Estudio Sobre La Seguridad y Buenas Practicas Observatoriointeco

InstitutoNacional
deTecnologas
delaComunicacin

Estudio sobre la situacin de
seguridad y buenas prcticas en
dispositivos mviles y redes
inalmbricas

OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIN
InstitutoNacional
deTecnologas
delaComunicacin

Estudio sobre la seguridad y buenas prcticas en dispositivos mviles y redes inalmbricas
Edicin: Junio 2008
La presente publicacin pertenece al Instituto Nacional de Tecnologas de la Comunicacin (INTECO) y est bajo una
licencia Reconocimiento-No comercial 2.5 Espaa de Creative Commons, y por ello esta permitido copiar, distribuir y
comunicar pblicamente esta obra bajo las condiciones siguientes:
Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su
procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho reconocimiento
no podr en ningn caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace de su obra.
Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos mientras su
uso no tenga fines comerciales.
Al reutilizar o distribuir la obra, tiene que dejar bien claro los trminos de la licencia de esta obra. Alguna de estas condiciones
puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta licencia
menoscaba o restringe los derechos morales de INTECO.
Texto completo de la licencia:
http://creativecommons.org/licenses/by-nc/2.5/es/
Observatorio de la Seguridad de la Informacin Pgina 2 de 181
InstitutoNacional
deTecnologas
delaComunicacin

NDICE
NDICE.................................................................................................................................3
PUNTOS CLAVE.................................................................................................................8
I Redes inalmbricas y clasificacin segn su cobertura geogrfica.........................8
II Situacin y tendencias de las tecnologas mviles e inalmbricas en Espaa .......8
III Problemtica de securizacin en redes inalmbricas..............................................9
IV Soluciones de seguridad con aplicacin a redes inalmbricas..............................10
V Dispositivos mviles...............................................................................................11
VI Recomendaciones de actuacin............................................................................12
1 INTRODUCCIN Y OBJ ETIVOS...............................................................................13
1.1 Presentacin......................................................................................................13
1.1.1 Instituto Nacional de Tecnologas de la Comunicacin. ................................13
1.1.2 Observatorio de la Seguridad de la Informacin............................................13
1.2 Descripcin y estructura del estudio..................................................................14
2 REDES INALMBRICAS Y CLASIFICACIN SEGN SU COBERTURA
GEOGRFICA...................................................................................................................17
2.1 Taxonoma de redes inalmbricas segn su cobertura geogrfica...................19
2.1.1 Redes WAN...................................................................................................20
2.1.2 Redes MAN....................................................................................................24
2.1.3 Redes LAN.....................................................................................................26
2.1.4 Redes PAN....................................................................................................26
3 SITUACIN Y TENDENCIAS DE LAS TECNOLOGAS MVILES E INALMBRICAS
EN ESPAA......................................................................................................................28
3.1 Visin global del mercado..................................................................................28
InstitutoNacional
deTecnologas
delaComunicacin

3.1.1 Ciudadanos....................................................................................................30
3.1.2 Pequeas y medianas empresas...................................................................33
3.2 Hbitos, usos e incidencias de seguridad de los usuarios mviles en Espaa.36
3.2.1 Ciudadanos....................................................................................................37
3.2.2 Pequeas y medianas empresas...................................................................42
3.3 Clasificacin de las tecnologas inalmbricas en funcin de su penetracin y
potencial de uso en el mercado espaol........................................................................46
3.3.1 Tecnologas con bajo nivel de penetracin y potencial de uso......................46
3.3.2 Tecnologas con elevada penetracin y potencial de uso.............................47
4 Problemas DE SECURIZACIN EN REDES INALMBRICAS.................................69
4.1 Anlisis de vulnerabilidades de las redes a nivel global ....................................69
4.1.1 Dimensiones de seguridad y vulnerabilidades...............................................70
4.2 Anlisis del nivel de vulnerabilidad por tipo de tecnologa inalmbrica.............82
4.2.1 Tecnologa GSM/GPRS.................................................................................84
4.2.2 Tecnologa UMTS/HSPA ...............................................................................87
4.2.3 Tecnologa WLAN/WiMAX.............................................................................89
4.2.4 Tecnologa Bluetooth.....................................................................................94
4.2.5 Tecnologa NFC.............................................................................................98
5 SOLUCIONES DE SEGURIDAD CON APLICACIN A REDES INALMBRICAS .100
5.1 Dimensiones de seguridad..............................................................................100
5.1.1 Control de acceso........................................................................................100
5.1.2 Autenticacin................................................................................................100
5.1.3 Disponibilidad...............................................................................................101
5.1.4 Confidencialidad...........................................................................................101
InstitutoNacional
deTecnologas
delaComunicacin

5.1.5 Integridad.....................................................................................................102
5.1.6 No repudio....................................................................................................102
5.2 Soluciones por tecnologas inalmbricas.........................................................103
5.2.1 Tecnologa GSM/GPRS/UMTS/HSPA.........................................................103
5.2.2 Tecnologa WiMAX ......................................................................................104
5.2.3 Tecnologa Bluetooth...................................................................................105
5.2.4 Tecnologa NFC...........................................................................................107
5.2.5 Protocolo WLAN, IEEE 802.11 o Wi-Fi........................................................108
6 DISPOSITIVOS MVILES .......................................................................................112
6.1 Tendencias ......................................................................................................112
6.1.1 Cifras relacionadas con la seguridad...........................................................117
6.2 Problemas de securizacin: vulnerabilidades y consecuencias ......................120
6.3 Soluciones de seguridad..................................................................................126
6.3.1 Polticas de gestin de asignacin de perfiles de usuarios..........................126
6.3.2 Polticas de gestin de riegos y actuaciones en caso de sustraccin o
extravo.....................................................................................................................129
6.3.3 Polticas de recuperacin de la informacin ante contingencias .................131
7 CONCLUSIONES Y RECOMENDACIONES ...........................................................134
7.1 Conclusiones ...................................................................................................134
7.2 Recomendaciones ...........................................................................................137
8 ANEXO I: SOLUCIONES GLOBALES .....................................................................140
8.1 Soluciones globales.........................................................................................141
8.1.1 Dimensiones de seguridad...........................................................................141
8.1.2 Otras recomendaciones...............................................................................149
InstitutoNacional
deTecnologas
delaComunicacin

9 ANEXO II: MARCO REGULATORIO DE LA SEGURIDAD EN REDES
INALMBRICAS..............................................................................................................153
9.1 Normativa espaola.........................................................................................153
9.1.1 Ley Orgnica 15/1999, del 13 de diciembre, de Proteccin de Datos de
Carcter Personal (LOPD) .......................................................................................153
9.1.2 Real Decreto Legislativo 1/1996, de 12 de abril, de Ley de Propiedad
Intelectual .................................................................................................................155
9.1.3 Ley 17/2001, de 7 de diciembre, de Marcas................................................156
9.1.4 Ley 20/2003, de 7 de julio, de Proteccin J urdica del Diseo Industrial.....157
9.1.5 Circular 1/2006 del Fiscal General del Estado del 27 de mayo de 2006, sobre
los delitos contra la propiedad intelectual e industrial tras la reforma de la Ley
Orgnica 15/2003.....................................................................................................157
9.1.6 Orden PRE/2740/2007, de 19 de septiembre, por la que se aprueba el
Reglamento de Evaluacin y Certificacin de la Seguridad de las Tecnologas de la
Informacin...............................................................................................................158
9.1.7 Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento
sobre las condiciones para la prestacin de servicios de comunicaciones
electrnicas, el servicio universal y la proteccin de los usuarios............................158
9.1.8 Orden ITC/912/2006, de 29 de marzo, por la que se regulan las condiciones
relativas a la calidad de servicio en la prestacin de los servicios de comunicaciones
electrnicas ..............................................................................................................159
9.2 Normativa europea ..........................................................................................160
10 ANEXO III: FUNCIONAMIENTO GENERAL DE LAS REDES DE TRFICO DE
DATOS ............................................................................................................................161
11 ANEXO IV: METODOLOGA Y FUENTES CONSULTADAS..............................164
11.1 Metodologa.....................................................................................................164
11.1.1 Listado de empresas colaboradoras........................................................164
11.1.2 Panel de expertos ....................................................................................165
11.1.3 Entrevistas a empresas relevantes del sector .........................................166
InstitutoNacional
deTecnologas
delaComunicacin

11.1.4 Encuestas a usuarios pertenecientes a hogares conectados a Internet..167
11.1.5 Estudio de informes y fuentes de informacin.........................................169
INDICE ANLITICO.........................................................................................................174
NDICE DE GRFICOS...................................................................................................176
NDICE DE TABLAS........................................................................................................178
INDICE DE FIGURAS......................................................................................................180
InstitutoNacional
deTecnologas
delaComunicacin

PUNTOS CLAVE
La movilidad en el puesto de trabajo y en la vida privada es una prctica cada vez ms
extendida en la sociedad. Esta situacin se ve favorecida y alentada por los continuos
avances en el mbito de las tecnologas inalmbricas, donde cada vez se estn
consiguiendo soluciones de mayor velocidad de conexin, con ms utilidades y a unos
costes cada vez ms bajos.
Sin embargo, la principal ventaja de estas tecnologas, caracterizadas por posibilitar una
conexin sin cables y en cualquier lugar donde exista cobertura, implica, a su vez, unas
necesidades especficas de seguridad.
Ante este panorama, donde los cambios y los avances tecnolgicos se suceden con
mucha rapidez, no es difcil prever una posible vulnerabilidad de las pymes y de los
particulares en el uso de tecnologas inalmbricas, producto de un conocimiento mnimo
en temas tecnolgicos y de la aparicin de nuevas amenazas a partir de estas nuevas
formas de comunicacin.
I Redes inalmbricas y clasificacin segn su cobertura geogrfica
Aunque no exista una clasificacin universal que catalogue de forma uniforme a todas
estas tecnologas, es posible hacerlo segn la cobertura geogrfica de cada una de ellas:
WAN (Wide Area Network): red usada para comunicacin de larga distancia
(principalmente por operadores de telefona).
MAN (Metropolitan Area Network): red con una cobertura menor que la WAN, pero
en un entorno ms o menos metropolitano.
LAN (Local Area Network): red de rea local.
PAN (Personal Area Network): red de proximidad, concebida para trabajar sobre
reas reducidas y de corto alcance.
II Situacin y tendencias de las tecnologas mviles e inalmbricas en Espaa
En febrero de 2008, el nmero de lneas de telefona mvil se situaba en los 50.903.008,
un 7,4% ms que en el 2007. Segn el informe de febrero de 2008 de la Comisin del
Mercado de las Telecomunicaciones (CMT), el total de lneas mviles aument en
178.864, cerrndose el mes con un total de 49.748.579, lo que supone un incremento del
6,8% respecto al total registrado en febrero de 2007 y una proporcin de 110,1 lneas por
cada 100 habitantes.
InstitutoNacional
deTecnologas
delaComunicacin

La penetracin de las tecnologas inalmbricas en el mercado residencial espaol
alcanz cotas altas en telefona mvil (90,9%) en el primer semestre de 2007. La
distribucin de esta tecnologa en los hogares, segn datos del INE, muestra que en un
17,7% se dispone nicamente de telfono mvil y en un 73,1%, de fijo y mvil.
En relacin con los dispositivos inalmbricos, su penetracin es cada vez ms elevada,
segn los resultados del panel de hogares de INTECO para mayo de 2008. Ms de la
mitad de los encuestados cuenta con porttiles con tecnologa Wi-Fi o Bluetooth.
Asimismo, un 50,3% de los hogares espaoles cuenta con un acceso Wi-Fi.
En cuanto a las pymes espaolas, el 80% de las empresas de ms de 10 empleados
recurre a la telefona mvil para su actividad profesional. Adems, cuatro de cada diez
organizaciones utilizan dispositivos mviles avanzados (PDA y BlackBerry).
Los hbitos, usos e incidencias de seguridad de los usuarios mviles en Espaa son
variables en funcin del tipo de dispositivo que se tenga. En el caso de los ciudadanos, la
medida ms utilizada para los dispositivos bsicos es el uso de un PIN o cdigo de
seguridad para la tarjeta SIM (79,2%). Respecto a los dispositivos avanzados, en
concreto los que cuentan con la posibilidad de utilizar la comunicacin inalmbrica a
travs del Bluetooth para la transmisin de datos y voz, su seguridad depende del uso
que se les d y de las pautas de seguridad utilizadas.
En el mbito de las empresas, las acciones adoptadas en cuanto a actualizacin de los
mecanismos de seguridad estn principalmente basadas, aunque depende del tamao de
la empresa, en el uso de software de proteccin o chequeo de virus; as lo afirma el 97%
de las empresas con conexin a Internet. Otras medidas utilizadas son el uso de
cortafuegos y el backup de datos (en el caso de empresas de entre 10 y 49 trabajadores,
son utilizadas por un 68,8% y un 56,8%, respectivamente).
Debido a la buena aceptacin que las soluciones de movilidad estn teniendo hoy en da,
la industria no ceja en su empeo de investigar y desarrollar nuevas soluciones
tecnolgicas inalmbricas con nuevas y mejores prestaciones (ancho de banda,
seguridad y facilidad de uso) para todo tipo de servicios (voz y datos).
En el mundo existen ms de 40 tipos diferentes de tecnologa de comunicacin
inalmbrica con distinto grado de cobertura geogrfica, prestaciones y funcionalidades. El
anlisis se centra en aquellas que tienen un mayor potencial de uso y/o penetracin en
Espaa (GSM, GPRS, UMTS, HSPA, Bluetooth, Wi-Fi, RFID y NFC).
III Problemtica de securizacin en redes inalmbricas
La seguridad de las tecnologas y de las redes en general puede ser analizada desde el
punto de vista de la cobertura de las dimensiones de seguridad identificadas:
InstitutoNacional
deTecnologas
delaComunicacin

