Unidad 12: Seguridad en Redes Inalmbricas

Autor: Alberto Escudero Pascual, LaNeta, IT +46 Traduccin de LaNeta

Tabla de contenido
1. Sobre este documento......................................................................................................................... 2 1.1 Informacin sobre propiedad intelectual......................................................................................... 2 1.2 Pre-requisitos................................................................................................................................. 2 1.3 Grado de dificultad......................................................................................................................... 2 1.4 Informacin sobre los iconos.......................................................................................................... 2 2. Introduccin......................................................................................................................................... 2 3. Definiendo seguridad inal mbrica........................................................................................................ 3 4. !"u# es seguridad de la informacin$................................................................................................ 3 4.1 %onfidencialidad............................................................................................................................. 4 4.2 &utenticacin.................................................................................................................................. 4 4.3 Integridad....................................................................................................................................... 4 4.4 Disponibilidad................................................................................................................................. 4 4.' (o repudiacin )rendicin de cuentas*........................................................................................... ' '. Seguridad de informacin + las ,-&(................................................................................................ ' .. Implementando los atributos de seguridad.......................................................................................... . ..1 %omentarios generales acerca del cifrado en el ni/el de enlace.................................................... . 0. %onfidencialidad en redes inal mbricas.............................................................................................. 0 0.1 ,1P o no ,1P.............................................................................................................................. 0 0.2 ,1P muere2 nacen ,P& + ,P&2................................................................................................. 3 3. &utenticacin en 4edes inal mbricas.................................................................................................. 5 3.1 Detener la difusin de la SSID como medida de seguridad......................................................... 16 3.2 7sando el filtrado de direcciones 8&% como medida de seguridad............................................. 11 3.3 Portales cauti/os para redes inal mbricas................................................................................... 11 5. Integridad de datos en redes inal mbricas........................................................................................ 12 5.1 (ota sobre seguridad acerca de ,P&......................................................................................... 13 16. Disponibilidad en redes inal mbricas............................................................................................... 14 11. (o repudiacin en redes inal mbricas )rendicin de cuentas*......................................................... 1' 12. &mena9as de seguridad en redes inal mbricas ............................................................................. 1' 13. %onclusiones................................................................................................................................... 1. 14. Declaracin de Derec:os de Propiedad Intelectual......................................................................... 10

Pg: 1

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

1. Sobre este documento

1ste material es parte del paquete de materiales del pro+ecto ;4I%&-%&4. Para informacin sobre ;4I%&-%&4 consulte el mdulo de introduccin de estos materiales2 o <<<.<ilac.net=tricalcar=. 1ste material fue traducido del ingl#s de los materiales desarrollados para el pro+ecto >%apacit+ ?uilding for %ommunit+ ,ireless %onnecti/it+ in &frica> de &P% @:ttpA==<<<.apc.org=<ireless=B. 1l material fue actuali9ado + adaptado para el conteCto de &m#rica -atina.

1.1 Informacin sobre propiedad intelectual

1sta unidad tem tica se :a :ec:o disponible baDo los t#rminos de la licencia Atribucin-No Comercial- icenciamiento Rec!"roco #.$ %en&rica. Para /er los t#rminos completos de esta licenciaA:ttpA==creati/ecommons.org=licenses=b+-nc-sa=3.6=deed.esE8F

1.2 Pre-requisitos
Se recomienda leer primero la unidad G4edes a/an9adasH.

1.3

rado de dificultad

1l grado de dificultad de esta unidad es &/an9ado.

1.! Informacin sobre los iconos

1n los contenidos encontraremos ' tipos de iconos2 cu+o significado se describe a continuacinA Conce"to terico cla'e Recomendacin "rctica im"ortante ()ercicio *ro"iedad intelectual *ro"iedad intelectual

2. Introduccin
1sta guIa inicia brindando una bre/e introduccin al modelo de referencia JSI2 + conceptos cla/es de seguridad2 antes de introducir las ideas de seguridad inal mbrica en el conteCto de I111 362.11 o ,-&(.

Pg: )

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

Se aborda la seguridad en el conteCto de la seguridad de informacin + se describen + e/alKan cinco atributos de seguridad )confidencialidad2 autenticacin2 integridad2 no-repudio + disponibilidad*. -a unidad finali9a con la presentacin de algunas amena9as de seguridad importantes que deben ser consideradas en cualquier diseLo de red inal mbrica. -a unidad se enfoca en dar una imagen de la seguridad inal mbrica dentro de un conteCto amplio de seguridad de la informacin. ?usca lograr un entendimiento acerca de dnde construir la seguridad en cada capa de la pila de protocolos JSI=;%P=IP. &dem s2 considera elementos cla/es de seguridad que deben ser abordados en la fase de diseLo de una red inal mbrica.

