INSTITUTO POLITÉCNICO NACIONAL

ESCUELA SUPERIOR DE INGENIERÍA MÉCANICA Y ELÉCTRICA

UNIDAD CULHUACÁN

TESINA

SEMINARIO DE ACTUALIZACIÓN CON OPCIÓN A TITULACIÓN:“LAS TECNOLOGÍAS APLICADAS A LAS REDES DE COMPUTADORAS”

FNS 5092005/03/2007

SEGURIDAD EN REDES INALÁMBRICAS

QUE COMO PRUEBA ESCRITA DE SU EXAMENPROFESIONAL PARA OBTENER EL TÍTULO DE:

INGENIERO EN COMUNICACIONES Y ELECTRÓNICAPRESENTAN:

JANET PATRICIA ROJAS BAUTISTASERGIO GONZÁLEZ GUZMÁN

MÉXICO DF. DICIEMBRE DEL 2007.

II

Agradecimientos.

Agradezco a toda mi familia por el apoyo brindado a lo largo de mis estudios, pues sin su

ayuda no me hubiera sido posible terminar una carrera profesional. En especial agradezco a

mi mamá, que me acompaño y dedicó gran parte de su tiempo en mi formación y mi

educación porque gracias a su esmero ahora soy una persona con valores muy firmes.

También quiero agradecer a los profesores que me asistieron en el transcurso de mi

formación académica, por todas las enseñanzas y todos esos momentos únicos que me

dieron experiencia para poder afrontar los retos que se me presenten.

Janet Patricia Rojas Bautista.

III

A mis Padres:

Como un testimonio de mi infinito aprecio y agradecimiento por todauna vida de

esfuerzos y sacrificios brindándome siempre cariño y apoyo cuando más lo necesite.

Deseo con todo corazón que mi triunfo como hombre y profesionista los haga sentirse

orgullosos de mi porque todo se lo debo a sus consejos, cuidados, regaños y sobre todo a

su cariño.

Gracias por enseñarme a ser un hombre de bien y trabajar para conseguir lo que quiero

eso es lo más valioso que un padre le puede dejar a sus hijos, les estoy muy agradecido

por sus enseñanzas

Con amor, admiración y respeto.

A mi familia:

Por toda su confianza y apoyo cuandomás lo necesite, a los que sigues conmigo y a

los que ya se encuentran en el cielo siempre llevo en el corazón sus consejos y

enseñanzas.

A mis Amigos:

Por los buenos y malos momentos que hemos vivido juntos , los que conocí desde la

infancia y los que fui conociendo en el transcurso de mi vida, me siento afortunado de

tener amigos como los que tengo porque es difícil encontrar verdaderos amigos como

ustedes y ojala sigamos teniendo esta amistad para siempre.

A mis Profesores:

A todos mis profesores que tuve en mi vida escolar, a cada uno le aprendí cosas

buenas que me han servido para adquirir los conocimientos necesarios y cumplir mis

metas profesionales. A todos y cada uno de ellos un gran reconocimiento.

Sergio González Guzmán.

IV

Resumen.

La presente tesina aborda los aspectos generales de las redes locales inalámbricas

(WLAN) desde los orígenes de las comunicaciones inalámbricas hasta los estándares,

topologías y tecnologías utilizadas actualmente. Se pretende mostrar un panorama general

tomando en cuenta los requisitos indispensables que deben incluirse al implantar redes de

esta naturaleza: disponibilidad, escalabilidad, manejabilidad, interoperabilidad, seguridad y

costo.

Precisamente hablando de estos requisitos, se tratará a detalle el tema de la seguridad. Se

iniciara explicando lo importante que es proteger la información dentro de una organización

además de exponer los conceptos básicos en base a los tres principios esenciales de la

seguridad: integridad, confidencialidad y disponibilidad.

Una vez comprendidos estos principios se mostraran los controles de seguridad que se

tienen en la actualidad, explicando las ventajas y deficiencias al utilizar estos mecanismos.

Así mismo se conseguirá una amplia noción de los ataques inalámbricos, puntos débiles y

las vulnerabilidades a las que esta expuesta una red WLAN.

Se desarrollará un análisis a nivel empresarial de los riesgos existentes al implantar una red

de este tipo, considerando todos los aspectos que influyen en la operación de la

organización permitiéndonos obtener los objetivos y requerimientos de seguridad que la

organización demanda.

Para dar continuidad con el análisis de riesgos, se definirán los puntos que debe incluir una

política de seguridad eficaz, de aquí que todas las funciones de seguridad deberán estar

apegadas a estas políticas, las cuales deben mantenerse actualizadas dependiendo las

necesidades de la empresa.

V

Por último se explica en que consiste un plan de auditoría y su importancia para verificar

el correcto funcionamiento y aplicación de las políticas de seguridad, concluyendo con una

breve ejemplificación de una red inalámbrica bajo los criterios de planeación, tomando en

cuenta los niveles de seguridad apropiados de acuerdo a los exigencias de seguridad de

las organizaciones.

VI

ÍNDICE

Introducción 1

Capítulo 1. Fundamentos de redes inalámbricas. 2

1.1 Evolución de la tecnología inalámbrica. 2

1.2 Introducción a las redes inalámbricas. 4

1.2.1 Tipos de transmisiones inalámbricas. 6

1.3 Estándares y protocolos para redes WLAN. 11

1.3.1 Estándares de Seguridad. 12

1.4 Tecnologías inalámbricas. 15

1.5 Topologías WLAN básicas. 19

1.5.1 Topología de infraestructura. 19

1.5.2 Topología de igual a igual. 22

1.5.3 Topología de infraestructura extendida. 23

1.6 Dispositivos inalámbricos. 23

Capítulo 2. Seguridad de los sistemas de información. 26

2.1 Seguridad informática. 26

2.2 Conceptos básicos de seguridad de la información. 29

2.3 Amenazas, puntos débiles y vulnerabilidades. 32

2.3.1 Tipos de amenazas. 33

VII

Capítulo 3. Seguridad en redes WLAN. 39

3.1 Controles de seguridad en redes WLAN. 39

3.2 Sistemas de seguridad en equipos. 41

3.2.1 Mecanismos de seguridad en redes WLAN. 41

3.2.2 Monitorización de equipos WLAN. 47

3.2.3 Analizadores de red (sniffers). 49

3.3 Amenazas y vulnerabilidades en redes WLAN. 50

3.3.1 Redes abiertas 50

3.3.2 Redes con Cifrado de Información. 55

Capítulo 4. Administración de riesgos en redes WLAN a

nivel empresarial 77

4.1 Análisis de riegos en redes WLAN. 79

4.1.1 Estudio de la organización. 80

4.1.2 Inventario de activos de información. 81

4.1.3 Identificación de amenazas y vulnerabilidades. 83

4.2 Políticas de seguridad. 86

4.2.1 Elaboración de políticas de seguridad. 87

4.3 Revisión y auditoría de las políticas de seguridad. 90

4.3.1 Auditorías técnicas. 91

4.3.2 Auditorías de procesos y gestión. 94

4.4 Implementación de redes WLAN seguras. 96

4.4.1 Planeación. 97

4.4.2 Selección de la infraestructura. 98

4.4.3 Implementación. 98

VIII

4.4.4 Seguridad. 99

4.4.5 Configuración de seguridad en redes WLAN. 100

Conclusiones. 108

Bibliografía. 110

Glosario. 111

Índice de imágenes.

Figura 1.1 Espectro electromagnético. 5

Figura 1.2 Distancia frente a velocidad. 15

Figura 1.3 Red de la modalidad de infraestructura. 20

Figura 1.4 Red ad-hoc. 22

Figura 1.5 Adaptadores de red inalámbricos. 23

Figura 1.6 Puntos de acceso. 24

Figura 1.7 Ejemplos de antenas. 25

Figura 1.8 Amplificadores. 25

Figura 2.1 Elementos que soporta la seguridad de la información. 27

Figura 2.2 Vulnerabilidades de los activos. 34

Figura 3.1 Ataque a una red desprotegida. 50

Figura 3.2 Ataque de negación de servicio (DoS) 51

Figura 3.3 Ataque man in the middle. 53

IX

Figura 3.4 Red antes del ataque. 54

Figura 3.5 Red tras el ataque. 54

Figura 3.6 Operación XOR del texto plano con el cifrado. 57

Figura 3.7 Operación XOR entre el paquete generado y el

Keystream. 58

Figura 3.8 Proceso de obtención del Keystream. 58

Figura 3.9 Autenticación EAP-TLS. 63

Figura 3.10 Zonas que define el sistema de portales cautivos. 65

Figura 3.11 Proceso de autenticación de portales cautivos. 66

Figura 3.12 Ataque Rogue AP. 68

Figura 3.13 Ejemplo de autenticación EAP. 70

Figura 3.14 Fases de la autenticación EAP. 71

Figura 3.15 Autenticación EAP-TLS. 71

Figura 3.16 Vulneración de sistema basado en EAP-TTLS 73

Figura 3.17 Ataque contra sistemas EAP-TTLS. 74

Figura 3.18 Ataque contra sistemas PEAP. 74

Figura 4.1 Modelo PDCA. 80

Figura 4.2 Formato de identificación de activos. 82

Figura 4.3 Formato de análisis de riesgos. 85

Figura 4.4 Tipos de auditoria. 94

Figura 4.5 Configuración para hogares y pequeñas empresas. 101

Figura 4.6 Seguridad a través de un servidor RADIUS. 102

Figura 4.7 Seguridad a través de un servidor RADIUS

y Firewall. 104

Figura 4.8 Configuración utilizando VPN para usuarios remotos. 105

Figura 4.9 Configuración utilizando VPN e IDS. 107

X

Índice de tablas.

Tabla 1.1 Uso de las radiofrecuencias. 15

Tabla 1.2 Parámetros de tecnologías inalámbricas. 17

Tabla 3.1 Características de los protocolos del cifrado. 76

Tabla 4.1 Elaboración de políticas de seguridad. 87

1

Introducción

Actualmente las redes inalámbricas tienen gran presencia en la mayoría de las

organizaciones, debido a su naturaleza y las ventajas que proporcionan sobre las redes

cableadas, una de las principales características de este tipo de redes es la movilidad que

ofrecen teniendo como resultado una mayor eficiencia y productividad en general.

El crecimiento exponencial del trabajo en red incluyendo las tecnologías inalámbricas ha

llevado en aumento los riesgos de seguridad, no solo en las WLAN, sino también en las

redes cableadas. Este inconveniente en particular es debido a que carecen de barreras

físicas de acceso, por tanto cualquier persona con conocimientos mínimos sobre seguridad

y con una tarjeta Wi-Fi instalada en una PC o dispositivo portátil puede potencialmente

lograr acceso a una red WLAN.

Por tanto, independientemente de que las redes WLAN sean o no seguras, lo que es cierto

es que esta tecnología ha desarrollado controles de seguridad para evitar que personas no

autorizadas puedan tener acceso a la red. Se ha demostrado que con los controles

existentes y realizando una administración adecuada de la seguridad de las redes WLAN se

pueden implementar redes inalámbricas de cualquier tamaño cumpliendo con los niveles

más altos de seguridad.

.

2

Capítulo 1. Fundamentos de redes inalámbricas.

1.1 Evolución de la tecnología inalámbrica.

Los primeros experimentos con transmisiones radioeléctricas se realizaron a finales del

siglo XIX. En mayo de 1895 el profesor ruso Alexander Popov, notificó haber enviado y

recibido una señal inalámbrica a una distancia de unos 600 metros. Ese mismo año,

Guglielmo Marconi logró trasmitir y recibir señales radioeléctricas desde el domicilio de

sus padres en Italia. Marconi es conocido por haber enviado la primera señal radioeléctrica

transatlántica desde el suroeste de Inglaterra hasta Terranova en 1901.

Muy pronto se extendió la utilización de la radiotelegrafía y se empezaron a desarrollar

rápidamente sus diversas aplicaciones. Por ejemplo, se demostró el interés de las señales

inalámbricas para las llamadas de socorro desde barcos. A principios del siglo XX ya se

habían instalado equipos inalámbricos en varios buques transatlánticos.

Como consecuencia de ello, en 1906 la primera Conferencia Radiotelegráfica Internacional

reunió a 29 estados marítimos en Berlín para firmar el Convenio Radiotelegráfico

Internacional, en el que se establece el principio de la intercomunicación obligatoria entre

tierra y los barcos en alta mar. En el anexo a dicho Convenio figuraba el primer reglamento

de la telegrafía inalámbrica. Desde entonces, dicho reglamento se ha ampliado y revisado

en varias conferencias de radiocomunicaciones y en la actualidad se conoce como

reglamento de radiocomunicaciones. Casualmente, fue también en 1906 que el canadiense

Reginald Fessenden efectuó la primera transmisión con modulación de voz.

Un siglo después estamos viviendo otro desarrollo espectacular de la utilización de las

comunicaciones inalámbricas. Un ejemplo notable de la revolución inalámbrica es el

3

increíble crecimiento de las comunicaciones telefónicas móviles desde que se instaló el

servicio por primera vez. En 1990 sólo existían aproximadamente 11 millones de teléfonos

móviles en todo el mundo. Esta cifra se elevó a más 300 millones a finales de 1998, y a

finales de 2004 se disparó hasta 1,750 millones, según las estadísticas de la Unión

Internacional de Telecomunicaciones (UIT, International Telecommunication Union).

De conformidad con su Constitución, la UIT se encarga de la atribución de espectro y del

registro de asignaciones de frecuencias, de las posiciones orbitales y otros parámetros de

los satélites a fin de evitar toda interferencia perjudicial entre las estaciones de

radiocomunicación de los distintos países. Por lo tanto, el sistema de gestión internacional

del espectro se basa en los procedimientos reglamentarios de notificación, coordinación y

registro de frecuencias. Es una función esencial que ofrece a las administraciones la

garantía de que sus servicios son reconocidos internacionalmente y están coordinados con

los servicios de otras administraciones.

Las soluciones tecnológicas innovadoras que utilizan transmisiones radioeléctricas están

sentando las bases de un verdadero mundo inalámbrico. Las radiocomunicaciones se han

vuelto imprescindibles en nuestras vidas, desde los dispositivos personales como los

teléfonos móviles, los relojes radio controlados, los auriculares inalámbricos, los sistemas

de transporte inteligentes (por ejemplo, los sistemas de control de peaje y los sistemas de

prevención de colisiones), la difusión de señales de televisión, los sistemas de

comunicaciones de emergencia y de alerta en caso de desastres, hasta los equipos de

interconexión de redes de uso doméstico o de oficina.

Las primeras tecnologías WLAN eran de baja velocidad y ofrecían de 1 a 2 Mbps, a pesar

de estas limitaciones, la flexibilidad y libertad que ofrece la tecnología inalámbrica

permitieron que esos productos encontraran un lugar en los mercados verticales.

Al darse cuenta de la necesidad de un estándar de tipo Ethernet, los fabricantes de

tecnología inalámbrica se asociaron en 1991 y formaron la alianza para la compatibilidad

de Ethernet inalámbrica (WECA, Wireless Ethernet Compatibility Alliance). La WECA

4

propuso y construyó un estándar basado en las tecnologías cooperantes. Mas tarde la

WECA cambio su nombre por el de Wi-Fi Alliance (Alianza Wi-Fi). En junio de 1997 el

Instituto de Ingeniería Eléctrica y Electrónica (IEEE, T he Institute of Electrical and

Electronics Engineers), una asociación técnico-profesional mundial sin fines de lucro

formada por profesionales de las nuevas tecnologías, dedicada a la estandarización, entre

otras cosas, hizo público el estándar 802.11 para las redes inalámbricas de área local.

1.2 Introducción a las redes inalámbricas.

Los términos Wi-Fi (Wireless Fidelity), Wireless, o inalámbrico hacen referencia a la

tecnología sin cables que permiten la interconexión de varias máquinas entre sí. La

conexión inalámbrica que se establece entre los usuarios remotos y una red proporcionan a

las empresas flexibilidad y beneficios muy importantes.

Las redes inalámbricas proporcionan todas las características y ventajas de las tecnologías

de las Redes de Área Local (LAN, Local Area Network) tradicionales sin limitaciones de

hilos ó cables.

A continuación se mencionan algunas de las ventajas proporcionadas por las WLAN:

Movilidad.

Escalabilidad.

Flexibilidad.

Ahorro de costes a corto y largo plazo.

Ventajas de instalación.

Fiabilidad de entornos complejos.

Reducción del tiempo de instalación.

Los principales factores que deben considerarse antes de implantar una red inalámbrica son

los siguientes:

5

Alta disponibilidad.

Escalabilidad.

Manejabilidad.

Arquitectura Abierta.

Seguridad.

Coste.

Los sistemas inalámbricos no son completamente inalámbricos. Estos sistemas, diseñados y

construidos con microprocesadores y circuitos digitales estándar, se conectan con sistemas

LAN cableados tradicionales, debe alimentarse a los dispositivos inalámbricos para que

puedan proporcionar energía para codificar, decodificar, comprimir, descomprimir,

transmitir y recibir las señales inalámbricas, además, las Redes Inalámbricas de Área Local

(WLAN, Wireless Local Area Network) no reemplazan la necesidad de los servidores,

switches y routers cableados tradicionales de una LAN típica ya que es un medio de

transmisión.

Figura 1.1. Espectro electromagnético.

Las ondas electromagnéticas difieren únicamente en su frecuencia, las ondas de energía, las

ondas de radio, las microondas, las ondas de luz infrarroja, las ondas de luz visible, las

ondas de luz ultravioleta, los rayos X y los rayos gamma comparten algunas características

6

importantes:

1. Todas las ondas viajan a la velocidad de la luz c = 299.792 metros por segundo, en

el vacío.

2. Todas estas ondas obedecen a la ecuación frecuencia ( f ) * longitud de onda ( ) =

velocidad de la luz ( c )

3. Todas las ondas viajan en el vacío, sin embargo, tienen interacciones muy diferentes

con los tipos de materiales.

La principal diferencia entre las ondas electromagnéticas es su frecuencia. Las ondas de

baja frecuencia tiene una longitud de onda larga, y las ondas de frecuencia alta tienen una

longitud de onda corta, la longitud de onda representa la distancia desde un pico al

siguiente en el seno de la onda.

1.2.1 Tipos de transmisión en redes WLAN.

Las WLAN utilizan un medio de transmisión, al igual que las LAN, en lugar de utilizar

cable de par trenzado o fibra óptica, las WLAN utilizan luz infrarroja (IR) u ondas de

radiofrecuencias (RF). La RF es utilizada más frecuentemente debido a su mayor alcance,

mayor ancho de banda y cobertura más amplia.

Infrarrojos.

La comunicación se realiza entre un diodo emisor que emite una luz en la banda de IR,

sobre la que se superpone una señal, convenientemente modulada con la información de

control, y un fotodiodo receptor cuya misión consiste en extraer de la señal recibida la

información de control. Los emisores y receptores de infrarrojos deben estar alineados tras

la posible reflexión de rayo en superficies como las paredes. Al tratarse de un medio de

transmisión óptico es inmune a las radiaciones electromagnéticas producidas por los

equipos domésticos o por los demás medios de transmisión (coaxial, cables pares, red de

distribución de energía eléctrica, etc.).

7

En infrarrojos no existen problemas de seguridad ni de interferencias ya que estos rayos no

pueden atravesar los objetos (paredes por ejemplo). Tampoco es necesario permiso para su

utilización, en microondas y ondas de radio si es necesario un permiso para asignar una

frecuencia de uso. a continuación las ventajas y desventajas del tipo de transmisión

infrarrojo con respecto a ondas de radiofrecuencia.

Menor coste de equipos transmisores / receptores de infrarrojos.

Menor consumo de potencia transmisores / receptores de infrarrojos.

Privacidad.

Menor alcance y velocidad de transmisión.

Movilidad limitada.

Radiofrecuencia.

La mayoría de dispositivos para redes WLAN hoy en día trabajan con radiofrecuencias,

por lo que es necesario tomar en cuenta la forma de transmisión, ya que es importante al

momento de la elección de componentes, pues la forma de cómo se transmiten los datos

influye de manera directa en el rendimiento de la red.

Todo tipo de dispositivo que intercambie información usando tecnología de

radiofrecuencia, obviamente necesita una frecuencia en la que deberá de localizar la señal

emitida por el otro dispositivo, dicha señal es la que lleva la información.

Las WLAN utilizan las bandas de frecuencia 2.4 y 5 Gigahertz (GHz), estas porciones del

espectro de RF están reservadas en casi todo el mundo para los dispositivos sin licencia. El

espectro de frecuencia, señaliza todas las frecuencias utilizadas y en que son aplicadas, este

espectro cambia sus asignaciones de frecuencias, de acuerdo al país.

En los Estados Unidos los fabricantes deben recibir la certificación de la Comisión Federal

de Comunicaciones (FCC, Federal Communications Commission) antes de vender equipos

inalámbricos. En el caso de México, quien se encarga de asignar las frecuencias es la

Secretaria de Comunicaciones y Transportes (SCT). Los usuarios finales no necesitan una

8

autorización para operar los dispositivos en espacio comercial, pero deben mantenerse

dentro de los límites operativos legales definidos por la organización competente.

Para minimizar la interferencia la FCC estipula una técnica de señal de transmisión

llamada Spread Spectrum Modulation, la cual tiene potencia de transmisión de 1 watt,

existen dos técnicas que distribuyen la señal convencional de un espectro de propagación

similar o equivalente: la secuencia directa y el salto de frecuencia.