Control de acceso.
Autenticacin.
Disponibilidad.
Confidencialidad.
Integridad.
No repudio.
Las vulnerabilidades (ataques) de las tecnologas inalmbricas son comunes para todas
ellas, ya que comparten las mismas caractersticas al funcionar por ondas de radio. No
obstante, la forma de materializar estos ataques es diferente.
IV Soluciones de seguridad con aplicacin a redes inalmbricas
Las principales medidas de seguridad disponibles para los usuarios y pymes van
encaminadas a proteger los dispositivos de acceso, bien a nivel individual o mediante una
gestin centralizada que se materializar en la delegacin de la seguridad intrnseca a la
tecnologa a los proveedores (de servicios de telecomunicaciones, fabricantes de
terminales y equipos de red), a las polticas y a las normas de seguridad que definen los
organismos competentes para las tecnologas inalmbricas.
En este contexto, cabe destacar que la tecnologa Wi-Fi es la nica que permite,
configurar el grado de seguridad en funcin del criterio de los usuarios. Los terminales de
acceso son uno de los eslabones ms importantes a la hora de establecer medidas de
seguridad al trabajar con tecnologas inalmbricas.
La seguridad abarca muchos ms aspectos que la mera tecnologa, siendo necesario
aplicar otras medidas asociadas a las tecnologas y/o buenas prcticas generales
asociadas a la auditora y uso responsable de las mismas.
Las medidas y soluciones de seguridad deben ser analizadas al margen de la tecnologa,
para despus adoptar la solucin especfica para cada una de ellas. A continuacin se
presentan las medidas de seguridad ms relevantes para cada una de las tecnologas
estudiadas:
Todas las tecnologas de comunicaciones provistas por operadores son seguras,
como es el caso de GSM/GPRS/UMTS/HSPA, por lo que el usuario debera
prestar atencin a la proteccin de su dispositivo, el eslabn ms dbil de la
cadena.
En cambio, en las tecnologas cuya utilizacin y gestin corresponden al usuario
final la seguridad depende en gran medida de:
o Una gestin del servicio responsable por parte del usuario y una
configuracin para la solicitud de contraseas con cada conexin
(Bluetooth).
InstitutoNacional
deTecnologas
delaComunicacin

o La observacin visual del entorno de validacin y custodia del dispositivo
(NFC).
o La utilizacin por parte del usuario de al menos un mecanismo de cifrado
de los disponibles, siendo el ms recomendable el WPA PSK para pymes
y el WPA para usuarios finales (Wireless LAN o 802.11).
V Dispositivos mviles
Los dispositivos han pasado de ser simples terminales que permiten la transmisin de
voz, a convertirse en verdaderos ordenadores mviles, por lo que su impacto en el
estudio de las tecnologas inalmbricas es cada vez mayor.
El anlisis de estos dispositivos mviles se realiza bajo una nueva dimensin de
seguridad no incluida en la norma anteriormente referida, denominada proteccin de
dispositivos, ya que, por sus caractersticas propias, son susceptibles de robo, prdida, o
daos y amenazas externas (malware) que puedan perjudicarlo.
En cuando a los problemas derivados del malware (virus o software ejecutado sin el
consentimiento del usuario), depende en gran medida de los dispositivos utilizados, del
software de proteccin instalado y de las polticas de seguridad definidas, sin olvidar la
gestin responsable de los usuarios finales.
Las soluciones recomendadas para evitar estas vulnerabilidades son las siguientes:
Utilizar el PIN/password de arranque en el caso de terminales con acceso a la red
de los operadores.
Utilizar las opciones de bloqueo de terminal disponibles en la configuracin de
estos dispositivos.
Utilizar programas de cifrados de datos para evitar que la informacin almacenada
en el dispositivo pueda ser leda por una persona ajena.
No instalar aplicaciones de las que se desconozca su procedencia o no sean
fiables.
Configurar el dispositivo para que no se puedan instalar programas que no sean
del fabricante sin estar certificados y/o no se conozca la fuente.
Utilizar software de proteccin de dispositivos (antivirus).
Estudio sobre la seguridad y buenas prcticas en los dispositivos mviles y redes inalmbricas
Recurrir a sistemas de gestin centralizada de dispositivos, que posibilitan el
bloqueo y borrado remoto de informacin en caso de prdida o robo del terminal
InstitutoNacional
deTecnologas
delaComunicacin

Estudio sobre la seguridad y buenas prcticas en los dispositivos mviles y redes inalmbricas
mvil, el control remoto del software instalado por los usuarios y su borrado en
caso de que no cumpla las polticas de seguridad establecidas por la empresa.
Aplicacin de las polticas de seguridad de los sistemas operativos. Utilizacin del
software original, de forma que se puedan realizar las actualizaciones de
seguridad pertinentes y recurrir a los departamentos de atencin al cliente que
dichas empresas tienen para ayudar a definir medidas de seguridad adecuadas a
las pymes.
VI Recomendaciones de actuacin
A partir del conocimiento adquirido a lo largo de la realizacin del presente estudio,
INTECO recomienda acciones ligadas a la colaboracin, certificacin y concienciacin de
las pymes y ciudadanos y al impulso de un marco regulativo o legislativo:
Colaboracin. Fomentar la colaboracin de todos los agentes participantes
mediante foros u otras acciones, para lograr la identificacin de soluciones
globales de seguridad y ofrecer al usuario final una oferta completa.
Certificacin. Es importante que la Administracin regule el cumplimiento de
unos mnimos de seguridad en comunicaciones inalmbricas por las pymes y los
usuarios finales. Adems, se puede complementar con la certificacin en
seguridad de redes inalmbricas, que deberan cumplir las pymes en funcin de la
informacin que manejen, su tamao y su sector de actividad, adems de los
proveedores de servicios de comunicacin inalmbricas en cuanto al servicio
prestado/instalado al usuario final.
Concienciacin. La red no es el elemento dbil de la cadena, sino los
dispositivos y los puntos de acceso. Se debe, por tanto, trabajar de forma intensa
en concienciar a los ciudadanos y a las pymes sobre lo importante que es cumplir
con unos mnimos de seguridad en sus comunicaciones inalmbricas para
salvaguardar su informacin y/o la de sus clientes.
Regulacin/legislacin. No existe ninguna legislacin ni normativa que
establezca unos mnimos de seguridad en la instalacin y utilizacin de redes
inalmbricas, por lo que se recomienda la definicin de un marco regulatorio y/o
legislativo.
InstitutoNacional
deTecnologas
delaComunicacin

1 INTRODUCCIN Y OBJETIVOS
1.1 Presentacin
1.1.1 Instituto Nacional de Tecnologas de la Comunicacin.
El Instituto Nacional de Tecnologas de la Comunicacin (INTECO), sociedad estatal
promovida por el Ministerio de Industria, Turismo y Comercio, es una plataforma para el
desarrollo de la Sociedad del Conocimiento a travs de proyectos del mbito de la
innovacin y la tecnologa. Su objetivo es doble: por una parte, contribuir a la
convergencia de Espaa con Europa en la Sociedad de la Informacin y, por otra,
promover el desarrollo regional, enraizando en Len un proyecto con vocacin global.
La misin de INTECO es impulsar y desarrollar proyectos de innovacin relacionados con
el sector de las Tecnologas de la Informacin y la Comunicacin (TIC) y en general, en el
mbito de la Sociedad de la Informacin, que mejoren la posicin de Espaa y aporten
competitividad, extendiendo sus capacidades tanto al entorno europeo como al
latinoamericano.
El objeto social de INTECO es la gestin, asesoramiento, promocin y difusin de
proyectos tecnolgicos en el marco de la Sociedad de la Informacin. Para ello, INTECO
desarrollar actuaciones, al menos, en lneas estratgicas de seguridad tecnolgica,
accesibilidad y calidad del software.
1.1.2 Observatorio de la Seguridad de la Informacin
El Observatorio de la Seguridad de la Informacin se inserta dentro de la lnea estratgica
de actuacin de INTECO en materia de seguridad tecnolgica.
El Observatorio nace con el objetivo de describir de manera detallada y sistemtica el
nivel de seguridad y confianza en la Sociedad de la Informacin y de generar
conocimiento especializado en la materia. De este modo, se encuentra al servicio de los
ciudadanos, las empresas y las administraciones pblicas espaolas para describir,
analizar, asesorar y difundir la cultura de la seguridad de la informacin y la e-confianza.
El Observatorio ha diseado un plan de actividades y estudios con el objeto de producir
conocimiento especializado y til en materia de seguridad, as como de elaborar
recomendaciones y propuestas que definan tendencias vlidas para la toma de
decisiones futuras por parte de los poderes pblicos.
Dentro de este plan de accin se realizan labores de investigacin, anlisis, estudio,
asesoramiento y divulgacin que atendern, entre otras, a las siguientes estrategias:
InstitutoNacional
deTecnologas
delaComunicacin

Elaboracin de estudios e informes propios en materia de seguridad de las
tecnologas de la informacin y la comunicacin, con especial nfasis en la
seguridad en Internet.
Seguimiento de los principales indicadores y polticas pblicas relacionadas con la
seguridad de la informacin y la confianza en el mbito nacional e internacional.
Generacin de una base de datos que permita el anlisis y evaluacin de la
seguridad y la confianza con una perspectiva temporal.
Impulso de proyectos de investigacin en materia de seguridad TIC.
Difusin de estudios e informes publicados por otras entidades y organismos
nacionales e internacionales, as como de informacin sobre la actualidad
nacional y europea en materia de seguridad y confianza en la Sociedad de la
Informacin.
Asesoramiento a las administraciones pblicas en materia de seguridad de la
informacin y confianza, as como el apoyo a la elaboracin, seguimiento y
evaluacin de polticas pblicas en este mbito.
1.2 Descripcin y estructura del estudio
INTECO desarrolla iniciativas para contribuir a un mayor crecimiento y facilidad de
acceso a las nuevas tecnologas por parte de los actores de la llamada Sociedad de la
Informacin. En este mbito, el Instituto ha puesto en marcha el Estudio sobre la
situacin de seguridad y buenas prcticas en dispositivos mviles y redes inalmbricas.
Se trata de un anlisis de las diferentes tecnologas inalmbricas del mercado y de sus
dispositivos de acceso, considerando las particularidades de cada una de ellas desde el
punto de vista de la seguridad e identificando las soluciones ms habituales para evitar
los riesgos asociados a su utilizacin. El estudio tiene los siguientes objetivos:
Conocer el espectro de tecnologas inalmbricas existentes en el mercado
nacional e internacional.
Conocer los principales riesgos y vulnerabilidades asociados a la utilizacin de
una tecnologa inalmbrica.
Identificar las principales soluciones existentes en el mercado para prevenir los
riesgos existentes.
Fomentar la cultura de seguridad en las pymes y particulares.
InstitutoNacional
deTecnologas
delaComunicacin

El propsito final del estudio es lanzar una serie de recomendaciones de actuacin a las
pymes y los usuarios finales para prevenir riesgos innecesarios en la utilizacin de las
tecnologas inalmbricas.
El estudio se ha desarrollado en varias fases:
Definicin de su mbito, que se ha limitado a las tecnologas de mayor uso y
previsin de crecimiento en el territorio espaol.
Identificacin de una cadena de valor de la seguridad, a partir de la cual se
reconoce a los principales actores involucrados en ella.
Diseo y elaboracin de un cuestionario de entrevistas en base a los objetivos del
estudio.
Realizacin de entrevistas a expertos en seguridad, entre los que se encuentran
algunos de los fabricantes, operadores y proveedores de soluciones de seguridad
ms representativos del sector.
Recopilacin y estudio de documentacin y fuentes independientes relacionadas
con la seguridad y las tecnologas inalmbricas.
Asesoramiento de un panel de expertos, formado por profesionales de reconocido
prestigio en el mbito de las redes inalmbricas y de la seguridad de la empresa
Everis.
Elaboracin de un informe final con las conclusiones extradas a partir de la
recopilacin de documentacin y realizacin de entrevistas, encuestas a hogares
espaoles y consultas al panel de expertos.
La ejecucin de este estudio se ha abordado, segn recomendacin de los expertos
consultados, analizando la problemtica de la seguridad desde un plano superior a la
tecnologa utilizada, as como la identificacin de las soluciones aplicadas, ya que todas
comparten la misma esencia. Adems y con el objetivo de incrementar la profundidad del
anlisis, este estudio analiza tambin las particularidades de las principales tecnologas
inalmbricas frente a cada una de las problemticas de seguridad identificadas.
Estructuralmente, el estudio se divide en seis grandes apartados:
Redes inalmbricas y clasificacin segn su cobertura geogrfica: WAN (Wide
Area Network, Red de rea Amplia), MAN (Metropolitan Area Network, Red de
rea Metropolitana), LAN (Local Area Network, Red de rea Local) y PAN
(Personal Area Network, Red de rea Personal).
InstitutoNacional
deTecnologas
delaComunicacin

Situacin y tendencias de las tecnologas mviles e inalmbricas en Espaa:
incidencias y actuaciones de seguridad en ciudadanos y pymes y anlisis de las
tecnologas inalmbricas existentes, agrupadas segn su nivel de penetracin y
potencial de uso en el mercado espaol.
Securizacin de redes inalmbricas: principales riesgos asociados,
vulnerabilidades y consecuencias.
Soluciones de seguridad con aplicacin a redes inalmbricas, desde un punto de
vista global y particular, para evitar las vulnerabilidades.
Dispositivos mviles: breve descripcin de cada dispositivo y, ms
especficamente, de los ataques existentes y las soluciones propuestas para
evitarlos.
Conclusiones y recomendaciones a todos los agentes implicados: Administracin,
pymes, particulares y empresas proveedoras.
La estructura global de este documento se puede observar en la siguiente figura:
Figura 1: Estructura general del estudio
Taxonoma de redes inalmbricas
segn su cobertura geogrfica
El sector en Espaa
Tendencias de las tecnologas
inalmbricas
Clasificacin de las tecnologas
inalmbricas en funcin de su
penetracin y potencial de uso
1
2
Securizacin en redes
inalmbricas
3
Tecnologas con elevada
penetracin y alto nivel de uso
Tecnologas con bajo nivel de
Anlisis de vulnerabilidades de
las redes a nivel global
Anlisis del nivel de
vulnerabilidad por tecnologa
Soluciones de seguridad con
aplicacin a redes inalmbricas
4
Dimensiones de la seguridad
Soluciones por tecnologa
inalmbrica
Dispositivos inalmbricos
5
Conclusiones y recomendaciones
6
Taxonoma de redes inalmbricas
segn su cobertura geogrfica
El sector en Espaa
Tendencias de las tecnologas
inalmbricas
Clasificacin de las tecnologas
inalmbricas en funcin de su
1
2
Securizacin en redes
inalmbricas
3
Tecnologas con elevada
penetracin y alto nivel de uso
Tecnologas con bajo nivel de
Anlisis de vulnerabilidades de
las redes a nivel global
Anlisis del nivel de
vulnerabilidad por tecnologa
Soluciones de seguridad con
aplicacin a redes inalmbricas
4
Soluciones por tecnologa
inalmbrica
Dispositivos inalmbricos
5
Conclusiones y recomendaciones
6

Fuente: INTECO
InstitutoNacional
deTecnologas
delaComunicacin

2 REDES INALMBRICAS Y CLASIFICACIN SEGN SU
COBERTURA GEOGRFICA
Las redes inalmbricas o wireless son aquellas que se comunican por un medio de
transmisin no guiado (sin cables) mediante ondas electromagnticas. Con una red
cableada, un dispositivo tiene que estar en un punto fijo para mantenerse conectado y
formar parte de ella. Con un dispositivo inalmbrico, sin embargo, al usuario le basta con
estar dentro del radio de cobertura de la red para mantenerse conectado.
Con estas ventajas, uno de los avances ms importantes y de mayor valor para el
mercado de los ltimos aos ha sido la movilizacin de las comunicaciones de datos
mediante la utilizacin de tecnologa inalmbrica como el Bluetooth, el protocolo 802.11 o
Wi-Fi y el uso de terminales mviles que soportan este tipo de tecnologas
(GSM/GPRS/UMTS/HSPA)
1
.
Segn datos obtenidos por Enter (centro del Instituto de Empresa para el anlisis de la
Sociedad de la Informacin y las telecomunicaciones)
2
en colaboracin con la consultora
francesa Idate
3
, las ventas de dispositivos mviles en todo el mundo crecieron un 15% en
2007, alcanzando los 1.137 millones de unidades. Para el ao 2011, se espera una venta
de 1.430 millones de aparatos, de los que un 29,9% corresponder a telfonos 3G, que
permiten acceso a Internet a alta velocidad. Este porcentaje duplicara el 14,7%
alcanzado en el ao 2007.
Segn los datos del e-Business W@tch
4
, el 34% de los hogares (considerando la Europa
de los 27) con acceso a Internet dispone de una red Wi-Fi
5
. En el caso de las empresas,

