
b) Fácil instalación de los equipos.
c) Supera obstáculos geográficos.
d) Movilidad de usuarios.
e) Herramientas e información en Internet.
3.1 Controles de seguridad en redes WLAN.
La mayoría de los incidentes de seguridad inalámbrica se producen porque el
administrador de la red no implementa las contramedidas necesarias. Por consecuencia,
además de identificar la existencia de vulnerabilidades dentro de la red y encontrar una
contramedida que funcione, también es fundamental verificar que esta medida esta
presente y además funciona correctamente.
40
Aquí es donde el proceso de la seguridad WLAN promueve el uso continuo de aplicación
de medidas de seguridad de la red y también promueve el hecho de volver a aplicar y
probar medidas de seguridad actualizadas en forma continua.
Para lograr la continuidad en este proceso de seguridad es necesario:
1. Asegurar. Este paso implementa las soluciones de seguridad WLAN para evitar el
acceso o las actividades no autorizadas y para proteger la información utilizando lo
siguiente:
Autenticación (802.1X).
Encriptación o cifrado (WEP o AES).
Integridad (CRC o MIC).
Filtros del tráfico.
VLAN y VPN.
Deshabilitar o asegurar los servicios.
Control del área de cobertura inalámbrica.
2. Monitorizar. Este paso implica realizar las siguientes acciones.
Detectar violaciones de la política de seguridad de la WLAN.
Auditar el sistema implicado, llevar registros y detectar intrusiones en tiempo
real.
Detectar AP Falsos.
Validar la implementación de seguridad del paso anterior.
3. Probar. Este paso valida la eficacia de la política de seguridad de la WLAN
mediante la auditoría del sistema y la búsqueda de vulnerabilidades inalámbricas y
cableadas.
4. Mejorar. Este paso implica las siguientes acciones:
41
Utilizar la información de los pasos anteriores para mejorar la implementación
WLAN
Ajustar la política de seguridad a medida que se identifiquen vulnerabilidades y
riesgos en el ámbito inalámbrico.
.
3.2 Sistemas de seguridad en equipos.
Los AP y los puentes inalámbricos deben ser asegurados. Aquí se explicara los pasos
básicos que deben seguirse para asegurar el equipo de la infraestructura inalámbrica:
Tener una política de seguridad inalámbrica.
Tener una seguridad física fuerte y una instalación correcta.
Controlar los niveles de potencia, la cobertura de la antena y el tamaño de la
célula.
Evitar los ajustes predeterminados para las contraseñas, los SSID, etc.
Desactivar los protocolos, servicios, la difusión de los SSID, etcétera,
innecesarios.
Utilizar WEP de 128 bits.
Utilizar contraseñas sólidas.
Utilizar filtros de las capas 2, 3 y 4.
Mantener actualizado el firmware.
Administrar los dispositivos a través de conexiones SSH o SSL.
3.2.1 Mecanismos de seguridad para una WLAN.
La tecnología que soporta las redes WLAN proporciona mecanismos de seguridad para
impedir que personal no autorizado tenga acceso a las redes inalámbricas.
A continuación se describen los mecanismos básicos de seguridad para una red WLAN.
42
SSID (service set identifier “identificadores de servicio”).
El identificador de Servicios (SSID) es un código alfanumérico que se configura en cada
ordenador y punto de acceso que forma parte de la red inalámbrica. Este código puede ser
utilizado como una simple contraseña entre la estación y el punto de acceso o como un
identificador de un punto de acceso en una red publica. Existen puntos de acceso que
permiten que se les deshabilite el sistema (SSID). Lo cierto es que este sistema no
garantiza excesivamente la seguridad, ya que los códigos SSID son emitidos en forma de
texto sin codificar. Cualquier receptor con el software adecuado puede averiguar estos
datos. De hecho Windows XP incluye un programa que es capaz de detectar
automáticamente estos códigos y mostrarle al usuario la lista de redes (lista de SSID)
detectadas para que el usuario elija a cual conectarse. También existe otra variante del
SSID conocida como ESSID (Extended Service Set Identifier, identificador de servicio
extendido)
Restricción por direcciones MAC.
Se puede restringir el acceso a una red WLAN generando una lista de direcciones MAC y
limitar el acceso solo a aquellos dispositivos contemplados en la lista de direcciones MAC.
Las direcciones MAC están formadas por 12 caracteres alfanuméricos (por ejemplo 12-AB-
56-78-90-FE) que corresponden al identificador de la tarjeta de red, las direcciones MAC
no son modificables por el usuario. No obstante es cierto que estas direcciones se trasmiten
en forma de texto sin codificar y por tanto son fácilmente leíbles con un receptor adecuado.
Un intruso experimentado podría leer una dirección correcta, configurándose a su
dispositivo y acceder a la red sin problema.
WEP (wired equivalency protocol, “protocolo de equivalencia de red”).
Una medida de seguridad de las redes WLAN consiste en el algoritmo de cifrado WEP.
Con este sistema se cifran todos los datos que se intercambian entre los dispositivos y los
puntos de acceso. WEP utiliza el algoritmo de cifrado PRNG (Generación de Números
43
Pseudo aleatorios) RC4 desarrollado en 1987 por RSA Data Security. El estándar IEEE
802.11 WEP especifica una clave estática de 40 bits que puede exportarse y utilizarse
universalmente. La mayoría de los fabricantes tiene WEP extendida a 128 bits o más. Al
utilizar WEP tanto el cliente inalámbrico como el AP deben tener una clave coincidente.
El estándar 802.11 ofrece dos esquemas para definir las claves WEP para ser utilizadas en
una WLAN. En el primer esquema, un conjunto de cuatro claves predeterminadas son
compartidas por todas las estaciones, incluyendo clientes y AP de un subsistema
inalámbrico. Cuando un cliente obtiene las claves predeterminadas, puede comunicarse con
seguridad a las siguientes estaciones del subsistema. El problema de las claves
predeterminadas es que cuando se distribuyen ampliamente, es más probable que sean
conocidas por personas no autorizadas.
En el segundo esquema cada cliente establece una relación clave-asignación con otra
estación. Es la forma de funcionamiento más segura, porque son menos estaciones las que
poseen las claves. No obstante la distribución de dichas claves se complica a medida que
aumenta el número de estaciones.
El sistema de cifrado WEP consiste en aplicar a los datos originales la operación lógica
XOR utilizando una clave generada de forma pseudoaleatorea. Los datos cifrados
resultantes son los que se transmiten al medio.
Para generar la clave pseudoaleatoria, se utiliza una clave secreta predeterminada y un
vector de inicialización (IV). La clave secreta es única y debe estar configurada en todos las
estaciones de trabajo y puntos de acceso.
La longitud de los datos cifrados excede en cuatro caracteres a la longitud de los datos
originales. Estos cuatro caracteres reciben el nombre de valor de comprobación de
integridad (ICV, Integrity Check Value) y se utiliza para que el receptor pueda comprobar
la integridad de la información recibida.
44
Una vez que llegan al destino los datos cifrados, se combina el IV con la clave secreta para
generar la semilla que permitirá descifrar los datos mediante el algoritmo PRNG.
Uno de los inconvenientes que tiene este sistema de cifrado es que la clave secreta es
estática. Una vez asignada, se configura en cada estación y permanece invariable hasta que
se vuelva a repetir este proceso manualmente. Si se perdiese una de las estaciones de la red,
habría que volver a configurar una clave nueva en todas las estaciones para garantizar la
seguridad. Por otro lado el IV se transmite abierto a todas las estaciones. El IV si cambia
periódicamente.
WPA (Wi-Fi protected access “acceso Wi-Fi protegido”).
La alianza de Wi-Fi conjuntamente con el IEEE, ha lanzado al Mercado un Nuevo sistema
de seguridad para Wi-Fi conocido como WPA, este sistema son unas especificaciones
basadas en el estándar IEEE 802.11i que mejora el nivel de protección de datos y el
control de acceso a las redes inalámbricas. La gran ventaja de WPA es que puede aplicarse
a las redes WLAN existentes y que es completamente compatible con el futuro sistema de
seguridad integrada proporcionado por IEEE 802.11i. WPA se puede instalar en los
equipos Wi-Fi existentes de una forma tan sencilla como instalar un pequeño software en
los equipos y una vez instalado el nivel de seguridad adquirido es extremadamente alto,
asegurándose que solo los usuarios autorizados pueden acceder a la red y que los datos
transmitidos permanecen completamente inaccesibles para cualquier usuario que no sea el
destinatario.
Las mayores ventajas que aporta WPA frente a WEP son:
Mejoras en el cifrado de datos mediante TKIP (Temporal Key Integrity Protocol
“Protocolo de Integridad de Clave”). Este sistema asegura la confidencialidad de
los datos.
Autenticación de los usuarios mediante el estándar 802.11x y EAP (Extensible
Authentication Protocol, “Protocolo Extensible de Autenticación”) este sistema
45
permite controlar a todos y cada uno de los usuarios que se conectan a la red, no
obstante si se desea permite el acceso a usuarios anónimos.
Actualmente el IEEE esta terminando de desarrollar las especificaciones del estándar
802.11i. Como WPA sale antes que 802.11i, no puede seguir todas estas especificaciones.
No obstante lo que cubre actualmente WPA será completamente compatible con este nuevo
estándar. Se puede decir que WPA es un subconjunto de 802.11i. WPA ha tomado de
802.11i aquellas características que son ya comerciales, como 802.11x y TKIP.
VPN (virtual private network “red privada virtual”).
Una VPN utiliza un protocolo especial que permite conectar un dispositivo a una red de
forma segura, en la actualidad existen muchos protocolos que permiten crear una red
privada virtual los mas conocidos son: IPSec, PPTP y L2TP.
Una red privada virtual encripta las comunicaciones entre dos equipos , no importando el
camino que se utilice en la comunicación (Internet, comunicación inalámbrica, etc) la
información transmitida tendrá la garantía de no poder ser descifrada hasta que no llegue a
su destino.
Las principales ventajas de una VPN son:
La gestión de una VPN es centralizada, escalable y eficiente.
Ofrece seguridad a las comunicaciones inalámbricas Wi-Fi.
Firewall (pared de fuego).
Los firewalls son una de las más importantes medidas de seguridad para proteger los
dispositivos de una red de los posibles ataques que pueda recibir. El firewall no protege las
comunicaciones, si no que protege a los dispositivos para que ningún intruso pueda hacer
uso de los recursos de dichos dispositivos. Los firewalls llevan a cabo su protección
46
analizando los datos de petición de acceso a los distintos recursos y bloqueando los que no
están permitidos.
Para aplicaciones pequeñas es posible que sea suficiente con las características de firewall
incluidas en un punto de acceso normal. No obstante existen puntos de acceso profesionales
que mejoran fuertemente estas características.
El firewall toma la decisión de que datos deja pasar y que otros no analizando los
paquetes de información. En la actualidad existen tres tipos de firewall:
a) Filtrado de Paquetes: Estos facilitan un control de acceso básico basado en la
información sobre el protocolo de los paquetes. Simplemente deja o no pasar los
paquetes de acuerdo con el protocolo de comunicación que utiliza el paquete. Los
enrutadores incluidos en los puntos de acceso ya suelen disponer de este tipo de
filtrado. El problema es que esto supone una protección mínima para el usuario.
b) Servidor Proxy: Se trata de una aplicación de software que vas más halla del
simple filtrado del protocolo del paquete. Este tipo de firewall puede tomar
decisiones basado en el análisis completo de todo un conjunto de paquetes
asociados a una sesión que tiene el mismo destinatario. Ciertamente, un Proxy
mejora la seguridad, aunque tiene el inconveniente de alentar la comunicación.
Además, son más elaborados de configurar.
c) Análisis Completo de Paquetes: Estos se basan en la misma técnica de filtrado de
paquetes, pero, en vez de simplemente analizar la dirección de la cabecera del
paquete, va interceptando paquetes hasta que tiene información suficiente para
mantener su seguridad. Este tipo de firewall bloquea todas las comunicaciones
generadas en Internet y deja pasar aquellas iniciadas por cualquier dispositivo
interno. El resultado es una comunicación mas fluida que con un proxy, pero la
seguridad es menor.
Las reglas de las que dependen los filtros de los firewall se basan en distintos factores,
condiciones o características de los paquetes de datos. Las características más comunes son
las siguientes:
47
Dirección IP: Tanto la dirección IP origen como destino pueden ser utilizadas para
controlar los paquetes. Este tipo de filtros se utiliza habitualmente para bloquear la
comunicación con ciertos servidores externos o para bloquear el acceso a Internet de
ciertos usuarios.
Nombres de Dominio: Esta característica se utiliza de la misma forma que el
filtrado de direcciones IP, pero basadas en los nombres de dominio en ves de la
dirección IP.
Protocolos: Se permite o niega el acceso a aplicaciones mediante la utilización de
protocolos conocidos, como por ejemplo http, telnet, ftp, etc.
Puertos: Mientras las direcciones IP se utilizan para identificar a los equipos origen
y destino de la comunicación, los puertos son los identificadores que sirven para
identificar cada una de las aplicaciones con comunicaciones simultáneas que puede
tener un mismo equipo. Generalmente cada número de puerto se utiliza para una
aplicación distinta.
