Instituto Instituto Tecnológico ecnológic o de comitancillo Materia: Seguridad Informática Profesor: Lic. Isidro López Ruiz UNI!: "
Tema: Seguridad #n
Redes !lumno: !na !$uino %ernández &arrera: Ing. Informática 'rupo: ( )*+ ,ec-a de entrega: " de No/iem0re del 12"
INDICE: 4.1. Aspectos de seguridad en las comunicaciones. 4.2. Debilidades de los protocolos TCP/IP. 4.2.1. Transmisin de pa!uetes " promiscuidad. 4.2.2. #edes locales $%&AN' " amplias $%PN'. 4.2.(. Domicilios IP. 4.2.4. %igilancia de pa!uetes. 4.(. Est)ndares para la seguridad en redes. 4.4. %ulnerabilidad de los protocolos inal)mbricos *EP+ *PA+ *PA2. ,I,&I-#AIA:
4.1. A0PECT-0 DE 0E#IDAD EN &A0 C-NICACI-NE0. Evid Eviden ente teme ment nte, e, el prob proble lema ma de la segu seguri rida dad d en los los sist sistem emas as de dato datos s e información ha sido una preocupación desde los orígenes de estos sistemas. De hech hecho, o, si aten atende demo mos s al prop propio io orig origen en de los los siste istema mas s info inform rmát átic icos os,, encontramos que parte de sus raíces modernas se encuentran en la necesidad de desencintar mensajes en tiempos de preguerra y guerra entre las potencias de la época, rondando los aos !" del siglo ##. El $ollosus, construido por %uring con la ayuda de &on 'euman, fue el primer ordenador operativo cuyo cometido era vulnerar los mensajes encriptados por la famosa máquina Enigma con la que los alemanes codificaban sus mensajes de guerra. (in embargo, apartando estas escenas románticas de película, el problema de la seguridad en los sistemas de computación se limitan a controlar el acceso a las personas a los sistemas así como a garanti)ar que éstas no divulguen sus claves de acceso, hasta bien entrada la década de los *". El primer virus informático surge casi como un juego de estudiantes. En el ao +*-, ich (/renta, con tan sólo +0 aos de edad, crea 1El/ $loner2, un pequeo programa que se copia en las unidades de disquete sin permiso de los usuarios y a través de su inserción en los diferentes equipos por los que va pasando. (u efecto es igualmente romántico, pues el fin de (/renta es distribuir un pequeo poema indicando que había infectado el ordenador. 3aralelamente, es en esa época cuando se empie)a a hablar de códigos autor replicantes, siendo en +*4 cuando se introduce por primera ve) el término virus informático, de la mano de 5red $ohen. 6ientras los primeros virus suponían simplemente un reto para sus diseadores, que se jactaban de haber vulnerado los sistemas a los que pretendían infectar, el tiempo, la generali)ación de 7nternet, el uso de ésta como plataforma de negocio y en definitiva, el hecho de que de una manera u otra todos los ordenadores del
mundo estén conectados entre sí, ha propiciado una escalada de códigos maliciosos, cada ve) más destructivos capaces de generar pérdidas económicas millonarias, vulnerar los sistemas de seguridad de un país, e incluso llegando a acuarse el término de cíber terrorismo, para definir determinados ataques a sistemas de información. 3or suerte, como decíamos al principio, los sistemas informáticos escolares no tienen que ver con el mundo empresarial, que es el más afectado por las vulneraciones de la seguridad informática, ni con sistemas sensibles, como los de defensa, interior o sanidad. 'uestro problema se reduce considerablemente a mantener equipos en funcionamiento, listos para el uso y acceso a 7nternet, controlando los lugares a los que accede el alumnado.
#iesgos en la seguridad de los e!uipos in3orm)ticos 8unque hoy en día es prácticamente imposible considerar a los equipos informáticos como entes aislados, si consideramos al ordenador como un elemento individual hay sólo tres elementos sobre los que tendremos que incidir para evitar agujeros de seguridad9 •
•
•
Evitar accesos locales al equipo por parte de personas no deseadas. Evitar la contaminación del equipo por parte de elementos perniciosos que puedan daar o ralenti)ar el funcionamiento del mismo, y que se aprovechan fundamentalmente de los sistemas de almacenamiento portátiles :llaves ;(<, tarjetas (D, discos duros portátiles= y>o de los sistemas de comunicación. Evitar agujeros de seguridad mediante el mantenimiento actuali)ado del equipo informático, su sistema operativo y los programas que utilicemos.
En cuanto a lo de evitar los accesos locales, la mayoría de los ataques se basan en nuestra ingenuidad a la hora de afrontar los problemas de seguridad. Es la llamada 17ngeniería social2. (eg?n @evin 6itni/, uno de los 1ingenieros sociales2 más famosos de todos los tiempos, la obtención de información del usuario legítimo se basa en cuatro principios básicos9 +. %odos queremos ayudar.
-. El primer movimiento es siempre de confian)a hacia el otro. 4. 'o nos gusta decir 'o. !. 8 todos nos gusta que nos alaben. 6ediante este sistema es perfectamente posible obtener los datos de cualquier persona, incluso datos vitales para su economía. ;n ejemplo claro de la aplicación de este sistema es cuando se recibe una llamada al hogar desde un centro comercial conocido indicándonos que tienen una interesantísima oferta que ofrecernos. 8 lo largo de la conversación y tras habernos solicitado nuestro nombre, y nuestro D'7 :seg?n dicen, para comprobar nuestros datos=, nos solicitan que para formali)ar la oferta debemos darles el n?mero de cuenta en la que cargar el gasto. El fraude es completo, les hemos dado todos nuestros datos vitales incluidos los -" dígitos de nuestra cuenta bancaria a una persona a la que no hemos visto siquiera la cara. En las corporaciones empresariales es frecuente que alguien nos solicite en un momento determinado nuestro usuario y contrasea de acceso, haciéndose pasar por miembro del equipo de soporte informático y con el supuesto fin de acceder a determinadas tareas de reparación y mantenimiento de la máquina. %ambién es frecuente encontrarnos con usuarios que ante la incomodidad de cambiar las contraseas y>o recordarlas las dejan escritas en un postAit adherido a la pantalla o con aquellas personas que utili)an como contrasea cosas sencillas como +-4!, o el nombre de alguno de sus hijos. Este tipo de vulneración de la seguridad tiene su correspondencia en el mundo de 7nternet con el llamado 3hishing, del que hablaremos un poco más adelante. Ba segunda de las posibles vulneraciones de seguridad se basa en la capacidad de los sistemas eCtraíbles de ser contaminados mediante virus que se auto replican no sólo en la dirección del ordenador contaminado hacia el elemento eCtraíble :llave ;(<, por ejemplo=, sino desde éstos hacia los siguientes ordenadores. %odos los dispositivos de almacenamiento eCtraíble tienen la capacidad de ejecutar de manera autónoma pequeas aplicaciones. Esta facilidad que en sus orígenes se implementó para que al ser detectados por los sistemas operativos se
lan)asen páginas de introducción a los contenidos, o logos representativos de su contenido que facilitasen la vida al usuario ineCperto, se convierten al mismo tiempo en una herramienta al servicio de los diseadores de virus que en ?ltimo término buscan controlar nuestro equipo o dejarlo en estado no operativo. Ba tercera de las posibles vulneraciones de los sistemas viene derivada de los llamados 1agujeros de seguridad2. El mundo de la informática avan)a de una manera tan vertiginosa que los productos resultantes se comerciali)an sin haberse probado su fiabilidad al +"" en todas las ocasiones y circunstancias posibles. Esto provoca que ante determinadas circunstancias, un mal funcionamiento de un programa, de un sistema operativo o del navegador correspondiente, hace que el sistema se bloquee facilitando que el intruso pueda acceder a nuestros datos, al contenido de nuestro disco duro o a la instalación de sus propios programas en nuestro equipo. El submundo del fraude está en b?squeda permanente de estos agujeros para aprovechar las vulneraciones y controlar así los equipos informáticos, convirtiéndoles en auténticos )ombies al servicio de la ilegalidad y sin conocimiento del usuario legítimo. Bas empresas desarrolladoras de los sistemas operativos y del softare publican de manera permanente parches que corrigen los defectos encontrados. Es evidente que es necesaria una permanente actuali)ación de los sistemas informáticos. $uanto más actuali)ado, menos riesgo de vulnerabilidad.