1
GSM: Global System for Mobile communications o Sistema Global para las Comunicaciones Mviles. Principal estndar
para la telefona mvil digital. Se dice que la telefona analgica perteneca a la primera generacin, siendo GSM de 2G.
GPRS: General Packet Radio Service o Servicio General de Paquetes por Radio. Esta tecnologa es la extensin de GSM
para la transmisin de datos (se cambi de la conmutacin de circuitos en GSM a la conmutacin de paquetes en GPRS).
Slo necesita modificaciones en el software de las estaciones de radio para lograrlo. Se considera que est situada entre
GSM y UMTS.
UMTS: Universal Mobile Telecommunications System o Sistema Mvil de Telecomunicaciones Universal. Esta tecnologa
usa multiplexin por divisin en frecuencia por los mviles de tercera generacin, sucesores de GSM, diseada para
introducir ms usuarios a la red (mejora en eficiencia) y obtener una alta tasa de envo de datos a dispositivos mviles.
HSPA: High Speed Packet Access o Alta Velocidad de acceso de Paquetes. Esta tecnologa es tambin conocida como
HSDPA (High speed down-link packet access) correspondiente a 3.5G el y 3.5 plus o 3.75 al HSUPA (High speed up-link
packet access). Conjunto de protocolos que mejoran el ancho de banda sobre UMTS, pero mucho ms rpido que sta.
2
ENTER-Idate (2007): DigiWorld Espaa 2007.
3
Disponible en http://www.idate.fr/pages/index.php?pop=ok
4
Es el Observatorio del Comercio Electrnico creado por la Unin Europea para informar sobre la evolucin y las mejores
prcticas desarrolladas en ese mbito. Disponible en http://www.ebusiness-watch.org/
InstitutoNacional
deTecnologas
delaComunicacin

el uso de tecnologas inalmbricas ya es una realidad, aunque su nivel de penetracin
oscila bastante segn el mbito geogrfico desde el que se acceda. En el caso de la
Europa de los 10, los pases ms avanzados en esta rea son Finlandia (46%) y Reino
Unido (41%), seguidos de Francia (21%) e Italia (19%)
6
.
La European Interactive Advertising Association
7
, en su estudio Mediascope Europa,
seala que el 94% de los usuarios europeos de wireless que acceden a Internet a travs
de dispositivos mviles como PDA (Personal Digital Assistant, Asistente Personal Digital)
u ordenadores porttiles con conexin Wi-Fi, tiene adems conexin de banda ancha en
sus puntos de acceso habituales (con un aumento del 9% desde 2005). El 81% tiene
ordenador en casa (comparado con el 61% del total de europeos) y el 68, %, reproductor
de MP3. Adicionalmente, el 76% de los usuarios catalogados como mviles usa
Bluetooth, y el 71% confirma que ha navegado en Internet desde su mvil.
Como se aprecia en estos datos, la tendencia del uso de tecnologas inalmbricas y de
dispositivos mviles es creciente. Las mejoras producidas en los anchos de banda, las
coberturas territoriales y la facilidad de uso han permitido desarrollar nuevas aplicaciones
y servicios en este entorno. Estas tendencias alcistas hacen de la tecnologa inalmbrica
y los dispositivos mviles un pilar importante en el desarrollo de la Sociedad de la
Informacin.
No obstante, los avances que han permitido una penetracin tan rpida en el mercado
han supuesto un riesgo, al no haber dado tiempo a los usuarios a adquirir un
conocimiento profundo sobre las consecuencias que una mala utilizacin de estos
dispositivos, a travs de las tecnologas inalmbricas, puede tener para una pyme o un
particular.
Por este motivo, se hace necesario tener en cuenta algunas consideraciones de
seguridad para evitar riesgos innecesarios relacionados con la privacidad de las
comunicaciones.
La confianza en la seguridad de las comunicaciones inalmbricas es un elemento clave
para fomentar su uso por los usuarios finales y las pymes. Con el objetivo de hacer de las
telecomunicaciones inalmbricas un entorno ms seguro y evitar riesgos de fcil
prevencin, INTECO ha realizado el presente estudio, en el que se analizan la seguridad
y las buenas prcticas en el uso de dispositivos mviles y redes inalmbricas.

5
European Commission (2007): E-Communications Household survey. Eurobarmetro 274. Disponible en
http://ec.europa.eu/public_opinion/archives/ebs/ebs_274_en.pdf
6
e-Business W@tch (2007): The European e-Business Report 2006/07.
7
European Interactive Advertising Association (2007): The EIAA Mediascope Europe Study. Disponible en
http://www.eiaa.net/
InstitutoNacional
deTecnologas
delaComunicacin

2.1 Taxonoma de redes inalmbricas segn su cobertura geogrfica
Las comunicaciones inalmbricas se caracterizan por poder transmitir informacin (voz o
datos) sin necesidad de estar conectadas fsicamente a ningn dispositivo intermedio o
receptor (como es el caso de una conexin por cable). Existen al menos dos tipos de
medios por los que se pueden propagar, ondas de luz o radio, y varios elementos que
influyen en la calidad de la transmisin (las frecuencias, la calidad de las seales, las
interferencias, etctera).
Aunque no existe una clasificacin universal que discrimine de forma uniforme a todas
estas tecnologas, pueden dividirse segn su cobertura geogrfica (ver Figura 2):
WAN (Wide Area Network, Red de rea Amplia): red usada para comunicacin de
larga distancia (empleada principalmente por operadores de telefona).
MAN (Metropolitan Area Network, Red de rea Metropolitana): red con una
cobertura menor que la WAN, en un entorno metropolitano.
LAN (Local Area Network): red de rea local, caracterizada por cubrir entornos de
distancia media.
PAN (Personal Area Network, Red de rea Personal): red de proximidad,
concebida para trabajar sobre reas reducidas y de corto alcance.
Figura 2: Redes segn cobertura geogrfica
PAN
LAN
MAN
WAN
PAN
LAN
MAN
WAN

Fuente: INTECO
InstitutoNacional
deTecnologas
delaComunicacin

A continuacin se describe, a partir de la informacin bibliogrfica recopilada y la opinin
obtenida de los expertos consultados, cada uno de estos grupos y las tecnologas
inalmbricas que los componen.
2.1.1 Redes WAN
Una red WAN se define como una red de rea extensa, cuyas siglas corresponden segn
el idioma ingls con Wide Area Network. Este tipo de redes fueron diseadas para
satisfacer las necesidades de los usuarios que buscaban mayor movilidad que las que
ofrecan las redes inalmbricas de rea local
8
.
No existe uniformidad de criterio acerca del alcance geogrfico de este conjunto de
redes, pero, en general, se podra establecer que incluyen cualquier tecnologa que cubra
un radio de accin de entre 100 y 1.000 kilmetros. No queda suficientemente claro si las
comunicaciones va satlite (VSAT) estn dentro de este grupo; en este estudio se
considerarn como parte de las redes WAN.
De acuerdo a esta descripcin, las tecnologas que forman parte del grupo son las
siguientes:
Tabla 1: Tecnologas WAN
Nombre Descripcin
Definicin: tecnologas predecesoras de las comunicaciones mviles actuales.
Tecnologas
de la 0G y
1G
Uso: permiten nicamente transmitir voz. La calidad de la seal es altamente
variable, debido principalmente a las interferencias que pueden recibir las seales.
Definicin: Code Division Multiple Access 2000 version o Acceso Mltiple por Divisin en
el Cdigo versin 2000. Familia de estndares basados en CDMA pertenecientes a la 3G
para comunicacin en telefona mvil.
CDMA2000
9

Uso: permite la transmisin de voz y datos, ofreciendo aplicaciones de alta capacidad con
tan solo un canal de 1,25 MHz de ancho. Tipos:
CDMA2000 1X: primer sistema 3G a nivel mundial, permite una transmisin de
paquetes de datos hasta 307 Kbps en una portadora (1,25 MHz).
CDMA2000 1XVE: permite la transmisin de paquetes de datos hasta 2,4 Mbps en
una portadora (1,25 MHz) y voz y datos integrados (1xEV- DV) hasta 3,09 Mbps
10
.

8
Alejandro Molina, Fabin: Seguridad en Redes Inalmbricas en II J ornadas de Telemtica.
9
Esta tecnologa es considerada importante en opinin de los expertos y de las fuentes bibliogrficas por su uso y
potencial de crecimiento.
10
Mbps: Megabit por segundo Kbps: Kilobit por segundo. 1 Mbps (Megabit-per-second) =1000 Kbps (Kilobit-per-second).
InstitutoNacional
deTecnologas
delaComunicacin

Nombre Descripcin
Definicin: Wideband Code Division Multiple Access o Acceso Mltiple por Divisin
en el Cdigo. Predecesor de CDMA2000. Nombre comercial de un estndar de
comunicaciones mviles digital usado en Estados Unidos similar al GSM. Se
diferencia de GSM principalmente en la forma en que se multiplexan las estaciones
(lo hacen usando cdigos ortogonales), ya que transmite todas en la misma
frecuencia.
cdmaOne
Uso: permite en un espacio mnimo de espectro (1,25 Mhz) altas capacidades de voz
y datos eficientes en. Tipos:
CDMA-ONE (ISO-95A): permite una transmisin de voz y datos hasta 14,4 Kbps.
CDMA-ONE (ISO-95B): permite la transmisin de voz y datos hasta 115 Kbps.
Definicin: Circuit Switched Data o Conmutacin de Circuito de Datos. Tecnologa
usada para la telefona mvil. Fue una de las primeras tecnologas en usar la
multiplexin de usuarios por divisin en el tiempo.
CSD
Uso: Permite transmitir datos por medio de una conexin mvil a una velocidad
mxima de 9,6 Kbps.
Definicin: Digital Advanced Mobile Phone System o Sistema Telefnico Mvil
Avanzado Digital. Fue desarrollado en Estados Unidos como sustitucin del estndar
AMPS para telefona mvil, muy extendido en su momento.
D-AMPS
Uso: permite la transmisin de datos a una velocidad de 48,6 Kbps.
Definicin: Enhanced Data Rates for GSM Evolution o Tasas de Datos Mejoradas
para la Evolucin de GSM (tambin conocido como EGPRS). Tecnologa para
telefona mvil que pretenda ser el puente entre el 2G y la 3G. Mejora la velocidad
de transmisin de datos sobre GSM. Esta tecnologa se puede utilizar en redes que
tambin soporten GPRS. Es totalmente compatible con redes GSM (un telfono
GSM es capaz de funcionar sobre redes EDGE).
EDGE
11

Uso: permite la transmisin de datos alcanzando los 474 Kbps.
Definicin: Freedom of Mobile Multimedia Access/Wideband Code Division Multiple
Access o Libertad de Acceso Mvil Multimedia. Es el nombre de la tecnologa 3G
usado en J apn. Fue el primer servicio 3G lanzado a nivel mundial en el 2001 y es
compatible con UMTS.
FOMA
W-CDMA
12

Uso: permite la transmisin de datos y voz, pudiendo soportar completamente varias
conexiones simultneas como pueden ser una conexin a Internet, una conversacin
telefnica, videoconferencia, etctera. Tericamente, tendra tasas de velocidad de
hasta 384 Kbps en grandes zonas y hasta 2 Mbps reas ms reducidas.
Definicin: General Packet Radio Service o Servicio General de Paquetes por Radio.
Esta tecnologa es la extensin de GSM para la transmisin de datos (se cambi de
la conmutacin de circuitos en GSM a la conmutacin de paquetes en GPRS). Slo
necesita modificaciones en el software de las estaciones de radio para lograrlo. Est
situada entre GSM y UMTS. GPRS
13

Uso: dada la alta tasa de envo de datos, es usada para conexin inalmbrica a
Internet. Permite velocidades de 40 a 115 Kbps por conexin (velocidad emprica
obtenida en laboratorio).

11
Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas.
12
13
InstitutoNacional
deTecnologas
delaComunicacin

Nombre Descripcin
Definicin: Global System for Mobile Communications o Sistema Global para las
Comunicaciones Mviles. Principal estndar para la telefona mvil digital. Se dice
que la telefona analgica perteneca a la primera generacin, siendo GSM de 2G.
GSM
14

Uso: esta tecnologa es usada por el 80,0% de los telfonos mviles en el mundo
para sus comunicaciones de voz. La velocidad de transmisin de la tecnologa GSM
oscila entre 9,6 Kbps y 14 Kbps en funcin de la cobertura que ofrezca la seal y la
saturacin de la red GSM.
Definicin: High Speed Circuit Switched Data o Alta Velocidad de Datos en
Conmutacin de Circuitos. Es una mejora del CSD. La diferencia proviene de la
capacidad de utilizar diferentes mtodos de codificacin y/o mltiples slots de tiempo
para aumentar la tasa de datos.
HSCSD
Uso: permite la transmisin inalmbrica de datos a 43,2 Kbps en redes GSM. Esto es
comparable a la velocidad de transmisin de los mdems utilizados en la actualidad
a travs de las redes telefnicas fijas
15
.
Definicin: High Speed Packet Access o Alta Velocidad de acceso de Paquetes. Esta
tecnologa es tambin conocida como HSDPA (High speed down-link packet access)
correspondiente a 3,5G el y 3,5 plus o 3,75 al HSUPA (High speed up-link packet
access). Conjunto de protocolos que mejoran el ancho de banda sobre UMTS, pero
mucho ms rpido que esta.
HSPA
16

Uso: permite la transmisin de datos a una tasa de informacin de hasta 14 Mbps en
bajada y 2 Mbps en subida.
Definicin: High Capacity Spatial Division Multiple Access o Alta Capacidad de
Acceso Mltiple por Divisin Espacial.
HC-SDMA
Uso: permite un rea inalmbrica amplia de banda ancha para conexin de datos
fijos, porttiles y dispositivos de informtica mvil y electrodomsticos. Es capaz de
optimizar el uso del ancho de banda con la ayuda de antenas inteligentes. Las
velocidades de datos mximas por usuario varan entre las de sentido descendente,
hasta 16 Mbps, y las de sentido ascendente, que llegan a 5,5 Mbps y se logran
mediante la agregacin de portadoras
17
.
Definicin: Integrated Digital Enhanced Network o Red Digital Integrada Mejorada.
Proporciona mltiples servicios en un mismo sistema mvil (llamada, videollamada,
GPS, etctera).
iDEN
Uso: permite la transmisin de voz y datos. Las velocidades de datos alcanzadas por
una unidad plus iDEN llegan hasta 22 Kbps.
Definicin: Long Term Evolution o Evolucin a Largo Plazo. Pretende ser la evolucin
de UMTS a un entorno 4G para el acceso a radio. Con esta tecnologa se pretende
aumentar la eficiencia, reducir los costes, ampliar y mejorar los servicios ya
prestados y mejorar la integracin con los protocolos ya existentes.
LTE
18

Uso: permite la transmisin de voz y datos, brindando velocidades mximas tericas
de ms de 100 Mbps en sentido descendente y 50 Mbps en ascendente.