3.2.2 Monitorización del equipo WLAN.
Parte de la seguridad es la monitorización continua. Las redes inalámbricas Wi-Fi son muy
imprevisibles en su comportamiento. Esto se debe, fundamentalmente a los factores
ambientales que influyen y a la volatilidad de las conexiones. Los factores ambientales
como interferencias y obstáculos generan pérdidas de señal en las redes inalámbricas Wi-
Fi. Todos estos factores, por su naturaleza, no son constantes y muchos de ellos varían en
cuestión de minutos. Inclusive los muebles metálicos o las peceras, pueden ser cambiados
de lugar en un momento determinado.
Otro elemento que cambia permanentemente es la cantidad de usuarios conectados a cada
AP. Esto puede cambiar minuto a minuto. También cambian las tecnologías utilizadas. Por
ejemplo puede estar conectado alguien con 802.11b y luego de retirarse se puede conectar
otro con 802.11g. Esto sólo ya cambia el "balance" entre todos los conectados a ese AP.
48
Los motivos expuestos, aclaran porqué es imprescindible conocer todo lo que está
sucediendo en el espectro de RF segundo a segundo, para poder gestionar de manera
profesional y adecuada una red inalámbrica WI-FI. Sin monitorear, no hay manera de
enterarse de los cambios y no se puede reaccionar adecuadamente. Sin monitorear las cosas
van sucediendo y uno se va enterando por las quejas de los usuarios o por los problemas
que aparecen.
La monitorización de la red se suele realizar con una combinación de ICMP y SNMP
(Protocolo simple de administración de redes, Simple Network Management Protocol).
El SNMP es un protocolo de la capa de aplicación que facilita el intercambio de
información de administración entre los dispositivos de red. Además permite a los
administradores de redes controlar el rendimiento de la red, encontrar y resolver
problemas, y planificar el crecimiento de la misma. Una red administrada con SNMP
consta de tres componentes básicos:
Dispositivos administrados
Agentes
Sistema de administración de la red (NMS, Netwok Management System)
Un dispositivo administrado es un nodo de la red que esta ubicado en una red administrada
y que contiene un agente SNMP. Los dispositivos administrados recopilan y almacena
información de administración, y la dejan disponible para el NMS que utiliza SNMP.
Un Agente es un modulo software que reside en un dispositivo administrado. Los agentes
recopilan y almacenan información, como por ejemplo el número de paquetes de error
recibidos por un elemento de red.
Una Estación de administración de la red NMS es un dispositivo que ejecuta aplicaciones
de administración que monitorizan y controlan los elementos de la red. La NMS es una
49
consola a través de la que el administrador de la red ejecuta funciones de administración,
normalmente es una computadora bastante robusta.
SNMP permite que los programas de administración de redes vean y cambien la
configuración del equipo. SNMP también se puede utilizar para visualizar ajustes mediante
una solicitud Get y para cambiar ajustes utilizando la solicitud Set. Por ultimo los
dispositivos SNMP pueden enviar alertas a las estaciones de administración utilizando la
función Trap que es una interrupción que notifica un evento la cual es enviada desde un
agente al NMS. SNMP utiliza un secreto cifrado denominado cadena o nombres de
comunidad que proporcionan una sencilla protección mediante contraseña para las
comunicaciones entre un agente SNMP y el NMS SNMP. Los nombres de comunidad de
solo lectura solo permiten las solicitudes Get, mientras los de lectura y escritura permiten
las solicitudes Get y Set, Se debe utilizar un nombre de comunidad que siga las directrices
de una contraseña segura.
3.2.3 Analizadores de red (sniffers)
Un analizador de red decodifica las distintas capas de protocolo en una trama registrada y
las presenta como abreviaturas o resúmenes legibles. Un analizador de red detalla la capa
implicada y la función para la que sirve cada byte o contenido de byte. Estos analizadores
de red también reciben el nombre de analizadores de protocolo o sniffers de paquete. Se
pueden encontrar en el mercado dispositivos dedicados a esta función los cuales nos
ofrecen análisis inalámbrico. También hay disponibles varios paquetes de software que
ofrecen este mismo fin como por ejemplo: WildPackets, Airopeek y Sniffer Pro for
Wireless. La mayoría de los analizadores de red ofrecen las siguientes funciones:
Filtrar el tráfico que cumpla con determinados criterios; por ejemplo, capturar todo
el tráfico hacia ó procedente de un determinado dispositivo.
Marcar los datos capturados
Presentar las capas de protocolo de una forma legible
Generar tramas y transmitirlas por red
50
Incorporar un sistema experto en el que el analizador utiliza un conjunto de reglas,
combinado con información sobre la configuración y el funcionamiento de la red,
con el objeto de diagnosticar y resolver los problemas de la red.
3.3 Amenazas y vulnerabilidades más comunes en redes WLAN.
3.3.1 Redes Abiertas.
Las redes abiertas se caracterizan por no tener configurado ningún sistema de autenticación
o cifrado, por lo que la comunicación entre los clientes y los puntos de acceso viajan en
texto plano y no se solicita ningún tipo de autenticación para ingresar a la red.
Los únicos elementos que se pueden implementar en este tipo de redes son: (direcciones
MAC, direcciones Ip y el ESSID de la red).
Filtrar el acceso a la red sólo a aquellas terminales que tengan una dirección MAC o IP
determinada o bloqueando el envío de los BEACON FRAMES, de forma que sea necesario
conocer de antemano el valor del ESSID para conectarse a la red, son los medios de los que
se dispone para asegurar un poco este tipo de sistemas.
Figura 3.1 Ataque a una red desprotegida.
INTERNET
SERVERPC
EQUIPOMOVIL
AP
ATACANTE
51
Las medidas de protección propuestas para este tipo de redes tienen en común que todas
ellas intentan limitar el acceso no autorizado al sistema, pero no impiden que alguien espíe
las comunicaciones. A continuación vamos a ver como vulnerar las medidas propuestas
anteriormente y otro tipo de ataques a los que se pueden ver sometidas las redes abiertas.
Romper ACL's (Access Control List) basados en MAC.
La primera medida de seguridad implementada en las redes WLAN fue, y sigue siendo, el
filtrado de conexiones por dirección MAC. Para ello se crea una lista de direcciones MAC
en el punto de acceso indicando si estas direcciones disponen de acceso permitido o
denegado. La seguridad que proporciona esta medida es nula debido a la sencillez de
cambiar la dirección MAC de nuestra tarjeta por otra válida previamente obtenida mediante
un simple sniffer. Si bien es cierto que el hecho de tener dos direcciones MAC en la misma
red puede ocasionar problemas, esto se puede solucionar realizando un ataque de tipo DoS
a la máquina a la cual le hemos tomado prestada la dirección MAC.
Ataque de Denegación de Servicio (DoS).
El objetivo de éste ataque implementado en una red inalámbrica consiste en impedir la
comunicación entre un terminal y un punto de acceso. Para lograr esto sólo es necesario
hacernos pasar por el AP poniéndonos su dirección MAC (obtenida mediante un sencillo
sniffer) y negarle la comunicación al terminal o terminales elegidos mediante el envío
continuado de notificaciones de desasociación.
Figura 3.2. Ataque de Negación de Servicio (DoS).
52
Descubrir ESSID ocultos.
Una medida de seguridad es ocultar el ESSID de una red como método para aumentar la
invisibilidad de nuestra red. Sin embargo esta medida no es del todo efectiva. En casi todos
los puntos de acceso podemos encontrar la opción de deshabilitar el envío del ESSID en los
paquetes o desactivar los BEACON FRAMES. Ante esta medida de seguridad, un presunto
atacante tendría dos opciones:
a) Monitorear la red con un sniffer durante un tiempo indeterminado a la espera de una
nueva conexión a la red con el objetivo de conseguir el ESSID presente en las tramas
PROVE REQUEST del cliente (en ausencia de BEACON FRAMES) o en las tramas
PROVE RESPONSE.
b) Provocar la desconexión de un cliente mediante el mismo método que empleamos en
el ataque DoS pero sin mantener al cliente desconectado.
Ataque Man in the middle.
Este ataque apareció en escena a raíz de la aparición de los switches, que dificultaban el
empleo de sniffers para obtener los datos que viajan por una red. Mediante el ataque Man in
the middle se hace creer al cliente víctima que el atacante es el AP y, al mismo tiempo,
convencer al AP de que el atacante es el cliente.
Para llevar a cabo un ataque de este tipo es necesario obtener los siguientes datos
mediante el uso de un sniffer:
a)El ESSID de la red (si esta oculto usaremos el método anterior).
b)La dirección MAC del AP.
c)La dirección MAC de la víctima.
Una vez obtenidos estos datos emplearíamos la misma metodología que en el ataque de tipo
DoS para romper la conexión entre el cliente y el AP. Tras esta ruptura la tarjeta del cliente
53
comenzará a buscar un nuevo AP en los diferentes canales, momento que aprovechará el
atacante para suplantar al AP empleando su MAC y ESSID en un canal distinto. Para ello el
atacante habrá de poner su propia tarjeta en modo master.
De forma paralela el atacante ha de suplantar la identidad el cliente con el AP real
empleando para ello la dirección MAC del cliente, de esta forma el atacante logra colocarse
entre ambos dispositivos de forma transparente
Figura 3.3 Ataque Man in the middle.
Ataque ARP Poisoning.
Al igual que en el caso del ataque man in the middle, el objetivo de este ataque consiste en
acceder al contenido de la comunicación entre dos terminales conectados mediante
dispositivos inteligentes como un switch. En esta variante de man in the middle se recurre a
la alteración de la tabla ARP que mantienen de forma stateless todos los dispositivos de red.
54
Figura 3.4 Red antes del ataque.
Para ello el atacante envía paquetes ARP REPLY al PC 3 diciendo que la dirección IP de
PC 1 la tiene la MAC del atacante, de esta manera consigue modificar la caché de ARP's
del PC 3. Luego realiza la misma operación atacando a PC 1 y haciéndole creer que la
dirección IP de PC 3 la tiene también su propia MAC .
Figura 3.5 Red tras el ataque.
55
En la figura 3.6, PC 1 y PC 3 actualizan su caché de acuerdo a la información que elatacante ha inyectado a la red. Como el switch y el AP forman parte del mismo dominio debroadcast, los paquetes ARP pasan de la red wireless a la red con cables sin ningúnproblema. Para realizar el ataque ARP Poisoning, existen múltiples herramientas, ya queeste ataque no es específico de las redes wireless
3.3.2 Redes con Cifrado de Información.
Como ya comentamos en la parte de "Redes abiertas", en este tipo de sistemas todas las
posibles medidas de seguridad que se pueden implantar se centran en intentar impedir la
asociación a la red por parte de usuarios ilegítimos. En cambio ninguna de las medidas
anteriores se empleaba para evitar la obtención de la información intercambiada entre
terminales y AP (Contraseñas, etc.).
Para remediar esto se puede implementar el cifrado de las comunicaciones de tal forma que
si alguien captura las comunicaciones entre los terminales y los AP, sólo obtenga una serie
de bytes sin sentido.
Principios de funcionamiento.
WEP (Wired Equivalent Privacy, Privacidad Equivalente al Cable) es el algoritmo de
seguridad empleado para brindar protección a las redes inalámbricas incluido en la primera
versión del estándar IEEE 802.11 y mantenido sin cambios en 802.11a y 802.11b, con el fin
de garantizar compatibilidad entre distintos fabricantes. Este sistema emplea al algoritmo
RC4 para el cifrado de las llaves que pueden ser de 64 o 128 bits teóricos, puesto que en
realidad son 40 o 104 y el resto (24 bits) se emplean para el Vector de Inicialización.
La seguridad ofrecida por WEP tiene como pilar central una clave secreta compartida por
todos los comunicadores y que se emplea para cifrar los datos enviados. Pese a no estar así
establecido, en la actualidad todas las estaciones y puntos de acceso comparten una misma
clave, lo que reduce el nivel de seguridad que puede ofrecer este sistema.
56
Ataques a WEP.
Como ya comentamos en la introducción, el protocolo de cifrado WEP demostró su
ineficacia bien temprano tras su aparición, veremos a continuación algunos ejemplos de
ataques que ponen en entredicho la eficacia de este protocolo.
Ataque de fuerza bruta.
Teniendo en cuenta que la semilla (32 bits) que se emplea con el PRNG procede de unapassphrase comúnmente compuesta por caracteres ASCII, podemos deducir que el bit másalto de cada carácter será siempre cero; tengamos en cuenta que el rango de caracteresASCII se comprende entre 00
00 = 0000 0000
...
4F = 0100 0000
...
7F = 0111 1111
Como el resultado de una operación XOR de estos bits también es cero, las semillas sólo se
encontrarán en el rango 00:00:00:00 - 7F:7F:7F:7F.
Debido a las peculiaridades del tipo de PRNG empleado la entropía se ve incluso más
reducida. Esto se debe a que el PRNG empleado es del tipo LGC (linear congruential
generator) o generador lineal congruente de módulo 2^32. Este tipo de PRNG tiene como
inconveniente que los bits más bajos sean "menos aleatorios" que los altos. La longitud delciclo del resultado será 2^24 lo que provoca que sólo las semillas que se encuentren entre00:00:00:00 y 00:FF:FF:FF producirán llaves únicas.
Como las semillas sólo llegan hasta 7F:7F:7F:7F y la última semilla que tiene en cuenta elPRNG es 00:FF:FF:FF, sólo necesitamos considerar las semillas desde 00:00:00:00 hasta:7F:7F:7F por lo que la entropía total queda reducida a 21 bits.
57
Mediante esta información podemos reducir el ámbito del ataque de fuerza brutaconsiderablemente, reduciendo el tiempo necesario para producir todas las llaves de formasecuencial a unos días (210 días con u PIII a 500MHZ).