#iesgos de la naegacin por Internet $omo decíamos al principio, no se conciben hoy en día los equipos informáticos como entes aislados, sino integrados en redes que a su ve) están todas conectadas entre sí. Es más, si bien el acceso a 7nternet se hacía antes fundamentalmente vía modem, mediante líneas %< o D(7, actualmente, la mayoría de las coneCiones se reali)an mediante sistemas de conectividad de banda ancha, fundamentalmente 8D(B, que permanecen operativas de manera continuada en el tiempo, es decir, no sólo duran lo que lo hace la llamada, sino que están permanentemente abiertas en tanto en cuenta el router de coneCión esté enchufado a la red eléctrica y a la línea telefónica.
Bos riesgos a la seguridad en los sistemas informáticos conectados a 7nternet se pueden clasificar seg?n el objeto del ataque9 •
obo de identidad
•
&irus, gusanos y troyanos
•
(pyare
•
Fac/ers y crac/ers
•
3hishing y estafas on line
•
(pam
•
$ontenidos Geb inapropiados
Bos riesgos listados no tienen por qué aparecer de manera aislada, sino que en la mayoría de las ocasiones act?an interrelacionados, de manera conjunta. Fagamos una breve descripción de cada una de las amena)as. El robo de identidad
El robo de identidad en 7nternet tiene siempre un fin ilícito y puede actuar en la b?squeda de diversos objetivos. Desde su perspectiva más inocua, busca conocer los patrones de navegación del internauta con el fin de conocer sus gustos e intereses y con ello generar respuestas publicitarias con las que invadir al usuario en la b?squeda de que se pueda hacer negocio con él. Ba tecnología que subyace preferentemente es el uso de coo/ies, pequeos archivos en los que el navegador almacena información del usuario para guardarlo de una sesión a otra. $uando un usuario accede a una página de 7nternet, ésta deja una coo/ie en su sistema que empie)a a llenarse con la huella de su actividad :por dónde ha navegado, que datos ha proporcionado a la red, etc.=. $uando se vuelve a navegar nuevamente por la página, se recoge la información de la coo/ie. 'o todas las coo/ies son maliciosas. 8lgunos sitios Geb precisan de ellas para poder ofrecer sus servicios al usuario. Ba relación de usuarios y sus preferencias de navegación constituyen en sí mismo un negocio lucrativo pues se venden a empresas dedicadas a la publicidad. Desde una perspectiva algo más agresiva, lo que se busca directamente es capturar los datos de identificación del usuario para posteriormente operar en su nombre en acciones ilegales, o directamente, sustraerle su identidad :login, clave de acceso= con el fin de directamente proceder a robarle en su banca electrónica o reali)ar compras por 7nternet y cargárselas a su cuenta bancaria. &irus, gusanos y troyanos Bos virus informáticos tienen dos fines básicos. 3or un lado, infectar cuantos más equipos y más rápido, mejor y por otro lado, provocar la pérdida de información, ralenti)ación e incluso el deterioro de la máquina hasta dejarla no operativa. (i bien los primeros virus informáticos entraban más en la categoría de reto para sus diseadores, con consecuencias prácticamente inocuas, hoy en día suponen el origen de pérdidas económicas importantísimas a nivel mundial. (i bien no hay estadísticas fiables al respecto, la consultora americana especiali)ada $omputer Economics cifra las pérdidas derivadas del malare :virus, troyanos, gusanos, etc.= en cerca de -.""" millones de euros en los ?ltimos +" aos, con base en los costes derivados de la pérdida directa de
información, las paradas de sistemas y de las cantidades invertidas en la limpie)a de los sistemas informáticos. Bos virus modifican el sistema operativo o los programas, que se infectan a medida que se ejecutan en el sistema, camuflándose de diferentes maneras. 8 diferencia de éstos, los gusanos se replican a sí mismos en una espiral de crecimiento infinito que amplía los procesos ejecutados en la memoria de los sistemas. ;na característica específica de éstos es que el sistema se va ralenti)ando poco a poco hasta ser casi imposible su adecuado manejo. Bos troyanos no se comportan como un virus, sino que al igual que el caballo de %roya de la mitología griega, abre puertas para que los hac/ers puedan controlar nuestro equipo informático sin nuestro consentimiento, con dos fines básicos9 conocer todo lo que hacemos para robarnos nuestras credenciales e identidad, y>o operar directamente desde él para reali)ar operaciones fraudulentas sin nuestro conocimiento. Ba infección de troyanos suele venir acompaada de la instalación de programas aparentemente inocuos que se descargan gratuitamente desde 7nternet, o mediante acciones asociadas a un correo electrónico y página Geb en la que el usuario lo activa sin querer al hacer clic en un determinado enlace o botón. (pyare El spyare es un pequeo programa que se introduce en el ordenador normalmente por un virus o un troyano y que se dedica a recopilar la información que el usuario contenga en su equipo y la procedente de su eCperiencia de navegación por 7nternet, intentando capturar identificaciones de usuarios y contraseas, así como otros datos, ya eCplicados en el apartado robo de identidad. El troyano envía estos datos a través de 7nternet al ordenador del pirata informático, que recibirá todos los datos sin necesidad de moverse de su sitio. El sistema de spyare también es utili)ado en ocasiones para la vigilancia de los empleados en las grandes corporaciones con el fin de comprobar si sus actividades con el ordenador de la empresa se adec?an a las normas establecidas en la correspondiente corporación. Fac/ers y crac/ers Bos hac/ers y los crac/ers son los individuos que están detrás de los procesos de vulneración de la seguridad que estamos describiendo.