#. +e,iniendo seguridad inalmbrica

-a definicin de seguridad es en gran medida especifica al conteCtoM la palabra seguridad abarca un rango amplio de campos dentro + fuera del mbito de la computacin. Nablamos de seguridad cuando describimos medidas de seguridad en la carretera o cuando describimos una nue/a plataforma de cmputo que es segura contra /irus. Se :an desarrollado /arias disciplinas para abordar cada aspecto de seguridad. %on esto en mente2 :emos intentado enmarcar el t#rmino Gseguridad inal mbricaH en el conteCto de seguridad de informacin. %uando :ablamos de Gseguridad inal mbricaH de :ec:o estamos :ablando de Gseguridad de informacin en redes inal mbricasH.

-. ./u& es seguridad de la in,ormacin0

Para entender el significado de Seguridad Inform tica es necesario entender la manera en que el t#rmino :a e/olucionado en el tiempo.Nasta fines de los 06Os2 esta rea de seguridad fue referida como Seguridad de comunicaciones. Seguridad de %omunicaciones o %J8S1%2 por un acrnimo en ingl#s2 fue definido por la 7.S. (ational Securit+ Instruction )(S;ISSI* comoA ;elecommunications and Information S+stems Securit+

,-ed!das . co"troles /ue se to0a" 1ara "egar el acceso "o autor!2ado de 1erso"as a !"'or0ac!&" der!3ada de las teleco0u"!cac!o"es . augurar la aute"t!c!dad de tales teleco0u"!cac!o"es4 5 Se inclu+eron cuatro reas como partes las acti/idades de seguridad de %J8S1%A

%riptoseguridad2 Seguridad de ;ransmisiones2 Seguridad de 1misiones + Seguridad fIsica. -a seguridad en %J8S1% inclu+ dos atributos relacionadas con esta unidadA Con,idencialidad 1 Autenticacin.

Pg: 6

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

!.1 "onfidencialidad
&segurar que la informacin no es di/ulgada a personas no autori9adas2 procesos o dispositi/os. )Proteccin contra di/ulgacin no autori9ada*.

!.2 Autenticacin
8edida de seguridad diseLada para establecer la /alide9 de una transmisin2 mensaDe o remitente2 o un medio para /erificar la autori9acin de un indi/iduo para recibir categorIas especIficas de informacin )Perificacin de emisor*. 1n los 36Os con el crecimiento de las computadoras personales se inici una nue/a eraA %omputacin personal2 + la seguridad aplicada a este campo )%J8P7S1%*. %J8P7S1% fue definido por (S;ISSI comoA ,-ed!das . co"troles /ue asegura" la co"'!de"c!al!dad, !"tegr!dad . d!s1o"!b!l!dad de s!ste0as de !"'or0ac!&" !"clu.e"do 7ardware, so'tware, '!r0ware e !"'or0ac!&" /ue est s!e"do 1rocesada, al0ace"ada . co0u"!cada4

%J8P7S1% introduDo dos atributos de seguridad adicionales2 relacionados con esta unidadA Integridad 1 +is"onibilidad.

!.3 Inte#ridad
La cal!dad de u" s!ste0a de !"'or0ac!&" re'le8a el correcto 'u"c!o"a0!e"to . co"'!ab!l!dad de s!ste0a o1erat!3o, la co7ere"c!a del 7ardware . so'tware /ue !01le0e"ta" los s!ste0as de 1rotecc!&" . la co"s!ste"c!a de las estructuras de datos de la !"'or0ac!&" al0ace"ada

!.! $isponibilidad
Acceso o1ortu"o . co"'!able a datos . ser3!c!os de !"'or0ac!&" 1ara usuar!os autor!2ados

Pg: 4

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

Qinalmente en los 56Os2 las dos eras de la informacin2 %J8S1% + %J8P7S1%2 fueron integradas para formar Seguridad en Sistemas de Informacin )I(QJS1%*. I(QJS1% inclu+ los cuatro atributosA %onfidencialidad2 &utenticacin2 Integridad + Disponibilidad2 pero tambi#n se agreg un nue/o atributoA (o-repudio )non-repudiation*

!.% No repudiacin &rendicin de cuentas'

Asegurar /ue el re0!te"te de !"'or0ac!&" es 1ro3!sto de u"a 1rueba de e"39o . /ue el rece1tor es 1ro3!sto de u"a 1rueba de la !de"t!dad del re0!te"te, de 0a"era /ue "!"gu"a de las 1artes 1uede "egar el 1roceso de d!c7a !"'or0ac!&"