También existe la posibilidad de utilizar un diccionario para generar sólo las semillas de laspalabras (o frases) que aparezcan en el diccionario, con lo que si la passphrase utilizada estáen el diccionario conseguiríamos reducir sustancialmente el tiempo necesario paraencontrarla.
Ataque Inductivo Arbaugh.
Para llevar a cabo este ataque se han de seguir dos pasos; en el primero conseguiremos un
keystream de tamaño limitado pero válido, y en un segundo paso repetiremos la fase de
ataque todas las veces necesarias para obtener todos los IV posibles.
Como requisito para realizar éste ataque es necesario disponer del texto plano de un
paquete; para ello podemos identificar mensajes DHCPDISCOVER de los que conocemos
que parte de la cabecera es fija, concretamente las IP de origen y destino. Se lleva a cabo
una operación XOR del texto plano con el texto cifrado para obtener n bytes del keystream
de un IV concreto como podemos observar en la siguiente figura.
Figura 3.6 Operación XOR del texto plano con el cifrado.
Mediante este keystream de n bytes se genera un paquete de tamaño N -3 de longitud; como
este ataque es de tipo activo, necesitamos que el paquete generado sea alguno del que
podamos obtener una respuesta (ping o arp request). Se calcula el IV del paquete generado
y añadimos sólo los 3 primeros bytes al paquete generado. Como se aprecia en la figura, se
lleva a cabo una operación XOR entre el paquete generado y el keystream obteniendo de
58
los datos cifrados necesarios para un paquete válido. Se añaden los elementos restantes
necesarios para completar el paquete, como la cabecera, el IV y un último byte de valor
cambiante que itera entre las 255 diferentes posibilidades.
Figura 3.7 Operación XOR entre el paquete generado y el Keystream.
Una vez obtenido el paquete completo hemos de enviarlo iterando entre las 255 posibles
opciones hasta obtener respuesta desde el AP, lo que nos indicará que, para ese paquete
concreto, el byte n+1 era el último byte del ICV. Se ha de realizar el mismo proceso hasta
obtener el keystream completo. El proceso se muestra gráficamente en la siguiente figura.
Figura 3.8 Proceso de obtención del keystream
59
Asumiendo que un atacante puede realizar aproximadamente 100 pruebas por segundo,
tardaría una media de 36 minutos en encontrar un keystream completo de 1500 bytes valido
para un IV determinado.
Para conseguir el resto de keystreams se ha de volver ha generar un paquete del que se
pueda obtener respuesta. Teniendo en cuenta que se conocerá el texto plano de la respuesta
y que ésta vendrá siempre con un IV diferente es posible construir una tabla de keystreams
por IV.
El atacante necesita almacenar 1500 bytes de keystream por cada IV, por lo que la tabla
ocuparía 224x1500 = 24GB y tardaría una media de 30 horas en construir la tabla. Si el
ataque se realiza en paralelo 4 hosts atacantes tardarían 7,5 horas y 8 hosts atacantes 3.75
horas.
Cuando el atacante recibe un paquete mira en la tabla a que keystream corresponde el IV
recibido y hace una XOR del keystream con el cyphertext del paquete para obtener el
plaintext.
Ataque FMS (Fluhrer-Mantin-Shamir).
El cifrado empleado por las redes inalámbricas (WEP) esta basada en el algoritmo de
cifrado RC4 del cual se conocen algunas vulnerabilidades. El ataque estadístico FMS, que
obtiene su nombre de las siglas de sus autores (Fluhrer, Mantin y Shamir), se basa en
vulnerabilidades derivadas de la implementación específica del algoritmo RC4 en WEP.
El pilar en el que se basa el ataque FMS son los llamados IVs débiles; identificar este tipo
de Ivs consiste en comprobar aquellos que cumplen la siguiente condición: (A + 3, N - 1,
X). Estos IV´S tienen la característica especial de que provocan que no se incluya
información de la clave en el keystream. Para cada uno de los paquetes que cumplen esta
condición se ha de adivinar el byte que no tiene información de la llave. La probabilidad de
adivinar el byte de la llave correctamente es de un 5% para cada paquete con un IV débil.
60
En el estándar 802.11 se definen unos mecanismos de seguridad que se han demostrado
insuficientes e ineficientes:
a)La confidencialidad se basa en el sistema denominado WEP (Wired Equivalent
Privacy) que consiste en un sistema de cifrado simétrico RC4, utilizando una clave
estática que comparten estaciones clientes y el punto de acceso. WEP usa vectores de
inicialización (IV) para generar claves diferentes para cada trama. No obstante, WEP
es un sistema muy débil ya que se puede conseguir la clave de cifrado monitorizando
las tramas y procesándolas.
b)La integridad se consigue utilizado técnicas de detección de errores (CRC) que no
son eficientes para garantizar la integridad.
c)La autenticación es inexistente ya que incluso permite hallar la clave usada por WEP
de forma muy sencilla. Algunos fabricantes proporcionan autenticación del equipo a
partir de la dirección MAC de la estación, pero es un método muy poco flexible.
Wi-Fi Alliance, como organización responsable de garantizar la interoperabilidad entre
productos para redes inalámbricas de fabricantes diversos, ha definido una especificación
de mercado basado en las directrices marcadas por el grupo de trabajo 802.11i denominada
Wi-Fi Protected Access (WPA), junto con la correspondiente certificación de productos.
Privacidad e Integridad con TKIP.
Temporal Key Integrity Protocol (TKIP) es el protocolo elegido con el objetivo de sustituir
a WEP y solucionar los problemas de seguridad que éste plantea. Como características
mejoradas destacar la ampliación de la clave a 128 bits y el cambio del carácter de la
misma de estática a dinámica; cambiando por usuario, sesión y paquete y añadiendo
temporalidad. El vector de inicialización pasa de 24 a 48 bits, minimizando la reutilización
de claves. Y como colofón se han añadido claves para tráfico de difusión y multidifusión.
61
TKIP utiliza el algoritmo "Michael" para garantizar la integridad, generando un bloque de 4
bytes (denominado MIC) a partir de la dirección MAC de origen, de destino y de los datos
y añadiendo el MIC calculado a la unidad de datos a enviar. Posteriormente los datos (que
incluyen el MIC) se fragmentan y se les asigna un número de secuencia. La mezcla del
número de secuencia con la clave temporal genera la clave que se utilizará para el cifrado
de cada fragmento.
Autenticación Mediante 802.1X/EAP.
El cometido principal del estándar 802.11x es encapsular los protocolos de autenticaciónsobre los protocolos de la capa de enlace de datos y permite emplear el protocolo deautenticación extensible (EAP) para autentificar al usuario de varias maneras.IEEE 802.1x define 3 entidades:
El solicitante (supplicant), reside en la estación inalámbrica.
El autenticador (authenticator), reside en el AP.
El servidor de autenticación, reside en un servidor AAA (Authentication, Authorization, &
Accounting) como RADIUS.
EAP comprende cuatro tipos de mensajes:
a) Petición (Request Identity): empleado para enviar mensajes desde el AP al cliente.
b) Respuesta (Identity Response): empleado para enviar mensajes desde el cliente al
AP.
c) Éxito (Success): emitido por el AP, significa que el acceso está permitido.
d) Fallo (Failure): enviado por el AP cuando para indicarle al Suplicante que se
deniega la conexión.
Proceso de autenticación, tras la asociación:
62
a) Se envía el EAP-Request/Identity desde el Autenticador al Suplicante.
b) El Suplicante responde con EAP-Response/Identity al Autenticador, el cual lo pasa
al Servidor de Autenticación.
c) Se tuneliza el Challenge/Response y si resulta acertado el Autenticador permite al
Suplicante acceso a la red condicionado por las directrices del Servidor de
Autenticación.
El funcionamiento base del estándar 802.11x se centra en la denegación de cualquier tráficoque no sea hacia el servidor de autenticación hasta que el cliente no se haya autenticado correctamente. Para ello el autenticador crea una puerto por cliente que define dos caminos, uno autorizado y otro no; manteniendo el primero cerrado hasta que el servidor de autenticación le comunique que el cliente tiene acceso al camino autorizado.
El solicitante, cuando pasa a estar activo en el medio, selecciona y se asocia a un AP. Elautenticador (situado en el AP) detecta la asociación del cliente y habilita un puerto paraese solicitante, permitiendo únicamente el tráfico 802.1x, el resto de tráfico se bloquea. Elcliente envía un mensaje "EAP Start". El autenticador responde con un mensaje "EAPRequest Identity" para obtener la identidad del cliente, la respuesta del solicitante "EAPResponse" contiene su identificador y es retransmitido por el autenticador hacia el servidorde autenticación. A partir de ese momento el solicitante y el servidor de autenticación se comunicarán directamente, utilizando un cierto algoritmo de autenticación que pueden negociar. Si el servidor de autenticación acepta la autenticación, el autenticador pasa el puerto del cliente a un estado autorizado y el tráfico será permitido. Los métodos de autenticación contemplados en WPA son: EAP-TLS, AP-TTLS y PEAP. Todos ellos sebasan en el método de Infraestructura Pública (PKI) para autenticar al usuario y al servidorde autenticación mediante certificados digitales. Para ello es necesaria la existencia de unaAutoridad de Certificación (CA), bien sea empresarial o pública.
63
EAP-TLS.
Requiere de la posesión de certificados digitales por parte del cliente y el servidor de
autenticación; el proceso de autenticación comienza con el envío de su identificación
(nombre de usuario) por parte del solicitante hacia el servidor de autenticación, tras esto el
servidor envía su certificado al solicitante que, tras validarlo, responde con el suyo propio.
Si el certificado del solicitante es válido, el servidor responde con el nombre de usuario
antes enviado y se comienza la generación de la clave de cifrado, la cual es enviada al AP
por el servidor de autenticación para que pueda comenzar la comunicación segura.
Figura 3.9 Autenticación EAP-TLS.
PEAP y EAP-TTLS.
El mayor inconveniente que tiene el uso de EAP-TLS es que tanto el servidor de
autenticación como los clientes han de poseer su propio certificado digital, y la distribución
entre un gran número de ellos puede ser difícil y costosa. Para corregir este defecto se
crearon PEAP (Protected EAP) y EAP y Tunneled TLS que únicamente requieren
certificado en el servidor.
64
La idea base de estos sistemas es que, empleando el certificado del servidor previamente
validado, el cliente pueda enviar sus datos de autenticación cifrados a través de un tunel
seguro. A partir de ese momento, y tras validar el servidor al solicitante, ambos pueden
generar una clave de sesión.
WPA y Seguridad en Pequeñas Oficinas - WPA-PSK.
Los métodos soportados por EAP necesitan de una cierta infraestructura, fundamentalmentede un servidor RADIUS, lo que puede limitar su implementación en redes pequeñas. Wi-Fiofrece los beneficios de WPA mediante el uso de una clave pre-compartida (PSK, pre-shared key) o contraseña. Esto posibilita el uso de TKIP, pero configurando manualmenteuna clave en el cliente wireless y en el punto de acceso. El estándar permite claves de hasta256 bits, lo que proporciona una seguridad muy elevada. Sin embargo el escoger clavessencillas y cortas puede hacer vulnerable el sistema frente a ataques de fuerza bruta odiccionario.
Ataque WPA-PSK.
El único ataque conocido contra WPA-PSK es del tipo fuerza bruta o diccionario; pese a laexistencia de este ataque la realidad es que el rendimiento del ataque es tan bajo y lalongitud de la passphrase puede ser tan larga, que implementarlo de forma efectiva esprácticamente imposible. Los requisitos para llevar a cabo el ataque son:
a) Un archivo con la captura del establecimiento de conexión entre el cliente y el AP.
b) El nombre de ESSID.
c) Un archivo de diccionario.
Se puede auditar la fortaleza de las contraseñas empleadas en un sistema realizando ataquesde diccionario o de fuerza bruta, en este último caso empleando herramientas al uso paracrear todas las combinaciones de caracteres posibles.
65
Portales Cautivos.
Sistema creado para permitir la validación de usuarios en nodos wireless. Ampliamenteempleado para proporcionar conexión regulada a los usuarios de establecimientos públicos,hoteles, aeropuertos, etc. En un sistema con portal cautivo se definen dos partesdiferenciadas: la zona pública y la privada. La zona pública se compone, normalmente, denodos wireless que posibilitan la conexión de cualquier terminal; en cambio el acceso lazona privada, normalmente Internet, se encuentra regulado por un sistema de autenticaciónque impide la navegación hasta que el usuario se valida.
Figura 3.10 Zonas que define el sistema de portales cautivos
El sistema de portales cautivos se compone, en líneas generales, de una serie de APsconectados a un Gateway colocado antes de la zona privada, un servidor web donde colocarel portal y una base de datos donde almacenar los usuarios y el servicio de autenticación.
En el momento en que un usuario no autenticado decide conectarse a la zona privada elgateway comprueba si dicho usuario está autenticado; para ello se basa en la posesión detokens temporales gestionados por http´s. Si dicho usuario no posee un token válido, elgateway redirecciona la conexión hacia el portal donde al usuario se le solicitarán unusuario y contraseña válidos para asignarle un token. Una vez obtenido un token (ymientras éste sea válido) el gateway permitirá la conexión hacia la zona privada.
66
Figura 3.11 Proceso de autenticación de portales cautivos
Otra aplicación para los portales cautivos se limita a presentar un portal antes de permitir la
salida a la zona privada, mostrando las normas de uso, publicidad del establecimiento, etc.
Vulnerabilidades en Portales Cautivos.