En la secuencia directa, el flujo de bits de entrada se multiplica por una señal de frecuencia

mayor, basada en una función de propagación determinada. El flujo de datos original puede

ser entonces recobrado en el extremo receptor correlacionado con la función de

propagación conocida. Este método requiere un procesador de señal digital para

correlacionar la señal de entrada.

En la técnica de salto de frecuencia los dispositivos receptores y emisores se mueven

sincronamente en un patrón determinado de una frecuencia a otra, brincando ambos al

mismo tiempo y en la misma frecuencia predeterminada. Como en el método de frecuencia

directa, los datos deben ser reconstruidos en base al patrón de salto de frecuencia. Este

método es viable para las redes inalámbricas, pero la asignación actual en las bandas ISM

no es adecuada, debido a la competencia con otros dispositivos, como por ejemplo las

bandas de 2.4 y 5.8 Mhz que son utilizadas por hornos de microondas.

En los sistemas de radio existen tres formas de cómo se maneja la banda de frecuencia

disponible.

− Espectro disperso por salto de frecuencias (FHSS, Frequency Hopping

Spread Spectrum)

− Espectro disperso de secuencia directa (DSSS, Direc Sequence Spread

Spectrum)

− 802.11g OFDM (Multicanalización por división de frecuencia ortogonal,

Orthogonal Frequency-Division Multiplexing).

9

El espectro disperso es una técnica de modulación que esparce una señal de transmisión

por un intervalo amplio de radiofrecuencias. Esta técnica es ideal para las comunicaciones

de datos, porque es menos susceptible a sufrir la interferencia de señales de radio. De las

tecnologías de señalización disponibles, las que más ventajas ofrecen son DSSS y OFDM.

Muy pocos fabricantes, ofrecen productos WLAN basados en IR o FHSS.

FHSS

FHSS es una técnica de espectro disperso que utiliza la agilidad de la frecuencia para

dispersar los datos por encima de los 83 MHz de espectro. La agilidad de la frecuencia es la

capacidad de la radio de cambiar rápidamente la frecuencia de la transmisión, dentro de la

banda de frecuencia RF utilizable. En Estados Unidos, basándose en los estándares fijados

por la FCC, las WLAN FHSS utilizan los 83 MHz en la banda ISM de los 2.4 GHz.

En los sistemas FHSS, la portadora cambia la frecuencia, o saltos, de acuerdo a una

secuencia pseudoaleatoria, conocido como código de salto. Esta secuencia define al canal

FHSS. El código de salto es una lista de frecuencias a la que la portadora salta a intervalos

de tiempo especificados. El transmisor utiliza una secuencia de salto para seleccionar su

frecuencia de transmisión. La portadora se mantiene en una frecuencia dada durante un

periodo de tiempo especificado, que se conoce como tiempo dwell. El transmisor utiliza

entonces una pequeña cantidad de tiempo, denominada tiempo de salto, para moverse a la

siguiente frecuencia cuando la lista de frecuencias se ha completado. El transmisor empieza

por el principio y repite la secuencia. La radio receptora se sincroniza con la secuencia de

salto de la radio transmisora para que la receptora este en la frecuencia correcta en el

momento preciso.

DSSS

El primer desarrollo de la tecnología DSSS estaba en el rango de frecuencias de los 900

MHz, en ese momento no había ningún estándar de modulación. El concepto básico de este

esquema era utilizar todo el canal para producir un canal rápido de 860 kbps, o dividir el

10

canal en secciones mas pequeñas para producir mas canales, sin embargo estos canales

trabajaban con velocidades mas lentas, como por ejemplo tres canales de 215 kbps o dos

canales a 344 kbps.

La practica de utilizar mas cantidad del canal para aumentar la velocidad de transmisión ya

no es utilizada, el nuevo esquema para el 802.11 es utilizar técnicas de modulación muy

avanzadas para conseguir esas velocidades mas altas. DSSS define un canal como una

banda continua de frecuencias, con un canal de 22 MHz. En Estados Unidos, cada canal

opera desde una de las 11 frecuencias centrales definidas y se extiende 11 MHz en cada

dirección. Mientras que FHSS utiliza cada frecuencia durante un periodo corto de tiempo

según un patrón repetitivo, DSSS utiliza un rango de frecuencia ancho de 22 MHz durante

todo el tiempo. La señal se extiende por las diferentes frecuencias

OFDM.

Los estándares 802.11a y 802.11g utilizan la multiplexión por división de frecuencia

ortogonal para conseguir velocidades de datos de hasta 54 Mbps. Ortogonal es un termino

matemático que significa recto, derecho o cierto. En matemáticas esta palabra describe

elementos independientes. La cualidad ortogonal se ve mejor en el dominio de la

frecuencia, observando el análisis espectral de una señal. OFDM funciona porque las

frecuencias de las subportadoras se seleccionan de tal manera que por cada frecuencia de la

subportadora, todas las demás subportadoras no contribuyen a la forma de onda global.

OFDM divide una portadora de datos de alta velocidad en varias subportadoras de

velocidad mas baja, que después se transmiten en paralelo. Cada portadora de alta

velocidad tiene un ancho de 20 MHz y se divide en 52 subcanales, cada uno de ellos con

una anchura aproximada de 300 KHz.

La OFDM utiliza 48 de estos subcanales para los datos y los cuatro restantes para la

corrección de errores, esta técnica codificada entrega una velocidades de datos mas altas y

un alto grado de corrección de errores, además de utilizar el espectro electromagnético más

11

eficientemente debido a que todas las portadoras son ortogonales entre si, previniéndose así

la interferencia entre portadoras estrechamente espaciadas.

1.3 Estándares y protocolos para redes WLAN.

El protocolo IEEE 802.11 es un estándar de comunicaciones publicado por IEEE que

define el uso de los dos niveles más bajos (capa física y de enlace de datos) de la

arquitectura del modelo de referencia de Interconexión de Sistemas Abiertos (OSI, Open

System Interconection). En general, los protocolos de la rama 802.x definen la tecnología

de redes de área local.

Las redes inalámbricas como ya habíamos mencionado se reparten entre dos clases

principales subdivididas por la banda de frecuencia. Las primeras tecnologías usaban la

banda de 2.4 GHz que incluyen los estándares del IEEE 802.11b (11Mbps) y es compatible

con su sucesor 802.11g a 54 Mbps. Esta primera opción es la más común actualmente.

Por otro lado, tanto 802.11a como 802.11h, que operan en la banda de 5 GHZ, consiguen

un rendimiento nominal de 54 Mbps. 802.11h, referida en Estados Unidos como “de

compatibilidad en Europa”, es la variante Europea del estándar Americano. Sus dos

características más importantes son la selección dinámica y la potencia de transmisión

variable, obligatorias para el mercado Europeo según el Instituto Europeo de Estándares de

Comunicación (ETSI) con el fin de asegurar que los sistemas tengan una capacidad de

transmisión razonable.

IEEE 802.11c, especifica métodos para la conmutación inalámbrica, o lo que es lo mismo,

métodos para conectar diferentes tipos de redes mediante redes inalámbricas. El 802.11d

normalmente se le conoce como el “Método Mundial” y se refiere a las diferencias

regionales en tecnologías como a cuantos y cuales son los canales disponibles para usarse

en las distintas regiones del mundo. Como usuario sólo necesitamos especificar el país en el

que queremos usar la tarjeta WLAN y el controlador se ocupa del resto.

12

El protocolo IEEE 802.11e define la calidad del servicio y las extensiones para el flujo de

medios para 802.11a/h y g. El objetivo es ajustar las redes de 54 Mbps para aplicaciones

multimedia y de voz sobre IP, o lo que es lo mismo, telefonía a través de redes IP e

Internet. La red debe soportar valores de transmisión de datos garantizados para servicios

individuales o retrasos de propagación mínimos para que sean útiles con multimedia o voz.

El protocolo 802.11f describe como se tratan los estándares de las comunicaciones de

clientes de móviles fuera de zona entre puntos de acceso (“Roaming”) con IAPP, el

Protocolo de Puntos de Acceso manejando de los detalles.

1.3.1 Estándares de Seguridad.

802.11i fue elegido para resolver los problemas de seguridad que comprometieron en su

momento las redes inalámbricas. Las características más importantes de 802.11i incluyen la

autenticación.

En los primeros años de este siglo, cuando sólo existía la encriptación WEP y antes que

fuera desarrollado el estándar de seguridad 802.11i con la encriptación WPA y WPA2, el

IEEE comenzó a buscar soluciones que fueran capaces de mejorar la seguridad Wi-Fi. El

resultado buscado se consiguió adaptando el estándar 802.1x que se había aprobado en

2001 para redes cableadas. En 2004 se finalizó la adaptación para redes inalámbricas WIFI.

Este estándar de seguridad en redes se basa en el control de acceso a puertos y es

imprescindible y muy recomendable su utilización en toda red empresarial que pretenda

lograr una seguridad robusta. 802.1x introduce importantes cambios en el esquema de

seguridad WI-FI.

El estándar 802.1x ofrece las siguientes modificaciones en Seguridad WI-FI.

Se necesita autenticar a los usuarios antes de conectarse a una red inalámbrica

WI-FI

La autenticación se realiza con un protocolo conocido como EAP - Extensible

13

Authentication Protocol. Existen varias versiones de EAP:LEAP, TLS, TTLS,

PEAP, FAST, etc.

La autenticación se realiza mediante un servidor de tipo RADIUS.

Es de resaltar, algunos cambios de fundamental importancia: En el esquema de 802.1x, se

autentica al usuario y no al dispositivo, como se hacía, por ejemplo en el filtrado de

Direcciones MAC (MAC Address). Esto es muy importante porque impide que se pueda

entrar a la red, aún cuando a uno le roben o pierda su laptop o PDA. La otra diferencia

importante es que con 802.1x, el Punto de Acceso no puede "autorizar" a nadie el acceso a

la red. La función de autorización recae en el servidor RADIUS.

RADIUS es el acrónimo de Remote Authentication Dial In User Service. Como su nombre

lo indica es un servidor que tiene la función de autenticar a los usuarios que se conectan

remotamente.

Originalmente estaba pensado para accesos por líneas cableadas, pero cuando se modificó

el estándar 802.1x para seguridad WI-FI, se adaptó también como herramienta de

autenticación para las redes inalámbricas. El servidor RADIUS cumple varias funciones en

la arquitectura de seguridad de una red inalámbrica WIFI, las cuales se detallan a

continuación:

Recibir pedido de conexión de los usuarios WI-FI.

Autenticar a los clientes WI-FI y luego Autorizar su acceso a la red.

Devolver toda la información de configuración necesaria para que el cliente

acceda a la red entre ellas la clave.

Para robustecer la seguridad WI-FI, el servidor RADIUS puede generar claves

"dinámicas", es decir que las puede ir cambiando cada tanto. El administrador

puede configurar el intervalo.

14

El servidor RADIUS generalmente es un software aunque existen algunos dispositivos. Las

versiones servidor de Windows 2000 y Windows 2003 incluyen un servidor RADIUS, que

se denomina IAS (Internet Access Server). Este, como la mayoría de los servidores

RADIUS tiene varias limitaciones de plataforma, S.O, etc que se comentarán más adelante.

Como se mostró, el servidor RADIUS tiene la función de Autenticar y de Autorizar a los

clientes de WIFI. Los servidores RADIUS más completos incluyen una tercera función que

es el Accounting, por eso se denominan "AAA" o "Triple A". Para finalizar, digamos que

en lo que respecta a Seguridad WI-FI, los Servidores RADIUS, además de autenticar y

autorizar el acceso de usuarios añaden otras ventajas muy relevantes:

A diferencia de las VPN, protegen la capa 2 pues cifran el canal antes que el

usuario sea autenticado y reciba su IP. La VPN necesita una dirección IP para

autenticar al usuario.

El servidor RADIUS genera claves dinámicamente, lo que mitiga

significativamente las deficiencias del protocolo de encriptación WEP.

Antes de la introducción de 802.11i, los fabricantes de WLAN intentaron compensar los

fallos internos de WEP usando una solución conocida como Acceso Protegido Wi-Fi

(WPA), desarrollado al amparo de la alianza Wi-Fi. Las características más importantes de

WPA son la anulación de llaves Débiles (“WEP plus”), habilitación de la autentificación

EAP y el protocolo temporal de integración de llaves (TKIP). TKIP está diseñado para

evitar los puntos débiles reemplazando las llaves estáticas con llaves modificadas

dinámicamente e implementando comprobaciones de integridad ampliamente

incrementadas. Por razones de compatibilidad descendente TKIP aún usa el débil flujo de

codificación RC4. WPA2 es el término que Wi-Fi Alliance usa para referirse a la

implementación de todos los componentes obligatorios del estándar 802.11i.

15

1.4 Tecnologías inalámbricas.

Las WLAN son solo uno de los usos que se dan al espectro de RF. A continuación se ilustra

la relación de velocidad “distancia frente a datos” que existe entre las diferentes tecnologías

inalámbricas, así como las distintas bandas de radiofrecuencia y su uso típico.

Figura 1.2. Distancia frente a velocidad.

Tabla 1.1. Uso de las Radiofrecuencias.

BANDA DE

FRECUENCIADESIGNACIÓN USO Y PROPAGACIÓN

30 a 30 KHz.

Frecuencia muy baja

(VLF, Very Low

Frequency)

Denominadas ondas superficiales, se utilizan

en todo el mundo para las comunicaciones a

larga distancia.

30 a 300 KHzFrecuencia baja

(LF, Low Frequency)

Denominadas ondas terrestres, se utilizan para

la comunicación a larga distancia y la difusión

de ondas largas.

300 a 3000 KHz

Frecuencia media

(MF, Medium

Frequency)

También denominadas ondas terrestres, se

utilizan en la difusión de ondas medias.

LANinalámbricasinfrarrojas

LANinalámbricasde espectro

disperso

LAN inalámbricasde banda estrecha

Circuito y datos de paqueteCelular

PCS de banda estrecha Satélite

PCS de banda ancha

Local Ancho

50 Mbps

10 Mbps

2 Mbps

1 Mbps

56 kbps

19.6 kbps

9.6 kbps

Ve

locida

des de

datos

Área cubierta

16

3 a 30 MHz

Frecuencia alta

(HF, High

Frequency)

Continuación tabla 1.1

Denominadas ondas de cielo, se utilizan para la

comunicación a larga distancia y la difusión de

ondas cortas.

30 a 300 MHz

Frecuencia muy alta

(VHF, Very High

Frequency)

Denominadas ondas de espacio, se utilizan para

intervalos cortos, comunicaciones móviles y

difusión de sonido.

300 a 3000 MHz

Frecuencia ultra

elevada

(UHF, Ultra High

Frequency)

También denominadas ondas de espacio, se

utilizan para intervalos cortos, difusión de

televisión y enlaces punto a punto.

3 a 30 GHz

Frecuencia súper

elevada

(SHF, Super High

Frequency)

También denominadas ondas de espacio, se

utilizan para enlaces punto a punto, radar y

comunicación por satélite.

Mas de 30 GHz

Frecuencia

extremadamente

Alta (EHF, Extra

Higt Frequency)

También denominadas ondas de espacio, se

utilizan en comunicaciones entre satélites y

telefonía de radio microcelular.

Las tecnologías inalámbricas están compuestas de muchos parámetros variables, algunas

tecnologías proporcionan comunicaciones de una sola dirección, mientras que otras ofrecen

comunicaciones simultáneas en dos direcciones. Así mismo, algunos operan a niveles de

energía bajos, y otras operan a niveles de energía altos y pueden ser digitales o analógicas.

En la siguiente tabla se pueden visualizar los parámetros de las tecnologías inalámbricas.

17

Tabla 1.2 Parámetros de tecnologías inalámbricas.

FRECUENCIA BAJA (HZ) A ALTA (GHZ)

Nivel de energía Bajo(<1 MW) a alto (>100.000 W)

Ancho de banda Banda estrecha a banda ancha

Diálogo Unidireccional a dúplex

Intervalo de señal Corto(<30,5 m) a largo (miles de millas)

Tipo de señal Digital o analógica

Ruta de la señal Directa o reflexiva

Aplicaciones Fija o móvil

Cobertura Área local o amplia

Velocidad de datos Baja (10 kbps) a alta (>10 Mbps)

Coste Barata a cara

Las tecnologías inalámbricas llevan entre nosotros muchos años. La televisión, la radio

AM/FM, la TV por satélite, los teléfonos móviles, los dispositivos de control remoto, los

sistemas de alarma y los teléfonos inalámbricos son algunas de las cosas que forman parte

de la vida cotidiana.

Dentro de la tecnología inalámbrica encontramos la tecnología celular y digital, que se

remontan de la década de los 1940, cuando se inicio la telefonía móvil comercial. La

revolución inalámbrica empezó después de que aparecieran los microprocesadores

económicos y la conmutación digital. Los siguientes puntos describen estas tecnologías:

Terrestre (basada en tierra). Esta categoría incluye las microondas y los

infrarrojos, entre otros, el coste es relativamente bajo y normalmente se requiere

una línea visual.

Tecnologías celulares móviles:

− Primera generación (AMPS, CDPD). Estos sistemas principalmente

analógicos utilizan señales eléctricas continuas para la transmisión y

18

recepción de información, con velocidades de hasta 14.4 kbps.

− Segunda generación (PCS) Estos sistemas digitales tienen varias ventajas,

incluyendo una mejor cobertura, mas llamadas por canal, menor

interferencia por ruido, y la posibilidad de añadir nuevas características

como la mensajería corta, maneja velocidades de hasta 64 kbps.

− Tercera generación (WCDMA/IMT2000, CDMA2000). 3G es una

tecnología móvil de banda ancha. Además de voz y datos, 3G envía audio y

video a los dispositivos inalámbricos en cualquier parte del mundo. Las dos

tecnologías 3G en competencia son CDMA de banda ancha (WCDMA en

Norteamérica, UMTS en Europa) y CDMA2000. Las velocidades pueden

alcanzar los 2 Mbps.

Tecnología DSSS y FHSS. Son tecnologías de espectro disperso utilizadas por

las WLAN, incluyendo 802.11b, y que operan a 11 Mbps, la cobertura de la

línea de visión esta disponible hasta los 40.2 km.

Satélite (celestial). Además de para entregar la señal de TV, los satélites también

pueden servir a los usuarios de voz móviles y a los usuario remotos que suelen

estar lejos de los cables. El costo de este servicio es alto. Algunos tipos de

satélites son LEO (Orbita Terrestre Baja), MEO (Orbita Terrestre Media) y

GEO (Orbita Terrestre Geosincrona).

Otra Tecnología inalámbrica importante es el Radio Celular que proporciona el servicio de

telefonía móvil empleando una red de sitios celulares distribuidos por un área amplia. Un

sitio celular contiene un transceptor de radio y un controlador de estación base. La estación

base manipula recibe y transmite, el trafico de las áreas móviles ubicadas en su área

geográfica. Un sitio celular también tiene una torre y unas antenas, así como un enlace

como un switch distante.

Las redes inalámbricas funcionan en base a transmisiones infrarrojo o radiofrecuencias para

unir los dispositivos portátiles a las redes. Éstas adquieren día a día mayor popularidad

porque día a día son más necesarias.

19

Las señales infrarrojo sólo funcionan dentro de la misma habitación pero las transmisiones

de radiofrecuencias pueden funcionar casi a través de cualquier pared. Esto es interesante y

conveniente ya que por ejemplo, en una oficina puede necesitarse compartir la información

dentro del mismo espacio (como una habitación / oficina). Para este fin puede utilizarse una

red inalámbrica infrarrojo. Nadie se tropieza con los cables ni contaminan visualmente. Por

igual, no necesita que la información traspase paredes. Para oficinas más extensas o

cualquier otro lugar de mayor dimensión, las redes de radiofrecuencias pueden representar

una gran opción para solucionar dicho asunto.

Los teléfonos portátiles (móviles o celulares) utilizan esta tecnología inalámbrica. Son

redes de área amplia (WAN, del inglés wide area network) y ejemplifican a la perfección lo

efectivo y práctico de la tecnología inalámbrica.

1.5 Topologías WLAN Básicas.

Las redes LAN inalámbricas se construyen utilizando las siguientes topologías básicas:

Topología de infraestructura básica.

Topología igual a igual.

Topología de infraestructura extendida.

Marcación telefónica.

Banda ancha.

1.5.1 Topología de infraestructura.

Una topología de infraestructura básica (BSS, Basic Service Set) es aquella que extiende

una red LAN con cable existente para incorporar dispositivos inalámbricos mediante una

estación base, denominada punto de acceso. El punto de acceso une la red LAN inalámbrica

20

y la red LAN con cable y sirve de controlador central de la red LAN inalámbrica. El punto

de acceso coordina la transmisión y recepción de múltiples dispositivos inalámbricos dentro

de una extensión específica; la extensión y el número de dispositivos dependen del estándar

de conexión inalámbrica que se utilice y del producto. En la modalidad de infraestructura,

puede haber varios puntos de acceso para dar cobertura a una zona grande o un único punto

de acceso para una zona pequeña, ya sea un hogar o un edificio pequeño.

Figura 1.3. Red de la modalidad de infraestructura.

Para que se este tipo de redes funcione, el portátil o dispositivo inteligente, denominado

"estación" en el ámbito de las redes LAN inalámbricas, primero debe identificar los puntos

de acceso y las redes disponibles. Este proceso se lleva a cabo mediante el control de las

tramas de señalización procedentes de los puntos de acceso que se anuncian a sí mismos o

mediante el sondeo activo de una red específica con tramas de sondeo.

La estación elige una red entre las que están disponibles e inicia un proceso de

autenticación con el punto de acceso. Una vez que el punto de acceso y la estación se han

verificado mutuamente, comienza el proceso de asociación.