2. Seguridad de in,ormacin 1 las 3 AN

-a (S;ISSI define el concepto de Seguridad de Sistemas de informacin comoA La 1rotecc!&" de los s!ste0as de !"'or0ac!&" co"tra el acceso "o autor!2ado o la 0od!'!cac!&" de la !"'or0ac!&", .a sea e" el 0ed!o de al0ace"a8e, 1rocesa0!e"to o tr"s!to, . co"tra la "egac!&" de ser3!c!o a los usuar!os autor!2ados, o la 1ro3!s!&" de ser3!c!o a usuar!os "o autor!2ados, !"clu.e"do las 0ed!das "ecesar!as 1ara detectar, docu0e"tar . co"tab!l!2ar esas a0e"a2as -a seguridad inal mbrica se presenta desde el punto de /ista de la Gseguridad de los sistemas de informacinH o I(QJS1%. 1s mu+ comKn describir2 en la literatura relacionada con la seguridad ,-&(2 aspectos prominentes de seguridad sin dar un marco de seguridad apropiado. &l describir aspectos GprominentesH el lector tiende a recordar acrnimos pero ol/ida el beneficio de cada GprominenciaH. Para e/itar eso2 no listaremos todos los atributos de seguridad que se presentan en ,-&(2 sino que presentaremos cada uno de los cinco atributos de seguridad de I(QJS1%2 + luego discutiremos la manera en que ,-&( implementa cada uno de estos. 1ste acercamiento a+udar al lector a tener un enfoque metodolgico al diseLar redes inal mbricas seguras. -os cinco atributos de seguridad a discutir ser nA%onfidencialidad2 &utenticacin2 Integridad2 (o-repudiacin + Disponibilidad1
1. Para un abordaDe m s formal sobre seguridad2 leaA ;:e %ommon %riteria for Information ;ec:nolog+ Securit+ 1/aluation2 t+picall+ abbre/iated as Dust G%ommon %riteriaH or G%%.H ;:e %% pro/ides bot: Qunctional and &ssurance requirements for securit+ products and s+stems.

Pg: :

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

4. Im"lementando los atributos de seguridad

1l modelo de referencia JSI )InterconeCin abierta de sistemas*2 creado por la ISJ )organi9acin internacional de est ndares*2 es una descripcin abstracta para diseLo de protocolos de redes de cmputo. 1l modelo di/ide las diferentes funciones de comunicacin en siete capas que pueden funcionar de manera independiente una de otra. &sI como se describe en la unidad Gredes a/an9adasH2 el diseLo de protocolos de la JSI sigue el principio de GpilaH. &l tener un modelo de protocolos en capas o GapiladoH implica que cada capa usa Knicamente la funcionalidad de la capa inferior2 + pro/ee funcionalidad eCclusi/amente a la capa inmediata superior. 1ste enfoque en capas tiene implicaciones directas en la manera en que podemos implementar atributos de seguridad.

-os est ndares de redes inal mbricas se refieren2 normalmente2 a la capa 1 + capa 2 de la pila de protocolos JSI2 conser/ando el paquete IP sin cambios. -os paquetes IP se transportan sobre protocolos del ni/el fIsico + de enlace de datos que son especIficamente de car cter inal mbricos. Por eDemplo2 si consideramos la Gconfidencialidad del tr fico de datosH entre dos puntos de acceso2 podemos lograr resultados similares )proteccin de la informacin* actuando en tres capas diferentesA

-a capa de aplicacin )mediante ;-S=SS-* -a capa IP )mediante IPS1%* -a capa de enlace )mediante cifrado*

Recuerde /ue cua"do 7abla0os de segur!dad !"al0br!ca, s&lo esta0os e;a0!"a"do los 0eca"!s0os de segur!dad e" las ca1as 1 . ), o sea, del c!'rado <"!3el de e"lace= (tros 0eca"!s0os de segur!dad 1rese"tes a "!3el 6 . su1er!ores so" 1arte de la segur!dad !01le0e"tada e" las ca1as de red o de a1l!cac!&"

(.1 "omentarios #enerales acerca del cifrado en el ni)el de enlace

1l cifrado en el ni/el de enlace es el proceso de asegurar los datos cuando son transmitidos entre dos nodos instalados sobre el mismo enlace fIsico )puede ser tambi#n el caso de dos enlaces diferentes mediante un repetidor2 eDemplo un sat#lite*. %on cifrado a ni/el de enlace2 cualquier otro protocolo o aplicacin de datos que se eDecuta sobre el enlace fIsico queda protegida de cualquier intercepcin.

Pg: 6

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

1l cifrado requiere una cla/e secreta compartida entre las partes en contacto2 + un algoritmo pre/iamente acordado. %uando el transmisor + receptor no comparten un medio de transporte de datos en comKn2 los datos deben ser descifrados + nue/amente cifrados en cada uno de los nodos en el camino al receptor. 1l cifrado en el ni/el de enlace se usa en caso de que no se aplique un protocolo de ma+or ni/el.

Ci,rado a ni'el de enlace en el estndar I((( 5$2.11 1l algoritmo de cifrado meDor conocido para la el est ndar I111 362.11 es el llamado en ingl#s ,ired 1qui/alent Pri/ac+ ),1P*. 1st probado que ,1P es inseguro2 + otras alternati/as2 como el protocolo ,i-Qi Protected &ccess ),P&*2 es considerado como el est ndar recomendado. 1l nue/o est ndar I111 362.11i /a a incluir una eCtensin de ,P&2 llamada ,P&2. 1l cifrado a ni/el de enlace no pro/ee seguridad de e6tremo a e6tremo2 fuera del enlace fIsico2 + soo debe ser considerada una medida adicional en el diseLo de la red. 1l cifrado a ni/el de enlace requiere m s recursos de :ard<are en los puntos de acceso + medidas especiales de seguridad en la administracin + distribucin de lla/es.