Debido a las características de la zona abierta de los sistemas que implantan este sistema deportales, se permite la asociación con el AP a cualquier cliente y el tráfico entre los clientesy el AP no va cifrado; por este motivo se puede capturar el tráfico de las conexiones con lazona privada.
67
Por otra parte es posible implementar ataques de tipo spoofing o hijacking mientras el tokenque emplea el usuario legítimo sea válido.
DNS Tunneling.
En la mayoría de los casos, el gateway que filtra las conexiones y las redirige en función dela presencia del token permite el paso de las peticiones DNS hacia la zona privada; con estoen mente es posible encapsular el tráfico TCP/IP dentro de peticiones DNS y saltarse lasrestricciones del portal cautivo. Sin embargo esta técnica plantea varios problemas:
a)El tráfico DNS emplea el protocolo UDP, el cual no está orientado a conexión y,como veremos, no se garantiza el reensamblado correcto de los paquetes.
b)Las peticiones DNS están limitadas a un tamaño máximo de 512 bytes por paquete,insuficiente para un encapsulado de TCP/IP.
c)Los servidores DNS sólo pueden enviar paquetes como respuesta a un solicitud,nunca de forma independiente.
Para solucionar estos inconvenientes es necesaria la creación de un servidor específico quepueda saltarse estas restricciones y que, junto con una aplicación creada a tal efecto,permita encapsular las comunicaciones a través de peticiones UDP a través del puerto 53.
Otro requisito sería la creación de un protocolo propio que amplíe el tamaño máximo de lospaquetes y los dote de algún mecanismo para mantener el orden de reensamblado. Porsupuesto este protocolo tendría que ser empleado por nuestro servidor y la aplicación. Estetrabajo ha sido llevado a cabo con éxito mediante un protocolo bautizado como "NSTXProtocol. Nameserver Transfer Protocol" y una aplicación llamada "nstx".
Rogue AP (Punto de Acceso no Autorizado).
Este tipo de ataques consiste, a nivel básico, en colocar un punto de acceso bajo nuestrocontrol cerca de las instalaciones de la víctima de forma que los clientes asociados o porasociar a esa red se conecten a nuestro AP en lugar de uno legítimo de la víctima debido ala mayor señal que recibe del nuestro.
68
Figura 3.12 Ataque Rogue AP
Una vez conseguida la asociación al Rogue AP, el atacante puede provocar ataques de tipoDoS, robar datos de los clientes como usuarios y contraseñas de diversos sitios web omonitorizar las acciones del cliente. Este tipo de ataques se ha empleado tradicionalmentepara:
a) Crear puertas traseras corporativas.
b) Espionaje industrial.
Rogue AP básico.
Una vez visto un breve esbozo del funcionamiento básico de los ataques mediante Rogue
AP vamos a profundizar un poco más en los detalles.
69
El Rogue AP puede consistir en un AP modificado o un portátil con el software adecuadoinstalado y configurado. Este software ha de consistir en: Servidor http, Servidor DNS,Servidor DHCP y un Portal Cautivo con sus correspondientes reglas para redirigir el tráficoal portal. Todo este proceso de instalación y configuración se puede simplificar bastantemediante Airsnarf, herramienta que automatiza el proceso de configuración y arranque deun Rogue AP. Sin embargo hace falta algo más para poder montar un Rogue AP, serequiere que la tarjeta wireless sea compatible con HostAP, un driver específico quepermite colocar la tarjeta en modo master, necesario para que nuestro terminal puedacomportarse como si fuese un AP. Si queremos montar un Rogue AP sobre un Windowsdeberemos encontrar una tarjeta compatible con SoftAP para poder cambiar el modo amaster, y emplear Airsnarf para configurar los distintos servicios.
El proceso de configuración que lleva a cabo Airsnarf consiste en colocar el portal cautivoy arrancar el servidor http, configurar el servidor DHCP para que proporciones IP, gatewayy DNS al cliente; evidentemente el gateway y el servidor DNS será el terminal del atacanteconvertido en Rogue AP. Por último se configura el servidor DNS para que resuelva todaslas peticiones con a la IP del atacante, de forma que se puedan redireccionar todas hacia elportal cautivo del Rogue AP. Una vez el usuario introduce su usuario y contraseña en elportal cautivo, el atacante ya las tiene en su poder. Lo normal es cambiar la apariencia delportal cautivo para que sea igual a la del portal del sistema al que se está suplantando. Otraopción es dejar navegar al usuario normalmente pero redirigir determinadas páginas a otrascopias locales con el fin de obtener usuarios y contraseñas. Para ello se puede modificar elservidor DNS para resolver aquellas páginas que nos convengan a nuestra dirección localdonde tendremos preparada una copia falsa de la página.
Por este nombre se conocen aquellos montajes que, a parte del Rogue AP clásico,
incorporan un servidor RADIUS en el terminal del atacante. Para este fin se emplea
comúnmente un servidor FreeRADIUS adecuadamente configurado para responder a las
peticiones de los usuarios legítimos.
70
Este tipo de montaje se emplea contra sistemas que cuentan con servidores de autenticacióny redes mediante EAP de forma que el atacante pueda suplantar todos los dispositivos yservidores presentes en el sistema legítimo de forma convincente, autenticador y servidorde autenticación.
Rogue RADIUS vs. EAP.
Antes de ver las vías de ataque a emplear contra sistemas protegidos por EAP, vamos a
profundizar en los mecanismos de autenticación que se usan en las variantes de EAP más
extendidas, concretamente vamos a repasar el intercambio de mensajes que se produce en
una autenticación pues, como veremos, es en este intercambio donde reside su
vulnerabilidad.
Figura 3.13 Ejemplo de autenticación EAP.
Como se puede apreciar en la figura, una autenticación EAP consiste en dos fases
diferenciadas; en una primera fase, el suplicante proporciona al servidor de autenticación su
identidad a través del autenticador, en la segunda el servidor de autenticación propone un
reto al suplicante que, al superarlo, se gana el derecho a acceder a la red. Este acceso se
mantiene limitado por el autenticador en función de las directrices marcadas por el servidor
de autenticación. Directrices que a su vez varían en función de la identidad del suplicante.
71
Figura 3.14 Fases de la autenticación EAP.
EAP-TLS pretende mejorar la seguridad de EAP mediante la implantación de certificados
digitales instalados en todos los clientes y servidores. De esta manera se añade la necesidad
de poseer un certificado válido para completar la autenticación. Tras el intercambio de
certificados entre el suplicante y el servidor de autenticación, estos negocian un secreto
común que se emplea para cifrar el resto de las comunicaciones a partir de ese momento.
Figura 3.15 Autenticación EAP-TLS
72
EAP-TTLS (EAP-Tunneled-TLS) añade a las características de seguridad de EAP-TLS, el
establecimiento de un canal de comunicación seguro para el intercambio de las credenciales
de usuario. De esta forma se incrementa la seguridad frente a ataques de sniffing que
pretendan hacerse con estos datos. Por otra parte elimina la necesidad de contar con
certificados en todos los clientes, que conlleva un proceso de distribución y mantenimiento
engorroso y caro.
De esta forma, el proceso de autenticación pasa por una primera fase de asociación del
suplicante con el autenticador y una segunda en la que el servidor de autenticación envía su
certificado al suplicante que, una vez validado, emplea para crear un túnel de comunicación
seguro por donde enviar las credenciales y finalizar la autenticación.
Una vez repasados los diferentes métodos de autenticación que proporcionan las variantes
más comunes de EAP vamos a investigar de qué manera la incorporación de un servidor
RADIUS al Rogue AP lo puede ayudar a lograr una autenticación completa como usuario
legítimo, provocar una denegación de servicio, etc.
Tras montar un Rogue AP con un Rogue RADIUS el atacante puede desasociar a un cliente
y cuando este cliente se intente conectar, se asociará al Rogue AP por ofrecer este mayor
intensidad de señal. Una vez asociado se repetirá el proceso de autenticación mediante
EAP-TLS/TTLS/PEAP pero contra el Rogue RADIUS bajo nuestro control. De esta forma
podremos:
a) Desasociar usuarios.
b) Recolectar usuarios y contraseñas.
c) Recolectar las credenciales de los usuarios.
d) Suplantar a otros usuarios en la red legítima.
A continuación vamos a ver los métodos existentes para atacar diferentes sistemas de
autenticación basados en EAP.
73
Vamos a comenzar por vulnerar un sistema de autenticación basado en EAP-TTLS
mediante un Rogue AP con Rogue RADIUS. Veamos el siguiente esquema:
Figura 3.16 Vulneración de sistema basado en EAP-TTLS
Como se puede apreciar del estudio del esquema, tras desasociar al cliente el AP legítimo el
cliente procede a reasociarse con el AP bajo control del atacante. Se ha de tener en cuenta
que para que éste ataque pueda ser llevado a cabo con éxito el cliente no ha de estar
configurado para validar el certificado del servidor, una situación más habitual de lo que
pueda parecer. De esta manera, una vez creado el túnel, al atacante le llegan las
credenciales del cliente. Como hemos visto, mediante esta técnica se pueden reproducir una
gran variedad de ataques, incluyendo DoS por desasociación, suplantación de identidad o
captura de información sensible.
A continuación vamos a estudiar el método de ataque empleado contra sistemas EAP-TTLS
con PAP. Para ello primero explicar que PAP (Password Authentication Protocol) es el
sistema de autenticación más simple para redes PPP en el que un usuario y contraseña son
validados contra una tabla, generalmente cifrada, almacenada en el servidor de
74
autenticación. Las credenciales empleadas por este protocolo viajan en texto plano (sin
cifrar) lo que permite capturar de forma sencilla el usuario y contraseña del cliente una vez
éste ha sido desasociado del autenticador legítimo y se conecta al Rogue AP del atacante,
como vemos en el gráfico siguiente:
Figura 3.17 Ataque contra sistemas EAP-TTLS
El mismo proceso, de forma similar, se puede repetir contra sistemas PEAP pudiendo
obtener los dominios del sistema así como usuarios y contraseñas validos.
Para conseguir información ampliada a cerca de este y otros ataque contra EAP consultar
las presentaciones de Beetle del grupo Shmoo.
Figura 3.18 Ataque contra sistemas PEAP
75
Defensa frente a Rogue APs.
En la tarea de defender nuestros sistemas frente a este tipo de ataques nos encontramos condos frentes a defender: el cliente y la infraestructura. Comencemos por el cliente. El peligroal que se enfrenta el usuario de un terminal móvil es la asociación a un Rogue AP de formavoluntaria o no. Es de sobra conocida la habilidad de Windows XP para manejar lasconexiones inalámbricas por si mismo, y es precisamente esta característica la másapreciada por los atacantes pues el sistema operativo se basa sólo en la intensidad de laseñal y el SSID para asociarse a un AP u otro. Es por ello que los terminales asíconfigurados son presa fácil de los Rogue AP.
El grupo shmoo, creador entre otros de airsnarf, ha desarrollado una herramienta quemonitoriza la conexión Wireless de la terminal donde esta instalado para detectar ataquesmediante Rogue APs. Para ello vigila:
Autenticaciones / falta de autenticidad y asociaciones masivas.
Firmas de Rogue APs conocidas.
Aumento repentino de la intensidad de la señal junto a un cambio de AP.
Estas técnicas no son definitivas pero aumentan sensiblemente la seguridad frente a este
tipo de ataques.
Ahora vamos a ver como podemos intentar defender nuestra infraestructura de los ataques
mediante Rogue APs.
Como hemos visto a lo largo del capítulo, casi todos los sistemas de autenticación pueden
ser vulnerados de una u otra manera, de forma que la mejor protección frente a este tipo de
ataques pasa por la vigilancia constante del sistema tanto por parte del personal encargado
de la seguridad como por parte de sistemas de detección adecuadamente instalados.
76
Comparativa.
A continuación se presenta una tabla resumen de las características más destacadas de los
protocolos de cifrado empleados en redes inalámbricas.
Tabla 3.1 Características de los protocolos de cifrado.
WEP WPA WPA2
Cifrado RC4 RC4 AES
Longitud de clave 40 bits 128 bits enc.
64 bits auth.
128 bits
Duración de clave 24-bit IV 48-bit IV 48-bit IV
Integridad de datos CRC-32 Michael CCM
Integridad de cabecera Ninguna Michael CCM
Control de claves Ninguno EAP EAP
Se puede apreciar el progresivo endurecimiento de los protocolos de cifrado hasta llegar a
WPA2 que por fin cambia RC4 como protocolo para implementar AES; también resulta
evidente el esfuerzo que se ha hecho en reforzar la integridad de los datagramas tanto a
nivel de datos como, posteriormente de cabecera.
Herramientas para atacar redes inalámbricas:
NetStumbler: Programa de rastreo. http://www.stumbler.net/
Airopeek: Sniffer http://www.wildpackets.com/products/demos
Etherchange: Programa para cambiar las direcciones MAC
http://ntsecurity.nu/toolbox/etherchange/
Aircrack: Programa de sniffeo e inyección de tráfico en la red engloba airodump y aircrack:
http://www.subagora.com/subagora/WinAircrack/download/WinAircrackPack.zip
77
Capítulo 4. Administración de riesgos en redes WLAN a
nivel empresarial.
Un análisis de riesgos aporta una visión global y coherente de la seguridad de los sistemas
de información (SSI). Este análisis, exhaustivo, permite determinar objetivos y
requerimientos de seguridad adaptados, proponiendo un vocabulario y conceptos en común.