La asociación permite que el punto de acceso y la estación intercambien información y

datos de capacidad. El punto de acceso puede utilizar esta información y compartirla con

otros puntos de acceso de la red para diseminar la información de la ubicación actual de la

21

estación en la red. La estación sólo puede transmitir o recibir tramas en la red después de

que haya finalizado la asociación.

En la modalidad de infraestructura, todo el tráfico de red procedente de las estaciones

inalámbricas pasa por un punto de acceso para poder llegar a su destino en la red LAN con

cable o inalámbrica.

El acceso a la red se administra mediante un protocolo que detecta las portadoras y evita las

colisiones. Las estaciones se mantienen a la escucha de las transmisiones de datos durante

un período de tiempo especificado antes de intentar transmitir (ésta es la parte del protocolo

que detecta las portadoras). Antes de transmitir, la estación debe esperar durante un período

de tiempo específico después de que la red está despejada. Esta demora, junto con la

transmisión por parte de la estación receptora de una confirmación de recepción correcta,

representa la parte del protocolo que evita las colisiones. Observe que, en la modalidad de

infraestructura, el emisor o el receptor es siempre el punto de acceso.

Dado que es posible que algunas estaciones no se escuchen mutuamente, aunque ambas

estén dentro del alcance del punto de acceso, se toman medidas especiales para evitar las

colisiones. Entre ellas, se incluye una clase de intercambio de reserva que puede tener lugar

antes de transmitir un paquete mediante un intercambio de tramas "petición para emitir" y

"listo para emitir", y un vector de asignación de red que se mantiene en cada estación de la

red. Incluso aunque una estación no pueda oír la transmisión de la otra estación, oirá la

transmisión de "listo para emitir" desde el punto de acceso y puede evitar transmitir durante

ese intervalo.

El proceso de movilidad de un punto de acceso a otro no está completamente definido en el

estándar. Sin embargo, la señalización y el sondeo que se utilizan para buscar puntos de

acceso y un proceso de reasociación que permite a la estación asociarse a un punto de

acceso diferente, junto con protocolos específicos de otros fabricantes entre puntos de

acceso, proporcionan una transición fluida.

22

La sincronización entre las estaciones de la red se controla mediante las tramas de

señalización periódicas enviadas por el punto de acceso. Estas tramas contienen el valor de

reloj del punto de acceso en el momento de la transmisión, por lo que sirve para comprobar

la evolución en la estación receptora. La sincronización es necesaria por varias razones

relacionadas con los protocolos y esquemas de modulación de las conexiones inalámbricas.

1.5.2 Topología de igual a igual.

En una topología de igual a igual ad hoc (IBSS, independent BSS) los propios dispositivos

inalámbricos crean la red LAN y no existe ningún controlador central ni puntos de acceso.

Cada dispositivo se comunica directamente con los demás dispositivos de la red, en lugar

de pasar por un controlador central. Esta topología es práctica en lugares en los que pueden

reunirse pequeños grupos de equipos que no necesitan acceso a otra red. Ejemplos de

entornos en los que podrían utilizarse redes inalámbricas ad hoc serían un domicilio sin red

con cable o una sala de conferencias donde los equipos se reúnen con regularidad para

intercambiar ideas.

Figura 1.4 Red ad hoc.

23

Por ejemplo, cuando se combinan con la nueva generación de software y soluciones par a

par inteligentes actuales, estas redes inalámbricas ad hoc pueden permitir a los usuarios

móviles colaborar, participar en juegos de equipo, transferir archivos o comunicarse de

algún otro modo mediante sus PC o dispositivos inteligentes sin cables.

1.5.3 Topología de infraestructura extendida.

Un conjunto de servicio extendido (ESS, Extended Service Set) se define como dos o más

BSS que están conectadas mediante un sistema de distribución común. Esto permite la

creación de una red inalámbrica de un tamaño y una complejidad arbitrarios. Como ocurre

con un BSS, todos los paquetes deben atravesar a uno de los AP.

1.6 Dispositivos inalámbricos.

Una vez establecidos las distintas topologías que determinarán como se comunicarán los

puntos dentro de la red WLAN, debo determinar que dispositivos son necesarios. A

continuación definiremos los elementos físicos que la constituyen.

Adaptadores de red inalámbricos.

Estos son las interfaces que conectarán los equipos de los usuarios (PC, Notebooks, etc.) a

la estructura de red. Estos elementos tienen distintos modelos según la forma en que se

conectarán al equipo del usuario. Hay tres dispositivos internos para conectarse a los buses

PCMCIA, PCI y COMPACTFLASH y uno externo para conectarlo al conector USB del

equipo usuario.

Figura 1.5 Adaptadores de red inalámbricos.

24

Punto de Acceso Inalámbrico.

Este dispositivo permite a los equipos que poseen Adaptadores de Red Inalámbricos

conectarse entre sí. Además permite comunicarse con otros Puntos de Acceso de modo de

ampliar la cobertura de la LAN. Esta última función se asocia a una funcionalidad como

Bridge. Además de conectar equipos de usuarios se pueden conectar switches o routers

pertenecientes a la infraestructura de red de cableado de cobre o fibra preexistente.

Cuando es necesario unir mi LAN con otra LAN (Internet por ejemplo), es necesario

utilizar este dispositivo que será el encargado de interpretar las direcciones de origen y

destino de mis comunicaciones internas o externas y encaminarlas convenientemente.

Figura 1.6 Puntos de Acceso.

Antenas.

Si bien cada uno de los dispositivos WLAN anteriores poseen un dispositivo radiador

básico que le permite comunicarse con otros dispositivos cercanos, es posible que las

distancias entre los usuarios sea tal en donde deba utilizar Antenas con características

especiales. Normalmente el tipo de antena utilizar se elige según la topología de los puntos

a unir. Por ejemplo para una topología punto a punto utilizaremos una antena direccional

que concentre la potencia en un determinado sentido. Para una topología Punto-Multipunto

utilizaremos una Antena Omnidireccional en el centro geográfico de mi red y antenas

direccionales en apuntando a este centro en los puntos circundantes.

25

Figura 1.7 Ejemplos de antenas.

Amplificadores.

Cuando con la potencia radiada por las antenas no se alcanzan a cubrir adecuadamente la

dispersión de usuarios de la red, es necesario agregar amplificadores para la señal de

transmisión.

Figura 1.8 Amplificadores.

26

Capítulo 2. Seguridad de los sistemas de información.

La seguridad de los sistemas de información (SSI) se refiere en primer lugar y

esencialmente a la información y a los "tratamientos" que se le aplican. Las necesidades,

requerimientos y objetivos técnicos u organizacionales derivan naturalmente de ella. Se

deben tomar en cuenta tres criterios fundamentales: la confidencialidad, la integridad y la

disponibilidad, tanto de los datos como de los sistemas y de los entornos en los cuales estos

se encuentran.

La SSI está directamente vinculada con la apreciación y el tratamiento de los riesgos. Estos

riesgos se califican como operativos porque afectan directamente a las actividades de las

instituciones y empresas. Efectivamente, el organismo que utiliza soportes de las

tecnologías de la información y la comunicación (TIC), especialmente Internet, para

realizar sus actividades y transacciones comerciales, está directamente involucrado en la

SSI.

2.1 Principios de la seguridad informática.

La información es un activo que, como otros activos importantes de las organizaciones

tiene un gran valor, por lo tanto, existe la necesidad de proteger a la información. La

seguridad de la información tiene como principal objetivo proteger los recursos y

mantener los procesos de red empresariales.

La información puede existir en muchas formas y estar soportada por diferentes

medios ya que la información puede estar impresa, almacenada en algunos dispositivos

electrónicos o magnéticos, viajando por la red de la empresa o por Internet, etc.

27

Podemos identificar 3 elementos importantes que la seguridad de la información busca

proteger estos son:

a) La información

b) Los Equipos que la soportan (Software y Hardware)

c) Las personas que la utilizan.

Figura 2.1. Elementos que soporta la seguridad de la información.

a) Información.

En este grupo están los elementos que contienen información registrada, en medios

electrónicos o físicos, dentro de los más importantes tenemos:

Libros.

Manuales.

Patentes.

Información de mercado.

Código de programación.

LaInformación

La Seguridad dela Información

Los equipos quela soportan

Las personas quela utilizan

28

Líneas de comando.

Archivos de configuración.

Listas de Clientes y/o proveedores.

Planillas de sueldos de empleados.

Plan de negocios de una organización, etc.

b) Equipos que soportan la información:

b.1 Software.

Este grupo de activos contiene todos los programas computacionales que se utilizan

para la automatización de procesos, es decir, acceso, lectura, tránsito y

almacenamiento de la información como son:

Las aplicaciones comerciales.

Programas institucionales.

Sistemas operativos.

Las aplicaciones deberán estar seguras para que la comunicación entre las bases de

datos, otras aplicaciones y los usuarios se realice de forma segura, atendiendo a los

principios básicos de la seguridad de la información.

b. 2 Hardware.

Estos activos representan toda la infraestructura tecnológica que brinda soporte a la

información durante su uso, tránsito y almacenamiento. Los activos que pertenecen a

este grupo son cualquier equipo en el cual se almacene, procese o transmita la

información de la organización como son:

Las computadoras.

Los servidores.

29

Los equipos portátiles.

Los mainframes.

Los medios de almacenamiento.

Los equipos de conectividad, enrutadores, switchs, etc.

c) Usuarios.

El grupo usuarios se refiere a los individuos que utilizan la estructura tecnológica y de

comunicación de la organización y que manejan la información. El enfoque de la seguridad

en los usuarios, está orientado hacia la toma de conciencia de formación del hábito de la

seguridad para la toma de decisiones y acción por parte de todos los empleados de una

organización, desde su alta dirección hasta los usuarios finales de la información,

incluyendo los grupos que mantienen en funcionamiento la estructura tecnológica, como los

técnicos, operadores y administradores de ambientes tecnológicos. Ejemplos de este tipo de

activos:

Empleados del área de contabilidad.

Directivos de la organización.

2.2 Conceptos básicos de la seguridad de la información.

Una vez que conocemos los diferentes tipos de activos que podemos encontrar en las

organizaciones, ahora profundizaremos en los principios básicos que nos ayudarán a

proteger el activo de mayor valor en los negocios modernos: la información.

Proteger los activos significa mantenerlos seguros contra amenazas que puedan afectar su

funcionalidad:

Corrompiéndola.

accediéndola indebidamente.

eliminándola o hurtándola.

30

Por lo tanto, entendemos que la seguridad de la información tiene como propósito proteger

a los activos de una organización con base en la preservación de tres principios básicos:

1. Integridad.

2. Confidencialidad.

3. Disponibilidad.

1) Principio de la integridad de la información.

El primero de los tres principios de la seguridad de la información que aplicamos es la

integridad, la cual nos permite garantizar que la información no ha sido alterada de forma

no autorizada en su contenido, por tanto, es íntegra.

La integridad de la información es fundamental para el éxito de la comunicación. El

receptor deberá tener la seguridad de que la información obtenida, leída u oída es

exactamente la misma que fue colocada a su disposición para una debida finalidad.

La perdida de integridad ocurre cuando la información se corrompe, falsifica o burla. Una

información se podrá alterar de varias formas, tanto su contenido como el ambiente que la

soporta. Por lo tanto, la perdida de la integridad de la información se podrá considerar bajo

dos aspectos:

a) Alteraciones del Contenido de la Información: Donde se realizan inserciones,

sustituciones o remociones de partes de su contenido.

b) Alteraciones en los Elementos que Soportan la Información: Donde se realizan

alteraciones en la estructura física y lógica de donde una información está almacenada

o soportada.

31

2) Principio de la confidencialidad de la información.

El principio de la confidencialidad de la información tiene como propósito el asegurar que

sólo el personal autorizado tenga acceso a la información.

La información que se intercambian entre individuos y organizaciones no siempre deberá

ser conocida por todo el mundo. Mucha de la información generada por las personas se

destina a un grupo específico de individuos, y muchas veces a una única persona. Eso

significa que estos datos deberán ser conocidos sólo por un grupo controlado de personas,

definido por el responsable de la información.

Por ese motivo, se dice que la información posee un grado de confidencialidad que se

deberá preservar para que personas sin autorización no la conozcan. Tener confidencialidad

en la comunicación, es la seguridad de que lo que se dijo a alguien o escribió en algún lugar

será escuchado o leído sólo por quien tenga ese derecho.

3) Principio de disponibilidad de la información:

Una vez que nos aseguramos que la información correcta llegue a los destinatarios o

usuarios correctos, ahora lo que debemos garantizar es que llegue en el momento oportuno,

y precisamente de esto trata el tercer principio de la seguridad de la información: la

disponibilidad. Para que una información se pueda utilizar, deberá estar disponible. Esto se

refiera a la disponibilidad de la información y de toda la estructura física y tecnológica que

permite el acceso, tránsito y almacenamiento.

La disponibilidad de la información permite que:

Se utilice cuando sea necesario.

Que esté al alcance de sus usuarios y destinatarios.

Se pueda accederla en el momento en que necesitan utilizarla.

32

Este principio está asociado a la adecuada estructuración de un ambiente tecnológico y

humano que permita la continuidad de los negocios de la organización o de las personas,

sin impactos negativos para la utilización de la información.

No basta estar disponible: la información deberá estar accesibles en forma segura para que

se pueda usar en el momento en que se solicita y que se garantice su integridad y

confidencialidad.

Así, el ambiente tecnológico y los soportes de la información deberán estar funcionando

correctamente y en forma segura para que la información almacenada en los mismos y que

transita por ellos pueda ser utilizada por sus usuarios.

2.3 Amenazas.

Las amenazas son agentes capaces de explotar los fallos de seguridad, que denominamos

puntos débiles o vulnerabilidades y, como consecuencia de ello, causar pérdidas o daños a

los activos de una organización, afectando a sus negocios.

Los activos están constantemente sometidos a amenazas que pueden colocar en riesgo la

integridad, confidencialidad y disponibilidad de la información. Estas amenazas siempre

existirán y están relacionadas a causas que representan riesgos, las cuales pueden ser:

Causas naturales o no naturales.

Causas internas o externas.

Por lo tanto, entendemos que uno de los objetivos de la seguridad de la información es

impedir que las amenazas exploten puntos débiles y afecten alguno de los principios

básicos de la seguridad de la información (integridad, disponibilidad, confidencialidad),

causando daños al negocio de las organizaciones. Dada la importancia de las amenazas y el

impacto que puede tener para la información de las organizaciones revisemos ahora su

clasificación.

33

2.3.1 Tipos de amenazas.

Las amenazas son constantes y pueden ocurrir en cualquier momento. Esta relación de

frecuencia-tiempo, se basa en el concepto de riesgo, lo cual representa la probabilidad de

que una amenaza se concrete por medio de una vulnerabilidad o punto débil. Las mismas se

podrán dividir en tres grandes grupos.

1. Amenazas Naturales – condiciones de la naturaleza y la intemperie que podrán

causar daños a los activos, tales como fuego, inundación, terremotos.

2. Intencionales – son amenazas deliberadas, fraudes, vandalismo, sabotajes,

espionaje, invasiones y ataques, robos y hurtos de información, entre otras.

3. Involuntarias - son amenazas resultantes de acciones inconscientes de usuarios,

por virus electrónicos, muchas veces causadas por la falta de conocimiento en el uso

de los activos, tales como errores y accidentes.

Las amenazas siempre han existido y es de esperarse que conforme avance la tecnología

también surgirán nuevas formas en las que la información puede llegar a estar expuesta, por

tanto es importante conocer el marco general en cómo clasifican las vulnerabilidades o

puntos débiles que pueden hacer que esas amenazas impacten nuestro sistemas,

comprometiendo los principios de la seguridad de nuestra información. Los puntos débiles

son los elementos que, al ser explotados por amenazas, afectan la confidencialidad,

disponibilidad e integridad de la información de una organización. Uno de los primeros

pasos para la implementación de la seguridad es rastrear y eliminar los puntos débiles de un

ambiente de tecnología de la información. Al ser identificados los puntos débiles, será

posible dimensionar los riesgos a los cuales el ambiente está expuesto y definir las medidas

de seguridad apropiadas para su corrección. La existencia de puntos débiles está

relacionada con la presencia de elementos que perjudican el uso adecuado de la

información y del medio en que la misma se está utilizando.

34

Las vulnerabilidades a las cuales los activos están expuestos pueden ser:

Físicas.

Naturales.

De hardware.

De software

De medios de almacenamiento.

De comunicación.

Humanas.

Físicas.

Figura 2.2. Vulnerabilidades de los activos.

a) Vulnerabilidades Físicas.

Los puntos débiles de orden físico son aquellos presentes en los ambientes en los cuales la

información se está almacenando o manejando. Como ejemplos de este tipo de

vulnerabilidad se distinguen:

Instalaciones inadecuadas del espacio de trabajo.

Ausencia de recursos para el combate a incendios.

Disposición desorganizada de cables de energía y de red.

Ausencia de identificación de personas y de locales.

35

Estos puntos débiles, al ser explotados por amenazas, afectan directamente los principios

básicos de la seguridad de la información, principalmente la disponibilidad.

b) Vulnerabilidades Naturales.

Los puntos débiles naturales son aquellos relacionados con las condiciones de la naturaleza

que puedan colocar en riesgo la información. Muchas veces, la humedad, el polvo y la

contaminación podrán causar daños a los activos. Por ello, los mismos deberán estar

protegidos para poder garantizar sus funciones.

La probabilidad de estar expuestos a las amenazas naturales es determinante en la elección

y montaje de un ambiente. Se deberán tomar cuidados especiales con el local, de acuerdo

con el tipo de amenaza natural que pueda ocurrir en una determinada región geográfica.

Entre las amenazas naturales más comunes podemos citar:

Ambientes sin protección contra incendios.

Locales próximos a ríos propensos a inundaciones.

Infraestructura incapaz de resistir a las manifestaciones de la naturaleza como

terremotos, maremotos, huracanes etc.

c) Vulnerabilidades de Hardware.

Los posibles defectos en la fabricación o configuración de los equipos de la empresa que

pudieran permitir el ataque o alteración de los mismos.

Existen muchos elementos que representan puntos débiles de hardware. Entre ellos

podemos mencionar:

Ausencia de actualizaciones conforme con las orientaciones de los fabricantes.

de los programas que se utilizan.

Conservación inadecuada de los equipos.

36

d) Vulnerabilidades de Software.

Los puntos débiles de aplicaciones permiten que ocurran accesos indebidos a sistemas

informáticos incluso sin el conocimiento de un usuario o administrador de red.

Los puntos débiles relacionados con el software podrán ser explotados por diversas

amenazas ya conocidas. Entre éstos destacamos:

― La configuración e instalación indebidas de los programas de computadora, que

podrán llevar al uso abusivo de los recursos por parte de usuarios mal

intencionados.

Las aplicaciones son los elementos que realizan la lectura de la información y que permiten

el acceso de los usuarios a dichos datos en medio electrónico y, por esta razón, se

convierten en el objetivo predilecto de agentes causantes de amenazas.

También podrán tener puntos débiles de aplicaciones los programas utilizados para la

edición de texto e imagen, para la automatización de procesos y los que permiten la lectura

de la información de una persona o empresa, como los navegadores de páginas del Internet.

Los sistemas operativos como Microsoft Windows y Unix , que ofrecen la interfaz para

configuración y organización de un ambiente tecnológico. Estos son el blanco de ataques,

pues a través de los mismos se podrán realizar cualquier alteración de la estructura de una

computadora o red.

e) Vulnerabilidades de Medios de Almacenamiento.

Los medios de almacenamiento son los soportes físicos o magnéticos que se utilizan para

almacenar la información. Entre los tipos de soporte o medios de almacenamiento de la

información que están expuestos podemos citar:

Disquetes.

37

CD-Rom.

Cintas Magnéticas.

Discos Duros de los servidores y PC`s.

Si los soportes que almacenan información, no se utilizan de forma adecuada, el contenido

en los mismos podrá estar vulnerable a una serie de factores que podrán afectar la

integridad, disponibilidad y confidencialidad de la información

f) Vulnerabilidades de Comunicación.

Este tipo de punto débil abarca todo el tránsito de la información. Donde sea que la

información transite, ya sea vía cable, satélite, fibra óptica u ondas de radio, debe existir

seguridad. El éxito en el tránsito de los datos es un aspecto crucial en la implementación de

la seguridad de la información. Hay un gran intercambio de datos a través de medios de

comunicación que rompen barreras físicas tales como teléfono, Internet, WAP, fax, etc.

Siendo así, estos medios deberán recibir tratamiento de seguridad adecuado con el

propósito de evitar que:

Cualquier falla en la comunicación haga que una información quede no

disponible para sus usuarios, o por el contrario, estar disponible para quien no

posee derechos de acceso.

La información sea alterada en su estado original, afectando su integridad.

Por lo tanto, la seguridad de la información también está asociada con el desempeño de los

equipos involucrados en la comunicación, pues se preocupa por: la calidad del ambiente

que fue preparado para el tránsito, tratamiento, almacenamiento y lectura de la información.

38

g) Vulnerabilidades Humanas.

Esta categoría de vulnerabilidad está relacionada con los daños que las personas pueden

causar a la información y al ambiente tecnológico que la soporta.

Los puntos débiles humanos también pueden ser intencionales o no. Muchas veces, los

errores y accidentes que amenazan a la seguridad de la información ocurren en ambientes

institucionales. La mayor vulnerabilidad es el desconocimiento de las medidas de seguridad

adecuadas para ser adoptadas por cada elemento constituyente, principalmente los

miembros internos de la empresa.