Bos hac/ers se dedican a la b?squeda de agujeros de seguridad con el fin de eCplotarlos para acceder a sistemas aparentemente securi)ados. 8 diferencia de los $rac/ers, que vulneran los sistemas para reali)ar acciones delictivas, los Fac/ers, al menos en su origen, buscan más bien el prestigio personal de ser capaces de encontrar la manera de entrar en sistemas altamente protegidos. 3hishing y estafas on line Ba variedad de métodos para reali)ar fraudes en línea, es tan amplia que sería imposible describirla brevemente. El phishing está íntimamente relacionado con la ingeniería social de la que hablábamos algunos apartados anteriormente. Bo que se busca es que sea el propio usuario el que proporcione sus datos de acceso y contrasea a determinados servicios, normalmente de tipo bancario, con el fin de proceder posteriormente a suplantar su identidad para hacer operaciones bancarias no autori)adas con sus cuentas. (uele comen)ar con un correo electrónico en el que argumentando problemas de seguridad u operaciones de mantenimiento del banco se nos solicita que volvamos a confirmar nuestros datos de acceso y contrasea en una página que suplanta la identidad de nuestra entidad bancaria, con lo que el robo de credenciales queda efectuado. ;n método ligeramente más sofisticado combina acciones de troyanos sobre nuestro fichero de Fosts, para llevarnos sin ser conscientes de ello a una página Geb que imita perfectamente la apariencia de la portada de nuestra entidad bancaria en la que al querer entrar, sin ser conscientes de ello, proporcionamos nuestros datos de acceso a los piratas informáticos. Ba estructura de navegación por 7nternet se basa en la jerarquía de servidores de nombres, lo que permite que al ingresar una dirección determinada, el equipo sepa eCactamente a qué equipo tiene que dirigirse para proporcionarnos la página Geb solicitada. Esta jerarquía comien)a en un archivo del propio sistema operativo de la máquina llamado Fosts, que normalmente contiene una ?nica línea con el dato 1+-H.".".+ localhost2. Esto significa que si introducimos la dirección 1localhost2 en el navegador, éste intentará recuperar la respuesta de nuestro propio equipo. (i mediante alg?n troyano o virus alguien modificara nuestro archivo hosts, podría incluir direcciones eb que suplantasen a las originales, por ejemplo, haciendo apuntar a la dirección de nuestro banco a otro ordenador diferente al mismo. $omo consecuencia, nosotros, intentando acudir a nuestro banco entraríamos sin
darnos cuenta en el ordenador de un pirata informático que procedería a robarnos limpiamente nuestra identidad.
(pam El (pam, también llamado correo basura, es como su nombre indica, correo no deseado que recibimos en nuestro bu)ón. Ba finalidad es doble9 3or un lado, tiene un objeto meramente publicitario. Es como el bu)oneo del mundo real, en el que nos depositan cantidades ingentes de papel de propaganda en nuestro bu)ón, pero en el mundo virtual. 'ormalmente va asociado a la información que sobre nuestra eCperiencia de navegación se ha obtenido por alguno de los medios descritos anteriormente, de manera que la publicidad que recibamos sea inicialmente de nuestro interés, aunque no siempre es así. 8ctualmente está muy eCtendido el (pam referido a la venta de medicamentos, viagra sobre todo. 3or otro lado, los correos de (pam suelen ser fuente de entrada de virus, troyanos, e intentos de phishing, por lo que hay que tener especial cuidado con ellos. $ontenidos Geb inapropiados $onstituye uno de los mayores problemas con los que nos podemos encontrar en el mundo escolar, y de acceso a 7nternet en el hogar de nuestros nios y jóvenes. El redireccionamiento de páginas Geb o la aparición espontánea de ventanas :popAups= que nos conducen directamente a contenidos relacionados con el seCo o el juego, desde páginas aparentemente inocuas es uno de los problemas más eCtendidos en la eCperiencia de navegación por 7nternet actualmente. 3ero no solamente se focali)a el problema en este aspecto automati)ado en el que parece que los contenidos aparecen solos sin nuestro consentimiento, sino que forma parte del componente puramente educativo que como actuales y futuros internautas responsables debemos trabajar con los nios y jóvenes para evitar que accedan a contenidos de seCo, violentos, de apuestas, o perjudiciales para la salud, como por ejemplo los sitios que fomentan la anoreCia.
4.2. DE,I&IDADE0 DE &-0 P#-T-C-&-0 TCP/IP. Durante la década de los I", dentro del marco de la guerra fría, la 8gencia de 3royectos de 7nvestigación 8van)ada del Departamento de Defensa de los Estados ;nidos :D838= se planteó la posibilidad de que un ataque afectara a su red de comunicaciones y financio equipos de investigación en distintas universidades con el objetivo de desarrollar una red de ordenadores con una administración totalmente distribuida. $omo resultado de la aplicación de sus estudios en redes de conmutación de paquetes, se creó la denominada red 838'E%, de carácter eCperimental y altamente tolerable a fallos. 6ás adelante, a mediados de los H", la agencia empe)ó a investigar en la interconeCión de distintas redes, y en +H! estableció las bases de desarrollo de la familia de protocolos que se utili)an en las redes que conocemos hoy en día como redes %$3>73.
Ba familia de protocolos %$3>73 se divide en las cuatro capas siguientes9 1' Capa de red. 'ormalmente estaJ formada por una red B8'K o G8'KK :de coneCión punto a punto= homogénea. %odos los equipos conectados a internet implementan esta capa. %odo lo que se encuentra por debajo de la 73 es la capa de red física o, simplemente, capa de red.
2' Capa de internet $o capa de internet5or6ing' .Da unidad a todos los miembros de la red y, por lo tanto, es la capa que permite que todos se puedan interconectar, independientemente de si se conectan mediante línea telefónica o mediante una red local Ethernet. Ba dirección y el encaminamiento son sus principales funciones. %odos los equipos conectados a internet implementan esta capa.
(' Capa de transporte. Da fiabilidad a la red. El control de flujo y de errores se lleva a cabo principalmente dentro esta capa, que solo es implementada por equipos usuarios de internet o por terminales de internet. Bos dispositivos de encaminamientoK :en caminadores= no la necesitan. 4' Capa de aplicacin. Engloba todo lo que hay por encima de la capa de transporte. Es la capa en la que encontramos las aplicaciones que utili)an internet9 clientes y servidores de eb, correo electrónico, 5%3, etc. (olo es implementada por los equipos usuarios de internet o por terminales de internet. Bos dispositivos de encaminamiento no la utili)an. $omo ya hemos comentado, solo los equipos terminales implementan todas las capas. Bos equipos intermedios ?nicamente implementan el nivel de red y el nivel 739
En cada una de las capas eCpuestas encontramos protocolos distintos. Ba situación relativa de cada protocolo en las diferentes capas se muestra en la siguiente figura9
$omo ya se ha adelantado, en cada capa del modelo %$3>73 pueden eCistir distintas vulnerabilidades y un atacante puede eCplotar los protocolos asociados a cada una de ellas. $ada día se descubren nuevas deficiencias, la mayoría de las cuales se hacen p?blicas por organismos internacionales, tratando de documentar, si es posible, la forma de solucionar y contrarrestar los problemas.