También toma en cuenta todas las entidades técnicas (software, hardware, redes) y notécnicas (organización, aspectos humanos, seguridad física). Permite implicar a todos losactores de la organización en la problemática de la seguridad y, por otra parte, propone unprocedimiento dinámico que favorece las interacciones entre las distintas profesiones yfunciones de la organización, estudiando todo el ciclo de vida del análisis de riesgos(diseño, realización, puesta en servicio, mantenimiento, etc.).
Un análisis de riesgos tiene varias etapas de desarrollo para lograr los resultados
requeridos, tales etapas de describen a continuación.
Estudio del Contexto: Un sistema de información se basa en elementos esenciales,
funciones y datos, que constituyen el valor agregado del sistema de información para el
organismo, elementos esenciales están vinculados con un conjunto de entidades de distintos
tipos: hardware, software, redes, organizaciones, personal y establecimientos.
En este punto se debe estar totalmente consiente de cómo ha de implementarse la WLAN
dependiendo a las necesidades de la empresa y de acuerdo a los requisitos principales que
deben incluir este tipo de redes: disponibilidad, escalabilidad, manejabilidad e
interoperabilidad.
78
La expresión de las necesidades de seguridad: Para que una organización funcione
correctamente cada elemento esencial tiene una necesidad de seguridad. Esta necesidad se
expresa según distintos criterios de seguridad tales como la disponibilidad, la integridad y
la confidencialidad. En este caso, la organización se vería afectada si no se respetan
estos criterios. Los impactos pueden adoptar diversas formas como pérdidas económicas.
Estudio de las amenazas: Por otra parte, por su entorno natural, su cultura, su imagen, su
área de actividad, cada organización esta expuesta a diversos elementos peligrosos. Un
elemento peligroso puede caracterizarse según su tipo (natural, humano o ambiental) y su
causa (accidental o deliberada). Cada elemento peligroso puede emplear diversos métodos
de ataque que es conveniente identificar. Un método de ataque puede caracterizarse según
los criterios de seguridad (disponibilidad, integridad, confidencialidad…) a los cuales
puede afectar y según los elementos peligrosos que podrían utilizarlo. Según cada método
de ataque, cada entidad posee vulnerabilidades que podrán ser utilizadas por los elementos
peligrosos.
La expresión de los objetivos de seguridad: Sólo queda determinar cómo pueden afectar
los elementos peligrosos y sus métodos de ataque a los elementos esenciales: se trata del
riesgo. El riesgo representa un posible siniestro. Consiste en la posibilidad de que un
elemento peligroso afecte a los elementos esenciales aprovechando las vulnerabilidades de
entidades en las cuales se basan dichos elementos esenciales y utilizando un método de
ataque particular. Los objetivos de seguridad consisten principalmente en cubrir las
vulnerabilidades de las entidades que conforman el conjunto de riesgos aceptados.
Efectivamente, es inútil proteger lo que no está expuesto. También podemos señalar que
cuanto más importante sea el riesgo potencial, más importante será el nivel de los objetivos
de seguridad. De este modo, dichos objetivos constituirán un pliego de condiciones
perfectamente adaptado.
La determinación de los requerimientos de seguridad: El equipo encargado del análisis
de riesgos debe especificar en forma precisa, las funcionalidades esperadas en materia de
seguridad. Con dichos requerimientos funcionales, debe demostrar la perfecta cobertura de
79
los objetivos de seguridad. El equipo encargado debe especificar los requerimientos de
seguridad que permiten obtener el nivel de confianza necesario para, luego, demostrarlo.
4.1 Análisis de riegos en redes WLAN.
Para realizar un análisis de riesgos en cualquier infraestructura tecnológica se requiere
seguir una metodología para considerar todos los aspectos que influyen en la
operación de las organizaciones. La metodología más utilizada por su eficiencia en las
normas internacionales de seguridad y de análisis de riesgos es la de mejora continua
conocida como (PDCA), la cual se describe a continuación.
Aplicando el modelo PDCA a un Sistema de Gestión de riesgos se tienen los siguientes
pasos:
Planear: Establecer las políticas de seguridad, objetivos, procesos y procedimientosrelevantes para la administración de los riesgos y mejorar la seguridad de la información,para lograr los resultados que la organización espera.
Hacer: Implementar las políticas de seguridad, controles, procesos y procedimientos que
se planearon.
Verificar: Evaluar y donde se aplicable medir el funcionamiento de las políticas deseguridad, procesos, procedimientos y controles de seguridad, documentado todas estamediciones para las futuras acciones.
Actuar: Tomar acciones preventivas y/o correctivas basándose en el resultado del análisisprevio para mejorar el sistema.
80
Figura 4.1 Modelo PDCA
4.1.1 Estudio de la organización.
La identificación de la organización permite recordar los elementos característicos que
definen la identidad de una organización. Se trata de la vocación, el oficio, las misiones, los
valores propios y los ejes estratégicos de este organismo. Debe identificarse de este modo a
quienes contribuyen a su elaboración.
Lo difícil de esta actividad reside en la comprensión de la verdadera organización del
organismo.
La estructura real permite comprender el rol y la importancia atribuida a cada división en el
alcance de los objetivos del organismo.
La estructura del organismo puede ser de diferentes tipos:
Estructura divisional: cada división constituida está subordinada a la autoridad de
un director de división responsable de las decisiones estratégicas, administrativas y
operativas para su unidad.
PARTESINTERESADAS
(CLIENTES,PROVEEDORES,GERENCIA, ETC)
SEGURIDAD DE LAINFORMACIÓN
“REQUERIMIENTOS“
ESTABLECER ELSISTEMA
IMPLEMENTAR ELSISTEMA
MONITOREAR YREVISAR EL
SISTEMA
MANTENER YMEJORAR EL
SISTEMA
PLAN
DO
CHECK
ACTDESARROLLAR
IMPLEMENTAR YMEJORAR EL
SISTEMA
PARTESINTERESADAS
(CLIENTES,PROVEEDORES,GERENCIA, ETC)
GESTIÓN DE LASEGURIDAD DE LA
INFORMACIÓN
MODELO PDCA
81
Estructura funcional: la autoridad funcional se ejerce sobre los procedimientos, la
naturaleza del trabajo y a veces sobre las decisiones o la planificación.
Identificar las restricciones que afectan al organismo.
Se trata de tener en cuenta la totalidad de las restricciones que afectan al organismo y que
podrían determinar ciertas orientaciones en materia de seguridad. Dichas restricciones
pueden ser de origen interno, en cuyo caso el organismo podrá eventualmente manejarlas, o
externo al organismo, y, por tanto, en general, inevitables. Las restricciones de recursos
(presupuesto, personal) y de urgencia son las más importantes.
El organismo se fija objetivos por alcanzar (relativos al oficio, a su comportamiento...) que
comprometerán su futuro a mayor o menor plazo. Define así en qué quiere transformarse, y
los medios que le convendrá implementar.
4.1.2 Inventario de activos de información.
Las organizaciones están conformadas por un conjunto de elementos técnicos y no técnicosque son convenientes identificar y describir. Estos elementos tienen vulnerabilidades que algunos métodos de ataque podrán aprovechar, atentando así contra los elementos esenciales, inmateriales, del sistema evaluado (funciones y datos). Será pues necesario proteger a estos activos como son:
El hardware.
El tipo "hardware" está conformado por el conjunto de elementos físicos de un sistema informático, pudiendo tratarse de soportes informáticos de procesamiento de datos activos opasivos.
El software.
El tipo "software" está conformado por el conjunto de programas que intervienen en elfuncionamiento de un conjunto de procesamientos de la información.
82
Las redes.
El tipo "redes" está conformado por el conjunto de dispositivos de telecomunicación quepermite la interconexión de varios ordenadores o componentes de un sistema deinformación físicamente alejados.
El personal.
El tipo "personal" está conformado por el conjunto de grupos de individuos vinculados conel sistema de información.
Figura 4.2 Formato de Identificación de Activos.
83
4.1.3 Identificación de amenazas y vulnerabilidades.
La selección de los métodos de ataque consiste en seleccionar se realiza con el grupo detrabajo a partir de una lista de métodos de ataque vinculados con ciertos temas. Estos temasson:
siniestros naturales
pérdida de servicios esenciales,
alteraciones debidas a las ondas radioeléctricas,
datos comprometidos,
fallos técnicos,
actos ilícitos,
funciones comprometidas.
Esta clasificación permite seleccionar más fácilmente los métodos de ataque involucrados.Algunos temas (siniestros naturales, pérdida de servicios esenciales) podrían desestimarsesiempre que se justifique. Un método de ataque debe seleccionarse si su cumplimiento esrealista y si puede suponerse que tendrá un impacto.
Cada método de ataque puede afectar al menos a un criterio de seguridad (disponibilidad,integridad, confidencialidad.)
Es conveniente, por lo tanto, caracterizar a todos los métodos de ataque seleccionadosmediante los criterios de seguridad a los que pueden afectar. Esta caracterización consisteen determinar los impactos directos sobre los criterios de seguridad, y no todas lasposibilidades generadas.
Los métodos de ataque son utilizados por elementos peligrosos que es convenientecaracterizar para cada método de ataque. Deben describirse:
84
El tipo de elemento peligroso (natural, humano o ambiental, es decir, externo alsistema evaluado).
Las causas (accidentales o deliberadas) de cada elemento peligroso. Puede afinarseesta clasificación indicando la exposición y los recursos disponibles cuando se tratade una causa accidental e indicando la pericia, los recursos disponibles y lamotivación cuando se trata de una causa deliberada.
La caracterización de los elementos peligrosos puede sintetizarse mediante un único valorpara cada método de ataque seleccionado. Se trata de un potencial de ataque, generalmenteigual a uno de los siguientes valores:
Accidental y aleatorio.
Posibilidades o recursos limitados.
Gran nivel de pericia, posibilidad y recursos.
Identificar las vulnerabilidades
Es conveniente determinar, para cada método de ataque seleccionado, las vulnerabilidades
del sistema estudiado que permiten su materialización Una vulnerabilidad es unacaracterística del sistema que un elemento peligroso podría utilizar y que permitiría pues lamaterialización de un método de ataque. Esta característica, atribuida a las entidades delsistema, puede constituir una debilidad o un fallo de seguridad.
Las vulnerabilidades pueden caracterizarse por su nivel, que representa la posibilidad deactuar de los métodos de ataque que las aprovechan.Este nivel se aprecia en función de varios criterios:
Del contexto propio del sistema.
De estado de la tecnología en el campo considerado.
85
En muchos casos no existen datos estadísticos que permitan elaborar normas decomportamiento del sistema de información. Sólo los riesgos naturales y tecnológicosdisponen de cifras que hacen posible una evaluación utilizando técnicas cuantitativas, perohay que señalar que estos análisis son subjetivos por naturaleza.
Estimar el nivel de las vulnerabilidades tiene por objetivo conservar sólo las
vulnerabilidades pertinentes y jerarquizarlas. Podemos contentarnos con seleccionarlas,
pero la estimación de este valor permite lograr una mayor precisión.
4.3. Formato de Análisis de Riesgos.
86
4.2 Políticas de seguridad.
La política de seguridad de los sistemas de información (PSSI) es el conjunto formalizadoen un documento aplicable de las directivas, procedimientos, códigos de conducta, normasorganizacionales y técnicas, que tienen como objetivo la protección de los sistemas deinformación del organismo. Traduce el reconocimiento oficial de la importancia otorgadapor la dirección general del organismo a la seguridad de sus sistemas de información. Enlíneas generales, contiene una parte referida a los elementos estratégicos del organismo(perímetro, contexto, retos, orientaciones estratégicas en materia de SSI, referencialreglamentario, escala de sensibilidad, necesidades de seguridad, amenazas) y una partereferida a las normas de seguridad aplicables. Constituye, por lo tanto, la materialización dela estrategia de seguridad del organismo. Una política de seguridad debe de cumplir lassiguientes tareas:
Identificar los objetivos en seguridad inalámbrica de la empresa.
Documentar los recursos que se van a proteger.
Identificar la infraestructura de red con mapas actuales e inventarios.
Las políticas de seguridad son indispensables es por eso que se debe dedicar tiempo e
importancia suficiente para desarrollarlas. El desarrollo de una buena política de seguridad
implica:
Proporcionar un proceso para auditar la seguridad inalámbrica existente.
Proporcionar un marco de trabajo general para implementar la seguridad.
Definir los comportamientos que están o no permitidos.
Ayudar a determinar las herramientas y los procedimientos necesarios para la
empresa.
Ayudar a un consenso en el grupo de toma de decisiones clave y definir las
responsabilidades de los usuarios y los administradores.
Definir un proceso para la manipulación de los agujeros inalámbricos.
Si es necesario crear una base para la acción legal.
87
4.2.1 Elaboración de políticas de seguridad.
Una solución eficaz para elaborar una política de seguridad consiste en:
Organizar el proyecto PSSI.
Realizar un estudio global.
Extraer los datos necesarios del estudio (fundamentalmente del estudio del
contexto, la expresión de las necesidades de seguridad y el estudio de las
amenazas).
Selección de los principios de seguridad y elaboración de las normas de seguridad.
Elaboración de los informes de síntesis.
Finalización y validación de la PSSI;
Elaboración y validación del plan de acción.
Tabla 4.1 Elaboración de políticas de seguridad.
ACTIVIDADES IMPLEMENTACIÓN CON EL FIN DE ELABORAR UNAPSSI
Estudio del contexto.Se profundiza el estudio del contexto, que figurará en el informede estrategia de seguridad de la PSSI.