Destacamos dos puntos débiles humanos por su grado de frecuencia:

La falta de capacitación específica para la ejecución de las actividades

inherentes a las funciones de cada uno.

La falta de conciencia de seguridad para las actividades de rutina, los errores

Omisiones, insatisfacciones etc.

En lo que se refiere a las vulnerabilidades humanas de origen externo, podemos considerar

todas aquéllas que puedan ser exploradas por amenazas como:

Vandalismo.

Estafas.

Invasiones, etc.

Ingeniería Social.

39

Capítulo 3. Seguridad en Redes WLAN.

Cada vez más usuarios disfrutan de la flexibilidad y comodidad que brinda una red

inalámbrica para el acceso a Internet y redes privadas. Sin embargo, además de ventajas,

las conexiones inalámbricas presentan algunos riesgos para la seguridad que debería

solucionar antes de empezar a utilizarlas.

Las principales características por lo que las redes inalámbricas son vulnerables son las

siguientes:

a) Día con día la tecnología inalámbrica se vuelve más accesible por el bajo costo

de los equipos.

b) Fácil instalación de los equipos.

c) Supera obstáculos geográficos.

d) Movilidad de usuarios.

e) Herramientas e información en Internet.

3.1 Controles de seguridad en redes WLAN.

La mayoría de los incidentes de seguridad inalámbrica se producen porque el

administrador de la red no implementa las contramedidas necesarias. Por consecuencia,

además de identificar la existencia de vulnerabilidades dentro de la red y encontrar una

contramedida que funcione, también es fundamental verificar que esta medida esta

presente y además funciona correctamente.

40

Aquí es donde el proceso de la seguridad WLAN promueve el uso continuo de aplicación

de medidas de seguridad de la red y también promueve el hecho de volver a aplicar y

probar medidas de seguridad actualizadas en forma continua.

Para lograr la continuidad en este proceso de seguridad es necesario:

1. Asegurar. Este paso implementa las soluciones de seguridad WLAN para evitar el

acceso o las actividades no autorizadas y para proteger la información utilizando lo

siguiente:

Autenticación (802.1X).

Encriptación o cifrado (WEP o AES).

Integridad (CRC o MIC).

Filtros del tráfico.

VLAN y VPN.

Deshabilitar o asegurar los servicios.

Control del área de cobertura inalámbrica.

2. Monitorizar. Este paso implica realizar las siguientes acciones.

Detectar violaciones de la política de seguridad de la WLAN.

Auditar el sistema implicado, llevar registros y detectar intrusiones en tiempo

real.

Detectar AP Falsos.

Validar la implementación de seguridad del paso anterior.

3. Probar. Este paso valida la eficacia de la política de seguridad de la WLAN

mediante la auditoría del sistema y la búsqueda de vulnerabilidades inalámbricas y

cableadas.

4. Mejorar. Este paso implica las siguientes acciones:

41

Utilizar la información de los pasos anteriores para mejorar la implementación

WLAN

Ajustar la política de seguridad a medida que se identifiquen vulnerabilidades y

riesgos en el ámbito inalámbrico.

.

3.2 Sistemas de seguridad en equipos.

Los AP y los puentes inalámbricos deben ser asegurados. Aquí se explicara los pasos

básicos que deben seguirse para asegurar el equipo de la infraestructura inalámbrica:

Tener una política de seguridad inalámbrica.

Tener una seguridad física fuerte y una instalación correcta.

Controlar los niveles de potencia, la cobertura de la antena y el tamaño de la

célula.

Evitar los ajustes predeterminados para las contraseñas, los SSID, etc.

Desactivar los protocolos, servicios, la difusión de los SSID, etcétera,

innecesarios.

Utilizar WEP de 128 bits.

Utilizar contraseñas sólidas.

Utilizar filtros de las capas 2, 3 y 4.

Mantener actualizado el firmware.

Administrar los dispositivos a través de conexiones SSH o SSL.

3.2.1 Mecanismos de seguridad para una WLAN.

La tecnología que soporta las redes WLAN proporciona mecanismos de seguridad para

impedir que personal no autorizado tenga acceso a las redes inalámbricas.

A continuación se describen los mecanismos básicos de seguridad para una red WLAN.

42

SSID (service set identifier “identificadores de servicio”).

El identificador de Servicios (SSID) es un código alfanumérico que se configura en cada

ordenador y punto de acceso que forma parte de la red inalámbrica. Este código puede ser

utilizado como una simple contraseña entre la estación y el punto de acceso o como un

identificador de un punto de acceso en una red publica. Existen puntos de acceso que

permiten que se les deshabilite el sistema (SSID). Lo cierto es que este sistema no

garantiza excesivamente la seguridad, ya que los códigos SSID son emitidos en forma de

texto sin codificar. Cualquier receptor con el software adecuado puede averiguar estos

datos. De hecho Windows XP incluye un programa que es capaz de detectar

automáticamente estos códigos y mostrarle al usuario la lista de redes (lista de SSID)

detectadas para que el usuario elija a cual conectarse. También existe otra variante del

SSID conocida como ESSID (Extended Service Set Identifier, identificador de servicio

extendido)

Restricción por direcciones MAC.

Se puede restringir el acceso a una red WLAN generando una lista de direcciones MAC y

limitar el acceso solo a aquellos dispositivos contemplados en la lista de direcciones MAC.

Las direcciones MAC están formadas por 12 caracteres alfanuméricos (por ejemplo 12-AB-

56-78-90-FE) que corresponden al identificador de la tarjeta de red, las direcciones MAC

no son modificables por el usuario. No obstante es cierto que estas direcciones se trasmiten

en forma de texto sin codificar y por tanto son fácilmente leíbles con un receptor adecuado.

Un intruso experimentado podría leer una dirección correcta, configurándose a su

dispositivo y acceder a la red sin problema.

WEP (wired equivalency protocol, “protocolo de equivalencia de red”).

Una medida de seguridad de las redes WLAN consiste en el algoritmo de cifrado WEP.

Con este sistema se cifran todos los datos que se intercambian entre los dispositivos y los

puntos de acceso. WEP utiliza el algoritmo de cifrado PRNG (Generación de Números

43

Pseudo aleatorios) RC4 desarrollado en 1987 por RSA Data Security. El estándar IEEE

802.11 WEP especifica una clave estática de 40 bits que puede exportarse y utilizarse

universalmente. La mayoría de los fabricantes tiene WEP extendida a 128 bits o más. Al

utilizar WEP tanto el cliente inalámbrico como el AP deben tener una clave coincidente.

El estándar 802.11 ofrece dos esquemas para definir las claves WEP para ser utilizadas en

una WLAN. En el primer esquema, un conjunto de cuatro claves predeterminadas son

compartidas por todas las estaciones, incluyendo clientes y AP de un subsistema

inalámbrico. Cuando un cliente obtiene las claves predeterminadas, puede comunicarse con

seguridad a las siguientes estaciones del subsistema. El problema de las claves

predeterminadas es que cuando se distribuyen ampliamente, es más probable que sean

conocidas por personas no autorizadas.

En el segundo esquema cada cliente establece una relación clave-asignación con otra

estación. Es la forma de funcionamiento más segura, porque son menos estaciones las que

poseen las claves. No obstante la distribución de dichas claves se complica a medida que

aumenta el número de estaciones.

El sistema de cifrado WEP consiste en aplicar a los datos originales la operación lógica

XOR utilizando una clave generada de forma pseudoaleatorea. Los datos cifrados

resultantes son los que se transmiten al medio.

Para generar la clave pseudoaleatoria, se utiliza una clave secreta predeterminada y un

vector de inicialización (IV). La clave secreta es única y debe estar configurada en todos las

estaciones de trabajo y puntos de acceso.

La longitud de los datos cifrados excede en cuatro caracteres a la longitud de los datos

originales. Estos cuatro caracteres reciben el nombre de valor de comprobación de

integridad (ICV, Integrity Check Value) y se utiliza para que el receptor pueda comprobar

la integridad de la información recibida.

44

Una vez que llegan al destino los datos cifrados, se combina el IV con la clave secreta para

generar la semilla que permitirá descifrar los datos mediante el algoritmo PRNG.

Uno de los inconvenientes que tiene este sistema de cifrado es que la clave secreta es

estática. Una vez asignada, se configura en cada estación y permanece invariable hasta que

se vuelva a repetir este proceso manualmente. Si se perdiese una de las estaciones de la red,

habría que volver a configurar una clave nueva en todas las estaciones para garantizar la

seguridad. Por otro lado el IV se transmite abierto a todas las estaciones. El IV si cambia

periódicamente.

WPA (Wi-Fi protected access “acceso Wi-Fi protegido”).

La alianza de Wi-Fi conjuntamente con el IEEE, ha lanzado al Mercado un Nuevo sistema

de seguridad para Wi-Fi conocido como WPA, este sistema son unas especificaciones

basadas en el estándar IEEE 802.11i que mejora el nivel de protección de datos y el

control de acceso a las redes inalámbricas. La gran ventaja de WPA es que puede aplicarse

a las redes WLAN existentes y que es completamente compatible con el futuro sistema de

seguridad integrada proporcionado por IEEE 802.11i. WPA se puede instalar en los

equipos Wi-Fi existentes de una forma tan sencilla como instalar un pequeño software en

los equipos y una vez instalado el nivel de seguridad adquirido es extremadamente alto,

asegurándose que solo los usuarios autorizados pueden acceder a la red y que los datos

transmitidos permanecen completamente inaccesibles para cualquier usuario que no sea el

destinatario.

Las mayores ventajas que aporta WPA frente a WEP son:

Mejoras en el cifrado de datos mediante TKIP (Temporal Key Integrity Protocol

“Protocolo de Integridad de Clave”). Este sistema asegura la confidencialidad de

los datos.

Autenticación de los usuarios mediante el estándar 802.11x y EAP (Extensible

Authentication Protocol, “Protocolo Extensible de Autenticación”) este sistema

45

permite controlar a todos y cada uno de los usuarios que se conectan a la red, no

obstante si se desea permite el acceso a usuarios anónimos.

Actualmente el IEEE esta terminando de desarrollar las especificaciones del estándar

802.11i. Como WPA sale antes que 802.11i, no puede seguir todas estas especificaciones.

No obstante lo que cubre actualmente WPA será completamente compatible con este nuevo

estándar. Se puede decir que WPA es un subconjunto de 802.11i. WPA ha tomado de

802.11i aquellas características que son ya comerciales, como 802.11x y TKIP.

VPN (virtual private network “red privada virtual”).

Una VPN utiliza un protocolo especial que permite conectar un dispositivo a una red de

forma segura, en la actualidad existen muchos protocolos que permiten crear una red

privada virtual los mas conocidos son: IPSec, PPTP y L2TP.

Una red privada virtual encripta las comunicaciones entre dos equipos , no importando el

camino que se utilice en la comunicación (Internet, comunicación inalámbrica, etc) la

información transmitida tendrá la garantía de no poder ser descifrada hasta que no llegue a

su destino.

Las principales ventajas de una VPN son:

La gestión de una VPN es centralizada, escalable y eficiente.

Ofrece seguridad a las comunicaciones inalámbricas Wi-Fi.

Firewall (pared de fuego).

Los firewalls son una de las más importantes medidas de seguridad para proteger los

dispositivos de una red de los posibles ataques que pueda recibir. El firewall no protege las

comunicaciones, si no que protege a los dispositivos para que ningún intruso pueda hacer

uso de los recursos de dichos dispositivos. Los firewalls llevan a cabo su protección

46

analizando los datos de petición de acceso a los distintos recursos y bloqueando los que no

están permitidos.

Para aplicaciones pequeñas es posible que sea suficiente con las características de firewall

incluidas en un punto de acceso normal. No obstante existen puntos de acceso profesionales

que mejoran fuertemente estas características.

El firewall toma la decisión de que datos deja pasar y que otros no analizando los

paquetes de información. En la actualidad existen tres tipos de firewall:

a) Filtrado de Paquetes: Estos facilitan un control de acceso básico basado en la

información sobre el protocolo de los paquetes. Simplemente deja o no pasar los

paquetes de acuerdo con el protocolo de comunicación que utiliza el paquete. Los

enrutadores incluidos en los puntos de acceso ya suelen disponer de este tipo de

filtrado. El problema es que esto supone una protección mínima para el usuario.

b) Servidor Proxy: Se trata de una aplicación de software que vas más halla del

simple filtrado del protocolo del paquete. Este tipo de firewall puede tomar

decisiones basado en el análisis completo de todo un conjunto de paquetes

asociados a una sesión que tiene el mismo destinatario. Ciertamente, un Proxy

mejora la seguridad, aunque tiene el inconveniente de alentar la comunicación.

Además, son más elaborados de configurar.

c) Análisis Completo de Paquetes: Estos se basan en la misma técnica de filtrado de

paquetes, pero, en vez de simplemente analizar la dirección de la cabecera del

paquete, va interceptando paquetes hasta que tiene información suficiente para

mantener su seguridad. Este tipo de firewall bloquea todas las comunicaciones

generadas en Internet y deja pasar aquellas iniciadas por cualquier dispositivo

interno. El resultado es una comunicación mas fluida que con un proxy, pero la

seguridad es menor.

Las reglas de las que dependen los filtros de los firewall se basan en distintos factores,

condiciones o características de los paquetes de datos. Las características más comunes son

las siguientes:

47

Dirección IP: Tanto la dirección IP origen como destino pueden ser utilizadas para

controlar los paquetes. Este tipo de filtros se utiliza habitualmente para bloquear la

comunicación con ciertos servidores externos o para bloquear el acceso a Internet de

ciertos usuarios.

Nombres de Dominio: Esta característica se utiliza de la misma forma que el

filtrado de direcciones IP, pero basadas en los nombres de dominio en ves de la

dirección IP.

Protocolos: Se permite o niega el acceso a aplicaciones mediante la utilización de

protocolos conocidos, como por ejemplo http, telnet, ftp, etc.

Puertos: Mientras las direcciones IP se utilizan para identificar a los equipos origen

y destino de la comunicación, los puertos son los identificadores que sirven para

identificar cada una de las aplicaciones con comunicaciones simultáneas que puede

tener un mismo equipo. Generalmente cada número de puerto se utiliza para una

aplicación distinta.

3.2.2 Monitorización del equipo WLAN.

Parte de la seguridad es la monitorización continua. Las redes inalámbricas Wi-Fi son muy

imprevisibles en su comportamiento. Esto se debe, fundamentalmente a los factores

ambientales que influyen y a la volatilidad de las conexiones. Los factores ambientales

como interferencias y obstáculos generan pérdidas de señal en las redes inalámbricas Wi-

Fi. Todos estos factores, por su naturaleza, no son constantes y muchos de ellos varían en

cuestión de minutos. Inclusive los muebles metálicos o las peceras, pueden ser cambiados

de lugar en un momento determinado.

Otro elemento que cambia permanentemente es la cantidad de usuarios conectados a cada

AP. Esto puede cambiar minuto a minuto. También cambian las tecnologías utilizadas. Por

ejemplo puede estar conectado alguien con 802.11b y luego de retirarse se puede conectar

otro con 802.11g. Esto sólo ya cambia el "balance" entre todos los conectados a ese AP.

48

Los motivos expuestos, aclaran porqué es imprescindible conocer todo lo que está

sucediendo en el espectro de RF segundo a segundo, para poder gestionar de manera

profesional y adecuada una red inalámbrica WI-FI. Sin monitorear, no hay manera de

enterarse de los cambios y no se puede reaccionar adecuadamente. Sin monitorear las cosas

van sucediendo y uno se va enterando por las quejas de los usuarios o por los problemas

que aparecen.

La monitorización de la red se suele realizar con una combinación de ICMP y SNMP

(Protocolo simple de administración de redes, Simple Network Management Protocol).

El SNMP es un protocolo de la capa de aplicación que facilita el intercambio de

información de administración entre los dispositivos de red. Además permite a los

administradores de redes controlar el rendimiento de la red, encontrar y resolver

problemas, y planificar el crecimiento de la misma. Una red administrada con SNMP

consta de tres componentes básicos:

Dispositivos administrados

Agentes

Sistema de administración de la red (NMS, Netwok Management System)

Un dispositivo administrado es un nodo de la red que esta ubicado en una red administrada

y que contiene un agente SNMP. Los dispositivos administrados recopilan y almacena

información de administración, y la dejan disponible para el NMS que utiliza SNMP.

Un Agente es un modulo software que reside en un dispositivo administrado. Los agentes

recopilan y almacenan información, como por ejemplo el número de paquetes de error

recibidos por un elemento de red.

Una Estación de administración de la red NMS es un dispositivo que ejecuta aplicaciones

de administración que monitorizan y controlan los elementos de la red. La NMS es una

49

consola a través de la que el administrador de la red ejecuta funciones de administración,

normalmente es una computadora bastante robusta.

SNMP permite que los programas de administración de redes vean y cambien la

configuración del equipo. SNMP también se puede utilizar para visualizar ajustes mediante

una solicitud Get y para cambiar ajustes utilizando la solicitud Set. Por ultimo los

dispositivos SNMP pueden enviar alertas a las estaciones de administración utilizando la

función Trap que es una interrupción que notifica un evento la cual es enviada desde un

agente al NMS. SNMP utiliza un secreto cifrado denominado cadena o nombres de

comunidad que proporcionan una sencilla protección mediante contraseña para las

comunicaciones entre un agente SNMP y el NMS SNMP. Los nombres de comunidad de

solo lectura solo permiten las solicitudes Get, mientras los de lectura y escritura permiten

las solicitudes Get y Set, Se debe utilizar un nombre de comunidad que siga las directrices

de una contraseña segura.

3.2.3 Analizadores de red (sniffers)

Un analizador de red decodifica las distintas capas de protocolo en una trama registrada y

las presenta como abreviaturas o resúmenes legibles. Un analizador de red detalla la capa

implicada y la función para la que sirve cada byte o contenido de byte. Estos analizadores

de red también reciben el nombre de analizadores de protocolo o sniffers de paquete. Se

pueden encontrar en el mercado dispositivos dedicados a esta función los cuales nos

ofrecen análisis inalámbrico. También hay disponibles varios paquetes de software que

ofrecen este mismo fin como por ejemplo: WildPackets, Airopeek y Sniffer Pro for

Wireless. La mayoría de los analizadores de red ofrecen las siguientes funciones:

Filtrar el tráfico que cumpla con determinados criterios; por ejemplo, capturar todo

el tráfico hacia ó procedente de un determinado dispositivo.

Marcar los datos capturados

Presentar las capas de protocolo de una forma legible

Generar tramas y transmitirlas por red

50

Incorporar un sistema experto en el que el analizador utiliza un conjunto de reglas,

combinado con información sobre la configuración y el funcionamiento de la red,

con el objeto de diagnosticar y resolver los problemas de la red.

3.3 Amenazas y vulnerabilidades más comunes en redes WLAN.

3.3.1 Redes Abiertas.

Las redes abiertas se caracterizan por no tener configurado ningún sistema de autenticación

o cifrado, por lo que la comunicación entre los clientes y los puntos de acceso viajan en

texto plano y no se solicita ningún tipo de autenticación para ingresar a la red.

Los únicos elementos que se pueden implementar en este tipo de redes son: (direcciones

MAC, direcciones Ip y el ESSID de la red).

Filtrar el acceso a la red sólo a aquellas terminales que tengan una dirección MAC o IP

determinada o bloqueando el envío de los BEACON FRAMES, de forma que sea necesario

conocer de antemano el valor del ESSID para conectarse a la red, son los medios de los que

se dispone para asegurar un poco este tipo de sistemas.

Figura 3.1 Ataque a una red desprotegida.

INTERNET

SERVERPC

EQUIPOMOVIL

AP

ATACANTE

51

Las medidas de protección propuestas para este tipo de redes tienen en común que todas

ellas intentan limitar el acceso no autorizado al sistema, pero no impiden que alguien espíe

las comunicaciones. A continuación vamos a ver como vulnerar las medidas propuestas

anteriormente y otro tipo de ataques a los que se pueden ver sometidas las redes abiertas.

Romper ACL's (Access Control List) basados en MAC.

La primera medida de seguridad implementada en las redes WLAN fue, y sigue siendo, el

filtrado de conexiones por dirección MAC. Para ello se crea una lista de direcciones MAC

en el punto de acceso indicando si estas direcciones disponen de acceso permitido o

denegado. La seguridad que proporciona esta medida es nula debido a la sencillez de

cambiar la dirección MAC de nuestra tarjeta por otra válida previamente obtenida mediante

un simple sniffer. Si bien es cierto que el hecho de tener dos direcciones MAC en la misma

red puede ocasionar problemas, esto se puede solucionar realizando un ataque de tipo DoS

a la máquina a la cual le hemos tomado prestada la dirección MAC.

Ataque de Denegación de Servicio (DoS).

El objetivo de éste ataque implementado en una red inalámbrica consiste en impedir la

comunicación entre un terminal y un punto de acceso. Para lograr esto sólo es necesario

hacernos pasar por el AP poniéndonos su dirección MAC (obtenida mediante un sencillo

sniffer) y negarle la comunicación al terminal o terminales elegidos mediante el envío

continuado de notificaciones de desasociación.

Figura 3.2. Ataque de Negación de Servicio (DoS).

52

Descubrir ESSID ocultos.

Una medida de seguridad es ocultar el ESSID de una red como método para aumentar la

invisibilidad de nuestra red. Sin embargo esta medida no es del todo efectiva. En casi todos

los puntos de acceso podemos encontrar la opción de deshabilitar el envío del ESSID en los

paquetes o desactivar los BEACON FRAMES. Ante esta medida de seguridad, un presunto

atacante tendría dos opciones:

a) Monitorear la red con un sniffer durante un tiempo indeterminado a la espera de una

nueva conexión a la red con el objetivo de conseguir el ESSID presente en las tramas

PROVE REQUEST del cliente (en ausencia de BEACON FRAMES) o en las tramas

PROVE RESPONSE.

b) Provocar la desconexión de un cliente mediante el mismo método que empleamos en

el ataque DoS pero sin mantener al cliente desconectado.