7. Con,idencialidad en redes inalmbricas

*.1 +,P o no +,P
Definimos la confidencialidad en redes inal mbricas como el acto de asegurar que la informacin transmitida entre los puntos de acceso + los clientes no sea re/elada a personas no autori9adas. -a confidencialidad debe asegurar que +a sea la comunicacin entre un grupo de puntos de acceso en un sistema de distribucin inal mbrico ),DS por sus siglas en ingl#s*2 o bien entre un punto de acceso )&P* + una estacin o cliente2 se conser/a protegida contra intercepciones.

Pg: +

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

-a confidencialidad en redes inal mbricas :a sido asociada tradicionalmente con el t#rmino Gpri/acidad equi/alente a enlaces alambradosH o ,1P2 por su siglas en ingl#s. ,1P fue parte del est ndar I111 362.11 original2 de 1555. 1l propsito del ,1P fue brindar2 a las redes inal mbricas2 un ni/el de seguridad comparable al de las redes alambradas tradicionales. -a necesidad de un protocolo como ,1P fue ob/io2 las redes inal mbricas usan ondas de radio + son m s susceptibles de ser interceptadas. -a /ida del ,1P fue mu+ cortaM un diseLo malo + poco transparente conduDo ataques mu+ efecti/os a su implantacin. &lgunos meses despu#s de que el ,1P fuera publicado2 el protocolo fue considerado obsoleto. &unque la lla/e tenIa una longitud limitada debido a restricciones de eCportacin2 se pudo probar que el protocolo era d#bil independientemente de ese :ec:o. (o fueron solo las fallas de diseLo las que :icieron que ,1P fuera obsoleto2 sino tambi#n la falta de un sistema de maneDo de lla/es como parte del protocolo. ,1P no tu/o incluido sistema alguno de maneDo de lla/es. 1l sistema de distribucin de lla/es fue tan simple como teclear manualmente la misma lla/e en cada dispositi/o de la red inal mbrica )un secreto compartido por muc:os no es un secretoR*. ,1P fue seguido por /arias eCtensiones de car cter propietario que resultaron tambi#n inadecuadas2 por eDemplo ,1PS de -ucent2 + ,1P2 de %isco.

,1P + sus eCtensiones ),1PS2 ,1P2* son al dIa de :o+ obsoletas. ,1P est basado en el algoritmo de encripcin 4%42 cu+as implementaciones en el est ndar I111 362.11 se consideran inadecuadas. 1Cisten /arios ataques + programas para quebrar el ,1P )&irsnort2 <epcracT2 Tismac2 aircracT etc*. &lgunos de los ataques est n basados en la limitacin num#rica de los /ectores de iniciali9acin del algoritmo de cifrado 4%42 o la presencia de la llamada Gdebilidad IPH en un datagrama.

Para los interesados en los aspectos :istricos de la seguridad del ,1P2 pueden consultar los recursos adicionales de esta unidad.

*.2 +,P muere- nacen +PA . +PA2

-uego del deceso del ,1P2 en 2663 se propone el &cceso Protegido a ,i-Qi ),P&2 por sus iniciales en ingl#s* + luego queda certificado como parte del est ndar I111 362.11i2 con el nombre de ,P&2 )en 2664*. ,P& + ,P&2 son protocolos diseLados para trabaDar con + sin un ser/idor de maneDo de lla/es. Si no se usa un ser/idor de lla/es2 todas las estaciones de la red usan una Glla/e pre/iamente compartidaH )PSU - Pre-S:ared-Ue+-2 en ingl#s*2 1l modo PSU se conoce como ,P& o ,P&2-Personal.
Pg: >

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

%uando se emplea un ser/idor de lla/es2 al ,P&2 se le conoce como ,P&2-%orporati/o )o ,P&21nterprise2 en ingl#s*. 1n ,P&-%orporati/o2 se usa un ser/idor I111 362.1F para distribuir las lla/es. 7na meDora notable en el ,P&H sobre el /ieDo ,1P es la posibilidad de intercambiar lla/es de manera din mica mediante un protocolo de integridad temporal de lla/es );UIP -;emporal Ue+ Integrit+ Protocol*.

3*A2 8 Acceso "rotegido a 3i-9i ,P&2 es la /ersin certificada de ,P& + es parte del est ndar I111 362.11i. Na+ dos cambios principales en ,P&2 /s. ,P&A 1. 1l reempla9o del algoritmo 8ic:ael por una cdigo de autenticacin conocido como el protocolo G%ounter-8ode=%?%-8ac G )%%8P*2 que es considerado criptogr ficamente seguro. 2. 1l reempla9o del algoritmo 4%4 por el G&d/anced 1ncr+ption Standard )&1S*H conocido tambi#n como 4iDndael. 4ecomendaciones para confidencialidad en datosA Si se necesita confidencialidad mediante el cifrado a ni/el de enlaceA la meDor opcin es ,P&2 en modo Gcorporati/oH ),P&2-1nterpriseH*. 1n caso de usarse una solucin m s simple como la ,P&2-Personal2 deben tomarse precauciones especiales al escoger una contraseLa )lla/e precompartida2 PSU*. 1l protocolo ,1P + sus /ariantes ,1PS2 + ,1P22 deben ser descartados