Estudio del Organismo.
Esta actividad debe ser detallada y completa. Se adaptará alobjeto de la PSSI y a las características de organismo. Debeservir para identificar claramente los distintos procesos yfunciones presentes y las limitaciones generales a fin degarantizar una mejor definición del sistema evaluado. Esfundamental no omitir las referencias reglamentarias y legales,así como las normas que debe respetar la organización.
Estudio del sistemaevaluado.
Esta actividad debe ser detallada y completa. Se deben definir yevaluar los retos a fin de poder, eventualmente, clasificar el(los)sistema(s) evaluados(s) (unos) en relación con otros e indicar ellugar que ocupa el sistema evaluado en términos de continuidadde la empresa. Sólo se considerarán los elementosverdaderamente esenciales. La descripción del sistema evaluadodebe ser clara, concisa y lo más estandarizada posible. Ladefinición de las hipótesis, normas de seguridad y referenciasreglamentarias, así como las limitaciones, son indispensablespara disponer de un contexto completo y adecuado.
88
Continuación tabla 4.1
Es importante considerar las interfaces con los demás sistemasde información. Si se trata de una PSSI global del organismo,los elementos esenciales considerados podrán ser los ámbitos deactividad y los procesos más importantes de la empresa.
Determinación delobjetivo del estudio de
seguridad.
Esta actividad contribuye a determinar los objetivos yrequerimientos de seguridad, que servirán para redactar lasnormas de seguridad. Las principales entidades (o tipos deentidades) serán representadas y cotejadas con los elementosesenciales.
Expresión de lasnecesidades de
seguridad.
Se detalla la escala de necesidades, que figurará en el informe deestrategia de seguridad de la PSSI.
Realización de las fichasde necesidades.
La actividad debe ser detallada, estar completa y enriquecidacon ejemplos provenientes del organismo. Los resultadosestarán integrados en el informe de estrategia de seguridad de laPSSI. Los criterios de seguridad, la escala de necesidades y losimpactos seleccionados deberían ser los mismos para todas lasPSSI de la organización.
Síntesis de lasnecesidades de
seguridad.
Una síntesis de esta actividad podrá servir para ampliar elinforme de estrategia de seguridad de la PSSI. Dicha síntesisespecificará las necesidades de seguridad generales por debajode las cuales es inaceptable situarse. Puede llegar a ser útilrellenar totalmente las fichas de expresión de las necesidades deseguridad (y no rellenar únicamente los valores finales) paraidentificar el vínculo existente entre los elementos esenciales ylos impactos, así como la importancia relativa de los impactos.
Estudio de lasamenazas.
Se debe detallar el origen de las amenazas, que figurará en elinforme de estrategia de seguridad de la PSSI, el estudio de lasvulnerabilidades contribuirá aún más a la continuación de laPSSI.
Estudio de los orígenesde las amenazas.
Esta actividad debe ser detallada y completa. La caracterizaciónde los métodos de ataque y de los elementos peligrosos debe serparticularmente clara y precisa. Se debe indicar, explicitar yjustificar el potencial de ataque de cada elemento peligroso. Sedebe elaborar una lista de los métodos de ataque noconsiderados, incluyendo las justificaciones correspondientes.
Estudio de lasvulnerabilidades.
Esta actividad contribuye a determinar los objetivos yrequerimientos de seguridad, que servirán para redactar lasnormas de seguridad. Puede no realizarse si se trata de una PSSIglobal. Se deben identificar todas las vulnerabilidadespertinentes, comprobadas o no. La escala eventualmenteutilizada para los niveles de vulnerabilidad debería ser la mismaPara todas las PSSI de la organización.
89
Formalización de lasamenazas
Continuación tabla 4.1
Esta actividad contribuye a determinar los objetivos yrequerimientos de seguridad, que servirán para redactar lasnormas de seguridad. Esta actividad debe ser clara (a los finesde la comunicación) y precisa. Es preferible formular amenazasunitarias y específicas (una vulnerabilidad por amenaza). Lajerarquización de las amenazas puede ser útil para determinarprioridades para su tratamiento.
Identificación de losobjetivos de seguridad
Se enumeran, sin tener en cuenta las redundancias, los objetivosde seguridad que figurarán en el informe de estrategia deseguridad y contribuirán a la elección de la justificación de losprincipios y normas considerados.
Confrontación de lasamenazas con las
necesidades
Esta actividad contribuye a determinar los objetivos yrequerimientos de seguridad, que servirán para redactar lasnormas de seguridad. Se deben identificar y formular los riesgosde manera uniforme. También es necesario jerarquizarlos, a finde determinar prioridades para su tratamiento, e identificareventuales riesgos residuales.
Formalización de losobjetivos de seguridad
En la medida de lo posible, se debe realizar una enumeración delos objetivos de seguridad, sin tener en cuenta aquellos objetivosredundantes, para enriquecer los ejes estratégicos del informe deestrategia de seguridad de la PSSI. La redacción de los objetivosde seguridad debe ser clara, precisa y uniforme, para poderjustificar dichos objetivos mediante su contenido. Se debenidentificar los eventuales riesgos residuales.
Determinación de losniveles de seguridad
Esta actividad contribuye a determinar los requerimientos deseguridad, que servirán para redactar las normas de seguridad.Puede no realizarse si se trata de una PSSI global. Los nivelesde seguridad deben ser explícitos y deben estar debidamentejustificados.
Determinación de losrequerimientos de
seguridad
Los requerimientos de seguridad funcionales y deaseguramiento podrán constituir directamente normas deseguridad de la PSSI, eventualmente serán completados conotras normas conforme sea requerido.
Determinación de losrequerimientos de
seguridad funcionales
Lo ideal sería que los requerimientos de seguridad funcionalesfueran específicos (un actor y un ámbito cada vez), mensurables(definición del medio de control), alcanzables (eventualmente envarias etapas, proporcionando los recursos necesarios), realistas(en función de los actores, de sus capacidades) y estarencuadrados en el tiempo (hay una fecha límite, un plazo, unperíodo definido). Una vez seleccionados, podrán constituirdirectamente una parte de las normas de seguridad de la PSSI.Se deben identificar los eventuales riesgos residuales. Losrequerimientos de seguridad deberían clasificarse en función delos ámbitos cubiertos por la PSSI.
90
Determinación de losrequerimientos de
seguridad deaseguramiento
Continuación tabla 4.1
En la medida de lo posible, los requerimientos de seguridad deaseguramiento deben ser específicos (un actor y un ámbito cadavez), mensurables (definición del medio de control), alcanzables(eventualmente en varias etapas, proporcionando los recursosnecesarios), realistas (en función de los actores, de suscapacidades) y estar encuadrados en el tiempo (hay una fechalímite, un plazo, un período definido). Una vez seleccionados,podrán constituir directamente una parte de las normas deseguridad de la PSSI.
Una política de seguridad inalámbrica eficaz funciona para garantizar que los recursos de
red de la empresa están protegidos ante el sabotaje y el acceso no apropiado, lo que incluye
el acceso intencionado y accidental. Todas las funciones de seguridad inalámbrica deben
configurarse de conformidad con la política de seguridad de la empresa. Si no existe dicha
política o no esta al día, debe crearse una o actualizarse la existente antes de decidir como
configurar o implantar dispositivos inalámbricos.
4.3 Revisión y auditoría de las políticas de seguridad.
Una vez que se han diseñado y establecido las políticas, procedimientos y controlesde seguridad para las tecnologías inalámbricas de las organizaciones es necesariorealizar auditorías internas y si es posible externas para verificar el correctofuncionamiento y aplicación de las políticas de seguridad.Las auditorías de seguridad se pueden clasifica primeramente en técnicas, que se centranen los riesgos existentes en los sistemas de información de la organización y en la calidadtécnica de las medidas de protección introducidas (correcta configuración de los equipos,etc.), y no técnicas o de Gestión, que habitualmente estudian el cumplimiento efectivo de lapolítica de seguridad de la organización y de sus procedimientos.
91
4.3.1 Auditorías técnicas.
Centrándonos ahora en las auditorías técnicas, dependiendo del alcance de las mismas y
de la complejidad de las organizaciones se pueden realizar auditorías de vulnerabilidades,
que tratan de localizar configuraciones erróneas o agujeros de seguridad en el software
directamente explotables, habitualmente con el apoyo de herramientas que automatizan
parte del trabajo, y proyectos de hacking controlado, pruebas de intrusión o auditorías a
nivel de aplicación.
En este tipo de auditorías los auditores de seguridad tratan de explotar errores de
programación, la arquitectura de red y las relaciones de confianza, las debilidades de los
protocolos de comunicación y los controles de acceso para simular los ataques a una
infraestructura de red bajo los perfiles que se consideren de interés (atacante externo con
distinto nivel de calificación, usuario interno, auditor, administrador, competencia, etc.)
bajo las mismas circunstancias y capacidades (información inicial, puntos de acceso y
recursos disponibles).
Por otro lado, dependiendo del alcance o necesidades de la organización para realizar las
auditorías técnicas, existen pruebas de caja negra, que buscan las debilidades desde el
exterior de los sistemas (habitualmente realizadas de forma remota, desde Internet), y
pruebas de caja blanca, que realizan una revisión de seguridad analizando la configuración
del propio sistema, con acceso al mismo.
Auditorias de “Caja Negra”
Una auditoría de seguridad de caja negra normalmente comienza con trabajos desde el
exterior, para encontrar puntos débiles y ganar algún tipo de acceso a los sistemas, y una
vez conseguido este acceso, examinar el sistema para escalar privilegios y tomar control
sobre él. Estas pruebas desde hace tiempo se vienen realizando basándose en el estándar
OSSTMM (Open Source Testing Methodology Manual) o el documento SP 800-46 del
NIST (instituto de estándares americano) que contemplan las pruebas a realizar para
92
realizar una revisión de seguridad técnica completa. Las pruebas de caja negra, para que
sean realmente efectivas, deben realizarse sin ningún conocimiento de la infraestructura,
garantizando de esta forma que el análisis no tratará de utilizar ningún tipo de información
que facilite la tarea de análisis. El propósito de estas pruebas es que el auditor se comporte
como si realmente fuese un "atacante" de la infraestructura. Durante un análisis de caja
negra normalmente se llevarán a cabo pruebas de visibilidad (para conocer los servicios y
versiones de éstos activos y visibles desde el exterior en cada uno de los sistemas), pruebas
de identificación de servicios (para determinar qué programas ofrecen los servicios
ofrecidos, a través de las cabeceras obtenidas o respuestas programáticas y no fiándose de
la lista de puertos TCP/IP conocidos), obtención de información (recuperación de
información o datos de configuración del sistema final o sistemas adyacentes que desvelen
detalles de la infraestructura auditada) y pruebas de vulnerabilidades en software estándar.
Estas últimas pruebas son las más complejas y se realizarán una vez determinados los
servicios que se están corriendo, junto con la información disponible de versiones y
sistemas operativos. Se basan en una parte que puede ser realizada por herramientas de
diagnóstico automáticas y otra parte que debe ser realizada de forma manual por el auditor.
Esta fase tiene que realizarse con ciertas precauciones puesto que son frecuentes los casos
en que las pruebas de vulnerabilidades que puedan tener éxito produzcan cortes de servicio
o caídas en los sistemas auditados.
Una vez se ha conseguido penetrar con éxito en un sistema, la auditoría de caja negra puede
continuar hacia otros sistemas adyacentes (generalmente más expuestos una vez traspasado
el perímetro) y también derivar hacia análisis de caja blanca.
Auditorias de “Caja Blanca”
En el caso de una auditoría de caja blanca el objetivo no es lograr el acceso (la empresa lo
proporciona para realizarla) sino revisar las medidas de seguridad implementadas en el
sistema y su conformidad, o no, con estándares reconocidos y guías de "buenas prácticas".
93
Las pruebas de caja blanca, como se ha mencionado anteriormente, examinan el sistema
desde su interior. Por lo tanto es necesario tener un acceso a los sistemas. Este acceso
generalmente se obtiene porque directamente se le proporciona al auditor un acceso al
equipo para que pueda realizar un análisis en profundidad de la configuración del sistema,
aunque en algunos casos una prueba de caja negra se convierte en caja blanca por haber
logrado un acceso al sistema a través de alguna vulnerabilidad del mismo u obtener
información que pueda analizarse de esta forma (por ejemplo, el código fuente de las
aplicaciones utilizadas). Es importante destacar que estas pruebas son complementarias de
las anteriores, ya que el hecho de no haber encontrado vulnerabilidades en las pruebas de
"caja negra", no significa que no las haya, si no que generalmente significará que no se han
dedicado recursos suficientes a descubrirlas. Dicho de otra forma, el hecho de que un
sistema sea o no vulnerable no radica en que se encuentre una vulnerabilidad, si no en que
exista dicha vulnerabilidad.
Siguiendo con esta filosofía, es necesario ampliar la información que se posee sobre los
sistemas al máximo, incluyendo topología, protocolos utilizados, reglas en los cortafuegos,
software empleado, etc.
Así, durante esta fase normalmente se realizan las siguientes tareas:
Análisis de la configuración de todos los sistemas operativos implantados: usuarios,
ficheros, etc.
Análisis de la robustez de las contraseñas utilizadas.
Análisis de la configuración del software de base (Web, Mail, cortafuegos, etc.).
Análisis del código fuente de las aplicaciones instaladas o desarrolladas a medida.
Determinación de las vulnerabilidades presentes en los sistemas debido a la falta de
actualización en la aplicación de parches de seguridad obsolescencia de los
sistemas).