Ataque Man in the middle.

Este ataque apareció en escena a raíz de la aparición de los switches, que dificultaban el

empleo de sniffers para obtener los datos que viajan por una red. Mediante el ataque Man in

the middle se hace creer al cliente víctima que el atacante es el AP y, al mismo tiempo,

convencer al AP de que el atacante es el cliente.

Para llevar a cabo un ataque de este tipo es necesario obtener los siguientes datos

mediante el uso de un sniffer:

a)El ESSID de la red (si esta oculto usaremos el método anterior).

b)La dirección MAC del AP.

c)La dirección MAC de la víctima.

Una vez obtenidos estos datos emplearíamos la misma metodología que en el ataque de tipo

DoS para romper la conexión entre el cliente y el AP. Tras esta ruptura la tarjeta del cliente

53

comenzará a buscar un nuevo AP en los diferentes canales, momento que aprovechará el

atacante para suplantar al AP empleando su MAC y ESSID en un canal distinto. Para ello el

atacante habrá de poner su propia tarjeta en modo master.

De forma paralela el atacante ha de suplantar la identidad el cliente con el AP real

empleando para ello la dirección MAC del cliente, de esta forma el atacante logra colocarse

entre ambos dispositivos de forma transparente

Figura 3.3 Ataque Man in the middle.

Ataque ARP Poisoning.

Al igual que en el caso del ataque man in the middle, el objetivo de este ataque consiste en

acceder al contenido de la comunicación entre dos terminales conectados mediante

dispositivos inteligentes como un switch. En esta variante de man in the middle se recurre a

la alteración de la tabla ARP que mantienen de forma stateless todos los dispositivos de red.

54

Figura 3.4 Red antes del ataque.

Para ello el atacante envía paquetes ARP REPLY al PC 3 diciendo que la dirección IP de

PC 1 la tiene la MAC del atacante, de esta manera consigue modificar la caché de ARP's

del PC 3. Luego realiza la misma operación atacando a PC 1 y haciéndole creer que la

dirección IP de PC 3 la tiene también su propia MAC .

Figura 3.5 Red tras el ataque.

55

En la figura 3.6, PC 1 y PC 3 actualizan su caché de acuerdo a la información que elatacante ha inyectado a la red. Como el switch y el AP forman parte del mismo dominio debroadcast, los paquetes ARP pasan de la red wireless a la red con cables sin ningúnproblema. Para realizar el ataque ARP Poisoning, existen múltiples herramientas, ya queeste ataque no es específico de las redes wireless

3.3.2 Redes con Cifrado de Información.

Como ya comentamos en la parte de "Redes abiertas", en este tipo de sistemas todas las

posibles medidas de seguridad que se pueden implantar se centran en intentar impedir la

asociación a la red por parte de usuarios ilegítimos. En cambio ninguna de las medidas

anteriores se empleaba para evitar la obtención de la información intercambiada entre

terminales y AP (Contraseñas, etc.).

Para remediar esto se puede implementar el cifrado de las comunicaciones de tal forma que

si alguien captura las comunicaciones entre los terminales y los AP, sólo obtenga una serie

de bytes sin sentido.

Principios de funcionamiento.

WEP (Wired Equivalent Privacy, Privacidad Equivalente al Cable) es el algoritmo de

seguridad empleado para brindar protección a las redes inalámbricas incluido en la primera

versión del estándar IEEE 802.11 y mantenido sin cambios en 802.11a y 802.11b, con el fin

de garantizar compatibilidad entre distintos fabricantes. Este sistema emplea al algoritmo

RC4 para el cifrado de las llaves que pueden ser de 64 o 128 bits teóricos, puesto que en

realidad son 40 o 104 y el resto (24 bits) se emplean para el Vector de Inicialización.

La seguridad ofrecida por WEP tiene como pilar central una clave secreta compartida por

todos los comunicadores y que se emplea para cifrar los datos enviados. Pese a no estar así

establecido, en la actualidad todas las estaciones y puntos de acceso comparten una misma

clave, lo que reduce el nivel de seguridad que puede ofrecer este sistema.

56

Ataques a WEP.

Como ya comentamos en la introducción, el protocolo de cifrado WEP demostró su

ineficacia bien temprano tras su aparición, veremos a continuación algunos ejemplos de

ataques que ponen en entredicho la eficacia de este protocolo.

Ataque de fuerza bruta.

Teniendo en cuenta que la semilla (32 bits) que se emplea con el PRNG procede de unapassphrase comúnmente compuesta por caracteres ASCII, podemos deducir que el bit másalto de cada carácter será siempre cero; tengamos en cuenta que el rango de caracteresASCII se comprende entre 00

00 = 0000 0000

...

4F = 0100 0000

...

7F = 0111 1111

Como el resultado de una operación XOR de estos bits también es cero, las semillas sólo se

encontrarán en el rango 00:00:00:00 - 7F:7F:7F:7F.

Debido a las peculiaridades del tipo de PRNG empleado la entropía se ve incluso más

reducida. Esto se debe a que el PRNG empleado es del tipo LGC (linear congruential

generator) o generador lineal congruente de módulo 2^32. Este tipo de PRNG tiene como

inconveniente que los bits más bajos sean "menos aleatorios" que los altos. La longitud delciclo del resultado será 2^24 lo que provoca que sólo las semillas que se encuentren entre00:00:00:00 y 00:FF:FF:FF producirán llaves únicas.

Como las semillas sólo llegan hasta 7F:7F:7F:7F y la última semilla que tiene en cuenta elPRNG es 00:FF:FF:FF, sólo necesitamos considerar las semillas desde 00:00:00:00 hasta:7F:7F:7F por lo que la entropía total queda reducida a 21 bits.

57

Mediante esta información podemos reducir el ámbito del ataque de fuerza brutaconsiderablemente, reduciendo el tiempo necesario para producir todas las llaves de formasecuencial a unos días (210 días con u PIII a 500MHZ).

También existe la posibilidad de utilizar un diccionario para generar sólo las semillas de laspalabras (o frases) que aparezcan en el diccionario, con lo que si la passphrase utilizada estáen el diccionario conseguiríamos reducir sustancialmente el tiempo necesario paraencontrarla.

Ataque Inductivo Arbaugh.

Para llevar a cabo este ataque se han de seguir dos pasos; en el primero conseguiremos un

keystream de tamaño limitado pero válido, y en un segundo paso repetiremos la fase de

ataque todas las veces necesarias para obtener todos los IV posibles.

Como requisito para realizar éste ataque es necesario disponer del texto plano de un

paquete; para ello podemos identificar mensajes DHCPDISCOVER de los que conocemos

que parte de la cabecera es fija, concretamente las IP de origen y destino. Se lleva a cabo

una operación XOR del texto plano con el texto cifrado para obtener n bytes del keystream

de un IV concreto como podemos observar en la siguiente figura.

Figura 3.6 Operación XOR del texto plano con el cifrado.

Mediante este keystream de n bytes se genera un paquete de tamaño N -3 de longitud; como

este ataque es de tipo activo, necesitamos que el paquete generado sea alguno del que

podamos obtener una respuesta (ping o arp request). Se calcula el IV del paquete generado

y añadimos sólo los 3 primeros bytes al paquete generado. Como se aprecia en la figura, se

lleva a cabo una operación XOR entre el paquete generado y el keystream obteniendo de

58

los datos cifrados necesarios para un paquete válido. Se añaden los elementos restantes

necesarios para completar el paquete, como la cabecera, el IV y un último byte de valor

cambiante que itera entre las 255 diferentes posibilidades.

Figura 3.7 Operación XOR entre el paquete generado y el Keystream.

Una vez obtenido el paquete completo hemos de enviarlo iterando entre las 255 posibles

opciones hasta obtener respuesta desde el AP, lo que nos indicará que, para ese paquete

concreto, el byte n+1 era el último byte del ICV. Se ha de realizar el mismo proceso hasta

obtener el keystream completo. El proceso se muestra gráficamente en la siguiente figura.

Figura 3.8 Proceso de obtención del keystream

59

Asumiendo que un atacante puede realizar aproximadamente 100 pruebas por segundo,

tardaría una media de 36 minutos en encontrar un keystream completo de 1500 bytes valido

para un IV determinado.

Para conseguir el resto de keystreams se ha de volver ha generar un paquete del que se

pueda obtener respuesta. Teniendo en cuenta que se conocerá el texto plano de la respuesta

y que ésta vendrá siempre con un IV diferente es posible construir una tabla de keystreams

por IV.

El atacante necesita almacenar 1500 bytes de keystream por cada IV, por lo que la tabla

ocuparía 224x1500 = 24GB y tardaría una media de 30 horas en construir la tabla. Si el

ataque se realiza en paralelo 4 hosts atacantes tardarían 7,5 horas y 8 hosts atacantes 3.75

horas.

Cuando el atacante recibe un paquete mira en la tabla a que keystream corresponde el IV

recibido y hace una XOR del keystream con el cyphertext del paquete para obtener el

plaintext.

Ataque FMS (Fluhrer-Mantin-Shamir).

El cifrado empleado por las redes inalámbricas (WEP) esta basada en el algoritmo de

cifrado RC4 del cual se conocen algunas vulnerabilidades. El ataque estadístico FMS, que

obtiene su nombre de las siglas de sus autores (Fluhrer, Mantin y Shamir), se basa en

vulnerabilidades derivadas de la implementación específica del algoritmo RC4 en WEP.

El pilar en el que se basa el ataque FMS son los llamados IVs débiles; identificar este tipo

de Ivs consiste en comprobar aquellos que cumplen la siguiente condición: (A + 3, N - 1,

X). Estos IV´S tienen la característica especial de que provocan que no se incluya

información de la clave en el keystream. Para cada uno de los paquetes que cumplen esta

condición se ha de adivinar el byte que no tiene información de la llave. La probabilidad de

adivinar el byte de la llave correctamente es de un 5% para cada paquete con un IV débil.

60

En el estándar 802.11 se definen unos mecanismos de seguridad que se han demostrado

insuficientes e ineficientes:

a)La confidencialidad se basa en el sistema denominado WEP (Wired Equivalent

Privacy) que consiste en un sistema de cifrado simétrico RC4, utilizando una clave

estática que comparten estaciones clientes y el punto de acceso. WEP usa vectores de

inicialización (IV) para generar claves diferentes para cada trama. No obstante, WEP

es un sistema muy débil ya que se puede conseguir la clave de cifrado monitorizando

las tramas y procesándolas.

b)La integridad se consigue utilizado técnicas de detección de errores (CRC) que no

son eficientes para garantizar la integridad.

c)La autenticación es inexistente ya que incluso permite hallar la clave usada por WEP

de forma muy sencilla. Algunos fabricantes proporcionan autenticación del equipo a

partir de la dirección MAC de la estación, pero es un método muy poco flexible.

Wi-Fi Alliance, como organización responsable de garantizar la interoperabilidad entre

productos para redes inalámbricas de fabricantes diversos, ha definido una especificación

de mercado basado en las directrices marcadas por el grupo de trabajo 802.11i denominada

Wi-Fi Protected Access (WPA), junto con la correspondiente certificación de productos.

Privacidad e Integridad con TKIP.

Temporal Key Integrity Protocol (TKIP) es el protocolo elegido con el objetivo de sustituir

a WEP y solucionar los problemas de seguridad que éste plantea. Como características

mejoradas destacar la ampliación de la clave a 128 bits y el cambio del carácter de la

misma de estática a dinámica; cambiando por usuario, sesión y paquete y añadiendo

temporalidad. El vector de inicialización pasa de 24 a 48 bits, minimizando la reutilización

de claves. Y como colofón se han añadido claves para tráfico de difusión y multidifusión.

61

TKIP utiliza el algoritmo "Michael" para garantizar la integridad, generando un bloque de 4

bytes (denominado MIC) a partir de la dirección MAC de origen, de destino y de los datos

y añadiendo el MIC calculado a la unidad de datos a enviar. Posteriormente los datos (que

incluyen el MIC) se fragmentan y se les asigna un número de secuencia. La mezcla del

número de secuencia con la clave temporal genera la clave que se utilizará para el cifrado

de cada fragmento.

Autenticación Mediante 802.1X/EAP.

El cometido principal del estándar 802.11x es encapsular los protocolos de autenticaciónsobre los protocolos de la capa de enlace de datos y permite emplear el protocolo deautenticación extensible (EAP) para autentificar al usuario de varias maneras.IEEE 802.1x define 3 entidades:

El solicitante (supplicant), reside en la estación inalámbrica.

El autenticador (authenticator), reside en el AP.

El servidor de autenticación, reside en un servidor AAA (Authentication, Authorization, &

Accounting) como RADIUS.

EAP comprende cuatro tipos de mensajes:

a) Petición (Request Identity): empleado para enviar mensajes desde el AP al cliente.

b) Respuesta (Identity Response): empleado para enviar mensajes desde el cliente al

AP.

c) Éxito (Success): emitido por el AP, significa que el acceso está permitido.

d) Fallo (Failure): enviado por el AP cuando para indicarle al Suplicante que se

deniega la conexión.

Proceso de autenticación, tras la asociación:

62

a) Se envía el EAP-Request/Identity desde el Autenticador al Suplicante.

b) El Suplicante responde con EAP-Response/Identity al Autenticador, el cual lo pasa

al Servidor de Autenticación.

c) Se tuneliza el Challenge/Response y si resulta acertado el Autenticador permite al

Suplicante acceso a la red condicionado por las directrices del Servidor de

Autenticación.

El funcionamiento base del estándar 802.11x se centra en la denegación de cualquier tráficoque no sea hacia el servidor de autenticación hasta que el cliente no se haya autenticado correctamente. Para ello el autenticador crea una puerto por cliente que define dos caminos, uno autorizado y otro no; manteniendo el primero cerrado hasta que el servidor de autenticación le comunique que el cliente tiene acceso al camino autorizado.

El solicitante, cuando pasa a estar activo en el medio, selecciona y se asocia a un AP. Elautenticador (situado en el AP) detecta la asociación del cliente y habilita un puerto paraese solicitante, permitiendo únicamente el tráfico 802.1x, el resto de tráfico se bloquea. Elcliente envía un mensaje "EAP Start". El autenticador responde con un mensaje "EAPRequest Identity" para obtener la identidad del cliente, la respuesta del solicitante "EAPResponse" contiene su identificador y es retransmitido por el autenticador hacia el servidorde autenticación. A partir de ese momento el solicitante y el servidor de autenticación se comunicarán directamente, utilizando un cierto algoritmo de autenticación que pueden negociar. Si el servidor de autenticación acepta la autenticación, el autenticador pasa el puerto del cliente a un estado autorizado y el tráfico será permitido. Los métodos de autenticación contemplados en WPA son: EAP-TLS, AP-TTLS y PEAP. Todos ellos sebasan en el método de Infraestructura Pública (PKI) para autenticar al usuario y al servidorde autenticación mediante certificados digitales. Para ello es necesaria la existencia de unaAutoridad de Certificación (CA), bien sea empresarial o pública.

63

EAP-TLS.

Requiere de la posesión de certificados digitales por parte del cliente y el servidor de

autenticación; el proceso de autenticación comienza con el envío de su identificación

(nombre de usuario) por parte del solicitante hacia el servidor de autenticación, tras esto el

servidor envía su certificado al solicitante que, tras validarlo, responde con el suyo propio.

Si el certificado del solicitante es válido, el servidor responde con el nombre de usuario

antes enviado y se comienza la generación de la clave de cifrado, la cual es enviada al AP

por el servidor de autenticación para que pueda comenzar la comunicación segura.

Figura 3.9 Autenticación EAP-TLS.

PEAP y EAP-TTLS.

El mayor inconveniente que tiene el uso de EAP-TLS es que tanto el servidor de

autenticación como los clientes han de poseer su propio certificado digital, y la distribución

entre un gran número de ellos puede ser difícil y costosa. Para corregir este defecto se

crearon PEAP (Protected EAP) y EAP y Tunneled TLS que únicamente requieren

certificado en el servidor.

64

La idea base de estos sistemas es que, empleando el certificado del servidor previamente

validado, el cliente pueda enviar sus datos de autenticación cifrados a través de un tunel

seguro. A partir de ese momento, y tras validar el servidor al solicitante, ambos pueden

generar una clave de sesión.

WPA y Seguridad en Pequeñas Oficinas - WPA-PSK.

Los métodos soportados por EAP necesitan de una cierta infraestructura, fundamentalmentede un servidor RADIUS, lo que puede limitar su implementación en redes pequeñas. Wi-Fiofrece los beneficios de WPA mediante el uso de una clave pre-compartida (PSK, pre-shared key) o contraseña. Esto posibilita el uso de TKIP, pero configurando manualmenteuna clave en el cliente wireless y en el punto de acceso. El estándar permite claves de hasta256 bits, lo que proporciona una seguridad muy elevada. Sin embargo el escoger clavessencillas y cortas puede hacer vulnerable el sistema frente a ataques de fuerza bruta odiccionario.

Ataque WPA-PSK.

El único ataque conocido contra WPA-PSK es del tipo fuerza bruta o diccionario; pese a laexistencia de este ataque la realidad es que el rendimiento del ataque es tan bajo y lalongitud de la passphrase puede ser tan larga, que implementarlo de forma efectiva esprácticamente imposible. Los requisitos para llevar a cabo el ataque son:

a) Un archivo con la captura del establecimiento de conexión entre el cliente y el AP.

b) El nombre de ESSID.

c) Un archivo de diccionario.

Se puede auditar la fortaleza de las contraseñas empleadas en un sistema realizando ataquesde diccionario o de fuerza bruta, en este último caso empleando herramientas al uso paracrear todas las combinaciones de caracteres posibles.

65

Portales Cautivos.

Sistema creado para permitir la validación de usuarios en nodos wireless. Ampliamenteempleado para proporcionar conexión regulada a los usuarios de establecimientos públicos,hoteles, aeropuertos, etc. En un sistema con portal cautivo se definen dos partesdiferenciadas: la zona pública y la privada. La zona pública se compone, normalmente, denodos wireless que posibilitan la conexión de cualquier terminal; en cambio el acceso lazona privada, normalmente Internet, se encuentra regulado por un sistema de autenticaciónque impide la navegación hasta que el usuario se valida.

Figura 3.10 Zonas que define el sistema de portales cautivos

El sistema de portales cautivos se compone, en líneas generales, de una serie de APsconectados a un Gateway colocado antes de la zona privada, un servidor web donde colocarel portal y una base de datos donde almacenar los usuarios y el servicio de autenticación.

En el momento en que un usuario no autenticado decide conectarse a la zona privada elgateway comprueba si dicho usuario está autenticado; para ello se basa en la posesión detokens temporales gestionados por http´s. Si dicho usuario no posee un token válido, elgateway redirecciona la conexión hacia el portal donde al usuario se le solicitarán unusuario y contraseña válidos para asignarle un token. Una vez obtenido un token (ymientras éste sea válido) el gateway permitirá la conexión hacia la zona privada.

66

Figura 3.11 Proceso de autenticación de portales cautivos

Otra aplicación para los portales cautivos se limita a presentar un portal antes de permitir la

salida a la zona privada, mostrando las normas de uso, publicidad del establecimiento, etc.

Vulnerabilidades en Portales Cautivos.

Debido a las características de la zona abierta de los sistemas que implantan este sistema deportales, se permite la asociación con el AP a cualquier cliente y el tráfico entre los clientesy el AP no va cifrado; por este motivo se puede capturar el tráfico de las conexiones con lazona privada.

67

Por otra parte es posible implementar ataques de tipo spoofing o hijacking mientras el tokenque emplea el usuario legítimo sea válido.

DNS Tunneling.

En la mayoría de los casos, el gateway que filtra las conexiones y las redirige en función dela presencia del token permite el paso de las peticiones DNS hacia la zona privada; con estoen mente es posible encapsular el tráfico TCP/IP dentro de peticiones DNS y saltarse lasrestricciones del portal cautivo. Sin embargo esta técnica plantea varios problemas:

a)El tráfico DNS emplea el protocolo UDP, el cual no está orientado a conexión y,como veremos, no se garantiza el reensamblado correcto de los paquetes.

b)Las peticiones DNS están limitadas a un tamaño máximo de 512 bytes por paquete,insuficiente para un encapsulado de TCP/IP.

c)Los servidores DNS sólo pueden enviar paquetes como respuesta a un solicitud,nunca de forma independiente.

Para solucionar estos inconvenientes es necesaria la creación de un servidor específico quepueda saltarse estas restricciones y que, junto con una aplicación creada a tal efecto,permita encapsular las comunicaciones a través de peticiones UDP a través del puerto 53.

Otro requisito sería la creación de un protocolo propio que amplíe el tamaño máximo de lospaquetes y los dote de algún mecanismo para mantener el orden de reensamblado. Porsupuesto este protocolo tendría que ser empleado por nuestro servidor y la aplicación. Estetrabajo ha sido llevado a cabo con éxito mediante un protocolo bautizado como "NSTXProtocol. Nameserver Transfer Protocol" y una aplicación llamada "nstx".

Rogue AP (Punto de Acceso no Autorizado).

Este tipo de ataques consiste, a nivel básico, en colocar un punto de acceso bajo nuestrocontrol cerca de las instalaciones de la víctima de forma que los clientes asociados o porasociar a esa red se conecten a nuestro AP en lugar de uno legítimo de la víctima debido ala mayor señal que recibe del nuestro.