5. Autenticacin en Redes inalmbricas

1n el conteCto de las redes -&(2 la autenticacin es la medida diseLada para establecer la /alide9 de una transmisin entre puntos de acceso +=o estaciones inal mbricas 1n otros t#rminos2 la autenticacin inal mbrica significa Gel derec:o a en/iar :acia + mediante el punto de accesoH. Para entender G&utenticacinH en redes inal mbricas es necesario entender qu# sucede en el inicio de la sesin de comunicacin entre un punto de acceso + una estacin inal mbrica. 1l inicio de una comunicacin comien9a por un proceso llamado GasociacinH. %uando el est ndar I111 362.11b fue diseLado2 se introduDeron dos mecanismos de GasociacinHA

&utenticacin abierta + &utenticacin con lla/e compartida

-a autenticacin abierta im"lica N: seguridad 1 cual;uiera "uede <ablarle al "unto de acceso.

Pg: ?

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

1n la autenticacin de lla'e com"artida= se com"arte una contrase>a entre el "unto de acceso 1 la estacin cliente. 7n mecanismo de reto=respuesta le permite al punto de acceso /erificar que el cliente conoce la lla/e compartida2 + entonces conced el acceso.

3(* 1 la Autenticacin en la ca"a 2 La Aute"t!cac!&" co" lla3e co01art!da !01le0e"tada e" @EP ta0b!A" es obsoleta %ar!os ata/ues t!1o te;to 1la"o 3ersus te;to c!'rado 1uede" 3ul"erar la Aute"t!cac!&" basada e" @EP Beb!do al 7ec7o de /ue la lla3e de c!'rado . Aute"t!cac!&" so" el 0!s0o secreto co01art!do, u"a 3e2 /ue u"a resulta co01ro0et!da, la otra ta0b!A"

4ecomendaciones de &utenticacin inal mbricaA -a &utenticacin inal mbrica mediante la capa 2 requiere el uso del modo ,P&2-corporati/o. -a &utenticacin en las redes inal mbricas2 como las implantadas por los pro/eedores de ser/icios de internet inal mbricos2 normalmente se utili9a en capas de red mas altas )capa IP* mediante portales cauti/os )que requieren identificarse ante un sitio <eb*. 1s importante entender que al transferir la &utenticacin a un Gportal cauti/oH no tenemos un recurso para detener el fluDo de tr fico que cru9a nuestros puntos de accesJ.

/.1 $etener la difusin de la 00I$ como medida de se#uridad

-a firma -ucent ;ec:nologies desarroll en el aLo 2666 una /ariacin del esquema de &utenticacin abierta llamado Gred cerradaH. -as redes cerradas se diferencian del est ndar I111 362.11b en que el punto de acceso no difunda peridicamente las llamadas G;ramas ?ali9aH o G?eacon QramesH. 1/itar la publicacin de la SSID implica que los clientes de la red inal mbrica necesitan saber de manera pre/ia que SSID deben asociar con un punto de acceso. 1sta cualidad :a sido implantada por muc:os fabricantes como una meDora de GseguridadH. -a /erdad es2 mientras detener la difusin de la SSID pre/iene a los clientes enterarse de la SSID por medio de una Gtrama bali9aH2 no impedir que otro soft<are de intercepcin detecte la asociacin que pro/enga de otro punto de la red cuando #sta e/entualmente ocurra.

Pg: 1*

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

+eteniendo la di,usin de la SSI+ La detecc!&" de la d!'us!&" de la CCIB "o !01ed!r /ue u"a 1erso"a ,!"teresada4 e"cue"tre la CCIB de su red Co"'!gura"do la red co0o ,cerrada4 solo aDad!r u"a barrera ad!c!o"al a u" !"truso corr!e"te Bete"er la d!'us!&" de la CCIB debe co"s!derarse co0o u"a ,1recauc!&" ad!c!o"al4, 0s "o u"a 0ed!da de segur!dad e'ect!3a

/.2 1sando el filtrado de direcciones 2A" como medida de se#uridad

Se :a con/ertido en pr ctica comKn usar la direccin 8&% de la interfa9 inal mbrica como mecanismo para limitar el acceso a una red inal mbrica. -a :iptesis detr s de esto es que las direcciones 8&% est n GalambradasH + no pueden ser modificadas por usuarios corrientes. -a realidad es mu+ diferente + las direcciones 8&%2 en el comKn de las redes inal mbricas pueden ser f cilmente modificadas.

Usando direcciones ?AC "ara Autenticacin 7n mecanismo de &utenticacin basado SJ-J en direcciones 8&% es inseguro.