8 continuación presentamos algunas de las vulnerabilidades más comunes de las distintas capas que veremos con más detalle a lo largo de este módulo9
1' %ulnerabilidades de la capa de red. Bas vulnerabilidades de la capa de red están estrechamente ligadas al medio sobre el que se reali)a la coneCión. Esta capa presenta problemas de control de acceso y de confidencialidad. (on ejemplos de vulnerabilidades a este nivel los ataques a las líneas punto a punto9 desvío de los cables de coneCión hacia otros sistemas, interceptación intrusiva de las comunicaciones :pinchar la línea=, escuchas no intrusivas en medios de transmisión sin cables, etc. 2' %ulnerabilidades de la capa internet. En esta capa se puede reali)ar cualquier ataque que afecte un datagrama 73. (e incluyen como ataques contra esta capa las técnicas de sniffing, la suplantación de mensajes, la modificación de datos, los retrasos de mensajes y la denegación de mensajes. $ualquier atacante puede suplantar un paquete si indica que proviene de otro sistema. Ba suplantación de un mensaje se puede reali)ar, por ejemplo, dando una respuesta a otro mensaje antes de que lo haga el suplantado. En esta capa, la autenticación de los paquetes se reali)a a nivel de maquina :por dirección 73= y no a nivel de usuario. (i un sistema suministra una dirección de maquina errónea, el receptor no detectar a la suplantación. 3ara conseguir su objetivo, este tipo de ataques suele utili)ar otras técnicas, como la predicción de n?meros de secuencia %$3, el envenenamiento de tablas cache, etc. 3or otro lado, los paquetes se pueden manipular si se modifican sus datos y se reconstruyen de forma adecuada los controles de las cabeceras. (i esto es posible, el receptor será incapa) de detectar el cambio.
(' %ulnerabilidades de la capa de transporte. Ba capa de transporte transmite información %$3 o ;D3 sobre datagramas 73. En esta capa podamos encontrar problemas de autenticación, de integridad y de confidencialidad. 8lgunos de los ataques más conocidos en esta capa son las denegaciones de servicio debidas a protocolos de transporte. En cuanto a los mecanismos de seguridad incorporados en el diseo del protocolo de %$3 :como las negociaciones involucradas en el establecimiento de una sesión %$3=, eCiste una serie de ataques que aprovechan ciertas deficiencias en su diseo. ;na de las vulnerabilidades más graves contra estos mecanismos de control puede comportar la posibilidad de interceptación de sesiones %$3 establecidas, con el objetivo de secuestrarlas y dirigirlas a Ltros equipos con fines deshonestos. Estos ataques de secuestro se aprovechan de la poca eCigencia en el protocolo de intercambio de %$3 respecto a la autenticación de los equipos involucrados en una sesión. 8sí, si un usuario hostil puede observar los intercambios de
información utili)ados durante el inicio de la sesión y es capa) de interceptar con éCito una coneCión en marcha con todos los parámetros de autenticación configurados adecuadamente, podrá secuestrar la sesión.
4' %ulnerabilidades de la capa de aplicacin. $omo en el resto de niveles, la capa de aplicación presenta varias deficiencias de seguridad asociadas a sus protocolos. Debido al gran n?mero de protocolos definidos en esta capa, la cantidad de deficiencias presentes también será superior al resto de capas. 8lgunos ejemplos de deficiencias de seguridad a Este nivel podrían ser los siguientes9
0ericio de nombres de dominio. 'ormalmente, cuando un sistema solicita coneCión a un servicio, pide la dirección 73 de un nombre de dominio y envía un paquete ;D3 a un servidor D'(M entonces, Jeste responde con la dirección 73 del dominio solicitado o una referencia que apunta a otro D'( que pueda suministrar la dirección 73 solicitada. ;n servidor D'( debe entregar la dirección 73 correcta pero, además, también puede entregar un nombre de dominio dado una dirección 73 u otro tipo de información. En el fondo, un servidor de D'( es una base de datos accesible desde internet. 3or lo tanto, un atacante puede modificar la información que suministra Jesta base de datos o acceder a información sensible almacenada en la base de datos por error, pudiendo obtener información relativa a la topología de la red de una organi)ación concreta :por ejemplo, la lista de los sistemas que tiene la organi)ación=.
Telnet. 'ormalmente, el servicio %elnet autentica al usuario mediante la solicitud del identificador de usuario y su contrasea, que se transmiten en claro por la red. 8sí, al igual que el resto de servicios de internet que no protegen los datos mediante mecanismos de protecciónKK, el protocolo de aplicación %elnet hace posible la captura de aplicación sensible mediante el uso de técnicas de sniffing. 8ctualmente eCisten otros protocolos a nivel de aplicación :como, por ejemplo, ((F= para acceder a un servicio equivalente a %elnet pero de manera segura :mediante autenticación fuerte=. 8un así, el hecho de cifrar el identificador del usuario y la contrasea no impide que un atacante que las cono)ca acceda al servicio.
ile Trans3er Protocolo. 8l igual que %elnet, 5%3 es un protocolo que envía la información en claro :tanto por el canal de datos como por el canal de comandos=.
8sí pues, al enviar el identificador de usuario y la contrasea en claro por una red potencialmente hostil, presenta las mismas deficiencias de seguridad que veíamos anteriormente con el protocolo %elnet. 8parte de pensar en mecanismos de protección de información para solucionar el problema, 5%3 permite la coneCión anónima a una )ona restringida en la cual solo se permite la descarga de archivos. De este modo, se restringen considerablemente los posibles problemas de seguridad relacionados con la captura de contraseas, sin limitar una de las funcionalidades más interesantes del servicio.
7"perte8t Trans3er Protocol. El protocolo F%%3 es el responsable del servicio Gorld Gide Geb. ;na de sus vulnerabilidades más conocidas procede de la posibilidad de entrega de información por parte de los usuarios del servicio. Esta entrega de información desde el cliente de F%%3 es posible mediante la ejecución remota de código en la parte del servidor. Ba ejecución de este código por parte del servidor suele utili)arse para dar el formato adecuado tanto a la información entregada por el usuario como a los resultados devueltos :para que el navegador del cliente la pueda visuali)ar correctamente=. (i este código que se ejecuta presenta deficiencias de programación, la seguridad del equipo en el que esté funcionando el servidor se podrá poner en peligroK.
4.2.1. T#AN0I0I9N DE PAETE0 ; P#-I0CIDAD. En las redes de ordenadores, la información se transmite en una serie de paquetes con la dirección física:o dirección 68$= de quien lo envía y quien lo tiene que recibir, de manera que cuando transmitimos un fichero, éste se divide en varios paquetes con un tamao predeterminado y el receptor es el ?nico que captura los paquetes evaluando si llevan su dirección. En el modo promiscuo, una máquina intermedia captura todos los paquetes, que normalmente desecharía, incluyendo los paquetes destinados a él mismo y al resto de las máquinas. esulta a destacar que las topologías y hardare que se usen para comunicar las redes, influye en su funcionamiento, ya que las redes en bus, redes en anillo, así como todas las redes que obliguen a que un paquete circule por un medio compartido, al cual todos tienen acceso, los modos promiscuos capturarán muchos más paquetes que si están en una red con topología en árbol. 3ara completar el modo, las máquinas en modo promiscuo suelen simplemente copiar el paquete y luego volverlo a poner en la red para que llegue a su destinatario real :en el caso de topologías que requieran de retransmisión=.