94
Figura 4.4. Tipos de Auditoria
En algunos casos estas tareas de análisis pueden ser automatizadas con algunas
herramientas pero en la mayoría de los casos se realizarán de forma manual y requerirán de
un conocimiento profundo de los sistemas auditados, recomendaciones del fabricante, etc.
Generalmente estas inspecciones, aunque más laboriosas hacen que la tarea analítica-
correctora produzca un resultado cualitativamente superior.
4.3.2 Auditorías de procesos y gestión.
La realización de una actividad de auditoría debe realizarse siguiendo fielmente los códigos
de buenas prácticas de seguridad de sistemas de información reconocido
internacionalmente, en este caso la norma ISO-17799 y la guía del NIST SP 800-26.Este
tipo de auditoría debe realizarse con un conocimiento previo de los distintos riesgos y
controles que son aplicables a una organización, debido a la amplitud del código de buenas
prácticas ISO-17799 no tiene sentido auditar todos los controles recomendados si éstos no
son aplicables a la organización, bien porque no existe un riesgo en ese sentido, o porque
el costo de implantación de dichos controles se ha considerado superior al costo resultante
de la materialización de una amenaza (impacto) o del propio activo. Es por ello que la
95
actividad de auditoría de procesos y gestión estará precedida por un trabajo de análisis del
entorno de la organización incluyendo:
Análisis de la política de seguridad.
Análisis de los procesos implantados, incluyendo, entre otros, los de gestión
administración.
Entrevistas con los responsables de la seguridad de información de la organización
para determinar los controles establecidos.
Revisión de los análisis de riesgos realizados previamente y en función de los cuales
se han implantado los controles.
Revisión de las auditorías previas realizadas.
Toda vez que se haya realizado el análisis de entorno se procederá a realizar una revisión
exhaustiva de los controles implantados, la correcta implantación de los procedimientos y
la concordancia con el código de buenas prácticas. Para ello se realizarán entrevistas con
distinto personal de la organización, el personal concreto a entrevistar será definido
basándose en el estudio del entorno y de la organización. Entre el personal entrevistado se
incluirán a:
Los responsables de gestión.
El personal técnico encargado de la gestión de la seguridad de cada uno de los
sistemas.
Usuarios de los sistemas de información (muestra aleatoria).
Las principales acciones que las organizaciones deben de implementar para verificar el
cumplimiento de las políticas a través de auditorías son:
Identificar errores en los procesos.
Identificar brechas e incidentes de seguridad.
Medir la efectividad de los controles de seguridad.
96
Revisar y actualizar las evaluaciones de riesgos de forma periódica para que
sigan cumpliendo con los requerimientos de seguridad.
Realizar acciones correctivas y/o preventivas para corregir los errores o
desviaciones en los procesos.
4.4 Implementación de redes WLAN seguras.
Las redes inalámbricas se están utilizando cada vez en las empresas gracias a sus
características de movilidad, escalabilidad y bajo costo de implementación.
Por las características de la tecnología inalámbrica se está expuesto a tener asociadas
vulnerabilidades y amenazas que pueden disminuir los niveles de seguridad en las
redes inalámbricas. No existe ningún sistema 100% seguro, tan sólo hay que analizar la
relación coste / beneficio de hacerlo razonablemente seguro considerando aspectos como
la información que se transmite por estas redes, topologías de red, tamaño de la
organización, etc.
Por estos motivos y por todo el análisis realizado en los capítulos anteriores se
describen a continuación 4 criterios básicos para el diseño e implementación de una
red inalámbrica con niveles de seguridad apropiados de acuerdo a las necesidades de
seguridad de las organizaciones. Estos criterios son:
Planeación.
Selección de la infraestructura.
Implementación.
Sistemas de seguridad.
97
4.4.1 Planeación.
Una vez que se ha decidido implementar una red con tecnología inalámbrica debemos de
identificar nuestras necesidades de conexión ya que se puede tener conexión “peer to
peer” o tener un punto de acceso o Gateway que administre las conexiones a la red.
Las soluciones peer to peer se dan cuando existen varios equipos que transmiten
información entre ellos sin la necesidad de una estación base como un punto de acceso
o Gateway. Este tipo de configuración puede ser muy útil cuando se tienen muy pocos
equipos inalámbricos o para compartir acceso a Internet entre un número pequeño de
equipos.
Si se tiene un número grande de usuarios o se requiere una mayor velocidad de
transmisión en las redes inalámbricas es recomendable utilizar un punto de acceso o
Gateway que administre las conexiones a la red.
También se debe de planear los equipos que tendrán acceso a la red inalámbrica
considerando Laptop´s, PC´s, PDA´s, etc. Esto con el fin de dimensionar la cantidad de
usuarios y los tipos de dispositivos que tendrán acceso a la red.
Los puntos de acceso o Gateway´s son los equipos que proporcionarán el acceso a los
dispositivos de nuestra red, y dependiendo del número de usuarios, tamaño de la empresa,
información a transmitir y diversidad de dispositivos a conectarse a la red se
seleccionaran los puntos de acceso ya que existen de diversas capacidades y
características técnicas.
Normalmente los puntos de acceso soportan entre 15 y 20 usuarios, pero también se
debe de considerar el comportamiento y tipo de usuarios que utilizaran la red ya que
existen 2 tipos básicos de usuarios:
98
Usuarios Típicos: Utilizan la red para enviar correos, navegar ocasionalmente en
Internet y transmitir o consultar archivos pequeños.
Usuarios de Mayor Demanda de Recursos: Normalmente este tipo de usuarios utilizan
la red para enviar o consultar archivos grandes, alta utilización de Internet, utilización de
videos, música, etc
Habiendo realizado estas consideraciones se concluye esta etapa realizando un
diagrama general de la conectividad y topología de la red a implementar.
4.4.2 Selección de la infraestructura.
En las redes inalámbricas se clasifican en 4 tipos los dispositivos que interactúan en las
comunicaciones.
1. Los dispositivos inalámbricos como son (PC´s, laptop´s y PDA´s).
2. Los puntos de acceso o gateway´s.
3. Equipos de seguridad.
4. Los periféricos como impresoras, fax, cámaras, etc.
4.4.3 Implementación.
Una vez que se ha decidido la infraestructura que se va a utilizar se continua con la
puesta en operación de la red inalámbrica siguiendo los siguientes pasos:
Instalar los dispositivos inalámbricos.
Instalar y configurar el punto de acceso o gateway.
Configurar los dispositivos inalámbricos.
Instalar y configurar los dispositivos periféricos.
Implementar controles de seguridad en la red.
99
4.4.4 Seguridad
Se deben implementar controles y políticas de seguridad dentro de las redes inalámbricas
para minimizar las amenazas y vulnerabilidades de las redes inalámbricas. Estos
controles depende de las necesidades de seguridad de las organizaciones y a
continuación se describen los controles de seguridad más efectivos que se pueden
implementar en este tipo de redes.
Implementar WPA (Wi-Fi Protected Accesses) o WPA 2: Este es un control de
encriptación que incrementa los niveles de seguridad en las redes inalámbricas ya que
utiliza un algoritmo muy robusto que difícilmente se puede descifrar.
Cambiar las contraseñas por default: La mayoría de equipos inalámbricos tienen
contraseñas de fabrica por lo que es conveniente cambiarlos antes de poner en
funcionamientos dichos dispositivos.
Cambiar el Nombre de la red: La mayoría de los dispositivos inalámbricos vienen con
un nombre de red de fábrica por lo que es conveniente cambiarlo. No es recomendable
ponerle el nombre de la compañía a la red inalámbrica ya que puede llamar más la
atención de los intrusos.
Utilizar Filtrado de MAC: Es recomendable tener una lista de las direcciones MAC de
los dispositivos que tienen permitido utilizar la red inalámbrica.
Utilizar Servidores de Autenticación: Dependiendo de las necesidades de seguridad de la
organización se puede implementar un sistema de autenticación RADIUS que permita
proporcionar acceso a la red solo a personal autorizado.
Utilizar Firewall: Dependiendo de las necesidades de seguridad de la organización se
puede implementar un Firewall que restringa el acceso a las redes que ingresan a nuestra
red.
100
Utilizar VPN: Dependiendo de las necesidades de seguridad de la organización se puede
implementar una VPN que permita el acceso remoto de forma segura a la red.
Utilizar IPS: Dependiendo de las necesidades de seguridad de la organización se puede
implementar un Sistema de Prevención de Intrusos para identificar y evitar posibles
ataques a la red.
Cambio Periódico de Contraseñas: Se deben cambiar de forma periódica las
contraseñas de los dispositivos inalámbricos para evitar que personal no autorizado las
pueda obtener.
Sistema Antivirus: Es recomendable contar con un sistema antivirus en los dispositivos
de red.
Auditorias. Es necesario realizar auditorías internas y/o externas a las políticas y
controles de seguridad de las redes inalámbricas de las organizaciones para verificar el
adecuado cumplimiento de estas.
4.4.5 Configuraciones de Seguridad en Redes WLAN.
A continuación se describen algunas configuraciones de seguridad para redes
inalámbricas considerando configuraciones básicas para hogares y pequeñas empresas
hasta configuraciones más complejas para organizaciones grandes. Cabe mencionar que
cada organización tiene diferentes necesidades de seguridad y los controles necesarios
para cumplir con dichos requerimientos de seguridad pueden incrementarse debido a la
importancia de la información que se transmita por Wi-Fi, tamaño de la organización, etc.
Configuración Simple para Hogares y Pequeñas Oficinas
Esta configuración es utilizada para habilitar redes inalámbricas dentro de hogares y
pequeñas oficinas. Las ventajas es que para pequeñas oficinas puede ser muy funcional
101
ya que los nuevos empleados pueden empezar a trabajar en minutos debido a la fácil
configuración y bajo costo de implementación. Además con esta configuración se puede
tener controlado el acceso a Internet a través del Gateway conectado a un modem DSL.
Los controles de seguridad que se pueden implementar son:
Encripción WPA.
Filtrado de MAC.
Siste Antivirus en PC´s y Laptop´s.
Con estos controles se tiene un buen nivel de seguridad para hogares y pequeñas
organizaciones ya que son controles fáciles de implementar y a bajo costo que pueden
asegurar los requerimientos de seguridad de dichas organizaciones.
Figura 4.5 Configuración para hogares y pequeñas empresas.
INTERNET
ACCESSPOINT
ROUTER MODEM DSL
CONFIGURACIÓN SIMPLE PARA HOGARESY OFICINAS PEQUEÑAS
ENCRIPCIÓN WPA
ENCRIPCIÓN WPA
Filtrado deMAC
102
Configuración con Autenticación RADIUS
Esta configuración es utilizada para redes inalámbricas dentro organizaciones medianas o
que buscan un mayor nivel de seguridad. Las ventajas que se tienen principalmente es
un mayor nivel de seguridad ya que a través del servidor de autenticación RADIUS solo
el personal autorizado podrá ingresar a la red corporativa en la cual están los servidores
de aplicaciones criticas y que requieren un mayor grado de confidencialidad.. Los
controles de seguridad que se pueden implementar en este tipo de configuración son:
Encripción WPA.
Filtrado de MAC.
Sistema Antivirus en PC´s y Laptop´s.
Autenticación a través de un servidor RADIUS.
Con estos controles se tiene un buen nivel de seguridad si se quiere proteger ciertas áreas
o redes de la organización a través de un sistema de autenticación además de los controles
adicionales que se mencionaron en la configuración anterior, esta solución implica un
mayor costo, por lo que su implementación debe de considerar los requerimientos de
seguridad de las organizaciones.
ACCESSPOINT
RADIUSAAA
CONFIGURACIÓN UTILIZANDO RADIUS
ENCRIPCIÓNWPA
REDCORPORATIVA
GRANJA DESERVIDORES
ACCESSCONTROLLER
Figura 4.6 Seguridad a través de un servidor RADIUS.
103
Configuración con Autenticación RADIUS y FIREWALL
Esta configuración es utilizada para redes inalámbricas dentro organizaciones medianas y
grandes que buscan un mayor nivel de seguridad. Las ventajas que se tienen
principalmente es un mayor nivel de seguridad ya que a través del servidor de
autenticación RADIUS solo el personal autorizado podrá ingresar a la red corporativa
en la cual están los servidores de aplicaciones criticas y que requieren un mayor grado de
confidencialidad, además de que se cuenta con un firewall que bloquea los accesos de
las direcciones o puertos de conexión que no sean validos.
Los controles de seguridad que se pueden implementar en este tipo de configuración son:
Encriptación WPA.
Filtrado de MAC.
Sistema Antivirus en PC´s y Laptop´s.
Autenticación a través de un servidor RADIUS.
Firewall.
Con estos controles se tiene un buen nivel de seguridad si se quiere proteger ciertas áreas
o redes de la organización a través de un sistema de autenticación en conjunto con firewall
además de los controles adicionales , esta solución implica un mayor costo, por lo que su
implementación debe de considerar los requerimientos de seguridad de las
organizaciones.
104
Figura 4.7 Seguridad a través de un servidor RADIUS y firewall
Configuración con RADIUS, firewall y VPN
Esta configuración es utilizada para redes inalámbricas dentro organizaciones medianas y
grandes que buscan un mayor nivel de seguridad. Las ventajas que se tienen
principalmente es un mayor nivel de seguridad ya que a través del servidor de
autenticación RADIUS solo el personal autorizado podrá ingresar a la red corporativa
en la cual están los servidores de aplicaciones criticas y que requieren un mayor grado de
confidencialidad, además de que se cuenta con un firewall que bloquea los accesos de
las direcciones o puertos de conexión que no sean validos. Además es muy útil si se
tienen usuarios remotos ya que utiliza un sistema de VPN que robustece la seguridad
de la red.