/.3 Portales cauti)os para redes inal3mbricas

-a discusin acerca de los Gportales cauti/os o capti/os inal mbricosH merece una unidad completa2 pero al menos :aremos una pequeLa introduccin en esta unidad2 dada su rele/ancia en seguridad inal mbrica. Si bien :a+ /arias implementaciones de portales cauti/os2 la ma+orIa de estos est n basados en el mismo tipo de concepto. 1n una red donde la &utenticacin se :ace mediante portales cauti/os2 a los clientes se les permite asociar con un punto de acceso )sin &utenticacin inal mbrica* + obtener una direccin IP con el protocolo DN%P )no se requiere &utenticacin para obtener la direccin IP*. 7na /e9 que el cliente obtiene la direccin IP2 todas las solicitudes N;;P se capturan + son en/iadas al portal cauti/o2 + el cliente es for9ado a identificarse en una pagina <eb. -os portales capti/os son responsables de /erificar la /alide9 de la contraseLa + luego modificar el estatus del cortafuego. -as reglas del cortafuego esta comKnmente basadas en la direccin 8&% del cliente + las direcciones IP.

Pg: 11

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

9igura 1: 7n portal cauti/o con &utenticacin en tres pasos 1n la figura2 podemos /er la &utenticacin del portal cauti/o en tres pasos. 1l primer paso )1* requiere una asociacin del cliente a la red inal mbrica. (o se espera una &utenticacin en t#rminos de ,1P,P&2 + normalmente se anuncia la SSID. 1n el segundo paso )2* el cliente obtiene una direccin IP mediante DN%P. 1l tr fico se enla9a a tra/#s del punto de acceso sin &utenticacin alguna. 1n el Kltimo paso )3*2 el tr fico N;;P del cliente se redirecciona al ser/idor del portal cauti/o. 1l cliente se identifica )usando2 normalmente2 N;;PS S nombre S contraseLa*. Qinalmente el ser/idor del portal cauti/o modifica o crea una regla en el cortafuego para permitir el trafico :acia la internet. 1Cisten /arios problemas de seguridad asociados con este tipo de implementacin. Para m s informacin /ea los eDercicios propuestos.

@. Integridad de datos en redes inalmbricas

Be'!"!0os !"tegr!dad de datos co0o la ca1ac!dad de u" 1rotocolo !"al0br!co 1ara deter0!"ar s! la !"'or0ac!&" tra"s0!t!da 7a s!do alterada 1or 1erso"as "o autor!2adas

1n 15552 el protocolo ,1P tambi#n busc pro/eer integridad de tr fico de datos2 pero desafortunadamente el mecanismo de integridad2 o %4% )cdigo de redundancia cIclica*2 result inseguro. 1l diseLo fallido de ,1P permite la alteracin del cdigo %4% del tr fico2 sin la necesidad de saber la lla/e ,1P2 es decir que el tr fico puede ser alterado sin que se note. -os protocolos ,P& + ,P&2 resol/ieron el problema de la integridad de datos en ,1P mediante la inclusin de un mensaDe de cdigo de autenticacin m s seguro + la inclusin de un contador de segmentos )frames*2 que pre/iene los Gataques por repeticionH )repla+ attacT*. 1n un ataque de repeticin el atacante registra la con/ersacin entre un cliente + un punto de acceso2 para obtener un acceso no autori9ado. &l responder una con/ersacin GantiguaH el atacante no necesita saber la lla/e secreta ,1P.

Pg: 1)

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

Integridad de datos: 3(* 's 3*A2 -a integridad de datos mediante ,1P es obsoleta.

4ecomendaciones sobre integridad de datosA Ce debe !01le0e"tar @PA o @PA) 1ara lograr !"tegr!dad de datos !"al0br!ca 0ed!a"te el c!'rado e" la ca1a de e"lace

4.1 Nota sobre se#uridad acerca de +PA

,P& fue diseLado como un paso intermedio :acia ,P&2 )est ndar I111 362.11i*. ,P& slo inclu+e un subconDunto de las caracterIsticas del est ndar I111 362.11i + se enfoca en preser/ar la compatibilidad con adaptadores que funcionan con el est ndar I111 362.11b.

,P& abord las fallas encontradas en ,1P. ,P& increment la longitud de las lla/es2 el nKmero de lla/es en uso + agreg un nue/o mensaDe de cdigo de &utenticacin. Se us el algoritmo 8ic:ael debido a que es el m s robusto + funciona con adaptadores de red antiguos. 1l algoritmo 8ic:ael es aun candidato a ser atacado + debido a ello las redes basadas en ,P& implementan un mecanismo de suspensin de 36 segundos en caso de deteccin de ataque. +PA ?odo cor"orati'o ?odo "ersonal &utenticacin %ifrado &utenticacin %ifrado I111 362.1F = 1&P2 ;UIP =8I%
3

+PA2 I111 362.1F = 1&P &1S-%%8P PSU &1S-%%8P

PSU ;UIP=8I%

Tabla 1: &utenticacin + %ifrado en ,P& + ,P&2 )8odo corporati/o + personal*

2. 1&P stands for 1Ctensible &ut:entication Protocol2 it is a securit+ protocol in/oTed b+ an I111 362.1F enabled (et<orT &ccess Ser/er )(&S* de/ice suc: as an I111 362.11 a=b=g ,ireless &ccess Point. 3. ;UIP stand for t:e ;emporal Ue+ Integrit+ Protocol.