68

Figura 3.12 Ataque Rogue AP

Una vez conseguida la asociación al Rogue AP, el atacante puede provocar ataques de tipoDoS, robar datos de los clientes como usuarios y contraseñas de diversos sitios web omonitorizar las acciones del cliente. Este tipo de ataques se ha empleado tradicionalmentepara:

a) Crear puertas traseras corporativas.

b) Espionaje industrial.

Rogue AP básico.

Una vez visto un breve esbozo del funcionamiento básico de los ataques mediante Rogue

AP vamos a profundizar un poco más en los detalles.

69

El Rogue AP puede consistir en un AP modificado o un portátil con el software adecuadoinstalado y configurado. Este software ha de consistir en: Servidor http, Servidor DNS,Servidor DHCP y un Portal Cautivo con sus correspondientes reglas para redirigir el tráficoal portal. Todo este proceso de instalación y configuración se puede simplificar bastantemediante Airsnarf, herramienta que automatiza el proceso de configuración y arranque deun Rogue AP. Sin embargo hace falta algo más para poder montar un Rogue AP, serequiere que la tarjeta wireless sea compatible con HostAP, un driver específico quepermite colocar la tarjeta en modo master, necesario para que nuestro terminal puedacomportarse como si fuese un AP. Si queremos montar un Rogue AP sobre un Windowsdeberemos encontrar una tarjeta compatible con SoftAP para poder cambiar el modo amaster, y emplear Airsnarf para configurar los distintos servicios.

El proceso de configuración que lleva a cabo Airsnarf consiste en colocar el portal cautivoy arrancar el servidor http, configurar el servidor DHCP para que proporciones IP, gatewayy DNS al cliente; evidentemente el gateway y el servidor DNS será el terminal del atacanteconvertido en Rogue AP. Por último se configura el servidor DNS para que resuelva todaslas peticiones con a la IP del atacante, de forma que se puedan redireccionar todas hacia elportal cautivo del Rogue AP. Una vez el usuario introduce su usuario y contraseña en elportal cautivo, el atacante ya las tiene en su poder. Lo normal es cambiar la apariencia delportal cautivo para que sea igual a la del portal del sistema al que se está suplantando. Otraopción es dejar navegar al usuario normalmente pero redirigir determinadas páginas a otrascopias locales con el fin de obtener usuarios y contraseñas. Para ello se puede modificar elservidor DNS para resolver aquellas páginas que nos convengan a nuestra dirección localdonde tendremos preparada una copia falsa de la página.

Por este nombre se conocen aquellos montajes que, a parte del Rogue AP clásico,

incorporan un servidor RADIUS en el terminal del atacante. Para este fin se emplea

comúnmente un servidor FreeRADIUS adecuadamente configurado para responder a las

peticiones de los usuarios legítimos.

70

Este tipo de montaje se emplea contra sistemas que cuentan con servidores de autenticacióny redes mediante EAP de forma que el atacante pueda suplantar todos los dispositivos yservidores presentes en el sistema legítimo de forma convincente, autenticador y servidorde autenticación.

Rogue RADIUS vs. EAP.

Antes de ver las vías de ataque a emplear contra sistemas protegidos por EAP, vamos a

profundizar en los mecanismos de autenticación que se usan en las variantes de EAP más

extendidas, concretamente vamos a repasar el intercambio de mensajes que se produce en

una autenticación pues, como veremos, es en este intercambio donde reside su

vulnerabilidad.

Figura 3.13 Ejemplo de autenticación EAP.

Como se puede apreciar en la figura, una autenticación EAP consiste en dos fases

diferenciadas; en una primera fase, el suplicante proporciona al servidor de autenticación su

identidad a través del autenticador, en la segunda el servidor de autenticación propone un

reto al suplicante que, al superarlo, se gana el derecho a acceder a la red. Este acceso se

mantiene limitado por el autenticador en función de las directrices marcadas por el servidor

de autenticación. Directrices que a su vez varían en función de la identidad del suplicante.

71

Figura 3.14 Fases de la autenticación EAP.

EAP-TLS pretende mejorar la seguridad de EAP mediante la implantación de certificados

digitales instalados en todos los clientes y servidores. De esta manera se añade la necesidad

de poseer un certificado válido para completar la autenticación. Tras el intercambio de

certificados entre el suplicante y el servidor de autenticación, estos negocian un secreto

común que se emplea para cifrar el resto de las comunicaciones a partir de ese momento.

Figura 3.15 Autenticación EAP-TLS

72

EAP-TTLS (EAP-Tunneled-TLS) añade a las características de seguridad de EAP-TLS, el

establecimiento de un canal de comunicación seguro para el intercambio de las credenciales

de usuario. De esta forma se incrementa la seguridad frente a ataques de sniffing que

pretendan hacerse con estos datos. Por otra parte elimina la necesidad de contar con

certificados en todos los clientes, que conlleva un proceso de distribución y mantenimiento

engorroso y caro.

De esta forma, el proceso de autenticación pasa por una primera fase de asociación del

suplicante con el autenticador y una segunda en la que el servidor de autenticación envía su

certificado al suplicante que, una vez validado, emplea para crear un túnel de comunicación

seguro por donde enviar las credenciales y finalizar la autenticación.

Una vez repasados los diferentes métodos de autenticación que proporcionan las variantes

más comunes de EAP vamos a investigar de qué manera la incorporación de un servidor

RADIUS al Rogue AP lo puede ayudar a lograr una autenticación completa como usuario

legítimo, provocar una denegación de servicio, etc.

Tras montar un Rogue AP con un Rogue RADIUS el atacante puede desasociar a un cliente

y cuando este cliente se intente conectar, se asociará al Rogue AP por ofrecer este mayor

intensidad de señal. Una vez asociado se repetirá el proceso de autenticación mediante

EAP-TLS/TTLS/PEAP pero contra el Rogue RADIUS bajo nuestro control. De esta forma

podremos:

a) Desasociar usuarios.

b) Recolectar usuarios y contraseñas.

c) Recolectar las credenciales de los usuarios.

d) Suplantar a otros usuarios en la red legítima.

A continuación vamos a ver los métodos existentes para atacar diferentes sistemas de

autenticación basados en EAP.

73

Vamos a comenzar por vulnerar un sistema de autenticación basado en EAP-TTLS

mediante un Rogue AP con Rogue RADIUS. Veamos el siguiente esquema:

Figura 3.16 Vulneración de sistema basado en EAP-TTLS

Como se puede apreciar del estudio del esquema, tras desasociar al cliente el AP legítimo el

cliente procede a reasociarse con el AP bajo control del atacante. Se ha de tener en cuenta

que para que éste ataque pueda ser llevado a cabo con éxito el cliente no ha de estar

configurado para validar el certificado del servidor, una situación más habitual de lo que

pueda parecer. De esta manera, una vez creado el túnel, al atacante le llegan las

credenciales del cliente. Como hemos visto, mediante esta técnica se pueden reproducir una

gran variedad de ataques, incluyendo DoS por desasociación, suplantación de identidad o

captura de información sensible.

A continuación vamos a estudiar el método de ataque empleado contra sistemas EAP-TTLS

con PAP. Para ello primero explicar que PAP (Password Authentication Protocol) es el

sistema de autenticación más simple para redes PPP en el que un usuario y contraseña son

validados contra una tabla, generalmente cifrada, almacenada en el servidor de

74

autenticación. Las credenciales empleadas por este protocolo viajan en texto plano (sin

cifrar) lo que permite capturar de forma sencilla el usuario y contraseña del cliente una vez

éste ha sido desasociado del autenticador legítimo y se conecta al Rogue AP del atacante,

como vemos en el gráfico siguiente:

Figura 3.17 Ataque contra sistemas EAP-TTLS

El mismo proceso, de forma similar, se puede repetir contra sistemas PEAP pudiendo

obtener los dominios del sistema así como usuarios y contraseñas validos.

Para conseguir información ampliada a cerca de este y otros ataque contra EAP consultar

las presentaciones de Beetle del grupo Shmoo.

Figura 3.18 Ataque contra sistemas PEAP

75

Defensa frente a Rogue APs.

En la tarea de defender nuestros sistemas frente a este tipo de ataques nos encontramos condos frentes a defender: el cliente y la infraestructura. Comencemos por el cliente. El peligroal que se enfrenta el usuario de un terminal móvil es la asociación a un Rogue AP de formavoluntaria o no. Es de sobra conocida la habilidad de Windows XP para manejar lasconexiones inalámbricas por si mismo, y es precisamente esta característica la másapreciada por los atacantes pues el sistema operativo se basa sólo en la intensidad de laseñal y el SSID para asociarse a un AP u otro. Es por ello que los terminales asíconfigurados son presa fácil de los Rogue AP.

El grupo shmoo, creador entre otros de airsnarf, ha desarrollado una herramienta quemonitoriza la conexión Wireless de la terminal donde esta instalado para detectar ataquesmediante Rogue APs. Para ello vigila:

Autenticaciones / falta de autenticidad y asociaciones masivas.

Firmas de Rogue APs conocidas.

Aumento repentino de la intensidad de la señal junto a un cambio de AP.

Estas técnicas no son definitivas pero aumentan sensiblemente la seguridad frente a este

tipo de ataques.

Ahora vamos a ver como podemos intentar defender nuestra infraestructura de los ataques

mediante Rogue APs.

Como hemos visto a lo largo del capítulo, casi todos los sistemas de autenticación pueden

ser vulnerados de una u otra manera, de forma que la mejor protección frente a este tipo de

ataques pasa por la vigilancia constante del sistema tanto por parte del personal encargado

de la seguridad como por parte de sistemas de detección adecuadamente instalados.

76

Comparativa.

A continuación se presenta una tabla resumen de las características más destacadas de los

protocolos de cifrado empleados en redes inalámbricas.

Tabla 3.1 Características de los protocolos de cifrado.

WEP WPA WPA2

Cifrado RC4 RC4 AES

Longitud de clave 40 bits 128 bits enc.

64 bits auth.

128 bits

Duración de clave 24-bit IV 48-bit IV 48-bit IV

Integridad de datos CRC-32 Michael CCM

Integridad de cabecera Ninguna Michael CCM

Control de claves Ninguno EAP EAP

Se puede apreciar el progresivo endurecimiento de los protocolos de cifrado hasta llegar a

WPA2 que por fin cambia RC4 como protocolo para implementar AES; también resulta

evidente el esfuerzo que se ha hecho en reforzar la integridad de los datagramas tanto a

nivel de datos como, posteriormente de cabecera.

Herramientas para atacar redes inalámbricas:

NetStumbler: Programa de rastreo. http://www.stumbler.net/

Airopeek: Sniffer http://www.wildpackets.com/products/demos

Etherchange: Programa para cambiar las direcciones MAC

http://ntsecurity.nu/toolbox/etherchange/

Aircrack: Programa de sniffeo e inyección de tráfico en la red engloba airodump y aircrack:

http://www.subagora.com/subagora/WinAircrack/download/WinAircrackPack.zip

77

Capítulo 4. Administración de riesgos en redes WLAN a

nivel empresarial.

Un análisis de riesgos aporta una visión global y coherente de la seguridad de los sistemas

de información (SSI). Este análisis, exhaustivo, permite determinar objetivos y

requerimientos de seguridad adaptados, proponiendo un vocabulario y conceptos en común.

También toma en cuenta todas las entidades técnicas (software, hardware, redes) y notécnicas (organización, aspectos humanos, seguridad física). Permite implicar a todos losactores de la organización en la problemática de la seguridad y, por otra parte, propone unprocedimiento dinámico que favorece las interacciones entre las distintas profesiones yfunciones de la organización, estudiando todo el ciclo de vida del análisis de riesgos(diseño, realización, puesta en servicio, mantenimiento, etc.).

Un análisis de riesgos tiene varias etapas de desarrollo para lograr los resultados

requeridos, tales etapas de describen a continuación.

Estudio del Contexto: Un sistema de información se basa en elementos esenciales,

funciones y datos, que constituyen el valor agregado del sistema de información para el

organismo, elementos esenciales están vinculados con un conjunto de entidades de distintos

tipos: hardware, software, redes, organizaciones, personal y establecimientos.

En este punto se debe estar totalmente consiente de cómo ha de implementarse la WLAN

dependiendo a las necesidades de la empresa y de acuerdo a los requisitos principales que

deben incluir este tipo de redes: disponibilidad, escalabilidad, manejabilidad e

interoperabilidad.

78

La expresión de las necesidades de seguridad: Para que una organización funcione

correctamente cada elemento esencial tiene una necesidad de seguridad. Esta necesidad se

expresa según distintos criterios de seguridad tales como la disponibilidad, la integridad y

la confidencialidad. En este caso, la organización se vería afectada si no se respetan

estos criterios. Los impactos pueden adoptar diversas formas como pérdidas económicas.

Estudio de las amenazas: Por otra parte, por su entorno natural, su cultura, su imagen, su

área de actividad, cada organización esta expuesta a diversos elementos peligrosos. Un

elemento peligroso puede caracterizarse según su tipo (natural, humano o ambiental) y su

causa (accidental o deliberada). Cada elemento peligroso puede emplear diversos métodos

de ataque que es conveniente identificar. Un método de ataque puede caracterizarse según

los criterios de seguridad (disponibilidad, integridad, confidencialidad…) a los cuales

puede afectar y según los elementos peligrosos que podrían utilizarlo. Según cada método

de ataque, cada entidad posee vulnerabilidades que podrán ser utilizadas por los elementos

peligrosos.

La expresión de los objetivos de seguridad: Sólo queda determinar cómo pueden afectar

los elementos peligrosos y sus métodos de ataque a los elementos esenciales: se trata del

riesgo. El riesgo representa un posible siniestro. Consiste en la posibilidad de que un

elemento peligroso afecte a los elementos esenciales aprovechando las vulnerabilidades de

entidades en las cuales se basan dichos elementos esenciales y utilizando un método de

ataque particular. Los objetivos de seguridad consisten principalmente en cubrir las

vulnerabilidades de las entidades que conforman el conjunto de riesgos aceptados.

Efectivamente, es inútil proteger lo que no está expuesto. También podemos señalar que

cuanto más importante sea el riesgo potencial, más importante será el nivel de los objetivos

de seguridad. De este modo, dichos objetivos constituirán un pliego de condiciones

perfectamente adaptado.

La determinación de los requerimientos de seguridad: El equipo encargado del análisis

de riesgos debe especificar en forma precisa, las funcionalidades esperadas en materia de

seguridad. Con dichos requerimientos funcionales, debe demostrar la perfecta cobertura de

79

los objetivos de seguridad. El equipo encargado debe especificar los requerimientos de

seguridad que permiten obtener el nivel de confianza necesario para, luego, demostrarlo.

4.1 Análisis de riegos en redes WLAN.

Para realizar un análisis de riesgos en cualquier infraestructura tecnológica se requiere

seguir una metodología para considerar todos los aspectos que influyen en la

operación de las organizaciones. La metodología más utilizada por su eficiencia en las

normas internacionales de seguridad y de análisis de riesgos es la de mejora continua

conocida como (PDCA), la cual se describe a continuación.

Aplicando el modelo PDCA a un Sistema de Gestión de riesgos se tienen los siguientes

pasos:

Planear: Establecer las políticas de seguridad, objetivos, procesos y procedimientosrelevantes para la administración de los riesgos y mejorar la seguridad de la información,para lograr los resultados que la organización espera.

Hacer: Implementar las políticas de seguridad, controles, procesos y procedimientos que

se planearon.

Verificar: Evaluar y donde se aplicable medir el funcionamiento de las políticas deseguridad, procesos, procedimientos y controles de seguridad, documentado todas estamediciones para las futuras acciones.

Actuar: Tomar acciones preventivas y/o correctivas basándose en el resultado del análisisprevio para mejorar el sistema.

80

Figura 4.1 Modelo PDCA

4.1.1 Estudio de la organización.

La identificación de la organización permite recordar los elementos característicos que

definen la identidad de una organización. Se trata de la vocación, el oficio, las misiones, los

valores propios y los ejes estratégicos de este organismo. Debe identificarse de este modo a

quienes contribuyen a su elaboración.

Lo difícil de esta actividad reside en la comprensión de la verdadera organización del

organismo.

La estructura real permite comprender el rol y la importancia atribuida a cada división en el

alcance de los objetivos del organismo.

La estructura del organismo puede ser de diferentes tipos:

Estructura divisional: cada división constituida está subordinada a la autoridad de

un director de división responsable de las decisiones estratégicas, administrativas y

operativas para su unidad.

PARTESINTERESADAS

(CLIENTES,PROVEEDORES,GERENCIA, ETC)

SEGURIDAD DE LAINFORMACIÓN

“REQUERIMIENTOS“

ESTABLECER ELSISTEMA

IMPLEMENTAR ELSISTEMA

MONITOREAR YREVISAR EL

SISTEMA

MANTENER YMEJORAR EL

SISTEMA

PLAN

DO

CHECK

ACTDESARROLLAR

IMPLEMENTAR YMEJORAR EL

SISTEMA

PARTESINTERESADAS

(CLIENTES,PROVEEDORES,GERENCIA, ETC)

GESTIÓN DE LASEGURIDAD DE LA

INFORMACIÓN

MODELO PDCA

81

Estructura funcional: la autoridad funcional se ejerce sobre los procedimientos, la

naturaleza del trabajo y a veces sobre las decisiones o la planificación.

Identificar las restricciones que afectan al organismo.

Se trata de tener en cuenta la totalidad de las restricciones que afectan al organismo y que

podrían determinar ciertas orientaciones en materia de seguridad. Dichas restricciones

pueden ser de origen interno, en cuyo caso el organismo podrá eventualmente manejarlas, o

externo al organismo, y, por tanto, en general, inevitables. Las restricciones de recursos

(presupuesto, personal) y de urgencia son las más importantes.

El organismo se fija objetivos por alcanzar (relativos al oficio, a su comportamiento...) que

comprometerán su futuro a mayor o menor plazo. Define así en qué quiere transformarse, y

los medios que le convendrá implementar.

4.1.2 Inventario de activos de información.

Las organizaciones están conformadas por un conjunto de elementos técnicos y no técnicosque son convenientes identificar y describir. Estos elementos tienen vulnerabilidades que algunos métodos de ataque podrán aprovechar, atentando así contra los elementos esenciales, inmateriales, del sistema evaluado (funciones y datos). Será pues necesario proteger a estos activos como son:

El hardware.

El tipo "hardware" está conformado por el conjunto de elementos físicos de un sistema informático, pudiendo tratarse de soportes informáticos de procesamiento de datos activos opasivos.

El software.

El tipo "software" está conformado por el conjunto de programas que intervienen en elfuncionamiento de un conjunto de procesamientos de la información.

82

Las redes.

El tipo "redes" está conformado por el conjunto de dispositivos de telecomunicación quepermite la interconexión de varios ordenadores o componentes de un sistema deinformación físicamente alejados.

El personal.

El tipo "personal" está conformado por el conjunto de grupos de individuos vinculados conel sistema de información.

Figura 4.2 Formato de Identificación de Activos.

83

4.1.3 Identificación de amenazas y vulnerabilidades.

La selección de los métodos de ataque consiste en seleccionar se realiza con el grupo detrabajo a partir de una lista de métodos de ataque vinculados con ciertos temas. Estos temasson:

siniestros naturales

pérdida de servicios esenciales,

alteraciones debidas a las ondas radioeléctricas,

datos comprometidos,

fallos técnicos,

actos ilícitos,

funciones comprometidas.

Esta clasificación permite seleccionar más fácilmente los métodos de ataque involucrados.Algunos temas (siniestros naturales, pérdida de servicios esenciales) podrían desestimarsesiempre que se justifique. Un método de ataque debe seleccionarse si su cumplimiento esrealista y si puede suponerse que tendrá un impacto.

Cada método de ataque puede afectar al menos a un criterio de seguridad (disponibilidad,integridad, confidencialidad.)

Es conveniente, por lo tanto, caracterizar a todos los métodos de ataque seleccionadosmediante los criterios de seguridad a los que pueden afectar. Esta caracterización consisteen determinar los impactos directos sobre los criterios de seguridad, y no todas lasposibilidades generadas.

Los métodos de ataque son utilizados por elementos peligrosos que es convenientecaracterizar para cada método de ataque. Deben describirse:

84

El tipo de elemento peligroso (natural, humano o ambiental, es decir, externo alsistema evaluado).

Las causas (accidentales o deliberadas) de cada elemento peligroso. Puede afinarseesta clasificación indicando la exposición y los recursos disponibles cuando se tratade una causa accidental e indicando la pericia, los recursos disponibles y lamotivación cuando se trata de una causa deliberada.

La caracterización de los elementos peligrosos puede sintetizarse mediante un único valorpara cada método de ataque seleccionado. Se trata de un potencial de ataque, generalmenteigual a uno de los siguientes valores:

Accidental y aleatorio.

Posibilidades o recursos limitados.

Gran nivel de pericia, posibilidad y recursos.

Identificar las vulnerabilidades

Es conveniente determinar, para cada método de ataque seleccionado, las vulnerabilidades

del sistema estudiado que permiten su materialización Una vulnerabilidad es unacaracterística del sistema que un elemento peligroso podría utilizar y que permitiría pues lamaterialización de un método de ataque. Esta característica, atribuida a las entidades delsistema, puede constituir una debilidad o un fallo de seguridad.

Las vulnerabilidades pueden caracterizarse por su nivel, que representa la posibilidad deactuar de los métodos de ataque que las aprovechan.Este nivel se aprecia en función de varios criterios:

Del contexto propio del sistema.