Pa!uete (e le llama paquete de red o paquete de datos a cada uno de los bloques en que se divide, en el nivel de ed, la información a enviar. 3or debajo del nivel de red se habla de trama de red, aunque el concepto es análogo. En todo sistema de comunicaciones resulta interesante dividir la información a enviar en bloques de un tamao máCimo conocido. Esto simplifica el control de la comunicación, las comprobaciones de errores, la gestión de los equipos de encaminamiento :routers=, etc.
Datagrama ;n datagrama es un fragmento de paquete :análogo a un telegrama= que es enviado con la suficiente información para que la red pueda simplemente encaminar el fragmento hacia el equipo terminal de datos receptor, de manera independiente a los fragmentos restantes. Esto puede provocar una recomposición desordenada o incompleta del paquete en el E%D destino. Bos datagramas también son la agrupación lógica de información que se envía como una unidad de capa de red a través de un medio de transmisión sin establecer con anterioridad un circuito virtual.
Tiempo de bit 3ara cada velocidad de medios diferente se requiere un período de tiempo determinado para que un bit pueda colocarse y detectarse en el medio. Dicho período de tiempo se denomina tiempo de bit.
ac Addres Ba dirección 68$ :siglas en inglés de media access controlM en espaol Ncontrol de acceso al medioN= es un identificador de !* bits :I bloques heCadecimales= que corresponde de forma ?nica a una tarjeta o dispositivo de red. (e conoce también como dirección física, y es ?nica para cada dispositivo.
Tipos de IP Clase
A
En esta clase se reserva el primer grupo a la identificación de la red, quedando los tres siguientes para identificar los diferentes host. Bos rangos de esta clase están comprendidos entre +."."." y +-H.-00.-00.-00. 8ctualmente la 7$8'' asigna redes de este grupo a gobiernos de todo el mundo, aunque hay algunas grandes empresas que tienen asignadas 73Os de esta clase.
Clase
,
En esta clase se reservan los dos primeros grupos a la identificación de la red, quedando los dos siguientes para identificar los diferentes host. Bos rangos de
esta clase están comprendidos entre +-*."."." y ++.-00.-00.-00. 8ctualmente la 7$8'' asigna redes de este grupo a grandes y medianas empresas.
Clase
C
En esta clase se reservan los tres primeros grupos a la identificación de la red, quedando el ?ltimo para identificar los diferentes hosts. Bos rangos de esta clase están comprendidos entre +-."."." y --4.-00.-00.-00. 8ctualmente la 7$8'' asigna redes de este grupo a aquellos que lo solicitan
4.2.2. #EDE0 &-CA&E0 $%&AN' ; AP&IA0 $%PN'. •
PQ;E (L' B8( &B8'R ;na &B8' :acrónimo de &irtual B8'= es una subred 73 separada de manera lógica, las &B8' permiten que redes 73 y subredes m?ltiples eCistan en la misma red conmutada, son ?tiles para reducir el tamao del broadcast y ayudan en la administración de la red separando segmentos lógicos de ;na red de área local :como departamentos para una empresa, oficina, universidades, etc.= que no deberían intercambiar datos usando la red local
•
$88$%E7(%7$8( DE ;'8 &B8'9 Ba característica principal de una red de área local es que los dispositivos que la conforman comparten los recursos del medio físico, es decir, el ancho de banda proporcionado por el mismo.
$uando utili)amos un concentrador o hub dentro de una red, ésta se puede ver como una red de distribución hidráulica, donde las estaciones de trabajo conectadas a la misma toman cierta cantidad de agua, y mientras más máquinas eCistan en esa B8', menor será la cantidad de líquido que podrán utili)ar. 8 este segmento de 1tubería2 se le puede llamar también 1dominio de colisiones2.
•
U U U U
P$L6L (E $L'57S;8 ;'8 &B8'R $iscoredesT configure terminal $iscoredes:config=T vlan vlanAid $iscoredes:configAvlan=T name nombreAdeAvlan $iscoredes:configAvlan=T eCit &lan .A comando para asignar las &B8' &alnAid.A 'umero de vlan que se creará que va de un rango normal de +A+""0 :los 7D +""-A+""0 se reservan para %o/en ing y 5DD7=. 'ame.A comando para especificar el nombre de la &B8' 'ombreAdeAvlan.A 'ombre asignado a la &B8', sino se asigna ning?n nombre, dicho nombre será rellenado con ceros, por ejemplo para la &B8' -" sería &B8'""-".
Asignar puertos a la %&AN $iscoredesT configure terminal $iscoredes:config=T interface interfaceAid $iscoredes:configAvlan=T sitchport mode access $iscoredes:configAvlan=T sitchport access vlan vlanAid $iscoredes:configAvlan=T end Dónde9 U
7nterface .A $omando para entrar al modo de configuración de interfa).
U
7nterfaceAid.A %ipo de puerto a configurar por ejemplo fastethernet ">"
U
(itchport mode access .A Define el modo de asociación de la &B8' para el puerto
U
(itchport access vlan .A $omandos para asignar un puerto a la vlan.
U
&lanAid.A 'umero de vlan a la cual se asignará el puerto.
•
PQ;E (L' B8( &3'R
&3' o N&irtual 3rívate 'etor/N es una tecnología de red que permite una eCtensión de la red local sobre una red p?blica o no controlada, como por ejemplo 7nternet. El ejemplo más com?n es la posibilidad de conectar dos o más sucursales de una empresa utili)ando como vínculo 7nternetM también permitir a los miembros del equipo de soporte técnico la coneCión desde su casa al centro de cómputos, o que un usuario pueda acceder a su equipo hogareo desde un sitio remoto, como por ejemplo un hotel. %odo esto utili)ando la infraestructura de 7nternet. 3ara hacerlo posible de manera segura es necesario proveer los medios para garanti)ar la autenticación, integridad y confidencialidad de toda la comunicación.
<
Autenticacin " Autori=acin: PQuién está del otro ladoR ;suario>equipo y qué nivel de acceso debe tener.
< U
•
Integridad: Ba garantía de que los datos enviados no han sido alterados. $onfidencialidad9 Dado que los datos viajan a través de un medio hostil como 7nternet, los mismos son susceptibles de interceptación9 por eso es fundamental el cifrado de los datos. De este modo, la información no debe poder ser interpretada por nadie más que los destinatarios de la misma.