14
15
Glosario de trminos en la pgina de Nokia. Disponible en
http://www.nokia.com/EUROPE_NOKIA_COM_3/r2/support/tutorials/8910/spanish/glossary/index.html
16
17
Unin Internacional de Telecomunicaciones, Informe sobre las tecnologas de acceso para las comunicaciones de banda
ancha, periodo 2002 2006.
18
InstitutoNacional
deTecnologas
delaComunicacin

Nombre Descripcin
Definicin: denominacin comercial mejorada del IEEE 802.20 o MBWA (Mobile
Broadband Wireless Access o Acceso Inalmbrico de Banda Ancha Mvil). Pretende
ser una versin de bajo coste del Mobile WiMAX, pero ms enfocada a la movilidad.
Mobile FI
Uso: permite transportar trfico IP y proporcionar conexiones de movilidad en un
entorno de hasta 20 Km, utilizando para ello frecuencias por debajo de la banda de
3,5 GHz y con velocidades de transmisin de entre 1 y 16 Mbps.
Definicin: Worldwide Interoperability for Microwave Access o WiMAX para
movilidad.
Mobile
WiMAX
19

Uso: permite la conexin a un dispositivo a velocidades mayores que WiMAX y en
movimiento de hasta 120 Km/h. El primer lote de productos certificados WiMAX se
comercializ en el mercado a finales de 2005
20
.
Definicin: Personal Data Cellular o Paquetes de Datos Celular. Tecnologa de
segunda generacin para telefona mvil digital. Usa multiplexin por divisin en el
tiempo para tratar de aumentar la tasa de datos enviados.
PDC
Uso: permite la transmisin de datos, con una tasa de transferencia de datos de ms
de 2 Mbps.
Definicin: Personal Handyphone System o Sistema de Telefona de Mano Personal.
Sistema de telefona inalmbrica con la capacidad de cambiar de celda de
asociacin sin perder la conexin. PHS
Uso: permite la transmisin de voz y datos a una velocidad de 384 Kbps.
Definicin: Time Division Synchronous Code Division Multiple Access
21
o Tecnologa
CDMA por divisin en el tiempo y de 3G.
TD-SCDMA
Uso: permite la transmisin de voz y datos. En relacin a la velocidad de transmisin
no se han encontrado datos estndares para dar una aproximacin.
Definicin: Unlicensed Mobile Access o Acceso Mvil sin Licencia. Conocida como
GAN, esta tecnologa permite roaming
23
entre WAN y LAN en escenarios de
movilidad para voz y datos. Adems, permite el acceso a GSM y GPRS mediante
Bluetooth y Wi-Fi.
UMA
22

Uso: permite la transmisin de voz y datos. En relacin a la velocidad de transmisin

19
20
Huawei Technologies Co., Productos y soluciones de HUAWEI. Radio Access Network. Mobile WIMAX. ). Disponible en
http://www.huawei.com/es/catalog.do?id=701
21
Esta tecnologa ha sido desarrollada por la China Academy of Telecommunications Technology (CATT), en colaboracin
con Siemens Information and Communication Mobile Group (IC Mobile). Disponible en
http://www.3gnewsroom.com/3g_news/nov_01/news_1405.shtml
22
23
En castellano, itinerancia es un concepto utilizado en comunicaciones inalmbricas y est relacionado con la capacidad
de un dispositivo para moverse de una zona de cobertura a otra. Cuando se aplica a las redes Wi-Fi, significa que el
dispositivo Wi-Fi cliente puede desplazarse e ir registrndose en diferentes bases o puntos de acceso.
InstitutoNacional
deTecnologas
delaComunicacin

Nombre Descripcin
Definicin: Ultra Mobile Broadband o Ancho de Banda Ultra Mvil. Esta tecnologa
est basada en CDMA 2000, y pretende ser una mejora para los estndares de
telefona mvil para la siguiente generacin de aplicaciones y requisitos, ya que est
fundamenta en la tecnologa de red TCP/IP
25
.
UMB
24

Uso: permite la transmisin de voz y datos, proporcionando velocidades pico de
descarga y carga de 288 Mbps y 75 Mbps, respectivamente, en un ambiente mvil
con un ancho de banda de 20 MHz.
Definicin: Universal Mobile Telecommunications System o Sistema Mvil de
Telecomunicaciones Universal. Esta tecnologa usa multiplexin por divisin en
frecuencia por los mviles de tercera generacin, sucesores de GSM. Ha sido
diseada para introducir ms usuarios a la red (mejora en eficiencia) y obtener una
alta tasa de envo de datos a dispositivos mviles.
UMTS
26

Uso: permite la transmisin de datos, navegando en Internet desde los terminales
mviles con una calidad aceptable: 144 Kbps sobre vehculos a gran velocidad, 384
Kbps en espacios abiertos de extrarradios y 2 Mbps con baja movilidad (interior de
edificios).
Definicin: Universal Mobile Telecommunications System Time Division Duplexing o
UMTS por Divisin en el tiempo de doble sentido. UMTS-TDD es una red de datos
mviles basada en el estndar UMTS. Esta tecnologa usa multiplexin por divisin
en el tiempo.
UMTS-TDD
Uso: permite la transmisin de voz y datos a una velocidad de 4,5 Mbps.
Definicin: Very Small Aperture Term o Terminal de Apertura Muy Pequea.
Comunicacin va satlite compuesta por estaciones emisor-receptor. Esta
comunicacin suele ser del satlite a la antena en tierra, ya que las antenas no
disponen de suficiente potencia para comunicarse con el satlite.
VSAT
27

Uso: permite la transmisin de voz y datos. Las velocidades de transmisin de datos
van desde 20 Ka 128 Kbps dependiendo del tipo de sistema que se trate (por
ejemplo, 50 a 64 Kbps, con interfaces tipo RS-232, y V28 para tasas menores de 20
Kbps). La transmisin a mayores velocidades (generalmente hasta 128 Kbps) que
usan RS-422, RS-449, V11, V35 y X21.
Fuente: INTECO
2.1.2 Redes MAN
Las redes de rea metropolitana MAN fueron diseadas para extender las redes de rea
local a un entorno ms metropolitano. Por esta razn, muchas de ellas estn compuestas
por elementos de red de rea local interconectados entre ellos para ofrecer una mayor
cobertura geogrfica.
Dentro de este grupo, se encuentran las siguientes tecnologas:

24
25
TCP/IP: conjunto de protocolos (Protocolo de Control de Transmisin, TCP, y Protocolo de Internet IP) en el que se basa
Internet. Estos protocolos fueron los dos primeros en definirse y son los ms utilizados de la familia.
26
27
InstitutoNacional
deTecnologas
delaComunicacin

Tabla 2: Tecnologas MAN
Nombre Descripcin
Definicin: nombre comercial de lo que tambin se conoce por Access Point Base
Station, Punto de Acceso en Estacin Base. Esta tecnologa est compuesta de una
estacin base pequea, celular, compatible con GSM, situada en espacios pequeos,
oficinas y domicilios. Los usuarios de esta tecnologa alternan el uso de GSM con el de
WLAN mediante un intercambio. Cuando el terminal detecta una mejora en la calidad
de la seal de una de las redes, se conecta a ella.
Femtocell
28

Uso: permite la transmisin de voz y datos a una velocidad de 600 Kbps.
Definicin: High Performance Radio Metropolitan Area Network o Red de rea
Metropolitana de Radio de Alto Rendimiento. Es la variante europea de WiMAX y
WiBRO para proveer de conexin a Internet de banda ancha inalmbrico, ya que est
orientada al servicio IP. Este estndar es interoperable con WiMAX.
HIPERMAN
Uso: permite la transmisin de voz y datos a una velocidad de 70 Mbps.
Definicin: los sistemas de radio trunking se utilizan para aplicaciones privadas,
formando grupos de usuarios. Esta tecnologa describe el proceso de seleccin de un
canal de comunicacin libre desde varias posibilidades, un mtodo que utiliza
relativamente pocas vas de comunicacin para un gran nmero de potenciales
usuarios
29
.
Trunking
Uso: permite la transmisin de voz y datos. En relacin a la velocidad de transmisin,
Definicin: Wireless Broadband o Banda Ancha sin Cables. Es la variante de Mobile
WiMAX para Corea y J apn. Esta tecnologa fue ideada para aadir movilidad al
acceso a Internet como la tecnologa HSDPA, aunque a un menor coste.
WiBro
30

Uso: permite mantener el enlace a Internet desde un dispositivo en movimiento
continuo, y lejos del hot spot o punto de enlace a la red. Permite la transmisin de voz
y datos a 18 Mbps de bajada y 4 Mbps de subida.
Definicin: Worldwide Interoperability for Microwave Access o Interoperabilidad
Mundial para el Acceso por Microondas. Tecnologa para el acceso a redes de datos
que cubre distancias de hasta 50 Km en su versin fija y de unos 5 Km en su versin
mvil, ofreciendo incluso una mayor velocidad que WLAN. Es una alternativa al cable y
al DSL, existiendo incluso una adaptacin para escenarios donde se precise movilidad.
WiMAX
31

Uso: permite transformar las seales de voz y datos en ondas de radio dentro de
bandas de frecuencias. Asimismo, es capaz de ofrecer transmisiones simultneas a
varios centenares de usuarios por canal, con calidad de servicio (Qo5), resultando
adecuada para transmitir todo tipo de seales, tales como voz sobre IP (VoIP), datos y
seales de vdeo
32
.

28
29
Snchez Castillo, Eric (2004): Redes Celulares, PCs y Trunking. II J ornadas de Telemtica: Redes inalmbricas y
aplicaciones mviles. Bogot.
30
31
32
Fundacin OPTI, Observatorio de Prospectiva Tecnolgica Industrial: Tendencias Futuras de Conectividad en Entornos
Fijos, Nmadas y Mviles. Instituto Cataln de Tecnologa, Barcelona, 2007.
InstitutoNacional
deTecnologas
delaComunicacin

Nombre Descripcin
Definicin: malla sin Cables. Red inalmbrica formada por la unin de diferentes
WLAN formando una malla, por lo que la informacin podra llevarse por diferentes
nodos. Es un escenario descentralizado, por lo que un error en cualquier nodo no
implica la cada de la red.
Wireless-
Mesh
33

Uso: permite la transmisin de voz y datos. En relacin a la velocidad de transmisin,
Fuente: INTECO
2.1.3 Redes LAN
El grupo de redes de rea local est caracterizado por ser capaz de cubrir rangos de
hasta 300 metros de cobertura. Sus aplicaciones estn ms bien enfocadas a un uso
domstico o a pequeas y medianas oficinas.
Este grupo lo componen las siguientes tecnologas:
Tabla 3: Tecnologas LAN
Nombre Descripcin
Definicin: High Performance Radio LAN o Red LAN de Radio de Alto Rendimiento.
Esta tecnologa es la alternativa europea al protocolo 802.11. Tiene una mayor
eficiencia que el estndar WLAN, pero su aceptacin por parte del mercado es casi
nula. Adems, la adopcin de WLAN hace que se aproxime rpidamente a su
obsolescencia.
HIPERLAN
Uso: permite la transmisin de voz y datos a una velocidad de 54 Mbps en la
frecuencia de banda de 5 GHz.
Definicin: Wireless LAN (Local Area Network) o Red de rea Local Inalmbrica. Esta
es la tecnologa inalmbrica ms extendida a nivel global para acceso a Internet
inalmbrico y para la creacin de redes inalmbricas.
WLAN
34

Uso: permite soluciones de velocidades de datos generalmente de hasta 100 Mbps
(dependiendo de los dispositivos que utilicen para la conexin y del nivel de
interferencia)
35
.
Fuente: INTECO
2.1.4 Redes PAN
Este grupo de redes se caracteriza por cubrir como mximo hasta 10 metros de
cobertura. Son tambin llamadas redes de proximidad.
Las tecnologas que componen este grupo son:

33
34
35
Peafiel, Carlos. Proyecto fin de carrera: Estudio y Evaluacin de un Entorno de Gestin de Calidad de Servicio usando
NSIS Ligado a Servicios de Autenticacin. Universidad de Murcia, 2006.
InstitutoNacional
deTecnologas
delaComunicacin

Tabla 4: Tecnologas PAN
Nombre Descripcin
Definicin: nombre del protocolo de transmisin a corta distancia y velocidad media.
Tecnologa bastante extendida gracias a su incorporacin en telfonos mviles y en
automviles. Es capaz de funcionar a una distancia de hasta 10 metros.
Bluetooth
36

Uso: se utiliza para comunicar pequeas cantidades de informacin, permitiendo la
transmisin de voz y datos. La velocidad de transmisin actual de Bluetooth es de 1
Mbps.
Definicin: telfono tradicional inalmbrico para el hogar conectado mediante ondas de
radio a una estacin base y esta, a su vez, a una lnea telefnica. Normalmente la
estacin base necesita estar conectada a una toma de corriente, mientras que el
terminal telefnico dispone de una batera.
Cordless
Phone
Uso: permite la transmisin de voz.
Definicin: Infrared Data Association o Asociacin de Datos Infrarrojos. Tecnologa de
transmisin de informacin, tanto emisin como recepcin, mediante el espectro de luz
infrarroja.
IrDA
Uso: permite la transmisin de datos a escasa velocidad (no ms de 4 Mbps en
condiciones ideales), es necesaria la visin directa del emisor y el receptor para poder
llevar a cabo la comunicacin.
Definicin: Near Field Communication o Comunicacin de Campo Cercana. Esta
tecnologa pretende ser la evolucin de RFID, aunque la distancia con el receptor tiene
que ser mucho menor (varios centmetros); esta particularidad se utiliza para hacer
ms segura y personal la comunicacin. Est considerado el RFID inteligente.
NFC
37

Uso: permite la transmisin de datos a 106, 212 y 424 Kbps.
Definicin: Radio Frequency IDentification o Identificacin por Radiofrecuencia.
Dependiendo del chip de radiofrecuencia, esta tecnologa es capaz de abarcar
distancias de 1 a 10 metros, transfiriendo pequeas cantidades de informacin.
RFID
38