De estado de la tecnología en el campo considerado.

85

En muchos casos no existen datos estadísticos que permitan elaborar normas decomportamiento del sistema de información. Sólo los riesgos naturales y tecnológicosdisponen de cifras que hacen posible una evaluación utilizando técnicas cuantitativas, perohay que señalar que estos análisis son subjetivos por naturaleza.

Estimar el nivel de las vulnerabilidades tiene por objetivo conservar sólo las

vulnerabilidades pertinentes y jerarquizarlas. Podemos contentarnos con seleccionarlas,

pero la estimación de este valor permite lograr una mayor precisión.

4.3. Formato de Análisis de Riesgos.

86

4.2 Políticas de seguridad.

La política de seguridad de los sistemas de información (PSSI) es el conjunto formalizadoen un documento aplicable de las directivas, procedimientos, códigos de conducta, normasorganizacionales y técnicas, que tienen como objetivo la protección de los sistemas deinformación del organismo. Traduce el reconocimiento oficial de la importancia otorgadapor la dirección general del organismo a la seguridad de sus sistemas de información. Enlíneas generales, contiene una parte referida a los elementos estratégicos del organismo(perímetro, contexto, retos, orientaciones estratégicas en materia de SSI, referencialreglamentario, escala de sensibilidad, necesidades de seguridad, amenazas) y una partereferida a las normas de seguridad aplicables. Constituye, por lo tanto, la materialización dela estrategia de seguridad del organismo. Una política de seguridad debe de cumplir lassiguientes tareas:

Identificar los objetivos en seguridad inalámbrica de la empresa.

Documentar los recursos que se van a proteger.

Identificar la infraestructura de red con mapas actuales e inventarios.

Las políticas de seguridad son indispensables es por eso que se debe dedicar tiempo e

importancia suficiente para desarrollarlas. El desarrollo de una buena política de seguridad

implica:

Proporcionar un proceso para auditar la seguridad inalámbrica existente.

Proporcionar un marco de trabajo general para implementar la seguridad.

Definir los comportamientos que están o no permitidos.

Ayudar a determinar las herramientas y los procedimientos necesarios para la

empresa.

Ayudar a un consenso en el grupo de toma de decisiones clave y definir las

responsabilidades de los usuarios y los administradores.

Definir un proceso para la manipulación de los agujeros inalámbricos.

Si es necesario crear una base para la acción legal.

87

4.2.1 Elaboración de políticas de seguridad.

Una solución eficaz para elaborar una política de seguridad consiste en:

Organizar el proyecto PSSI.

Realizar un estudio global.

Extraer los datos necesarios del estudio (fundamentalmente del estudio del

contexto, la expresión de las necesidades de seguridad y el estudio de las

amenazas).

Selección de los principios de seguridad y elaboración de las normas de seguridad.

Elaboración de los informes de síntesis.

Finalización y validación de la PSSI;

Elaboración y validación del plan de acción.

Tabla 4.1 Elaboración de políticas de seguridad.

ACTIVIDADES IMPLEMENTACIÓN CON EL FIN DE ELABORAR UNAPSSI

Estudio del contexto.Se profundiza el estudio del contexto, que figurará en el informede estrategia de seguridad de la PSSI.

Estudio del Organismo.

Esta actividad debe ser detallada y completa. Se adaptará alobjeto de la PSSI y a las características de organismo. Debeservir para identificar claramente los distintos procesos yfunciones presentes y las limitaciones generales a fin degarantizar una mejor definición del sistema evaluado. Esfundamental no omitir las referencias reglamentarias y legales,así como las normas que debe respetar la organización.

Estudio del sistemaevaluado.

Esta actividad debe ser detallada y completa. Se deben definir yevaluar los retos a fin de poder, eventualmente, clasificar el(los)sistema(s) evaluados(s) (unos) en relación con otros e indicar ellugar que ocupa el sistema evaluado en términos de continuidadde la empresa. Sólo se considerarán los elementosverdaderamente esenciales. La descripción del sistema evaluadodebe ser clara, concisa y lo más estandarizada posible. Ladefinición de las hipótesis, normas de seguridad y referenciasreglamentarias, así como las limitaciones, son indispensablespara disponer de un contexto completo y adecuado.

88

Continuación tabla 4.1

Es importante considerar las interfaces con los demás sistemasde información. Si se trata de una PSSI global del organismo,los elementos esenciales considerados podrán ser los ámbitos deactividad y los procesos más importantes de la empresa.

Determinación delobjetivo del estudio de

seguridad.

Esta actividad contribuye a determinar los objetivos yrequerimientos de seguridad, que servirán para redactar lasnormas de seguridad. Las principales entidades (o tipos deentidades) serán representadas y cotejadas con los elementosesenciales.

Expresión de lasnecesidades de

seguridad.

Se detalla la escala de necesidades, que figurará en el informe deestrategia de seguridad de la PSSI.

Realización de las fichasde necesidades.

La actividad debe ser detallada, estar completa y enriquecidacon ejemplos provenientes del organismo. Los resultadosestarán integrados en el informe de estrategia de seguridad de laPSSI. Los criterios de seguridad, la escala de necesidades y losimpactos seleccionados deberían ser los mismos para todas lasPSSI de la organización.

Síntesis de lasnecesidades de

seguridad.

Una síntesis de esta actividad podrá servir para ampliar elinforme de estrategia de seguridad de la PSSI. Dicha síntesisespecificará las necesidades de seguridad generales por debajode las cuales es inaceptable situarse. Puede llegar a ser útilrellenar totalmente las fichas de expresión de las necesidades deseguridad (y no rellenar únicamente los valores finales) paraidentificar el vínculo existente entre los elementos esenciales ylos impactos, así como la importancia relativa de los impactos.

Estudio de lasamenazas.

Se debe detallar el origen de las amenazas, que figurará en elinforme de estrategia de seguridad de la PSSI, el estudio de lasvulnerabilidades contribuirá aún más a la continuación de laPSSI.

Estudio de los orígenesde las amenazas.

Esta actividad debe ser detallada y completa. La caracterizaciónde los métodos de ataque y de los elementos peligrosos debe serparticularmente clara y precisa. Se debe indicar, explicitar yjustificar el potencial de ataque de cada elemento peligroso. Sedebe elaborar una lista de los métodos de ataque noconsiderados, incluyendo las justificaciones correspondientes.

Estudio de lasvulnerabilidades.

Esta actividad contribuye a determinar los objetivos yrequerimientos de seguridad, que servirán para redactar lasnormas de seguridad. Puede no realizarse si se trata de una PSSIglobal. Se deben identificar todas las vulnerabilidadespertinentes, comprobadas o no. La escala eventualmenteutilizada para los niveles de vulnerabilidad debería ser la mismaPara todas las PSSI de la organización.

89

Formalización de lasamenazas

Continuación tabla 4.1

Esta actividad contribuye a determinar los objetivos yrequerimientos de seguridad, que servirán para redactar lasnormas de seguridad. Esta actividad debe ser clara (a los finesde la comunicación) y precisa. Es preferible formular amenazasunitarias y específicas (una vulnerabilidad por amenaza). Lajerarquización de las amenazas puede ser útil para determinarprioridades para su tratamiento.

Identificación de losobjetivos de seguridad

Se enumeran, sin tener en cuenta las redundancias, los objetivosde seguridad que figurarán en el informe de estrategia deseguridad y contribuirán a la elección de la justificación de losprincipios y normas considerados.

Confrontación de lasamenazas con las

necesidades

Esta actividad contribuye a determinar los objetivos yrequerimientos de seguridad, que servirán para redactar lasnormas de seguridad. Se deben identificar y formular los riesgosde manera uniforme. También es necesario jerarquizarlos, a finde determinar prioridades para su tratamiento, e identificareventuales riesgos residuales.

Formalización de losobjetivos de seguridad

En la medida de lo posible, se debe realizar una enumeración delos objetivos de seguridad, sin tener en cuenta aquellos objetivosredundantes, para enriquecer los ejes estratégicos del informe deestrategia de seguridad de la PSSI. La redacción de los objetivosde seguridad debe ser clara, precisa y uniforme, para poderjustificar dichos objetivos mediante su contenido. Se debenidentificar los eventuales riesgos residuales.

Determinación de losniveles de seguridad

Esta actividad contribuye a determinar los requerimientos deseguridad, que servirán para redactar las normas de seguridad.Puede no realizarse si se trata de una PSSI global. Los nivelesde seguridad deben ser explícitos y deben estar debidamentejustificados.

Determinación de losrequerimientos de

seguridad

Los requerimientos de seguridad funcionales y deaseguramiento podrán constituir directamente normas deseguridad de la PSSI, eventualmente serán completados conotras normas conforme sea requerido.

Determinación de losrequerimientos de

seguridad funcionales

Lo ideal sería que los requerimientos de seguridad funcionalesfueran específicos (un actor y un ámbito cada vez), mensurables(definición del medio de control), alcanzables (eventualmente envarias etapas, proporcionando los recursos necesarios), realistas(en función de los actores, de sus capacidades) y estarencuadrados en el tiempo (hay una fecha límite, un plazo, unperíodo definido). Una vez seleccionados, podrán constituirdirectamente una parte de las normas de seguridad de la PSSI.Se deben identificar los eventuales riesgos residuales. Losrequerimientos de seguridad deberían clasificarse en función delos ámbitos cubiertos por la PSSI.

90

Determinación de losrequerimientos de

seguridad deaseguramiento

Continuación tabla 4.1

En la medida de lo posible, los requerimientos de seguridad deaseguramiento deben ser específicos (un actor y un ámbito cadavez), mensurables (definición del medio de control), alcanzables(eventualmente en varias etapas, proporcionando los recursosnecesarios), realistas (en función de los actores, de suscapacidades) y estar encuadrados en el tiempo (hay una fechalímite, un plazo, un período definido). Una vez seleccionados,podrán constituir directamente una parte de las normas deseguridad de la PSSI.

Una política de seguridad inalámbrica eficaz funciona para garantizar que los recursos de

red de la empresa están protegidos ante el sabotaje y el acceso no apropiado, lo que incluye

el acceso intencionado y accidental. Todas las funciones de seguridad inalámbrica deben

configurarse de conformidad con la política de seguridad de la empresa. Si no existe dicha

política o no esta al día, debe crearse una o actualizarse la existente antes de decidir como

configurar o implantar dispositivos inalámbricos.

4.3 Revisión y auditoría de las políticas de seguridad.

Una vez que se han diseñado y establecido las políticas, procedimientos y controlesde seguridad para las tecnologías inalámbricas de las organizaciones es necesariorealizar auditorías internas y si es posible externas para verificar el correctofuncionamiento y aplicación de las políticas de seguridad.Las auditorías de seguridad se pueden clasifica primeramente en técnicas, que se centranen los riesgos existentes en los sistemas de información de la organización y en la calidadtécnica de las medidas de protección introducidas (correcta configuración de los equipos,etc.), y no técnicas o de Gestión, que habitualmente estudian el cumplimiento efectivo de lapolítica de seguridad de la organización y de sus procedimientos.

91

4.3.1 Auditorías técnicas.

Centrándonos ahora en las auditorías técnicas, dependiendo del alcance de las mismas y

de la complejidad de las organizaciones se pueden realizar auditorías de vulnerabilidades,

que tratan de localizar configuraciones erróneas o agujeros de seguridad en el software

directamente explotables, habitualmente con el apoyo de herramientas que automatizan

parte del trabajo, y proyectos de hacking controlado, pruebas de intrusión o auditorías a

nivel de aplicación.

En este tipo de auditorías los auditores de seguridad tratan de explotar errores de

programación, la arquitectura de red y las relaciones de confianza, las debilidades de los

protocolos de comunicación y los controles de acceso para simular los ataques a una

infraestructura de red bajo los perfiles que se consideren de interés (atacante externo con

distinto nivel de calificación, usuario interno, auditor, administrador, competencia, etc.)

bajo las mismas circunstancias y capacidades (información inicial, puntos de acceso y

recursos disponibles).

Por otro lado, dependiendo del alcance o necesidades de la organización para realizar las

auditorías técnicas, existen pruebas de caja negra, que buscan las debilidades desde el

exterior de los sistemas (habitualmente realizadas de forma remota, desde Internet), y

pruebas de caja blanca, que realizan una revisión de seguridad analizando la configuración

del propio sistema, con acceso al mismo.

Auditorias de “Caja Negra”

Una auditoría de seguridad de caja negra normalmente comienza con trabajos desde el

exterior, para encontrar puntos débiles y ganar algún tipo de acceso a los sistemas, y una

vez conseguido este acceso, examinar el sistema para escalar privilegios y tomar control

sobre él. Estas pruebas desde hace tiempo se vienen realizando basándose en el estándar

OSSTMM (Open Source Testing Methodology Manual) o el documento SP 800-46 del

NIST (instituto de estándares americano) que contemplan las pruebas a realizar para

92

realizar una revisión de seguridad técnica completa. Las pruebas de caja negra, para que

sean realmente efectivas, deben realizarse sin ningún conocimiento de la infraestructura,

garantizando de esta forma que el análisis no tratará de utilizar ningún tipo de información

que facilite la tarea de análisis. El propósito de estas pruebas es que el auditor se comporte

como si realmente fuese un "atacante" de la infraestructura. Durante un análisis de caja

negra normalmente se llevarán a cabo pruebas de visibilidad (para conocer los servicios y

versiones de éstos activos y visibles desde el exterior en cada uno de los sistemas), pruebas

de identificación de servicios (para determinar qué programas ofrecen los servicios

ofrecidos, a través de las cabeceras obtenidas o respuestas programáticas y no fiándose de

la lista de puertos TCP/IP conocidos), obtención de información (recuperación de

información o datos de configuración del sistema final o sistemas adyacentes que desvelen

detalles de la infraestructura auditada) y pruebas de vulnerabilidades en software estándar.

Estas últimas pruebas son las más complejas y se realizarán una vez determinados los

servicios que se están corriendo, junto con la información disponible de versiones y

sistemas operativos. Se basan en una parte que puede ser realizada por herramientas de

diagnóstico automáticas y otra parte que debe ser realizada de forma manual por el auditor.

Esta fase tiene que realizarse con ciertas precauciones puesto que son frecuentes los casos

en que las pruebas de vulnerabilidades que puedan tener éxito produzcan cortes de servicio

o caídas en los sistemas auditados.

Una vez se ha conseguido penetrar con éxito en un sistema, la auditoría de caja negra puede

continuar hacia otros sistemas adyacentes (generalmente más expuestos una vez traspasado

el perímetro) y también derivar hacia análisis de caja blanca.

Auditorias de “Caja Blanca”

En el caso de una auditoría de caja blanca el objetivo no es lograr el acceso (la empresa lo

proporciona para realizarla) sino revisar las medidas de seguridad implementadas en el

sistema y su conformidad, o no, con estándares reconocidos y guías de "buenas prácticas".

93

Las pruebas de caja blanca, como se ha mencionado anteriormente, examinan el sistema

desde su interior. Por lo tanto es necesario tener un acceso a los sistemas. Este acceso

generalmente se obtiene porque directamente se le proporciona al auditor un acceso al

equipo para que pueda realizar un análisis en profundidad de la configuración del sistema,

aunque en algunos casos una prueba de caja negra se convierte en caja blanca por haber

logrado un acceso al sistema a través de alguna vulnerabilidad del mismo u obtener

información que pueda analizarse de esta forma (por ejemplo, el código fuente de las

aplicaciones utilizadas). Es importante destacar que estas pruebas son complementarias de

las anteriores, ya que el hecho de no haber encontrado vulnerabilidades en las pruebas de

"caja negra", no significa que no las haya, si no que generalmente significará que no se han

dedicado recursos suficientes a descubrirlas. Dicho de otra forma, el hecho de que un

sistema sea o no vulnerable no radica en que se encuentre una vulnerabilidad, si no en que

exista dicha vulnerabilidad.

Siguiendo con esta filosofía, es necesario ampliar la información que se posee sobre los

sistemas al máximo, incluyendo topología, protocolos utilizados, reglas en los cortafuegos,

software empleado, etc.

Así, durante esta fase normalmente se realizan las siguientes tareas:

Análisis de la configuración de todos los sistemas operativos implantados: usuarios,

ficheros, etc.

Análisis de la robustez de las contraseñas utilizadas.

Análisis de la configuración del software de base (Web, Mail, cortafuegos, etc.).

Análisis del código fuente de las aplicaciones instaladas o desarrolladas a medida.

Determinación de las vulnerabilidades presentes en los sistemas debido a la falta de

actualización en la aplicación de parches de seguridad obsolescencia de los

sistemas).

94

Figura 4.4. Tipos de Auditoria

En algunos casos estas tareas de análisis pueden ser automatizadas con algunas

herramientas pero en la mayoría de los casos se realizarán de forma manual y requerirán de

un conocimiento profundo de los sistemas auditados, recomendaciones del fabricante, etc.

Generalmente estas inspecciones, aunque más laboriosas hacen que la tarea analítica-

correctora produzca un resultado cualitativamente superior.

4.3.2 Auditorías de procesos y gestión.

La realización de una actividad de auditoría debe realizarse siguiendo fielmente los códigos

de buenas prácticas de seguridad de sistemas de información reconocido

internacionalmente, en este caso la norma ISO-17799 y la guía del NIST SP 800-26.Este

tipo de auditoría debe realizarse con un conocimiento previo de los distintos riesgos y

controles que son aplicables a una organización, debido a la amplitud del código de buenas

prácticas ISO-17799 no tiene sentido auditar todos los controles recomendados si éstos no

son aplicables a la organización, bien porque no existe un riesgo en ese sentido, o porque

el costo de implantación de dichos controles se ha considerado superior al costo resultante

de la materialización de una amenaza (impacto) o del propio activo. Es por ello que la

95

actividad de auditoría de procesos y gestión estará precedida por un trabajo de análisis del

entorno de la organización incluyendo:

Análisis de la política de seguridad.

Análisis de los procesos implantados, incluyendo, entre otros, los de gestión

administración.

Entrevistas con los responsables de la seguridad de información de la organización

para determinar los controles establecidos.

Revisión de los análisis de riesgos realizados previamente y en función de los cuales

se han implantado los controles.

Revisión de las auditorías previas realizadas.

Toda vez que se haya realizado el análisis de entorno se procederá a realizar una revisión

exhaustiva de los controles implantados, la correcta implantación de los procedimientos y

la concordancia con el código de buenas prácticas. Para ello se realizarán entrevistas con

distinto personal de la organización, el personal concreto a entrevistar será definido

basándose en el estudio del entorno y de la organización. Entre el personal entrevistado se

incluirán a:

Los responsables de gestión.

El personal técnico encargado de la gestión de la seguridad de cada uno de los

sistemas.

Usuarios de los sistemas de información (muestra aleatoria).

Las principales acciones que las organizaciones deben de implementar para verificar el

cumplimiento de las políticas a través de auditorías son:

Identificar errores en los procesos.

Identificar brechas e incidentes de seguridad.

Medir la efectividad de los controles de seguridad.

96

Revisar y actualizar las evaluaciones de riesgos de forma periódica para que

sigan cumpliendo con los requerimientos de seguridad.

Realizar acciones correctivas y/o preventivas para corregir los errores o

desviaciones en los procesos.

4.4 Implementación de redes WLAN seguras.

Las redes inalámbricas se están utilizando cada vez en las empresas gracias a sus

características de movilidad, escalabilidad y bajo costo de implementación.

Por las características de la tecnología inalámbrica se está expuesto a tener asociadas

vulnerabilidades y amenazas que pueden disminuir los niveles de seguridad en las

redes inalámbricas. No existe ningún sistema 100% seguro, tan sólo hay que analizar la

relación coste / beneficio de hacerlo razonablemente seguro considerando aspectos como

la información que se transmite por estas redes, topologías de red, tamaño de la

organización, etc.

Por estos motivos y por todo el análisis realizado en los capítulos anteriores se

describen a continuación 4 criterios básicos para el diseño e implementación de una

red inalámbrica con niveles de seguridad apropiados de acuerdo a las necesidades de

seguridad de las organizaciones. Estos criterios son:

Planeación.

Selección de la infraestructura.

Implementación.

Sistemas de seguridad.

97

4.4.1 Planeación.

Una vez que se ha decidido implementar una red con tecnología inalámbrica debemos de

identificar nuestras necesidades de conexión ya que se puede tener conexión “peer to

peer” o tener un punto de acceso o Gateway que administre las conexiones a la red.

Las soluciones peer to peer se dan cuando existen varios equipos que transmiten

información entre ellos sin la necesidad de una estación base como un punto de acceso

o Gateway. Este tipo de configuración puede ser muy útil cuando se tienen muy pocos

equipos inalámbricos o para compartir acceso a Internet entre un número pequeño de

equipos.

Si se tiene un número grande de usuarios o se requiere una mayor velocidad de

transmisión en las redes inalámbricas es recomendable utilizar un punto de acceso o

Gateway que administre las conexiones a la red.

También se debe de planear los equipos que tendrán acceso a la red inalámbrica

considerando Laptop´s, PC´s, PDA´s, etc. Esto con el fin de dimensionar la cantidad de

usuarios y los tipos de dispositivos que tendrán acceso a la red.

Los puntos de acceso o Gateway´s son los equipos que proporcionarán el acceso a los

dispositivos de nuestra red, y dependiendo del número de usuarios, tamaño de la empresa,

información a transmitir y diversidad de dispositivos a conectarse a la red se

seleccionaran los puntos de acceso ya que existen de diversas capacidades y

características técnicas.