Pg: 16

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

1$. +is"onibilidad en redes inalmbricas

Be'!"!0os d!s1o"!b!l!dad de la red !"al0br!ca co0o la ca1ac!dad de la tec"olog9a /ue asegura u" acceso co"'!able a ser3!c!os de datos e !"'or0ac!&" 1ara usuar!os autor!2ados

-o primero a considerar es que no es simple detener a alguien que busca interferir con su seLal de radio. -as redes inal mbricas operan en canales predefinidos que cualquiera puede usar para en/iar seLales de radio. -a pre/encin de la interferencia por parte de usuarios no autori9ados es pr cticamente imposible. -o Knico que puede :acer es monitorear cuidadosamente su enlaces para identificar fuentes potenciales de interferencia )/er la unidad de monitoreo + administracin*. Negacin de ser'icio -as redes inal mbricas son /ulnerables a los ataques de (egacin de Ser/icio mediante interferencia de radio. %onsidere un escenario donde otro operador de red decide configurar sus dispositi/os de radio en el mismo canal en el que opera su red. Puede imaginar adem s qu# sucede si se publica un SSID id#ntico. Para e/itar esta clase de ataques2 intencionales o no2 debe considerar el rastreo peridico de frecuencias de radio. Para e/itar la interferencia con otras redes2 no sobrecargue la potencia de sus enlaces 1Cisten /arias ra9ones para que un enlace de desempeLe de manera deficiente o no est# disponible. -a presencia de nodos escondidos puede afectar el desempeLo de la familia de protocolos I111 362.11. Pirus2 soft<are de intercambio de arc:i/os2 GspamH2 etc.2 pueden inundar su red con tr fico + limitar el anc:o de banda disponible para las coneCiones autori9adas a ser/icios legItimos %omo se discuti en la seccin de &utenticacin de esta unidad2 es difIcil pre/enir que usuarios ilegItimos se comuniquen con su punto de acceso o portal cauti/o. -a disponibilidad en redes inal mbricas requiere de buenas pr cticas de monitoreo.

Pg: 14

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

11. No re"udiacin en redes inalmbricas Arendicin de cuentasB

-a familia de est ndares I111 362.11 no se :ace cargo de la Grendicin de cuentasH en el tr fico de datos. -os protocolos inal mbricos no tienen un mecanismo para asegurar que el emisor de datos tenga una prueba de en/Io de la informacin + que el receptor obtenga una prueba de la identidad del emisor.-a rendicin de cuentas debe ser implementada en protocolos de capas superiores.

12. AmenaCas de seguridad en redes inalmbricas

-a tabla siguiente presenta la die9 amena9as de seguridad m s rele/antes en redes inal mbricas + pro/ee un conDunto de recomendaciones para cada una de #stas.
1 Con,idencialidad 4iesgo de interferencia2 usuarios no autori9ados pueden obtener acceso al tr fico de datos en su red. 7sar cifrado en la capa de enlace en sus enlaces inal mbricos ),P&2*. 4ecomendar a sus usuarios el uso de GcifradoH en protocolos de alto ni/el )S8;P seguro2 N;;PS* 2 Con,idencialidad 4iesgo de arrebato de tr fico + riesgo de un ataque tipo de intermediario 3 Autenticacin 4ecomendacin 1 S 8onitorear la S(42 la SSID + la direccin 8&% de su coneCin

4iesgo de acceso no autori9ado a Implemente I111 362.1F ),P&2* su red inal mbrica (o dependa solo de un esquema de autenticacin basado en direcciones 8&%.(o publique su SSID

Autenticacin

4iesgo de acceso no autori9ado a Implemente I111 362.1F su red inal mbrica + al Internet Implemente un portal cauti/o 4ecomiende a sus usuarios el uso de cifrado en capas superiores )N;;PS2 S8;P seguro* 7se cifrado en su enlace inal mbrico ),P&2*

'

Integridad

4iesgo de alteracin de tr fico en la red inal mbrica

+is"onibilidad

4iesgo de interferencia (egacin de ser/icio )%ongestionamiento*

8onitoree peridicamente el espectro de radio (o sobrecargue la potencia de sus enlaces ?usque nodos ocultos + fuentes de interferencia 8onitoree retransmisiones de capa de

+is"onibilidad

4iesgo de no disponibilidad de anc:o de banda debido a retransmisiones de radio

Pg: 1:

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

enlace en Puntos de &cceso 3 +is"onibilidad 4iesgo de no disponibilidad de malicioso 8onitorear tr fico IP2 especialmente de tipo Inclu+a detectores de intrusin anc:o de banda debido a soft<are I%8P + 7DP

Autenticacin Rendicin de cuentas

4iesgo de acceso no autori9ado a Implemente la red inal mbrica fuera de su su Intranet cortafuegos Implemente una 4ed Pri/ada Pirtual + permita coneCiones solo /Ia el concentrador PP(

16

AAcceso a la redB Rendicin de cuentas

4iesgo de uso no autori9ado de recursos de la red.