Uso: permite la transmisin de datos y se utiliza en comunicaciones de un solo
sentido, principalmente para inventariado de almacenes, controles de acceso y pagos
en supermercados, entre otros. En relacin a la velocidad de transmisin, no se han
encontrado datos estndares para dar una aproximacin.
Fuente: INTECO

36
37
38
InstitutoNacional
deTecnologas
delaComunicacin

3 SITUACIN Y TENDENCIAS DE LAS TECNOLOGAS
MVILES E INALMBRICAS EN ESPAA
La contextualizacin de las tecnologas inalmbricas en el mercado espaol destaca la
importancia que estn alcanzando en la actividad diaria de la sociedad, as como la
necesidad de proteger a los usuarios finales, ciudadanos y empresas, de riegos
innecesarios.
3.1 Visin global del mercado
En el ao 2006, el nmero de lneas de telefona mvil en Espaa super la cifra de la
poblacin espaola. Esta tendencia se mantuvo; en febrero de 2008, el parque total se
situ en 50.903.008, un 7,4% ms que en 2007 (Grfico 1). Segn el Informe mensual de
febrero de 2008 de la Comisin del Mercado de las Telecomunicaciones (CMT), el parque
de lneas mviles aument en 178.864, situndose en 49.748.579. Esto supone un
incremento del 6,8% de lneas respecto al total registrado en febrero de 2007 y una
proporcin de 110,1 lneas por cada 100 habitantes.
39

Grfico 1: Comparacin entre la poblacin espaola y el nmero lneas de telefona mvil
45.201.000
50.181.109
40.499.791
41.116.842
41.837.894 42.717.064 43.197.684 44.108.530
44.709.000
42.712.701
46.169.424
38.646.796
37.249.421
33.568.812
29.669.461
23.328.140
0
10.000.000
20.000.000
30.000.000
40.000.000
50.000.000
60.000.000
2000 2001 2002 2003 2004 2005 2006 2007
Pobl aci n Espaol a Cl i entes de tel efona mvi l

Fuente: Comisin del Mercado de las Telecomunicaciones (2008)
A tenor de los datos de la CMT, los terminales 3G con tecnologa UMTS han impulsado el
mercado: alcanzaron en el ao 2007 la cifra de 9,5 millones de aparatos vendidos, lo que

39
Comisin del Mercado de las Telecomunicaciones (CMT): Informe Anual 2007 y Estadsticas del Sector IV Trimestre
2007. Disponible en http://www.cmt.es/cmt_ptl_ext/SelectOption.do?nav=publi_anuales
InstitutoNacional
deTecnologas
delaComunicacin

supone un incremento de 7,6 millones de terminales respecto al ao anterior y un
porcentaje del 19,6% sobre el total de clientes mviles (noviembre de 2007).
Los datos confirman una tendencia creciente de uso de estos terminales, demostrada
adems tanto por la popularizacin de los nuevos servicios telefnicos (melodas
polifnicas, videollamadas, etctera) y de aquellos disponibles a travs de Internet
(correo electrnico, descargas de vdeo y msica...).
En relacin a los puntos de accesos localizados en las principales ciudades espaolas,
segn los ltimos datos publicados por el Observatorio Wireless
40
en su VI Informe
41
,
existe un crecimiento constante a lo largo de todo el periodo analizado (marzo-julio-
octubre de 2006), alcanzando los 102.950, segn los ltimos datos publicados por el
Observatorio Wireless.
Tabla 5: Puntos de acceso (2006)
Puntos de acceso
localizados
Accesos Comerciales Accesos Privados
Ciudad
Marzo Julio Octubre Marzo Julio Octubre Marzo Julio Octubre
Madrid 15.800 17.150 37.800 500 630 850 15.300 16.520 36.700
Barcelona 14.900 20.510 23.500 600 955 1.080 14.300 19.615 22.400
Sevilla 12.150 13.400 22.000 100 180 460 12.050 13.220 21.500
Bilbao 4.130 4.500 5.100 200 445 450 3.930 4.055 4.600
Valencia 9.900 13.400 14.550 180 180 505 9.720 13.200 14.000
Total 56.880 68.960 102.950 1.580 2.390 3.345 55.300 66.610 99.200
Fuente: Observatorio Wireless (2006)
Las cifras demuestran el xito de la telefona mvil en Espaa y se justifican en cuanto a
los beneficios que aportan a los usuarios en comparacin con la telefona fija:

40
El Observatorio Wireless es una iniciativa creada en el marco del proyecto GOWEX, que es la primera Plataforma
Mundial de Roaming de Wireless y Mvil: Wi-Fi (802.11x), WiMAX (802.16x), UMTS y HSDPA., donde se cConcentran a
todos los operadores y entidades que quieren beneficiar a sus usuarios con la ubicuidad de servicios y transparencia de
uso, potenciando la libre competencia y facilitando la mejora de precios. Disponible en
http://www.gowex.com/modules/sections/index.php?op=viewarticle&artid=6
41
IBER WIFI EXCHANGE, S.L.U. (2006): VI Informe Observatorio Wireless. Disponible en
http://www.gowex.com/images/observatorio/informe_6_2006-10.pdf
InstitutoNacional
deTecnologas
delaComunicacin

Comunicacin continua en cualquier lugar y/o momento, que redunda en una
mejor calidad de vida de las personas.
Mayor competitividad, innovacin y produccin de las empresas.
Mejora en la eficiencia y en el servicio a empresas y ciudadanos.
3.1.1 Ciudadanos
La penetracin de la telefona mvil en los hogares espaoles mantiene su tendencia de
crecimiento: en junio de 2007 haban un dispositivo mvil en el 90,9% de ellos, segn los
resultados de la Encuesta sobre equipamiento y uso de tecnologas de la informacin y
comunicacin en los hogares
42
publicada por el INE (Grfico 2).
Grfico 2: Penetracin de la telefona mvil en los hogares espaoles

65,0%
73,3%
82,4%
85,3%
88,1%
90,9%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
2002 2003 2004 2005 2006 1er semestre
2007

Fuente: INE (2007)
Un 17,7% de los hogares dispone nicamente de telfono mvil (Grfico 3), mientras que
el 73,1% restante tambin tiene fijo en las viviendas principales.
43

42
INE (2007): http://www.ine.es/jaxi/menu.do?type=pcaxis&path=/t25/p450&file=inebase&L=0
43
Segn el INE son aquellas en las que figuran inscritas personas con residencia habitual en ella
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 3: Equipamiento de telfono en las viviendas principales
9
8
,
8
%
8
9
,
1
%
1
6
,
1
%
7
3
,
1
%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
Vi vi endas con al gn ti po
de tel fono
Vi vi endas con tel fono
mvi l
mvi l ni camente
fi j o y mvi l

Fuente: INE (2007)
El Grfico 4 muestra que el uso de la telefona mvil es ampliamente mayoritario entre la
poblacin de 16 a 44 aos, con porcentajes superiores al 90%. En el tramo de edad entre
los 55 y los 64 aos, el uso decae hasta el 70%, y entre los mayores de 65 aos est en
torno al 45%-50%.
Grfico 4: Uso del telfono mvil por tramos de edad y gnero
9
8
,
0
%
9
7
,
4
%
9
8
,
5
%
9
3
,
0
%
9
4
,
1
%
9
1
,
9
%
8
4
,
6
%
8
4
,
9
%
7
0
,
9
%
7
2
,
3
%
4
8
,
6
%
5
2
,
9
%
9
6
,
4
%
9
6
,
2
%
9
6
,
3
%
8
4
,
3
%
6
9
,
6
%
4
5
,
0
%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
Ambos sexos Hombres Muj eres
De 16 a 24 aos De 25 a 34 aos De 35 a 44 aos De 45 a 54 aos De 55 a 64 aos De 65 a 74 aos

Fuente: INE (2007)
InstitutoNacional
deTecnologas
delaComunicacin

Con respecto a los dispositivos inalmbricos, su penetracin es cada vez ms elevada.
Segn los resultados del panel de hogares de INTECO
44
ms de la mitad de los
encuestados (51%) cuenta con porttiles con tecnologa Wi-Fi o Bluetooth, un 50,3% de
los hogares espaoles cuenta con un router Wi-Fi (Grfico 5). En contraposicin, slo un
5,8% de los encuestados afirma no disponer de ningn dispositivo, y un 19,8% dispone
de un terminal de telefona mvil bsico que no les permitira dicho acceso inalmbrico.
Grfico 5: Equipamiento de los hogares en Espaa
10,5%
15,4%
19,8%
50,3%
51,0%
64,0%
5,8%
0
%
1
0
%
2
0
%
3
0
%
4
0
%
5
0
%
6
0
%
7
0
%
8
0
%
9
0
%
1
0
0
%
No tengo ni nguno de l os di sposi ti vos menci onados
Tengo mvi l pero desconozco si ti ene funci ones
avanzadas
PDA con Wi -Fi o Bl uetooth
Mvi l bsi co
Router Wi -Fi en su domi ci l i o
Portti l con Wi -Fi o Bl uetooth
Mvi l avanzado

Fuente: INTECO (Mayo 2008)
Una de las principales ventajas de las redes inalmbricas para los hogares, adems de
eliminar la necesidad de cables para conectar los equipos, es la de permitir el acceso
simultneo a Internet desde varios terminales y sin tener en cuenta la ubicacin fsica del
usuario. Estas caractersticas son especialmente relevantes en aquellos hogares en los
que sus miembros utilizan la conexin a Internet de banda ancha a travs de varios
equipos a la vez.

44
Estudio sobre Seguridad de la Informacin y e-Confianza de los Hogares Espaoles, mayo de 2008.
InstitutoNacional
deTecnologas
delaComunicacin

3.1.2 Pequeas y medianas empresas
A la hora de analizar la influencia que las redes inalmbricas tienen en las pymes
45
se ha
de tener en cuenta que en cualquier actividad empresarial existen procesos
independientes (produccin, comercial, contable, etctera) que deben estar unidos, ya
que forman parte de la cadena de valor de la organizacin. Su interconexin se ve
beneficiada con la disponibilidad de redes inalmbricas, que permiten a las empresas
desarrollar, por ejemplo, proyectos de gestin logstica a travs de la conexin de los
ordenadores a los sistemas sin necesidad de una red fija.
Segn datos de la Encuesta de Uso de TIC y Comercio Electrnico de la Empresa
Espaola 2006-2007 del INE
46
, la prctica totalidad de las empresas de 250 empleados o
ms dispone de red de rea local
47
en sus organizaciones (97,1% del total de grandes
empresas). Esta cifra se reduce hasta el 67,9% entre las pequeas empresas.
En relacin a la red de rea local sin hilos, las diferencias por tamao de la organizacin
se acrecientan. En las grandes empresas, la implantacin supera el 56%, porcentaje que
baja de manera apreciable si se analizan las de inferior tamao: slo un 16,8% de las
organizaciones de entre 10 y 49 trabajadores dispone de este tipo de redes. En cualquier
caso, al menos una de cada cinco empresas dispone de esta tecnologa. Por ltimo, la
prctica totalidad de las empresas espaolas dispone de conexin a telefona mvil,
como se ve en el Grfico 6.

45
La recomendacin de la Comisin Europea (96/280/CE), de 3 de abril de 1996, sobre la definicin de pequeas y
medianas empresas define a una microempresa como una organizacin con menos de 10 empleados, una facturacin
mxima de 2 millones de euros y un valor mximo del activo del balance de 2 millones de euros. Por empresa pequea se
entiende una entidad con menos de 50 empleados, una facturacin mxima de 10 millones de euros y un valor mximo del
activo del balance de 10 millones de euros. Las empresas medianas tienen menos de 250 empleados, una facturacin
mxima de 50 millones de euros y un valor mximo del activo del balance de 43 millones de euros.
46
INE (2007):http://www.ine.es/jaxi/menu.do?type=pcaxis&path=/t09/e02//a2006-2007&file=pcaxis
47
Red de rea Local (LAN), es aquella que permite la interconexin de los ordenadores dentro de la empresa.
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 6: Porcentaje de empresas que disponan de infraestructura tecnolgica (% sobre el
total)

7
0
,
9
%
1
9
,
3
%
9
2
,
9
%
8
7
,
7
%
3
1
,
1
%
9
6
,
4
%
9
8
,
8
%
6
7
,
9
%
9
2
,
3
%
1
6
,
8
%
5
6
,
5
%
9
7
,
1
%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
Red de rea local (LAN) Red de rea local 'sin hilos' Conexin a telefona mvil
Total De 10 a 49 De 50 a 249 De 250 y ms

Fuente: INE (2007)
Por otro lado, el 80% de las empresas de ms de 10 empleados recurre a la telefona
mvil en su actividad profesional
48
. Este porcentaje se ha ido incrementando en los
ltimos aos, haciendo que el mvil se haya convertido en una herramienta bsica tanto
de comunicacin como de localizacin. El crecimiento se ha debido en gran medida al
avance de la cobertura de la telefona mvil y al desarrollo de nuevos servicios, no slo
destinados a la gestin de voz, sino tambin a la gestin y transmisin de datos para la
realizacin de transacciones incorporando ficheros de vdeo, audio, etctera.
En el mbito empresarial se ha producido tambin un enorme aumento en la utilizacin
de dispositivos mviles avanzados (PDA y BlackBerry). El uso de estos dispositivos
mviles est presente en cuatro de cada diez pymes espaolas. Un anlisis por tamao
de las mismas muestra que el 42% entre las empresas con menos de 10 empleados, el
45,6% de las microempresas y el 54,5% de las empresas pequeas disponen de ellos.
Entre las empresas de mayor tamao, el 62% de las organizaciones de entre 50 y 249
empleados los utiliza cifra que alcanza el 75% entre las de ms de 250 trabajadores
(Grfico 7).