$88$%E7(%7$8( DE B8 &3'9
;na &3' proporciona conectividad en distancias potencialmente grandes. En este aspecto, &3' es una forma de red G8'. Bas &3' permiten compartir archivos, video conferencias y servicios de red similares. Bas &3' generalmente no proporcionan ninguna funcionalidad que no sea ya ofrecida por otras alternativas, pero una &3' implementa esos servicios con mayor eficiencia y economía en la mayoría de los casos... ;na característica importante de una &3' es su capacidad de trabajar tanto sobre redes privadas como en p?blicas como la 7nternet. ;tili)ando un método llamado NtunnelingN, una &3' puede usar la misma infraestructura de hardare de las coneCiones de 7nternet o 7ntranet eCistentes. Bas tecnologías &3' incluyen varios mecanismos de seguridad para proteger las coneCiones virtuales privadas. •
P$L6L (E $L'57S;8 ;'8 &3'R
ECplicaremos el procedimiento para configurar una &3' en Gindos := #3, tanto en modo cliente como en modo servidor. &3' :&irtual 3rivate 'etor/= significa literalmente ed 3rivada &irtual. <ásicamente consiste en reali)ar una coneCión a una red eCterna creando un t?nel a través de internet, permitiendo la creación de una red privada dentro de una red p?blica. 8 continuación, reproducimos parte de la eCplicación contenida en la ayuda de indos Cp sobre &3', por ser bastante ilustrativa9
Ba &3' utili)a el 3rotocolo de t?nel punto a punto :33%3, Point-to-Point Tunneling Protocol = o el 3rotocolo de t?nel de nivel dos :B-%3, Layer Two Tunneling Protocol =, mediante los cuales se puede tener acceso de forma segura a los recursos de una red al conectar con un servidor de acceso remoto a través de 7nternet u otra red. El uso de redes privadas y p?blicas para crear una coneCión de red se denomina red privada virtual, Virtual Private Network =.
;n usuario que ya está conectado a 7nternet utili)a una coneCión &3' para marcar el n?mero del servidor de acceso remoto. Entre los ejemplos de este tipo de usuarios se incluyen las personas cuyos equipos están conectados a una red de área local, los usuarios de cables de coneCión directa o los suscriptores de servicios como 8D(B, en los que la conectividad 73 se establece inmediatamente después de que el usuario inicie el equipo. El controlador 33%3 o B-%3 establece un t?nel a través de 7nternet y conecta con el servidor de acceso remoto habilitado para 33%3 o B-%3. Después de la autenticación, el usuario puede tener acceso a la red corporativa con total funcionalidad.
4.2.(. D-ICI&I-0 IP. PQué es una dirección 73R Bos equipos comunican a través de 7nternet mediante el protocolo 73 :3rotocolo de 7nternet=. Este protocolo utili)a direcciones numéricas denominadas direcciones 73 compuestas por cuatro n?meros enteros :! bytes= entre " y -00, y escritos en el formato CCC.CCC.CCC.CCC. 3or ejemplo, +!.+04.-"0.-Ies una dirección 73 en formato técnico. Bos equipos de una red utili)an estas direcciones para comunicarse, de manera que cada equipo de la red tiene una dirección 73 eCclusiva. El organismo a cargo de asignar direcciones p?blicas de 73, es decir, direcciones 73 para los equipos conectados directamente a la red p?blica de 7nternet, es el 7$8'' :7nternet $orporation for 8ssigned 'ames and 'umbers= que rempla)a el 78'8 desde +* :7nternet 8ssigned 'umbers 8gency=. $ómo descifrar una dirección 73 ;na dirección 73 es una dirección de 4- bits, escrita generalmente con el formato de ! n?meros enteros separados por puntos. ;na dirección 73 tiene dos partes diferenciadas9
U los n?meros de la i)quierda indican la red y se les denomina net7D :identificador de red=. U los n?meros de la derecha indican los equipos dentro de esta red y se les denomina hostA7D:identificador de host=.
&eamos
el
siguiente
Lbserve la +!.-*.+-.". siguientes U
ejemplo9
red, a la i)quierda $ontiene los equipos9 +!.-*.+-.+
a
+!.-*.+-.!
Lbserve la red de la derecha +H*.+-.".". 7ncluye los siguientes equipos9 U
+H*.+-.HH.+
a
+H*.+-.HH.I
En el caso anterior, las redes se escriben +!.-*.+- y +H*.+-.HH, y cada equipo dentro de la red se numera de forma incremental. %omemos una red escrita 0*.".".". Bos equipos de esta red podrían tener direcciones 73 que van desde0*.".".+ a 0*.-00.-00.-0!. 3or lo tanto, se trata de asignar los n?meros de forma que haya una estructura en la jerarquía de los equipos y los servidores. $uanto menor sea el n?mero de bits reservados en la red, mayor será el n?mero de equipos que puede contener. De hecho, una red escrita +"-."."." puede contener equipos cuyas direcciones 73 varían entre +"-.".".+ y +"-.-00.-00.-0! :-0IK-0IK-0IA-V+I.HHH.-+! posibilidades=, mientras que una red escrita +!.-! puede contener solamente equipos con direcciones 73 entre +!.-I.".+ y +!.-I.-00.-0! :-0IK-0IA-VI0.04! posibilidades=M ésta es el concepto de clases de direcciones 73.
Direcciones especiales
$uando se cancela el identificador de host, es decir, cuando los bits reservados para los equipos de la red se reempla)an por ceros :por ejemplo, +!.-*.+-."=, se obtiene lo que se llama dirección de red. Esta dirección no se puede asignar a ninguno de los equipos de la red. $uando se cancela el identificador de red, es decir, cuando los bits reservados para la red se reempla)an por ceros, se obtiene una dirección del equipo. Esta dirección representa el equipo especificado por el identificador de host y que se encuentra en la red actual.
$uando todos los bits del identificador de host están en +, la dirección que se obtiene es la denominada dirección de difusión. Es una dirección específica que permite enviar un mensaje a todos los equipos de la red especificados por el net7D. 8 la inversa, cuando todos los bits del identificador de red están en +, la dirección que se obtiene se denomina dirección de multidifusión. 3or ?ltimo, la dirección +-H.".".+ se denomina dirección de bucle de retorno porque indica el host local.
Direcciones IP reseradas Es habitual que en una empresa u organi)ación un solo equipo tenga coneCión a 7nternet y los otros equipos de la red acceden a 7nternet a través de aquél :por lo general, nos referimos a un proCy o pasarela=. En ese caso, solo el equipo conectado a la red necesita reservar una dirección de 73 con el 7$8''. (in embargo, los otros equipos necesitarán una dirección 73 para comunicarse entre ellos. 3or lo tanto, el 7$8'' ha reservado una cantidad de direcciones de cada clase para habilitar la asignación de direcciones 73 a los equipos de una red local conectada a 7nternet, sin riesgo de crear conflictos de direcciones 73 en la red de redes. Estas direcciones son las siguientes9 U Direcciones IP priadas de clase A: +".".".+ a +".-00.-00.-0!M hacen posible la creación de grandes redes privadas que incluyen miles de equipos.
U Direcciones IP priadas de clase ,9 +H-.+I.".+ a +H-.4+.-00.-0!M hacen posible la creación de redes privadas de tamao medio. U Direcciones 73 privadas de clase $9 +-.+I*.".+ a +-.+I*.".-0!M para establecer pequeas redes privadas.