Los controles de seguridad que se pueden implementar en este tipo de configuración son:
Encripción WPA.
Filtrado de MAC.
ACCESSPOINT
RADIUSAAA
CONFIGURACIÓN UTILIZANDO RADIUS YFIREWALL
ENCRIPCIÓNWPA
REDCORPORATIVA
GRANJA DESERVIDORES
ACCESSCONTROLLER
FIREWALL
105
Sistema Antivirus en PC´s y Laptop´s.
Autenticación a través de un servidor RADIUS.
Firewall.
VPN para usuarios remotos.
Con estos controles se tiene un buen nivel de seguridad si se quiere proteger ciertas áreas
o redes de la organización a través de un sistema de autenticación en conjunto con firewall
y VPN para conexión de usuarios remotos , esta solución implica un mayor costo, por lo
que su implementación debe de considerar los requerimientos de seguridad de las
organizaciones.
ACCESSPOINT
RADIUSAAA
CONFIGURACIÓN UTILIZANDO RADIUS,FIREWALL Y VPN
ENCRIPCIÓNWPA
REDCORPORATIVA
GRANJA DESERVIDORES
ACCESSCONTROLLER
FIREWALL
SERVIDORVPN
USUARIO REMOTO
FIREWALL
Figura 4.8 Configuración utilizando VPN para usuarios remotos.
106
Configuración con RADIUS, firewallo, VPN e IDS
Esta configuración es utilizada para redes inalámbricas dentro organizaciones grandes
que buscan un mayor nivel de seguridad. Las ventajas que se tienen principalmente es
un mayor nivel de seguridad ya que a través del servidor de autenticación RADIUS solo
el personal autorizado podrá ingresar a la red corporativa en la cual están los servidores
de aplicaciones criticas y que requieren un mayor grado de confidencialidad, además de
que se cuenta con un firewall que bloquea los accesos de las direcciones o puertos de
conexión que no sean validos. Además es muy útil si se tienen usuarios remotos ya que
utiliza un sistema de VPN que robustece la seguridad de la red.
Reforzando la seguridad se tienen un sistema de detección de intrusos que analiza el
tráfico que pasa a través de la red y puede identificar posibles ataques a nuestra red.
Los controles de seguridad que se pueden implementar en este tipo de configuración son:
Encriptación WPA.
Filtrado de MAC.
Sistema antivirus en PC´s y Laptop´s.
Autenticación a través de un servidor RADIUS.
Firewall.
VPN para usuarios remotos.
Detector de Intrusos (IDS).
Con estos controles se tiene un buen nivel de seguridad si se quiere proteger ciertas áreas
o redes de la organización a través de un sistema de autenticación en conjunto con firewall,
Detector de Intrusos y VPN para conexión de usuarios remotos , esta solución implica un
mayor costo, por lo que su implementación debe de considerar los requerimientos de
seguridad de las organizaciones.
107
Figura 4.9 Configuración utilizando VPN e IDS
108
Conclusiones.
La seguridad es el único problema grande que enfrenta la tecnología Wi-Fi, debido a esto
se están desarrollando y perfeccionando las técnicas actuales de seguridad en redes
inalámbricas.
Es muy importante conocer las vulnerabilidades a las que esta expuesta la red, de lo
contrario es imposible que seamos capaces de asegurarlas correctamente. Las principales
brechas de seguridad que se detectaron en este trabajo son:
El medio físico por el que viaja la información es el espacio libre que es de
acceso público y cualquier usuario puede tener acceso a este medio físico.
La tecnología es barata por lo que cualquier persona puede contar con las
herramientas necesarias para detectar redes inalámbricas.
Existen mucho software en Internet que se utiliza para descifrar las
comunicaciones en redes inalámbricas.
Existen errores de configuración a la hora de implementar las redes inalámbricas.
No se realizan revisiones ni auditorias en el funcionamiento de las redes
inalámbricas.
No se definen o implementan políticas de seguridad para las redes inalámbricas.
109
Actualmente existen muchas técnicas, métodos y tecnologías que nos ayudan a
implementar redes inalámbricas, las contramedidas que se pueden implementar son:
SSID (Service Set Identifier “Identificadores de Servicio”).
Restricción por Direcciones MAC.
WEP (Wired Equivalency Protocol “Protocolo de Equivalencia de Red”).
WPA (Wi-Fi Protected Access “Acceso Wi-Fi Protegido”).
VPN (Virtual Private Network “Red Privada Virtual”).
Firewall (Pared de Fuego).
Sistemas Detectores de Intrusos.
Antivirus.
Autenticación por RADIUS
Políticas de Seguridad.
Auditorias Internas y Externas.
Una vez que se implementan estos controles debemos realizar auditorías internas y/o
externas para verificar el grado de cumplimiento de nuestros controles, procesos,
políticas e identificar nuevas amenazas y vulnerabilidades. En caso de encontrar
inconformidades o desviaciones es necesario toma acciones que solucionen dichos
hallazgos para minimizar los impactos en la organización por incidentes de seguridad.
Es por esto que al comenzar con el despliegue de una red WLAN a lo largo de toda una
empresa, es necesario que se solicite información adicional para crear una arquitectura de
seguridad exitosa, escalable y robusta.
110
BIBLIOGRAFIA
Fundamentos de redes inalámbricas.
Cisco Systems, Inc.
Pearson Educación. 2004
Manual de redes inalámbricas.
Reid, Neil & Seide Ron.
Editorial Mc Graw-Hill.
Enterprise Solutions for Wireless LAN Security
Wi-Fi Alliance, Febrero 2003.
Five Steps to Creating a Wireless Network
Wi-Fi Alliance, Febrero 2003.
Ethical Hacking Module XV “Hacking Wireless Networks”
EC-Council, Noviembre 2006.
Redes Inalámbricas
UNAM-CERT 2006.
Recursos de Internet
www.wi-fi.org Noviembre 15, 2007
http://www.eslack.org/pof/In-Seguridad_802.11b.pdf. Junio 15 2007.
http://www.wi-fi.net/ . Julio 03 2007.
http://www.tecnowifi.com. Julio 12 2007.
http://informationweek.com. Agosto 15 2007.
https://www.linux-magazine.es/issue/04/80211.pdf . Agosto 24 2007.
111
Glosario
Acceso multiple con detección de portadora y detección de colisiones (CSMA/CD,
Carrier Sense Multiple Access Collision Detect): Acceso múltiple con detección de
portadora mediante detección de colisiones. Es un tipo de protocolo de contención.
Acceso múltiple por división de la frecuencia (FDMA, Frequency Division Multiple
Access): Todo dispositivo puede utilizar una porción del espectro disponible, durante tanto
tiempo como necesite, mientras se mantenga en la célula.
Acceso múltiple por división del código (CDMA, Code Division Multiple Access):
Esquema de codificación utilizado como técnica de modulación en la que varios canales se
codifican independientemente para la transmisión.
Acceso múltiple por división del tiempo (TDMA, Time Division Multiple Access): Un
dispositivo puede utilizar todo l espectro disponible en la célula, pero solo durante un corto
periodo de tiempo.
Amplificador: Es un dispositivo que acepta señales de entrada débil y proporciona a la
salida una señal amplificadas y mas fuerte.
AP falso: Punto de acceso no autorizado y configurado por un empleado.
Beacon (señal de alerta): Los AP difunden señales de alerta e intervalos predeterminados
y programables. Un beacon tiene detalles parecidos a los que incluye una respuesta de
sondeo.
CDMA (Acceso Múltiple por División de Códigos): Una tecnología utilizada para
transmitir llamadas inalámbricas asignándoles códigos. Las llamadas son esparcidas en el
más amplio rango de canales disponibles. Entonces, los códigos permiten que muchas
llamadas viajen en la misma frecuencia y también guían a esas llamadas al teléfono.
112
Dirección IP: Es una dirección de red de 32 bits que permite distinguir a un cliente o
dispositivo del resto. Parte de esta dirección representa la red, y otra parte representa el
host.
DSSS: Acrónimo de "Direct Sequence Spread Spectrum". Sistema de transmisión de datos
usado por las redes sin hilos.
Espectro disperso por salto de frecuencia (FHSS, Frequency Hopping Spread
Spectrum): Es un servicio utilizado por 802.11a y 802.11g.
Ethernet: Tecnología utilizada en redes de área local basadas en tramas de datos. Define
las características de cableado y señalización a nivel físico, bajo el estándar IEEE 802.3.
FTP: Protocolo de transferencia de archivos.
IEEE 802.11: Estándar que especifica el control de acceso al medio con detección de
portadora y las especificaciones de la capa física para las WLAN a 1 y 2 Mbps.
IEEE: Instituto de Ingeniería Eléctrica y Electrónica.
Infrarrojo (IR): Se utiliza para señalización cerca de la luz visible, en el rango de 850 a
950 nm. Se parece al espectro de luz utilizado por los dispositivos de consumo comunes.
Los sistemas IR están diseñados para utilizar IR directa y luz reflejada, denominada
transmisión infrarroja difusa.
LAN: La red de Área Local (LAN) es una pequeña red de datos que cubre un área limitada,
tal como un edificio o grupo de edificios. La mayoría de las LAN conectan estaciones de
trabajo o computadoras personales. Esto permite a muchos usuarios compartir dispositivos,
tales como impresoras de rayo láser así como datos.
113
Lista de control de acceso (ACL): Mecanismo de seguridad, que utiliza como medio de
autenticación la dirección MAC de cada estación cliente, permitiendo el acceso a aquellas
MAC que consten en la lista de control de acceso.
Luz infrarroja (IR): Tipo de transmisión que requiere de un diodo emisor y un fotodiodo
receptor la cual es posible alineando los dispositivos. Se ubica en el espectro
electromagnético en las frecuencias mas bajas de la luz visible.
Paquete: Una pieza de datos enviada sobre una red de conmutación de paquetes, tal como
el Internet. Un paquete incluye no solo datos, sino también información de dirección acerca
de su origen y su destino.
PCMCIA: La asociacion internacional de tarjetas de memoria para computadoras
personales (PCMIA, Personal Computer Memory Card I¨nternational Association) es un
cuerpo de normalizacion internacional y una asociacion comercial que supervisa y
promueve la aceptacion de los dispositivos en formato PC card.
Protocolo: Son las normas relacionadas con la interconexión de los sistemas de
computación. Si dos computadoras no pueden intercambiar información, es probable que
utilicen protocolos de comunicación diferentes.
Punto de acceso (AP,Access point”): El dispositivo físico, similar a un hub, permite al
usuario acceder a una red inalámbrica.
RC4 (Rivest Chipre 4): Cifrador patentado de flujo de longitud de clave variable.
Red Ad Hoc: Conexión punto a punto entre dos ordenadores mediante tarjetas
inalámbricas, no es necesario disponer de un punto de acceso.
Red de igual a igual: Es un modelo de comunicación en el que cada parte tiene las mismas
capacidades y cada parte puede iniciar una sesión de comunicación
114
Red inalámbrica de área local (WLAN): Utilizando tecnología de radio frecuencia (RF),
las WLAN transmiten y reciben datos de forma inalámbrica en una cierta área. Esto permite
a los usuarios en una zona pequeña transmitir datos y compartir recursos, tales como
impresoras, sin conectar físicamente cada computadora con cables o alambres.
Red privada virtual (VPN, Virtual Private Network): es una red fiable que transmite
datos a través de una infraestructura de red no fiable. Para las comunicaciones que se
originan en una VPN deben de existir unos mecanismos de seguridad según los cuales el
servidor firewall puede autenticar el origen, la integridad de datos, y otros principios de
seguridad.
Salto de frecuencia: Conmutación repetida de frecuencias durante la transmisión de radio
según un algoritmo especificado para minimizar la interceptación o atasco de las
telecomunicaciones.
Seguimiento automático (Roaming): Cuando viajan fuera del área local de su proveedor,
el seguimiento automático permite a los usuarios la habilidad de moverse del área de
cobertura de un proveedor a otro, sin interrupción en el servicio o llamadas caídas.
Servidor DHCP: Servidor de protocolo de configuración dinámica del host. Asigna
automáticamente la dirección IP, la mascara de subred IP, el gateway predeterminado, el
DNS y otros atributos de clientes.
SSID (Identificador del conjunto de servicio, Sevice Set Identifier). Identificador único
que permite que un cliente reconozca un punto de acceso respecto a otro.
TDMA (Acceso múltiple de división de tiempo): Una tecnología que transmite
información dividiendo llamadas en secciones de tiempo, en el que cada uno dura sólo una
fracción de segundo.
115
WAP: Protocolo de Aplicación de Tecnología Inalámbrica es un grupo de estándares que
permite a los dispositivos inalámbricos, tales como teléfonos, radiolocalizadores y
dispositivos de mano, navegar el contenido de páginas de Internet especialmente
codificadas.
WEP: Acrónimo de "Wired Equivalent Privacy" sistema de encriptación de datos usado
por los sistemas inalámbricos (40-bit o 128-bit), no es seguro y fácilmente violable.
Wi-Fi Alliance: Alianza para la compatibilidad de Ethernet inalámbrica creada en 1997,
antes llamada WECA.
Wi-Fi: Tecnología inalámbrica que permite la interconexión de varias maquinas.