48
Fundetec y Red.es: Diagnstico de movilidad en la PYME espaola, 2008. Disponible en
http://www.fundetec.es/UserFiles/File/DOCUMENTACION/Informe%20movilidad.zip
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 7: Telefona mvil y uso de dispositivos mviles avanzados en las pymes en Espaa
(% sobre el total)

9
0
,
4
%
5
4
,
5
%
8
0
,
0
%
7
5
,
0
%
7
6
,
5
%
4
0
,
0
%
8
6
,
6
%
4
5
,
6
%
8
0
,
0
%
4
3
,
3
%
4
2
,
0
%
7
9
,
0
%
8
1
,
3
%
6
2
,
5
%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
Tel efona mvi l Di sposi tivos mvi l es avanzados
Total Menos de 10 De 10 a 49 De 50 a 249 De 250 y ms Autnomos Mi croempre sas

Fuente: Fundetec y Red.es (2008)
Adems, las pymes utilizan en la actualidad varias tecnologas de acceso a Internet. Por
un lado, las redes fijas, que proporcionan una menor velocidad de acceso al utilizar un
mdem sobre la red telefnica bsica (RTB) o las lneas RDSI; por otro, las de mayor
velocidad, fundamentalmente tecnologas de banda ancha, ya sea a travs de xDSL
(ADSL, SDSL, RADSL, HDSL...) u otras conexiones fijas (cable, LMDS, etctera);
finalmente, aquellas de similares prestaciones, pero soportadas en redes inalmbricas,
como es el caso de la telefona mvil (GSM, GPRS y UMTS...).
As, como puede observarse en el Grfico 8, la implantacin de tecnologas bajo RTB o
lneas RDSI apenas supera el 20% del total de accesos corporativos, salvo el caso de
aquellas empresas que disponen de acceso a travs de RDSI y que cuentan con 50 o
ms trabajadores. El porcentaje de pymes que utilizan como tecnologa de acceso otras
conexiones fijas es slo del 7,6% sobre el total, mientras que, en el caso las empresas de
250 empleados o ms, esta cifra se eleva al 49,2%.
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 8: Porcentaje de empresas con acceso a Internet por tipo de tecnologa (% sobre el
total de empresas con conexin a Internet)
2
4
,
7
%
9
2
,
4
%
5
,
2
%
2
1
,
7
%
1
3
,
9
%
2
1
,
5
%
9
8
,
5
%
9
3
,
0
%
1
7
,
0
%
3
7
,
9
%
8
8
,
6
%
4
9
,
2
%
6
4
,
2
%
1
6
,
9
%
9
2
,
4
%
7
,
6
%
9
5
,
2
%
1
9
,
3
%
1
8
,
7
%
9
4
,
6
%
1
7
,
3
%
9
9
,
6
%
1
7
,
9
%
2
6
,
6
%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
Mdem RDSI Banda ancha XDSL Otras
conexi ones
fi j as
Tel efona mvi l

Fuente: INE (2008)
La tecnologa de acceso a Internet que menos presencia tiene entre las empresas es la
mvil: slo la utiliza un 24,7%. Las restantes, banda ancha y xDSL, son utilizadas
mayoritariamente por las empresas (ms del 90%).
En conclusin, la implantacin de tecnologas inalmbricas en las empresas puede
resultar clave para su correcto funcionamiento en un mercado cada vez ms competitivo
y globalizado. Las organizaciones requieren movilidad, y depender de un enlace fsico
puede suponer un obstculo para conseguirla. El uso de tecnologas inalmbricas permite
aadir flexibilidad y aumentar la productividad y eficiencia de las actividades.
3.2 Hbitos, usos e incidencias de seguridad de los usuarios mviles en Espaa
En la fase de trabajo de campo cualitativo, basada en la investigacin bibliogrfica y en
las entrevistas realizadas, no se han encontrado fuentes pblicas ni privadas que
ofrezcan cifras rigurosas sobre el nmero de ataques que han recibidos los usuarios y las
pymes por tipo de tecnologa inalmbrica empleada.
Posiblemente, las razones que dificultan contar con este tipo de estudios son:
El elevado nmero de tecnologas inalmbricas existentes. Esto obliga a la
realizacin de un estudio por cada una de ellas, lo que complica la identificacin
de un universo representativo.
InstitutoNacional
deTecnologas
delaComunicacin

Falta de formacin. La rpida penetracin de estas tecnologas y lo novedoso de
muchas de ellas no ha permitido a muchos ciudadanos adquirir un conocimiento
suficiente para responder a ciertas preguntas tcnicas con rigor.
Falta de concienciacin de los ciudadanos. En la mayor parte de los casos, los
ciudadanos y las propias pymes no aprecian suficientemente el valor de la
informacin de la que disponen. Ninguno de estos colectivos se considera foco de
un ataque dirigido, por lo que no son conscientes de las amenazas.
Falta de denuncias. En general, estos ataques a ciudadanos o pymes no llegan a
ser denunciados, por lo que no hay datos fiables sobre ellos.
Todas estas circunstancias hacen que sea muy difcil realizar un estudio cuantitativo
sobre los incidentes de seguridad en tecnologas inalmbricas. En cualquier caso, es
evidente que los ataques y vulnerabilidades a travs de estos medios existen y se
producen constantemente, como se deduce de la informacin facilitada por los expertos y
de las entrevistas.
3.2.1 Ciudadanos
Segn el panel de hogares de INTECO, la utilizacin de mecanismos de seguridad
aplicados a tecnologas mviles es variable en funcin del tipo de dispositivo que se
tenga.
As, entre los internautas que afirman disponer de un mvil bsico, slo un 4,3%
considera innecesario utilizar algn tipo de medida de seguridad. La ms utilizada, por un
79,2% de los usuarios, es el PIN o cdigo de seguridad para la tarjeta SIM. Adems, un
19% afirma disponer de un cdigo numrico o alfanumrico que hay que introducir tras un
periodo de inactividad del terminal. Por ltimo, un 26,2% tiene una copia de seguridad de
los contactos de su telfono mvil en su ordenador.
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 9: Utilizacin de medidas de seguridad en el telfono mvil por usuarios en Espaa
19,0%
26,2%
79,2%
4,3%
0
%
1
0
%
2
0
%
3
0
%
4
0
%
5
0
%
6
0
%
7
0
%
8
0
%
9
0
%
1
0
0
%
No, no uti l i zo ni nguna, no
l o consi dero necesari o
Contrasea para acceder
al termi nal
Tengo una copi a de
seguri dad de l os contactos
de mi tel fono
PIN o cdi go de seguri dad
para l a tarj eta SIM

Los usuarios de telfonos mviles avanzados tienen la posibilidad de utilizar la
comunicacin inalmbrica a travs de Bluetooth para la transmisin de datos y voz, como
se ver en el epgrafe 3.3, Clasificacin de las tecnologas inalmbricas en funcin de su
penetracin y potencial de uso en el mercado espaol. Aunque es un dispositivo en
principio seguro, puede verse comprometido por los usos o pautas de seguridad
utilizadas. Entre los internautas que disponen de un mvil avanzado, cinco de cada diez
lo usan para transferir archivos o datos y un 23,9%, para conectarlo al manos libres del
coche. Slo un 6,2% seala que, aunque dispone de este recurso, no lo aprovecha.
Respecto a las pautas de seguridad seguidas con este tipo de tecnologa, y por
consiguiente, las probabilidades de incidencia, slo un 20,9% de los usuarios afirma tener
el Bluetooth siempre activado y listo para usar; un 6,6% tiene la precaucin de tenerlo
oculto, aun tenindolo siempre encendido. Por el contrario, un 72,5% de los usuarios dice
que lo conectan cuando lo necesitan para transferir archivos y despus lo apagan.
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 10: Usos del Bluetooth en telfonos mviles avanzados por usuarios en Espaa
20,9%
72,5%
6,6%
0
%
1
0
%
2
0
%
3
0
%
4
0
%
5
0
%
6
0
%
7
0
%
8
0
%
9
0
%
1
0
0
%
Si empre encendi do y l i sto
para usar pero con el
di sposi ti vo ocul to
Si empre encendi do y l i sto
para usar
Lo enci endo cuando l o
necesi to para transferi r
archi vos y l uego l o apago

Dada la propia naturaleza de los telfonos mviles, otra situacin de riesgo respecto a la
seguridad de la informacin se deriva de la posibilidad de sustraccin de los dispositivos.
As, un 65% de los usuarios no ha sufrido ningn incidente, frente al 16,8% al que le ha
sido sustrado el telfono mvil y el 1,4% que ha sufrido un robo del porttil.
Grfico 11: Incidentes en dispositivos mviles de usuarios en Espaa
1,4%
16,8%
18,0%
65,0%
0,8%
0
%
1
0
%
2
0
%
3
0
%
4
0
%
5
0
%
6
0
%
7
0
%
8
0
%
9
0
%
1
0
0
%
He perdi do mi ordenador
portti l
Me han sustrado mi
ordenador portti l
Me han sustrado mi
tel fono mvi l
He perdi do mi tel fono
mvi l
No he sufri do ni nguno de
estos i nci dentes

Los usuarios de dispositivos mviles (PDA, porttil o mvil avanzado) no utilizan redes
inalmbricas en lugares pblicos, salvo que conozcan la entidad prestadora del servicio o
que la red est protegida por una contrasea. Slo un 23,4% de los usuarios se conecta
sin tener en cuenta si la red de acceso est lo suficientemente securizada.
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 12: Usos de las redes inalmbricas en lugares pblicos por usuarios en Espaa

11,4%
11,7%
14,2%
23,4%
29,7%
9,7%
0
%
1
0
%
2
0
%
3
0
%
4
0
%
5
0
%
S, pero sl o cuando es necesari o i ntroduci r
contrasea y l a conozco
S, pero sl o si l a red pertenece a un l ocal o enti dad
que conozco
No, no tengo ni ngn di sposi ti vo mvi l que permi ta
conexi ones
No, nunca me conecto a redes i nal mbri cas
S, si empre que l o necesi to
No, nunca uso redes di sti ntas a l a de mi domi ci l i o

En cuanto a la seguridad de los accesos inalmbricos a Internet en el hogar, el 79,9%
est protegido por una contrasea, protocolo de acceso u otro medio, mientras que el
12,2% de los usuarios no conoce la configuracin de seguridad de su dispositivo y el
7,9% no considera necesario tener un sistema de seguridad.
Grfico 13: Estado de la proteccin de accesos inalmbricos a Internet en el hogar
10,0%
12,2%
20,0%
23,9%
26,1%
7,9%
0
%
1
0
%
2
0
%
3
0
%
4
0
%
5
0
%
No, ni nguno, no l o consi dero necesari o
S, mi red est protegi da del acceso de terceros con
otro si stema
Desconozco si mi red est protegi da del acceso de
terceros
S, seguri dad con el protocol o WPA
S, mi red est protegi da pero desconozco el si stema
S, seguri dad con el protocol o WEP

La ocupacin de la red Wi-Fi por personas ajenas a sus propietarios slo ha sido
detectada a travs de la herramienta de configuracin del router. Un 5,2% de los usuarios
InstitutoNacional
deTecnologas
delaComunicacin

afirma haber descubierto a alguien usando su conexin sin su consentimiento, mientras
que un 18,7% ha sospechado que en alguna ocasin alguien la utilizaba por ser esta muy
lenta, sin poder comprobar dicha causa (ver Grfico 14).
Grfico 14: Estado de la proteccin de accesos inalmbricos a Internet en el hogar en
Espaa
5,2%
76,1%
18,7%
0
%
1
0
%
2
0
%
3
0
%
4
0
%
5
0
%
6
0
%
7
0
%
8
0
%
9
0
%
1
0
0
%
Al gunas veces he
sospechado que al gui en
usaba mi conexi n a
Internet
S, he descubi erto que
al gui en estaba usando mi
conexi n si n mi
consenti mi ento
No, sl o a gente que yo
he autori zado o que no
me i mporta que se
conecte

En relacin con el robo de ancho de banda (ver Tabla 6), slo el 14,5% de los internautas
ha sufrido esta incidencia durante el ltimo ao, frente a un 80,6% que no lo ha sufrido
nunca, y ello a pesar del elevado porcentaje de hogares espaoles conectados a Internet
mediante Wi-Fi (53%), frente al 34% de la Europa de los 27
49
.
Tabla 6: Incidencias de seguridad ms recientes detectadas por los usuarios segn
momento en que se ha producido (% acumulados)
Incidencias
ltima
semana
ltimo
mes
ltimos
tres
meses
ltimo
ao
En alguna
ocasin
Nunca
Robo de ancho de banda Wi-Fi 8,1 11,7 10,4 14,5 19,4 80,6

49
Red.es. Observatorio de las Telecomunicaciones y la Sociedad de la Informacin: Actualidad europea sobre Sociedad de
la Informacin, 2007). Disponible en http://observatorio.red.es/estudios/documentos/128_eurobarometro.pdf
InstitutoNacional
deTecnologas
delaComunicacin

3.2.2 Pequeas y medianas empresas
El 77,3% de las pymes espaolas ha declarado haber sufrido incidentes derivados del
ataque de troyanos en 2007, y un 58,7%, de la recepcin de spam. En menor medida,
slo el 3,1% ha tenido problemas de robos de informacin y un 1,9%, fraudes (ver Grfico
15).
La situacin es algo distinta en las grandes empresas. Un 80,4% ha sido atacado con
spam, un 66,2% por virus informticos y un 57% por software espa o spyware. En
cambio, el mayor problema asociado a las pymes, el ataque de troyanos, ha tenido una
incidencia considerablemente menor.
Grfico 15: Comparativa de incidencias de seguridad
3,1%
1,9%
13,4%
3,9%
77,3%
19,5%
42,7%
58,7%
12,8%
16,4%
16,4%
19,6%
39,3%
57,0%
66,2%
80,4%
0,0% 20,0% 40,0% 60,0% 80,0% 100,0%
Robos de i nformaci n
Fraudes
Intrusi ones externas
Bombas l gi cas
Troyanos
Software espa o spyware
Vi rus i nformti cos
Recepci n de spam
PYME Gran Empresa

Los mecanismos de defensa que las pymes utilizan a nivel interno estn principalmente
basados en el software de proteccin o chequeo de virus, aunque depende del tamao
de la empresa. As lo afirma el 97% de las organizaciones con conexin a Internet.
A este tipo de medida le siguen el uso de cortafuegos y el backup o copia de seguridad
de los datos. Sus porcentajes de uso fluctan nuevamente dependiendo del tamao de
las empresas; no obstante las empresas medianas recurren a estos mecanismos en un
68,8% y un 56,8%, respectivamente.
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 16: Porcentaje de empresas con conexin a Internet que usan servicios de
seguridad a nivel interno (por tamao de empresa, % sobre el total de empresas con acceso
a Internet)

9
7
,
0
%
7
1
,
1
%
4
5
,
9
%
6
1
,
7
%
2
0
,
0
%
9
6
,
8
%
6
8
,
8
%
4
3
,
5
%
5
8
,
6
%
1
7
,
8
%
9
8
,
4
%
8
2
,
4
%
5
7
,
7
%
7
6
,
7
%
2
9
,
4
%
9
9
,
3
%
9
2
,
7
%
7
3
,
6
%
9
2
,
8
%
5
2
,
2
%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
SW de pr oteccin o
chequeo de vir us
Cor tafuegos Ser vidor segur o ' Backup' de datos ' Backup' de datos
r emot o

Fuente: INE (2007)
Si se analizan las medidas de seguridad adoptadas por las empresas para hacer frente a
los problemas derivados de las vulnerabilidades de los sistemas (ver Grfico 17), el
82,4% de las empresas afirma haberlos actualizado en los ltimos tres meses.
Grfico 17: Porcentaje de empresas que han actualizado sus servicios de seguridad en los
ltimos tres meses (por tamao de empresa, % sobre el total de empresas con acceso a
Internet)
8
2
,
4
%
8
1
,
2
% 8
8
,
4
% 9
5
,
6
%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%