Normalmente los puntos de acceso soportan entre 15 y 20 usuarios, pero también se

debe de considerar el comportamiento y tipo de usuarios que utilizaran la red ya que

existen 2 tipos básicos de usuarios:

98

Usuarios Típicos: Utilizan la red para enviar correos, navegar ocasionalmente en

Internet y transmitir o consultar archivos pequeños.

Usuarios de Mayor Demanda de Recursos: Normalmente este tipo de usuarios utilizan

la red para enviar o consultar archivos grandes, alta utilización de Internet, utilización de

videos, música, etc

Habiendo realizado estas consideraciones se concluye esta etapa realizando un

diagrama general de la conectividad y topología de la red a implementar.

4.4.2 Selección de la infraestructura.

En las redes inalámbricas se clasifican en 4 tipos los dispositivos que interactúan en las

comunicaciones.

1. Los dispositivos inalámbricos como son (PC´s, laptop´s y PDA´s).

2. Los puntos de acceso o gateway´s.

3. Equipos de seguridad.

4. Los periféricos como impresoras, fax, cámaras, etc.

4.4.3 Implementación.

Una vez que se ha decidido la infraestructura que se va a utilizar se continua con la

puesta en operación de la red inalámbrica siguiendo los siguientes pasos:

Instalar los dispositivos inalámbricos.

Instalar y configurar el punto de acceso o gateway.

Configurar los dispositivos inalámbricos.

Instalar y configurar los dispositivos periféricos.

Implementar controles de seguridad en la red.

99

4.4.4 Seguridad

Se deben implementar controles y políticas de seguridad dentro de las redes inalámbricas

para minimizar las amenazas y vulnerabilidades de las redes inalámbricas. Estos

controles depende de las necesidades de seguridad de las organizaciones y a

continuación se describen los controles de seguridad más efectivos que se pueden

implementar en este tipo de redes.

Implementar WPA (Wi-Fi Protected Accesses) o WPA 2: Este es un control de

encriptación que incrementa los niveles de seguridad en las redes inalámbricas ya que

utiliza un algoritmo muy robusto que difícilmente se puede descifrar.

Cambiar las contraseñas por default: La mayoría de equipos inalámbricos tienen

contraseñas de fabrica por lo que es conveniente cambiarlos antes de poner en

funcionamientos dichos dispositivos.

Cambiar el Nombre de la red: La mayoría de los dispositivos inalámbricos vienen con

un nombre de red de fábrica por lo que es conveniente cambiarlo. No es recomendable

ponerle el nombre de la compañía a la red inalámbrica ya que puede llamar más la

atención de los intrusos.

Utilizar Filtrado de MAC: Es recomendable tener una lista de las direcciones MAC de

los dispositivos que tienen permitido utilizar la red inalámbrica.

Utilizar Servidores de Autenticación: Dependiendo de las necesidades de seguridad de la

organización se puede implementar un sistema de autenticación RADIUS que permita

proporcionar acceso a la red solo a personal autorizado.

Utilizar Firewall: Dependiendo de las necesidades de seguridad de la organización se

puede implementar un Firewall que restringa el acceso a las redes que ingresan a nuestra

red.

100

Utilizar VPN: Dependiendo de las necesidades de seguridad de la organización se puede

implementar una VPN que permita el acceso remoto de forma segura a la red.

Utilizar IPS: Dependiendo de las necesidades de seguridad de la organización se puede

implementar un Sistema de Prevención de Intrusos para identificar y evitar posibles

ataques a la red.

Cambio Periódico de Contraseñas: Se deben cambiar de forma periódica las

contraseñas de los dispositivos inalámbricos para evitar que personal no autorizado las

pueda obtener.

Sistema Antivirus: Es recomendable contar con un sistema antivirus en los dispositivos

de red.

Auditorias. Es necesario realizar auditorías internas y/o externas a las políticas y

controles de seguridad de las redes inalámbricas de las organizaciones para verificar el

adecuado cumplimiento de estas.

4.4.5 Configuraciones de Seguridad en Redes WLAN.

A continuación se describen algunas configuraciones de seguridad para redes

inalámbricas considerando configuraciones básicas para hogares y pequeñas empresas

hasta configuraciones más complejas para organizaciones grandes. Cabe mencionar que

cada organización tiene diferentes necesidades de seguridad y los controles necesarios

para cumplir con dichos requerimientos de seguridad pueden incrementarse debido a la

importancia de la información que se transmita por Wi-Fi, tamaño de la organización, etc.

Configuración Simple para Hogares y Pequeñas Oficinas

Esta configuración es utilizada para habilitar redes inalámbricas dentro de hogares y

pequeñas oficinas. Las ventajas es que para pequeñas oficinas puede ser muy funcional

101

ya que los nuevos empleados pueden empezar a trabajar en minutos debido a la fácil

configuración y bajo costo de implementación. Además con esta configuración se puede

tener controlado el acceso a Internet a través del Gateway conectado a un modem DSL.

Los controles de seguridad que se pueden implementar son:

Encripción WPA.

Filtrado de MAC.

Siste Antivirus en PC´s y Laptop´s.

Con estos controles se tiene un buen nivel de seguridad para hogares y pequeñas

organizaciones ya que son controles fáciles de implementar y a bajo costo que pueden

asegurar los requerimientos de seguridad de dichas organizaciones.

Figura 4.5 Configuración para hogares y pequeñas empresas.

INTERNET

ACCESSPOINT

ROUTER MODEM DSL

CONFIGURACIÓN SIMPLE PARA HOGARESY OFICINAS PEQUEÑAS

ENCRIPCIÓN WPA

ENCRIPCIÓN WPA

Filtrado deMAC

102

Configuración con Autenticación RADIUS

Esta configuración es utilizada para redes inalámbricas dentro organizaciones medianas o

que buscan un mayor nivel de seguridad. Las ventajas que se tienen principalmente es

un mayor nivel de seguridad ya que a través del servidor de autenticación RADIUS solo

el personal autorizado podrá ingresar a la red corporativa en la cual están los servidores

de aplicaciones criticas y que requieren un mayor grado de confidencialidad.. Los

controles de seguridad que se pueden implementar en este tipo de configuración son:

Encripción WPA.

Filtrado de MAC.

Sistema Antivirus en PC´s y Laptop´s.

Autenticación a través de un servidor RADIUS.

Con estos controles se tiene un buen nivel de seguridad si se quiere proteger ciertas áreas

o redes de la organización a través de un sistema de autenticación además de los controles

adicionales que se mencionaron en la configuración anterior, esta solución implica un

mayor costo, por lo que su implementación debe de considerar los requerimientos de

seguridad de las organizaciones.

ACCESSPOINT

RADIUSAAA

CONFIGURACIÓN UTILIZANDO RADIUS

ENCRIPCIÓNWPA

REDCORPORATIVA

GRANJA DESERVIDORES

ACCESSCONTROLLER

Figura 4.6 Seguridad a través de un servidor RADIUS.

103

Configuración con Autenticación RADIUS y FIREWALL

Esta configuración es utilizada para redes inalámbricas dentro organizaciones medianas y

grandes que buscan un mayor nivel de seguridad. Las ventajas que se tienen

principalmente es un mayor nivel de seguridad ya que a través del servidor de

autenticación RADIUS solo el personal autorizado podrá ingresar a la red corporativa

en la cual están los servidores de aplicaciones criticas y que requieren un mayor grado de

confidencialidad, además de que se cuenta con un firewall que bloquea los accesos de

las direcciones o puertos de conexión que no sean validos.

Los controles de seguridad que se pueden implementar en este tipo de configuración son:

Encriptación WPA.

Filtrado de MAC.

Sistema Antivirus en PC´s y Laptop´s.

Autenticación a través de un servidor RADIUS.

Firewall.

Con estos controles se tiene un buen nivel de seguridad si se quiere proteger ciertas áreas

o redes de la organización a través de un sistema de autenticación en conjunto con firewall

además de los controles adicionales , esta solución implica un mayor costo, por lo que su

implementación debe de considerar los requerimientos de seguridad de las

organizaciones.

104

Figura 4.7 Seguridad a través de un servidor RADIUS y firewall

Configuración con RADIUS, firewall y VPN

Esta configuración es utilizada para redes inalámbricas dentro organizaciones medianas y

grandes que buscan un mayor nivel de seguridad. Las ventajas que se tienen

principalmente es un mayor nivel de seguridad ya que a través del servidor de

autenticación RADIUS solo el personal autorizado podrá ingresar a la red corporativa

en la cual están los servidores de aplicaciones criticas y que requieren un mayor grado de

confidencialidad, además de que se cuenta con un firewall que bloquea los accesos de

las direcciones o puertos de conexión que no sean validos. Además es muy útil si se

tienen usuarios remotos ya que utiliza un sistema de VPN que robustece la seguridad

de la red.

Los controles de seguridad que se pueden implementar en este tipo de configuración son:

Encripción WPA.

Filtrado de MAC.

ACCESSPOINT

RADIUSAAA

CONFIGURACIÓN UTILIZANDO RADIUS YFIREWALL

ENCRIPCIÓNWPA

REDCORPORATIVA

GRANJA DESERVIDORES

ACCESSCONTROLLER

FIREWALL

105

Sistema Antivirus en PC´s y Laptop´s.

Autenticación a través de un servidor RADIUS.

Firewall.

VPN para usuarios remotos.

Con estos controles se tiene un buen nivel de seguridad si se quiere proteger ciertas áreas

o redes de la organización a través de un sistema de autenticación en conjunto con firewall

y VPN para conexión de usuarios remotos , esta solución implica un mayor costo, por lo

que su implementación debe de considerar los requerimientos de seguridad de las

organizaciones.

ACCESSPOINT

RADIUSAAA

CONFIGURACIÓN UTILIZANDO RADIUS,FIREWALL Y VPN

ENCRIPCIÓNWPA

REDCORPORATIVA

GRANJA DESERVIDORES

ACCESSCONTROLLER

FIREWALL

SERVIDORVPN

USUARIO REMOTO

FIREWALL

Figura 4.8 Configuración utilizando VPN para usuarios remotos.

106

Configuración con RADIUS, firewallo, VPN e IDS

Esta configuración es utilizada para redes inalámbricas dentro organizaciones grandes

que buscan un mayor nivel de seguridad. Las ventajas que se tienen principalmente es

un mayor nivel de seguridad ya que a través del servidor de autenticación RADIUS solo

el personal autorizado podrá ingresar a la red corporativa en la cual están los servidores

de aplicaciones criticas y que requieren un mayor grado de confidencialidad, además de

que se cuenta con un firewall que bloquea los accesos de las direcciones o puertos de

conexión que no sean validos. Además es muy útil si se tienen usuarios remotos ya que

utiliza un sistema de VPN que robustece la seguridad de la red.

Reforzando la seguridad se tienen un sistema de detección de intrusos que analiza el

tráfico que pasa a través de la red y puede identificar posibles ataques a nuestra red.

Los controles de seguridad que se pueden implementar en este tipo de configuración son:

Encriptación WPA.

Filtrado de MAC.

Sistema antivirus en PC´s y Laptop´s.

Autenticación a través de un servidor RADIUS.

Firewall.

VPN para usuarios remotos.

Detector de Intrusos (IDS).

Con estos controles se tiene un buen nivel de seguridad si se quiere proteger ciertas áreas

o redes de la organización a través de un sistema de autenticación en conjunto con firewall,

Detector de Intrusos y VPN para conexión de usuarios remotos , esta solución implica un

mayor costo, por lo que su implementación debe de considerar los requerimientos de

seguridad de las organizaciones.

107

Figura 4.9 Configuración utilizando VPN e IDS

108

Conclusiones.

La seguridad es el único problema grande que enfrenta la tecnología Wi-Fi, debido a esto

se están desarrollando y perfeccionando las técnicas actuales de seguridad en redes

inalámbricas.

Es muy importante conocer las vulnerabilidades a las que esta expuesta la red, de lo

contrario es imposible que seamos capaces de asegurarlas correctamente. Las principales

brechas de seguridad que se detectaron en este trabajo son:

El medio físico por el que viaja la información es el espacio libre que es de

acceso público y cualquier usuario puede tener acceso a este medio físico.

La tecnología es barata por lo que cualquier persona puede contar con las

herramientas necesarias para detectar redes inalámbricas.

Existen mucho software en Internet que se utiliza para descifrar las

comunicaciones en redes inalámbricas.

Existen errores de configuración a la hora de implementar las redes inalámbricas.

No se realizan revisiones ni auditorias en el funcionamiento de las redes

inalámbricas.

No se definen o implementan políticas de seguridad para las redes inalámbricas.

109

Actualmente existen muchas técnicas, métodos y tecnologías que nos ayudan a

implementar redes inalámbricas, las contramedidas que se pueden implementar son:

SSID (Service Set Identifier “Identificadores de Servicio”).

Restricción por Direcciones MAC.

WEP (Wired Equivalency Protocol “Protocolo de Equivalencia de Red”).

WPA (Wi-Fi Protected Access “Acceso Wi-Fi Protegido”).

VPN (Virtual Private Network “Red Privada Virtual”).

Firewall (Pared de Fuego).

Sistemas Detectores de Intrusos.

Antivirus.

Autenticación por RADIUS

Políticas de Seguridad.

Auditorias Internas y Externas.

Una vez que se implementan estos controles debemos realizar auditorías internas y/o

externas para verificar el grado de cumplimiento de nuestros controles, procesos,

políticas e identificar nuevas amenazas y vulnerabilidades. En caso de encontrar

inconformidades o desviaciones es necesario toma acciones que solucionen dichos

hallazgos para minimizar los impactos en la organización por incidentes de seguridad.

Es por esto que al comenzar con el despliegue de una red WLAN a lo largo de toda una

empresa, es necesario que se solicite información adicional para crear una arquitectura de

seguridad exitosa, escalable y robusta.

110

BIBLIOGRAFIA

Fundamentos de redes inalámbricas.

Cisco Systems, Inc.

Pearson Educación. 2004

Manual de redes inalámbricas.

Reid, Neil & Seide Ron.

Editorial Mc Graw-Hill.

Enterprise Solutions for Wireless LAN Security

Wi-Fi Alliance, Febrero 2003.

Five Steps to Creating a Wireless Network

Wi-Fi Alliance, Febrero 2003.

Ethical Hacking Module XV “Hacking Wireless Networks”

EC-Council, Noviembre 2006.

Redes Inalámbricas

UNAM-CERT 2006.

Recursos de Internet

www.wi-fi.org Noviembre 15, 2007

http://www.eslack.org/pof/In-Seguridad_802.11b.pdf. Junio 15 2007.

http://www.wi-fi.net/ . Julio 03 2007.

http://www.tecnowifi.com. Julio 12 2007.

http://informationweek.com. Agosto 15 2007.

https://www.linux-magazine.es/issue/04/80211.pdf . Agosto 24 2007.

111

Glosario

Acceso multiple con detección de portadora y detección de colisiones (CSMA/CD,

Carrier Sense Multiple Access Collision Detect): Acceso múltiple con detección de

portadora mediante detección de colisiones. Es un tipo de protocolo de contención.

Acceso múltiple por división de la frecuencia (FDMA, Frequency Division Multiple

Access): Todo dispositivo puede utilizar una porción del espectro disponible, durante tanto

tiempo como necesite, mientras se mantenga en la célula.

Acceso múltiple por división del código (CDMA, Code Division Multiple Access):

Esquema de codificación utilizado como técnica de modulación en la que varios canales se

codifican independientemente para la transmisión.

Acceso múltiple por división del tiempo (TDMA, Time Division Multiple Access): Un

dispositivo puede utilizar todo l espectro disponible en la célula, pero solo durante un corto

periodo de tiempo.

Amplificador: Es un dispositivo que acepta señales de entrada débil y proporciona a la

salida una señal amplificadas y mas fuerte.

AP falso: Punto de acceso no autorizado y configurado por un empleado.

Beacon (señal de alerta): Los AP difunden señales de alerta e intervalos predeterminados

y programables. Un beacon tiene detalles parecidos a los que incluye una respuesta de

sondeo.

CDMA (Acceso Múltiple por División de Códigos): Una tecnología utilizada para

transmitir llamadas inalámbricas asignándoles códigos. Las llamadas son esparcidas en el

más amplio rango de canales disponibles. Entonces, los códigos permiten que muchas

llamadas viajen en la misma frecuencia y también guían a esas llamadas al teléfono.

112

Dirección IP: Es una dirección de red de 32 bits que permite distinguir a un cliente o

dispositivo del resto. Parte de esta dirección representa la red, y otra parte representa el

host.

DSSS: Acrónimo de "Direct Sequence Spread Spectrum". Sistema de transmisión de datos

usado por las redes sin hilos.

Espectro disperso por salto de frecuencia (FHSS, Frequency Hopping Spread

Spectrum): Es un servicio utilizado por 802.11a y 802.11g.

Ethernet: Tecnología utilizada en redes de área local basadas en tramas de datos. Define

las características de cableado y señalización a nivel físico, bajo el estándar IEEE 802.3.

FTP: Protocolo de transferencia de archivos.

IEEE 802.11: Estándar que especifica el control de acceso al medio con detección de

portadora y las especificaciones de la capa física para las WLAN a 1 y 2 Mbps.

IEEE: Instituto de Ingeniería Eléctrica y Electrónica.

Infrarrojo (IR): Se utiliza para señalización cerca de la luz visible, en el rango de 850 a

950 nm. Se parece al espectro de luz utilizado por los dispositivos de consumo comunes.

Los sistemas IR están diseñados para utilizar IR directa y luz reflejada, denominada

transmisión infrarroja difusa.

LAN: La red de Área Local (LAN) es una pequeña red de datos que cubre un área limitada,

tal como un edificio o grupo de edificios. La mayoría de las LAN conectan estaciones de

trabajo o computadoras personales. Esto permite a muchos usuarios compartir dispositivos,

tales como impresoras de rayo láser así como datos.

113

Lista de control de acceso (ACL): Mecanismo de seguridad, que utiliza como medio de

autenticación la dirección MAC de cada estación cliente, permitiendo el acceso a aquellas

MAC que consten en la lista de control de acceso.

Luz infrarroja (IR): Tipo de transmisión que requiere de un diodo emisor y un fotodiodo

receptor la cual es posible alineando los dispositivos. Se ubica en el espectro

electromagnético en las frecuencias mas bajas de la luz visible.

Paquete: Una pieza de datos enviada sobre una red de conmutación de paquetes, tal como

el Internet. Un paquete incluye no solo datos, sino también información de dirección acerca

de su origen y su destino.

PCMCIA: La asociacion internacional de tarjetas de memoria para computadoras

personales (PCMIA, Personal Computer Memory Card I¨nternational Association) es un

cuerpo de normalizacion internacional y una asociacion comercial que supervisa y

promueve la aceptacion de los dispositivos en formato PC card.

Protocolo: Son las normas relacionadas con la interconexión de los sistemas de

computación. Si dos computadoras no pueden intercambiar información, es probable que

utilicen protocolos de comunicación diferentes.

Punto de acceso (AP,Access point”): El dispositivo físico, similar a un hub, permite al

usuario acceder a una red inalámbrica.

RC4 (Rivest Chipre 4): Cifrador patentado de flujo de longitud de clave variable.

Red Ad Hoc: Conexión punto a punto entre dos ordenadores mediante tarjetas

inalámbricas, no es necesario disponer de un punto de acceso.

Red de igual a igual: Es un modelo de comunicación en el que cada parte tiene las mismas

capacidades y cada parte puede iniciar una sesión de comunicación

114

Red inalámbrica de área local (WLAN): Utilizando tecnología de radio frecuencia (RF),

las WLAN transmiten y reciben datos de forma inalámbrica en una cierta área. Esto permite

a los usuarios en una zona pequeña transmitir datos y compartir recursos, tales como

impresoras, sin conectar físicamente cada computadora con cables o alambres.

Red privada virtual (VPN, Virtual Private Network): es una red fiable que transmite

datos a través de una infraestructura de red no fiable. Para las comunicaciones que se

originan en una VPN deben de existir unos mecanismos de seguridad según los cuales el

servidor firewall puede autenticar el origen, la integridad de datos, y otros principios de

seguridad.

Salto de frecuencia: Conmutación repetida de frecuencias durante la transmisión de radio

según un algoritmo especificado para minimizar la interceptación o atasco de las

telecomunicaciones.

Seguimiento automático (Roaming): Cuando viajan fuera del área local de su proveedor,

el seguimiento automático permite a los usuarios la habilidad de moverse del área de

cobertura de un proveedor a otro, sin interrupción en el servicio o llamadas caídas.

Servidor DHCP: Servidor de protocolo de configuración dinámica del host. Asigna

automáticamente la dirección IP, la mascara de subred IP, el gateway predeterminado, el

DNS y otros atributos de clientes.

SSID (Identificador del conjunto de servicio, Sevice Set Identifier). Identificador único

que permite que un cliente reconozca un punto de acceso respecto a otro.

TDMA (Acceso múltiple de división de tiempo): Una tecnología que transmite

información dividiendo llamadas en secciones de tiempo, en el que cada uno dura sólo una

fracción de segundo.

115

WAP: Protocolo de Aplicación de Tecnología Inalámbrica es un grupo de estándares que

permite a los dispositivos inalámbricos, tales como teléfonos, radiolocalizadores y

dispositivos de mano, navegar el contenido de páginas de Internet especialmente

codificadas.

WEP: Acrónimo de "Wired Equivalent Privacy" sistema de encriptación de datos usado

por los sistemas inalámbricos (40-bit o 128-bit), no es seguro y fácilmente violable.

Wi-Fi Alliance: Alianza para la compatibilidad de Ethernet inalámbrica creada en 1997,

antes llamada WECA.

Wi-Fi: Tecnología inalámbrica que permite la interconexión de varias maquinas.