4.2.4. %II&ANCIA DE PAETE0. Wa hemos visto que la vigilancia en el trabajo por medio de nuestro ordenador es posible, y hay varias formas de hacerlo. De las varias maneras que se puede hacer, puede que una de las más populares sea con un sniffer de red. Bos administradores de red han estado usando sniffer de red durante aos para monitori)ar sus redes y reali)ar diagnósticos y pruebas para detectar problemas en la red. <ásicamente, un sniffer de red es un programa que puede ver toda la información pasando por una red a la cual está conectado . (eg?n los flujos de datos van y vienen por la red, el programa hace una vigilancia de ello, o 1captura2 los paquetes que atraviesan los dispositivos de red. $omo ya hemos comentado en otros artículos, un paquete es una parte de un mensaje que ha sido partido para poder ir de un sitio a otro. 'ormalmente, un ordenador solo hace caso de paquetes con direcciones destinadas a el, e ignora el resto del tráfico de la red. (in embargo, cuando un sniffer de red es configurado en un equipo u ordenador, el interfa) de red es puesto en modo promiscuo para el sniffer. Esto significa que está vigilando todo lo que atraviesa ese interfa). Ba cantidad de tráfico depende mucho en la locali)ación del ordenador en la red. ;n sistema cliente en una parte aislada de la red, solo ver un pequeo segmento del tráfico de red, mientras que el servidor de dominio principal ve prácticamente todo. ;n sniffer de red puede ser configurado en dos modos9 5iltrado :captura todos los paquetes= y no filtrado :captura solo aquellos paquetes contendiendo elementos de datos específicos=. Bos paquetes que contienen datos que se filtran, son copiados al disco duro seg?n pasan. Estas copias pueden ser anali)adas con tranquilidad después para encontrar una información específica. $uando te conectas a 7nternet, te estás uniendo a una red mantenida por un proveedor de servicios de 7nternet o 7(3. Ba red de este proveedor comunica con
redes mantenidas por otras 7(3s para formar la estructura de la red. ;n sniffer de red locali)ado en uno de los servidores de tu 7(3 podría potencialmente ser capa) de monitori)ar todas las actividades online, que podrían ser las páginas Geb que se visitan, que es lo que se busca en un sitio concreto, a quién se envían email, que contienen el email, lo que nos descargamos, con servicios se utili)an, y muchas cosas más. De esta información, una compaía puede determinar cuanto tiempo un empleado está online haciendo cosas que no tienen nada que ver con el trabajo que desarrolla. Bos sniffer de red son solo una de las herramientas utili)adas para monitori)ar la actividad de los ordenadores de empresa.
El softare de monitori)ación de ordenador trabaja de forma diferente que un sniffer de red. Bo que hacen realmente es seguir cada acción que se hace en un ordenador. $ada ve) que se reali)a una actividad por pequea que sea en el ordenador, ya sea teclear una palabra en el teclado o abrir una nueva aplicación, se transmite una seal. Estas seales pueden ser interceptadas por el programa de monitori)ación, el cual puede ser instalado en el ordenador a un nivel de sistema operativo. Ba persona que recibe las seales interceptadas puede ver cada uno de los caracteres interceptados y puede replicar lo que el usuario está viendo en su monitor. Estos programas pueden ser instalados de dos maneras9
5ísicamente X 8lguien se siente en el ordenador e instala el softare. emotamente X ;n usuario abre un archivo aadido a un correo o enviado de otro modo. El archivo, el cual contiene un programa que el usuario quiere instalar, puede contener también el programa de monitori)ación. Esto es llamado troyano X un programa deseado y contiene un programa no deseado. Bos programas de monitori)ación tiene la habilidad de registrar cada tecla que
pulsamos. $uando estás tecleando, una seal es enviada del teclado a la aplicación con la que estás trabajando. Esta seal puede ser interceptada y reenviada a la persona que instaló el programa de monitori)ación o registrarlo en un fichero de teCto y enviarlo después. Esta información puede ser enviada a un administrador de red, pero también es un método popular entre piratas informáticos. 'ormalmente los hac/ers usan este tipo de programas para obtener contraseas, y al registrar todo lo que se teclea, puede ser peligroso para el usuario ya que intercepta n?meros de tarjeta y otra información privada. Bos programas de monitori)ación pueden leer correos y ver cualquier programa que esté abierto en la pantalla. $aptura la imagen en la pantalla del ordenador al interceptar seales que están siendo transmitidas a la tarjeta de video del ordenador. Estas imágenes son luego enviadas por la red al administrador de red. 8lgunos de estos programas tienen incluso sistemas de alerta X cuando un usuario visita un sitio Geb específico o escribe un correo con teCto inapropiado, el administrador es avisado de estas acciones. (in embargo, no es necesario tampoco instalar un softare como este para hacer un seguimiento del usuario. Fay un sistema ya instalado en el ordenador que dice lo que ha estado haciendo el usuario.. %u ordenador está lleno de registros o logs que proveen de evidencias de lo que has estado haciendo. 8 través de estos registros, un administrado de red puede determinar que sitios Geb se han visitado., a quién se han enviado emails o de quién se ha recibido. 3or lo tanto, si te descargas archivos de m?sica 634, hay muchas probabilidades de que haya un registro que muestre esta actividad. En muchos casos, esta información puede ser locali)ada incluso después de haber borrado lo que crees que son las evidencias X borrar un correo o un archivo no borra las pruebas. Fay algunos sitios donde se puede encontrar estos registros9 En el propio sistema operativo. En los navegadores de 7nternet. En las propias aplicaciones que usamos. En los registros de los programas de correos. (i el disco duro de un empleado de una compaía y el ordenador de un administrado r de red están conectados, este ?ltimo puede ver los logs remotamente. Bo ?nico que tiene que hacer es acceder al disco duro remotamente y verificar los registros. (i el ordenador no se apaga, lo puede hacer antes de que el empleado llegue por la maana y se vaya por la tarde.
4.(. E0T>NDA#E0 PA#A &A 0E#IDAD EN #EDE0.
En lo que respecta a estándares de seguridad la ;niversidad 'acional de $olombia y es$E% ;niversidad 3olitécnica $atalunya :-.""0= eCponen que eCisten varios estándares internacionales relacionados con seguridad informática que se consideran importantes en la actualidad o que deben ser referenciados por su importancia histórica. En este sentido, están clasificados en seis :I= clases de estándares como son9 para la administración de seguridad de la información, para evaluación de seguridad en sistemas, para desarrollo de aplicaciones, para servicios financieros, para riesgos y para autenticación.
3ara la administración de seguridad de la información9 •
•
•
•
Ba 7nternet Engineering %as/ 5orce :7E%5= elaboró el 5$-+I (ite (ecurity Fandboo/, que ofrece una guía práctica para quienes intentan asegurar servicios e información. El estándar británico <( HH es un estándar aceptado ampliamente que ha sido utili)ado como base para elaborar otros estándares de seguridad de la información, incluyendo el 7(L +HH y el 7(L -H""+. 5ue desarrollado por el
Ba Lrgani)ación para la cooperación y el desarrollo económicos en ingles :LE$D= creo las Suidelines for the (ecurity of 7nformation (ystems. Directrices de la L$DE para la seguridad de sistemas y redes de información.