Fuente: INE (2007)
InstitutoNacional
deTecnologas
delaComunicacin

Entre los posibles motivos que justificaran estos elevados porcentajes estn los
problemas de seguridad ocasionados, la labor de concienciacin llevada a cabo por las
administraciones pblicas o la importancia concedida a los datos por las propias
organizaciones. Un anlisis de los problemas originados en los ltimos doce meses (ver
Grfico 18) muestra que, nuevamente, el tamao de las empresas es un condicionante
en el caso de los ataques de virus; la media de empresas con conexin a Internet
afectadas es de un 14,9%, frente al 21,7% de empresas de ms de 250 empleados.
Respecto a los accesos no autorizados al sistema informtico o a los datos de la
organizacin y al fraude econmico (por ejemplo, el phishing), no son problemas que en
general les afecten, con independencia de su tamao.
Grfico 18: Porcentaje de empresas que han tenido algn problema de seguridad en los
ltimos doce meses (por tamao de empresa, % sobre el total de empresas con acceso a
Internet)

1
4
,
9
%
1
,
8
%
1
,
0
%
1
4
,
5
%
1
,
7
%
0
,
9
%
1
6
,
4
%
1
,
7
%
1
,
2
%
2
1
,
7
%
2
,
3
%
1
,
5
%
0%
5%
10%
15%
20%
25%
30%
35%
40%
45%
50%
Ataque de vi rus i nformti co Acceso no autori zado al si stema
i nformti co o a l os datos de l a
empresa
Fraude econmi co (p.e.,
'phi shi ng')

Fuente: INE (2007)
Esta situacin se explica, bsicamente, por el mayor nivel de exposicin de la gran
empresa (nmero de usuarios conectados a Internet, uso de las tecnologas de la
informacin, etctera) y por la menor proteccin de la pequea empresa respecto a
algunos incidentes de seguridad (existe un uso deficiente de las polticas de contraseas
y permisos en las pequeas y medianas empresas espaolas, que redunda en una mayor
exposicin al riego).
Se podra decir que, en general, las amenazas no distinguen entre tamaos de empresas
y, por ello, el riesgo que es necesario gestionar, salvando las diferencias, puede ser el
mismo.
InstitutoNacional
deTecnologas
delaComunicacin

Otro de los aspectos analizados es el nivel de implantacin de las medidas de proteccin
en los distintos tipos de empresas (Grfico 19). La implantacin de las medidas ms
tradicionales, como antivirus y cortafuegos, se mantiene en magnitudes muy similares en
los distintos tipos de empresas (98,4%-98,9% en el caso de los antivirus y 90,3%-90,9%
en el de los cortafuegos). Donde se aprecia una diferencia ms significativa es en el uso
de sistemas de copias de seguridad (99,6% para la gran empresa y 66,7% para la pyme)
o de control de acceso (98,4%- 66,4%), as como de otras medidas como el filtrado de
contenidos o la encriptacin y cifrado de comunicaciones. Estas diferencias pueden
explicarse en base al menor conocimiento de la pyme de tales medidas.
En general, se aprecia que en las grandes empresas el uso de las distintas medidas de
seguridad est muy difundido (ms del 80% de los casos); en cambio, en la pyme se
observa una situacin dispar en cuanto a la utilizacin de sistemas de proteccin.
Teniendo en cuenta que el nivel de exposicin al riesgo puede ser similar, el punto de
partida de las grandes empresas para hacer frente a los problemas de seguridad
presenta un mayor avance, a causa, probablemente, de los siguientes factores:
En la gran empresa existe una mayor cultura de seguridad en cuanto al uso de las
TIC.
La gran empresa dispone de ms recursos y personal dedicado a la implantacin
y mantenimiento de medidas de seguridad.
Para la gran empresa, la oferta de productos y servicios de seguridad es ms
accesible desde el punto de vista econmico.
Grfico 19: Comparativa entre las medidas de seguridad utilizadas por pymes y grandes
empresas

23,0%
31,3%
46,4%
66,4%
66,7%
67,6%
85,4%
90,9%
89,2%
93,2%
91,6%
98,4%
99,6%
82,3%
97,6%
98,9%
90,3%
98,4%
0
%
1
0
%
2
0
%
3
0
%
4
0
%
5
0
%
6
0
%
7
0
%
8
0
%
9
0
%
1
0
0
%
Ci frado de comuni caci ones
VPN/Encri ptaci n
Seguri dad de conteni do
Autenti caci n de usuari os
Copi a de seguri dad
Software de eval uaci n de vul nerabi l i dades
'Anti spam'
Cortafuegos
Anti vi rus
Pyme Gran Empresa

Fuente: INTECO. Estudio sobre incidencias y necesidades de seguridad en las pequeas y medianas
empresas espaolas (Enero 2007)
InstitutoNacional
deTecnologas
delaComunicacin

3.3 Clasificacin de las tecnologas inalmbricas en funcin de su penetracin y
potencial de uso en el mercado espaol
Una vez identificadas las diferentes tecnologas inalmbricas existentes, se presentan
tanto aquellas con bajo nivel de penetracin y bajo potencial de uso en el mercado
espaol como las que actualmente tienen un alto nivel de penetracin y alto potencial de
uso. No obstante, la clasificacin de las tecnologas en el estudio corresponde a un
anlisis de alto nivel de las existentes en los mbitos WAN, MAN, LAN y PAN, en funcin
de su nivel de obsolescencia y el potencial de uso en el mercado espaol.
Este anlisis, de elaboracin propia, se ha basado en la informacin recopilada en las
entrevistas a expertos y en la investigacin bibliogrfica.
3.3.1 Tecnologas con bajo nivel de penetracin y potencial de uso
Actualmente existen diversas tecnologas que no forman parte de la red espaola por
diversos motivos: problemas de infraestructura, desarrollo en distintos continentes, falta
de publicidad o apoyo, etctera.
En la siguiente tabla se justifica brevemente el bajo nivel de penetracin y potencial de
uso de estas tecnologas. Es importante destacar la carencia de fuentes de informacin
bibliogrfica de prestigio respecto a ellas.
Tabla 7: Tecnologas con bajo nivel de penetracin y potencial de uso en Espaa
Nombre Explicacin
Tecnologas
de la 0G y
1G
Estn totalmente obsoletas.
CDMA2000 Se usa nicamente en Estados Unidos como alternativa a la red UMTS.
cdmaOne
Fue desarrollada por una empresa de Estados Unidos y no tiene presencia en el
continente europeo.
CSD Se usa nicamente en Estados Unidos y Australia, no en Europa.
Cordless
Phone
Tecnologa antigua, muy madura, que slo transmite voz.
D-AMPS Actualmente no se utiliza en Europa.
EDGE
No est implantada en Espaa por usar como alternativa UMTS/3G, aunque s se
utiliza en gran parte de Europa y en el resto del mundo.
Femtocell
No es una tecnologa, sino la unin de dos. Pese a las previsiones (se estiman 17
millones de usuarios en Europa para el 2011 y 2.150 millones de usuarios para el 2012
en todo el mundo, segn Abi Research y Ovum), an es una tecnologa muy
incipiente.
FOMA/W-
CDMA
Se usa nicamente en J apn.
HIPERMAN No se comercializa en Espaa.
InstitutoNacional
deTecnologas
delaComunicacin

Nombre Explicacin
HIPERLAN No se utiliza en Espaa y su penetracin en Europa es muy baja.
HSCSD No se utiliza en Europa.
HC-SDMA
Se est empezando a extender en el sudeste europeo, pero actualmente no se
comercializa en Espaa.
iDEN Se utiliza slo en Latinoamrica, no tiene presencia en Europa.
IrDA
Su utilizacin es prcticamente nula, pues la comunicacin necesita tener lnea directa
de visin.
LTE Se prev su implantacin en Espaa en el ao 2015
50
.
Mobile FI
An no se ha desarrollado en Espaa y su implantacin se prev para despus de
2015.
Mobile
WiMAX
Actualmente no se comercializa en Espaa, aunque ya existe algn producto para
implementar una red WiMAX, pero se espera que en el corto/medio plazo se lancen al
mercado soluciones de Internet con esta tecnologa.
PDC Actualmente slo se utiliza en J apn.
PHS Tiene presencia nicamente en pases asiticos.
TD-SCDMA Slo tiene presencia en una parte del este de Asia.
UMA
Actualmente su penetracin es Espaa es baja aunque, segn datos de IDC, los
proyectos UMA ya son una realidad en los operadores mviles.
UMB
Actualmente no se comercializa en Espaa. Segn Abi Research
51
, UMB podra tener
un nivel de penetracin en el mercado prcticamente nulo.
UMTS-TDD
No se comercializa en Espaa, pero s en otros pases europeos como Francia o
Alemania.
WiBRO Slo tiene presencia en pases asiticos.
Wireless-
mesh
No se considera una tecnologa pura, sino ms bien una arquitectura. Actualmente
est implantada en los aeropuertos de Madrid, Barcelona, Bilbao y Mlaga y se
pretende su utilizacin en los 19 aeropuertos espaoles restantes antes de 2009
52
.
Fuente: INTECO
3.3.2 Tecnologas con elevada penetracin y potencial de uso
Considerando las variables utilizadas para esta clasificacin, la Figura 3 muestra el
posicionamiento de las tecnologas segn su nivel de penetracin y potencial de uso
53
.

50
Fundacin OPTI. Op. cit. 32.
51
Disponible en http://www.abiresearch.com/home.jsp
52
Strixsystems: Spanish Aviation Authority. J unio 2006. Disponible en
http://www.strixsystems.com/corporate/pressreleases/Spanish%20Airport%20Authority%20EPR%206_9_06_EPR%20_3_.p
df
InstitutoNacional
deTecnologas
delaComunicacin

Figura 3: Tecnologas con elevada penetracin y potencial de uso en Espaa

Nivel de penetracin
Potencial de
uso en el
mercado
espaol
+
+
-
-
GSM
GPRS
WiMAX
Bluetooth
Wi-Fi
UMTS
HSPA
NFC
Nivel de penetracin
Potencial de
uso en el
mercado
espaol
+
+
-
-
GSM
GPRS
WiMAX
Bluetooth
Wi-Fi
UMTS
HSPA
NFC

Fuente: INTECO
A continuacin se describe brevemente cada una de ellas con el objetivo de justificar su
adscripcin a este grupo y ayudar al lector a comprender el anlisis que se realizar en
captulos posteriores de las vulnerabilidades de estas redes y las soluciones de seguridad
propuestas. Los parmetros considerados son su caracterizacin, velocidad,
funcionamiento y penetracin de mercado.
El anlisis se basa en los resultados obtenidos de las entrevistas a expertos y de la
investigacin bibliogrfica realizada.
Tecnologa GSM
El Sistema Global para las Comunicaciones Mviles GSM se define como aquel servicio
portador constituido por todos los medios de transmisin y conmutacin necesarios que
permiten enlazar dos equipos terminales mviles mediante un canal digital
54
establecido
especficamente para la comunicacin, y que desaparece una vez que se ha completado
la misma.

53
La representacin grfica de las mismas en distintos tamaos no supone que tengan ms penetracin ni uso en Espaa.
54
La transmisin de informacin, en ltima instancia, se puede hacer de forma analgica o digital. Un canal/sistema/medio
analgico es aquel que puede utilizar toda una gama de valores, propagndose de la misma manera que una onda en un
estanque de agua. En cambio, si es digital, los valores que pueden tomar sern 0s o 1s (o una combinacin de estos),
como encendido o apagado, vlido o invlido. As, la voz es lgicamente una informacin, a priori, analgica y los archivos
o informacin en s son digitales.
InstitutoNacional
deTecnologas
delaComunicacin

Figura 4: Comunicacin a travs de tecnologa GMS
GSM GSM

Fuente: INTECO
Caracterizacin
Esta tecnologa utiliza modulacin digital, permitiendo un bajo coste y una fiabilidad ms
alta. Emplea, sobre todo, las bandas de 900 y 1800 MHz, que se atenan relativamente
poco, lo que permite llegar a algunos kilmetros de distancia.
GSM es un estndar comn, resultado de un acuerdo entre operadoras de
telecomunicaciones europeas, lo que permiti desarrollar un sistema con un gran
mercado y muchos telfonos mviles muy baratos y fiables. Este estndar lleg a
desplazar a una solucin americana, el sistema AMPS, ms caro y complejo.
Aunque es un sistema digital, est optimizado para transmitir voz
55
, en tiempo real. Una
de las caractersticas que denota ms flexibilidad es su funcionamiento, basado en el uso
de tarjetas SIM (Subscriber Identity Module, Mdulo de Identificacin del Suscriptor),
pertenecientes al grupo de tarjetas inteligentes o smart cards, que son las encargadas de
almacenar las claves y la identificacin del servicio del operador. Por ello, para cambiar la
lnea a otro telfono tan slo es necesario cambiar la tarjeta SIM de terminal.
Esta tecnologa ofrece adems servicios suplementarios de telefona, como identificacin
del abonado llamante, redireccionamiento de llamadas, llamada en espera, terminacin
de llamadas de usuarios ocupados, grupos cerrados de usuarios, tarificacin,

55
Fundacin Telefnica: La Sociedad de la Informacin en Espaa 2007. Disponible en
http://www.fundacion.telefonica.com/publicaciones/memorias/memoria2007/index.html
InstitutoNacional
deTecnologas
delaComunicacin

mantenimiento de llamada, transferencia de llamada, multiconferencia, prohibicin de
determinadas llamadas desde un terminal o emisin de mensajes cortos SMS.
Velocidad
La velocidad de transmisin de la tecnologa GSM oscila entre 9,6 Kbps y 14 Kbps en
funcin de la cobertura que ofrezca la seal y la saturacin de la red. En la prctica, la
cobertura vara considerablemente dependiendo del terreno, la ubicacin de la antena,
las barreras que pudieran interferir la seal y los puntos de medicin.
Funcionamiento
Los sistemas de telefona mvil necesitan conseguir una amplia cobertura y una gran
capacidad de trfico con un nmero limitado de frecuencias. La reutilizacin sistemtica
de estas frecuencias se logra mediante las estructuras celulares.
Como muestra la Figura 5, los sistemas GSM funcionan dividiendo el rea de cobertura
geogrfica de sus antenas en celdas distintas, adyacentes entre s, conformando un
bloque hexagonal. El terminal se conecta intuitivamente a la antena ms cercana, que le
ofrece la cobertura. Cuando un terminal GSM recibe una seal de mejor calidad de otra
antena, se desasocia de la primera y se comunica con esa nueva celda.
Cuando un usuario cambia de celda al estar realizando una llamada, para no perder la
comunicacin por estar en movimiento, se hace imprescindible la comunicacin entre las
antenas de las celdas. Las celdas se comunican entre s generalmente mediante cable y,
a veces, de forma inalmbrica (es lo que se conoce por roaming entre celdas), para evitar
que un terminal mvil pierda la comunicacin al cambiar de celda con el movimiento.