Implementado en I111 362.1F Implemente un portal cauti/o basado en firmas digitales

Tabla 2: -as die9 amena9as de seguridad m s rele/antes a redes inal mbricas2 con las medidas pre/enti/as recomendadas.

13. "onclusiones
1sta unidad presenta la seguridad inal mbrica desde el punto de /ista de la Gseguridad de los sistemas de informacinH o I(QJS1%. 1Cisten ' atributos de seguridadA %onfidencialidad2 &utenticacin2 Integridad2 (o-4epudiacin + Disponibilidad2 presentados en el conteCto de las redes inal mbricas. Dado que la formulacin de los est ndares de enlaces inal mbricos como el I111 362.11 solo :acen referencia a las capas 1 + 2 del modelo JSI2 algunos atributos de seguridad pueden ser implementados por protocolos que corresponden a capas superiores. 7n buen diseLo de red inal mbrica debe incluir el lugar para implementar cada atributo de seguridad. Por eDemplo2 el cifrado para efectos de confidencialidad puede ser implementado en la capa de enlace2 en la capa IP o en la de aplicacinM la SSID puede ser difundida o no2 la autenticacin puede ser implementada usando I111 362.1F2 un portal cauti/o o filtrado a ni/el de direcciones 8&%. %ualquier implementacin /a a depender siempre de escenarios + aplicaciones especIficas. -os ' temas principales de esta unidad que deben ser recordados pueden resumirse comoA 1. -a seguridad meramente inal mbrica solo inclu+e mecanismos de seguridad presentes en las capas 1 + 2. 2. -a encripcin a ni/el de la para de enlace ),1P2 ,P&2 ,P&2* es una medida de seguridad comKnmente utili9ada pero no garanti9a confidencialidad punto-a-punto. Si se necesita seguridad a ni/el de capa de enlace e/ite el uso de ,1P2 + use I111 362.11i ),P&2*.

Pg: 16

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+

-a supresin del anuncio de la SSID + el filtrado mediante direcciones 8&% no son m#todos de autenticacin seguros. 1s necesario un m#todo de autenticacin de m s alto ni/el2 como por eDemplo un portal cauti/o. 3. 7na red puede tornarse inoperati/a como resultado de ataques de (egacin de ser/icio o soft<are malicioso2 pero tambi#n debido a nodos ocultos de los que no tenemos idea de su eCistencia2 + problemas de interferencia. Solo mediante el monitoreo de tr fico en la red2 se pueden encontrar las causas reales de un problema. 4. (o :a+ una solucin estandard de seguridad para todas las redes inal mbricas. 1s necesario tener una idea clara de los requisitos de seguridad2 + la solucin depende de cada escenario.

1-. +eclaracin de +erec<os de *ro"iedad Intelectual

-os materiales desarrollados en el marco del pro+ecto ;4I%&-%&4 utili9an una /ersin resumida del formato 88;U V 8ultimedia ;raining Uit. Nan sido desarrollados para ser utili9ados + compartidos libremente por instructores=as /inculados a pro+ectos de nue/as tecnologIas para el desarrollo. ;odos los materiales est n disponibles baDo una de las licencias %reati/e %ommons @:ttpA==creati/ecommons.org=B. 1stas licencias :an sido desarrolladas con el propsito de promo/er + facilitar que se compartan materiales2 pero reteniendo algunos de los derec:os del autor sobre la propiedad intelectual. Debido a que las organi9aciones del Pro+ecto ;4I%&-%&4 que usan el formato 88;U para el desarrollo de sus materiales tienen di/ersas necesidades + trabaDan en conteCtos diferentes2 no se :a desarrollado una licencia Knica que cubra a todos los materiales. Para ma+or claridad sobre los t#rminos + condiciones en las que usted puede utili9ar + redistribuir cada unidad tem tica2 por fa/or /erifique la declaracin de derec:os de propiedad intelectual incluida en cada una de ellas. *ro'isiones de derec<os de "ro"iedad intelectual "ara esta unidad: 1sta unidad tem tica se :a :ec:o disponible baDo los t#rminos de la licencia Atribucin-No Comercial- icenciamiento Rec!"roco2 baDo los siguientes t#rminosAW

Atribucin. 4econocer la autorIa del material en los t#rminos especificados por el propio autor o licenciante. No comercial. (o puede utili9arse este material para fines comerciales. icenciamiento Rec!"roco. Si altera2 transforma o crea un material a partir de este2 solo podr distribuir el material resultante baDo una licencia igual a #sta.

Documento preparado para el taller de comunicaciones inal mbricas de ;s:<ane en Sud frica )c* 0t: September 266'2 %reati/e %ommons Deed. &ttribution-(on%ommercial-S:are&liTe 2.6 )c* 21 &bril 2660. ;raduccin de -a(eta.
Pg: 1+

TRICALCAR | www w!lac "et#tr!calcar $ %ers!&" '!"al (ctubre )**+