Estándares para evaluación de seguridad en sistemas9 •
•
•
Ba 7nternational Lrgani)ation for (tandardi)ation :7(L= ha elaborado el estándar 7( +0!"*. Este estándar, %he $ommon $riteria for 7nformation %echnology (ecurity Evaluation v-.+ :7(L 7( +0!"*= es una me)cla mejorada de 7%(E$, el $anadian criteria, y el ;( 5ederal $riteria. Ba (erie 8rco 7ris X ainbo (eriesA : Lrange
•
•
El (oftare Engineering 7nstitute lideró el desarrollo del $apability 6aturity 6odel :$66=, que es un método para garanti)ar madure) en procesos. ;n derivado del $66 es el (ystem (ecurity Engineering $apability 6aturity 6odel :((EA$66=. El ((EA$66 describe las características esenciales del proceso de la ingeniería de la seguridad de una organi)ación que deben eCistir para asegurar la buena ingeniería de la seguridad. Estándares para servicios financieros9
•
•
7(L +++4+9+-
•
8cquisition is/ 6anagement :EE.;;.= El (oftare Engineering 7nstitute tiene algunos documentos sobre 8cquisition is/ 6anagement. Estándares para autenticación9
•
7(L +++4+9+-
4.4. %&NE#A,I&IDAD DE &-0 P#-T-C-&-0 INA&>,#IC-0 *EP+ *PA+ *PA2.
1. Debilidades en [email protected] $*PA2' El estándar *"-.++i fue adoptado y recibió el nombre comercial G38- por parte de la alian)a GiA5i. El estándar 7EEE *"-.++i introdujo varios cambios fundamentales, como la separación de la autenticación de usuario de la integridad y privacidad de los mensajes, proporcionando una arquitectura robusta y escalable, que sirve igualmente para las redes locales domésticas como para los grandes entornos de red corporativos.
a. %ulnerabilidad contra la clae P0 Ba vulnerabilidad más práctica es el ataque contra la clave 3(@ de G38>G38-. $omo ya hemos dicho, la 3(@ proporciona una alternativa a la generación de *"-.+# 36@ usando un servidor de autenticación. Es una cadena de -0I bits o una frase de * a I4 caracteres, usada para generar una cadena utili)ando un algoritmo conocido9 3(@ V 36@ V 3<@D5-:frase, ((7D, ((7D length, !"I, -0I=, donde 3<@D5- es un método utili)ado en 3@$(T0, !"I es el n?mero de hashes y -0I la longitud del resultado. Ba 3%@ es derivada de la 36@ utili)ando el !AGay Fandsha/e y toda la información utili)ada para calcular su valor se transmite en formato de teCto. Ba fuer)a de 3%@ radica en el valor de 36@, que para 3(@ significa eCactamente la solide) de la frase. El segundo mensaje del !AGay Fandsha/e podría verse sometido a ataques de diccionario o ataques offline de fuer)a bruta. El diseo del protocolo :!"I para cada intento de frase= significa que el método de la fuer)a bruta es muy lento :unos centenares de frases por segundo con el ?ltimo procesador simple=. Ba 36@ no puede ser preAcalculada :y guardada en tablas= porque la frase de acceso está codificada adicionalmente seg?n la E((7D. ;na buena frase que no esté en un diccionario :de unos -" caracteres= debe ser escogida para protegerse efica)mente de esta debilidad.
b. %ulnerabilidad de denegacin del sericio Ba otra debilidad G38 es una posibilidad de 'egación del (ervicio durante el !A Gay Fandsha/e. Debido a que el primer mensaje del !AGay Fandsha/e no está autenticado, y cada cliente tiene que guardar cada primer mensaje hasta que reciban un tercer mensaje válido :firmado=, dejando al cliente potencialmente vulnerable ante el agotamiento de memoria. Faciendo un spoofing del primer mensaje enviado por el punto de acceso, un atacante podría reali)ar un ataque Do( :denegación del servicio= sobre el cliente si es posible que eCistan varias sesiones simultáneas.
c. %ulnerabilidad en el Temporal e" 7asB Ba debilidad final conocida es la posibilidad teórica de un ataque contra el %emporal @ey Fash de G38, que implica una complejidad de ataque reducida :de Z+-* a Z+"0= bajo ciertas circunstancias G38>G38- se ven sometidas a vulnerabilidades que afectan a otros mecanismos estándar de *"-.++i, como son los ataques con spoofing de mensajes *"-.+# :E83oB Bogoff, E83oB (tart, E83 5ailure etc.=, 3or ?ltimo, es importante destacar que el uso del protocolo G38>G38- no tiene protección alguna frente a ataques sobre las tecnologías en que se basan, como puede ser la intercepción de frecuencias de radio, 'egación del (ervicio a través de violaciones de *"-.++, deAautenticación, deAasociación, etc.
<7>oc.uoc.edu>computerAscienceAtechnologyAandAmultimedia>advancedA aspectsAofAnetor/Asecurity>advancedAaspectsAofAnetor/A security>3"I[6-+"H["+HI.pdf
http9>>.sAcomputacion.f-s.com>BinuC>"+-.+A 8spectos[avan)ados[en[seguridad[en[redes[modulos.pdf http9>>.isa.uniovi.es>docencia>redes>8puntes>tema*.pdf http9>>.galileo.it>crypto>teletrabajo>la[seguridad.html http9>>.sAcomputacion.f-s.com>BinuC>"+-.+A 8spectos[avan)ados[en[seguridad[en[redes[modulos.pdf http9>>.ati.es>spip.phpRarticle-!-4 http9>>recursostic.educacion.es>observatorio>eb>es>component>content>article>*"0A monograficoAseguridadAenAinternetRstartVhttp9>>.galileo.it>crypto>teletrabajo>la[seguridad.html http9>>seguridadredesAgp-00+.blogspot.mC>-"+->++>temaA4AtransmisionAdeA paquetesAy.html http9>>.buenastareas.com>ensayos>%ransmisionADeA3aquetesAyA 3romiscuidad>0*""-04.html http9>>seguridadredesAgp-00+.blogspot.mC>-"+->++>temaA!.html http9>>manejoAredesAleinad.blogspot.mC>-"+->"0>vlanAyAvpn.html http9>>informaticaA-00+AsiAeCposicion.blogspot.mC> http9>>gabrielmagana.net>-"+->+">fundamentosAdomiciliosAipAv!> http9>>informaticaA-00+AsiAeCposicion.blogspot.mC> http9>>.monografias.com>trabajos4*>seguridadAinformatica>seguridadA informatica-.shtml http9>>.apc.org>es>blog>vigilanciaAenAlaAredA$-<5queAsignificaAmonitorearA yAd http9>>donload.rincondelvago.com>estandaresAdeAredAieee http9>>.monografias.com>trabajos!4>seguridadAredes>seguridadAredes.shtml http9>>.hsc.fr>ressources>articles>ha/in[ifi>ha/in[ifi[E(.pdf http9>>es.slideshare.net>8nalisisautentificacion>anlisisAdeAvulnerabilidadesAdeA protocolosAdeAproteccinAyAautenticacinAinalmbricoAparaAelAaccesoAseguroAaAredesA ifiA+0"40*I