InstitutoNacional
deTecnologas
delaComunicacin

Figura 5: Sistemas de celdas hexagonales GSM

Fuente: INTECO
Penetracin
Segn los datos presentados en el epgrafe 3.1, Visin global del mercado, se
desprende que la penetracin del GSM es muy alta, siendo de 110,1 lneas por cada 100
habitantes. Aun as, su potencial de uso es menor, pues con el paso de los aos esta
tecnologa ser sustituida por otras superiores, como las de tercera generacin (3G).
Tabla 8: Anlisis de penetracin y potencial de uso de tecnologa GSM
Tecnologa Penetracin Potencial de uso
GSM

Alto Bajo
Fuente: INTECO
Tecnologa GPRS
Comparte el rango de frecuencias de la tecnologa GSM, utilizando una transmisin en la
que la informacin se fracciona en paquetes que viajan por la red por caminos distintos
y posteriormente se reensamblan en la informacin original. La conmutacin de paquetes
es una tcnica adecuada para transmitir datos, ya que slo utiliza el canal de
comunicacin cuando estn siendo enviados y permite el acceso simultneo de otros
usuarios (no se hace una reserva del canal determinado y fijo, como en los sistemas de
InstitutoNacional
deTecnologas
delaComunicacin

conmutacin de circuitos
56
). En cambio, como en una transmisin de voz existe el
requisito imprescindible de que la informacin llegue en el mismo instante en el que se
produce, se debe realizar mediante conmutacin de circuitos; por ejemplo, en el envo de
un correo electrnico existe un margen permisivo de varios segundos o minutos para la
recepcin, pero dicho margen es inadmisible cuando se trata de una comunicacin
directa con otra persona.
Caracterizacin
Las caractersticas principales de GPRS son
57
:
Conexin permanente. Al no requerir la conmutacin de circuitos, el tiempo de
establecimiento de conexin es inferior a un segundo.
Un nico canal es compartido por varios usuarios a la vez, mejorando as la
eficiencia en la utilizacin de los recursos de red y admitiendo un mayor nmero
de conexiones por antena.
Posibilita el pago por cantidad de informacin transmitida, en lugar de por tiempo
de conexin. Esto permite facturar al cliente de una manera ms acorde a sus
necesidades. Por ejemplo, el acceso a un buscador de Internet y la obtencin de
una respuesta por palabra clave supondra un consumo de 75 Kbps, y la consulta
de la cartelera de cine y reserva de entradas online, entre 25 Kbps y 2 Mbts.
Velocidad
En GPRS la velocidad de transmisin de datos aumenta respecto a la tecnologa GSM,
alcanzando velocidades desde los 40 Kbps hasta un mximo de 115 Kbps por conexin
(velocidad emprica obtenida en laboratorio).
Funcionamiento
Cuando un usuario desea enviar datos por GPRS, estos son encapsulados en paquetes
de informacin que se envan indicando el origen y el destino. El proceso se realiza de
una manera bastante simple, como se muestra en la Figura 6, siendo apenas necesario
aadir infraestructura a la del GSM, tanto electrnica como de software. Los paquetes
llegan a travs de la red a su destino, donde se reagrupan para presentar la informacin

56
La conmutacin de circuitos es la tcnica que se suele utilizar en las llamadas telefnicas tradicionales. Su
funcionamiento consiste en reservar una parte de la capacidad de transmisin del canal (el cable) para realizar una
llamada; cuando finaliza, la reserva se libera, pero mientras est en curso permanece ocupando dicha parte del canal.
57
Bernel, G.: UMTS/3G, HSDPA y tecnologas inalmbricas. GPRS: el despliegue de la Internet mvil, Universidad Oberta
de Catalunya. Disponible en http://www.umtsforum.net/mostrar_articulos.asp?u_action=display&u_log=44
InstitutoNacional
deTecnologas
delaComunicacin

en su forma original. Los paquetes utilizan un rango de frecuencias disponibles, lo que
permite que un nmero elevado de terminales GPRS pueda compartir el mismo ancho de
banda y la misma celda al mismo tiempo.
Figura 6: Funcionamiento GPRS
Radio
base
Red GRPS
SGSN
Nodo
Gateway
SGSN
Nodo de
Servicio
Internet
GTP Protocolo
tunneling
Radio
base
Red GRPS
SGSN
Nodo
Gateway
SGSN
Nodo de
Servicio
Red GRPS
SGSN
Nodo
Gateway
SGSN
Nodo de
Servicio
Internet
GTP Protocolo
tunneling

Fuente: INTECO
Penetracin
En la actualidad, todos los terminales GSM incorporan la tecnologa GPRS para la
transmisin de datos. Por tanto, la penetracin de esta tecnologa es la misma que la del
GSM. En cuanto al potencial de uso, la mayora de los terminales utilizan tecnologa
UMTS/3G para la transmisin/recepcin de paquetes de datos a travs de un operador,
por lo que su potencial de uso es bajo.
Tabla 9: Anlisis de penetracin y potencial uso de la tecnologa GPRS
GPRS

Alto Bajo
Fuente: INTECO
Tecnologa UMTS
La tecnologa UMTS (Universal Mobile Telecommunications System o Sistema Universal
de Telecomunicaciones Mviles) es la utilizada por los mviles 3G en Europa y naci
InstitutoNacional
deTecnologas
delaComunicacin

como respuesta a la necesidad de transmisin de datos de alta velocidad. Hasta la fecha,
las prestaciones ofrecidas por GPRS no ofrecan la suficiente velocidad como para
considerarlo una alternativa de conexin a la red.
Caracterizacin
Algunas de las ventajas que ofrece UMTS
58
son:
Universalidad. Est diseado para funcionar en todo el mundo, es compatible con
GSM 900 y 1800y permite la itinerancia entre pases, sin sufrir cortes en la
comunicacin (roaming).
Lleva integrado un protocolo de transmisin de paquetes, por lo que dispone de
conexin permanente a la red y puede facturar por volumen de datos transferidos.
El ancho de banda de cada llamada se asigna de forma dinmica, con lo que se
optimizan los recursos.
Los servicios 3G combinan el acceso mvil de alta velocidad con los servicios
basados en el protocolo IP. Esto no slo conlleva una conexin rpida a la web,
sino que permite realizar mltiples conexiones simultneamente desde un mismo
terminal mvil; por ejemplo, un usuario podra conectarse a una base de datos
remota para obtener informacin sin necesidad de interrumpir una sesin de
videoconferencia.
Velocidad
La principal ventaja de UMTS sobre la segunda generacin mvil (2G) es la capacidad de
soportar altas velocidades de transmisin de datos de hasta 144 Kbps sobre vehculos a
gran velocidad, 384 Kbps en espacios abiertos de extrarradios y 2 Mbps con baja
movilidad (interior de edificios). Esta capacidad y el soporte inherente del Protocolo de
Internet (IP) se combinan poderosamente para prestar servicios multimedia interactivos y
nuevas aplicaciones de banda ancha (vdeo, telefona y videoconferencia).
Funcionamiento
La tecnologa UMTS usa una comunicacin terrestre basada en una interfaz de radio W-
CDMA, conocida como UMTS Terrestrial Radio Access (UTRA). Para hacer posible la
comunicacin, esta se divide en paquetes de informacin, que viajan mezclados por la

58
Rojo, Iaki: La gran apuesta 3G, 2001. Disponible en
http://www.umtsforum.net/mostrar_articulos.asp?u_action=display&u_log=43
InstitutoNacional
deTecnologas
delaComunicacin

red. Cuando llegan a la estacin de distribucin, el anlisis del cdigo de los paquetes
permite reunir los datos de cada conexin.
El grado de cobertura es menor al utilizar frecuencias en una banda mayor que
GSM/GPRS (se puede transportar ms cantidad de informacin, pero la seal se atena
mucho ms rpido con la distancia). Por este motivo, el tamao de las celdas es menor y
para cubrir la misma zona geogrfica se requieren ms estaciones base (antenas). Pero,
a la vez, esta tecnologa utiliza con mayor eficiencia las frecuencias, lo que permite
conectar un mayor nmero de usuarios simultneamente por antena.
Penetracin
A pesar de que su tasa de penetracin se encuentra actualmente en un nivel medio, su
potencial de uso en el mercado espaol es alto. Segn datos de la CMT
59
, en el ao 2006
ya existan 3,4 millones de terminales UMTS, con un total de 16.020 estaciones base, y
en el tercer trimestre de 2007 se lleg a los 8,7 millones de usuarios
60
.
Tabla 10: Anlisis de penetracin y potencial uso de la tecnologa UMTS
UMTS

Alto Bajo
Fuente: INTECO
Tecnologa HSPA (HSUPA y HSDPA)
La tecnologa HSPA la constituyen las tecnologas inalmbricas HSDPA y HSUPA, que
se definen por separado haciendo hincapi en la HSPDA, la ms utilizada en Espaa.
La tecnologa HSDPA (High Speed Downlink Packet Access) es la optimizacin de la
tecnologa espectral UMTS/WCDMA, incluida en las especificaciones de 3GPP Release
5. Consiste en un nuevo canal compartido en el enlace descendente (downlink) que
mejora significativamente la capacidad mxima de transferencia de informacin.
As como el HSDPA mejora la percepcin del cliente para los servicios de datos que
hacen uso de las descargas desde la red al terminal, el High Speed Packet Uplink Access

59
CMT (2007). Op. cit. 39.
60
Del Castillo, I.: La banda ancha mvil supera en nuevos clientes a la fija, Expansin, noviembre de 2007. Disponible en
http://www.expansion.com/edicion/exp/empresas/telecomunicaciones/es/desarrollo/1059146.html
InstitutoNacional
deTecnologas
delaComunicacin

(HSUPA) hace lo propio con el envo de datos desde el terminal hacia la red. La
combinacin de HSDPA y HSUPA se denomina HSPA (High Speed Packet Access); es
til para usuarios que envan ficheros multimedia directamente a otros, para quienes
deben enviar grandes cantidades de informacin con imgenes o vdeos en tiempo real,
como los periodistas, etctera. Asimismo, el retardo global del sistema se reduce
tambin, mejorando la percepcin del usuario de los servicios de datos.
Caracterizacin
La tecnologa HSDPA consigue esta mejora gracias a una serie de tcnicas empleadas
en la interfaz radio, como son:
Transmisin en canal compartido. Se introduce un nuevo canal de transporte en el
enlace descendente denominado HS-DSCH (High Speed Downlink Shared
Channel). Con ello, los usuarios comparten una serie de recursos utilizados por la
radio (como los cdigos de canal y la potencia) de forma dinmica en el tiempo,
con lo que se consigue una mayor eficiencia. Asimismo, los intervalos utilizados
para cada transmisin son ms cortos (2 metros).
Adaptacin rpida del enlace. La velocidad de transmisin de datos vara de
forma rpida segn las condiciones del canal de radio. Este mtodo es ms
eficiente para los servicios que pueden tolerar este tipo de variaciones en
periodos muy cortos, y para compensar las degradaciones de la radio mediante
un aumento de la potencia de la seal (que es lo que se haca hasta ahora).
Retransmisiones rpidas. Los datos que se reciben de forma errnea, debido a las
condiciones de propagacin, se solicitan de nuevo al transmisor para su
correccin.
Programacin rpida de transmisiones (fast scheduling). Segn las condiciones
radioelctricas en las que se encuentra cada usuario, se programa el orden en
que debe transmitir cada uno. Con ello, se consigue un uso ms eficiente de los
recursos compartidos.
Al tratarse de servicios de datos, los terminales sern principalmente, como se muestra
en la Figura 7, tarjetas PCMCIA o mdem USB para ordenadores porttiles.

InstitutoNacional
deTecnologas
delaComunicacin

Figura 7: Dispositivo HSPA

Fuente: UMPC PORTAL
Velocidad
Con el HSDPA, la velocidad de transmisin aumenta hasta un mximo terico de 14
Mbps (que, en condiciones normales de funcionamiento supone unos 3 o 4 Mbps),
pudindose hablar ya de aplicaciones de alta velocidad en movilidad. Los mecanismos
que hacen posible el HSUPA son semejantes a los descritos para el HSDPA. Con ello, se
consigue pasar de los 384 Kbps a los 5,76 Mbps (mximo terico posible).
Funcionamiento
HSPA utiliza la misma estructura que UMTS, pero hace una utilizacin bastante ms
eficiente de la infraestructura. Adems, se considera como un UMTS multienlace, pues
utiliza varios canales UMTS para transmitir y recibir la informacin, consiguiendo as las
altas tasas de transmisin que lo caracterizan.
Actualmente no se dispone de una informacin detallada de esta tecnologa en cuanto a
descripcin y funcionamiento, debido a que la evolucin del protocolo se encuentra
congelada desde marzo de 2002
61
.
Penetracin
HSPA ofrece cobertura en ciudades pobladas, segn datos de la CMT, en diciembre de
2007 se alcanz un volumen de tarjetas o datacards de HSDPA/UMTS de 324.647

61
Telefnica I+D: Las telecomunicaciones multimedia. Madrid, 2003. Disponible en
http://www.tid.es/documentos/libros_sector_telecomunicaciones/tel_multimedia.pdf
InstitutoNacional
deTecnologas
delaComunicacin

unidades para un total de 14 millones de habitantes, de las cuales 276.444 eran de
UMTS y 48.203, de HSDPA. Sin embargo, esta tecnologa lleva menos de un ao en el
mercado, por lo que an no se disponen de datos fiables de penetracin.
Actualmente, HSPDA es ofrecida por todos los operadores a nivel nacional. La clave por
la que esta tecnologa se est adoptando cada vez ms es su facilidad para instalarse en
la redes actuales, ya que slo se necesita la actualizacin del software; por ello, su
potencial de es bastante alto.
Tabla 11: Anlisis de penetracin y potencial de uso de la tecnologa HSPA
HSPDA

Alto Bajo
Fuente: INTECO
Tecnologa WLAN (protocolo 802.11 o Wi-Fi)
De forma paralela al desarrollo de la tecnologa GSM, a partir de los aos noventa, tanto
en Europa como en Estados Unidos, comenzaron a estandarizarse una serie de sistemas
para sustituir a las redes de rea local cableadas con soluciones basadas en radio, bajo
la denominacin del estndar IEEE 802.11.
El estndar IEEE 802.11 evolucion hacia una familia de estndares que se distinguen
con una letra minscula (Ej. 802.11g) y que tienen diferencias entre s, a veces
importantes, o que consideran aspectos diversos, como la seguridad o la interconexin
62
.
Por otra parte, la Wireless Ethernet Compatibility Alliance
63
(WECA) decidi otorgar un
sello de calidad a ciertos productos 802.11. El sello, denominado WiFi o Wi-Fi, se
populariz, por lo que el estndar tambin se conoce con este nombre.
Caracterizacin
Esta tecnologa inalmbrica es en s misma la versin sin cables de las redes de rea
local. Su finalidad es ofrecer los mismos servicios, pero con la ventaja de no tener que

62
Fundacin Telefnica (2007). Op. cit. 55.
63
Organizacin comercial americana de fabricantes creada en 1999 con el fin de fomentar la compatibilidad entre
tecnologas Ethernet inalmbricas bajo la norma 802.11 del IEEE. WECA cambi de nombre en 2003, pasando a
denominarse Wi-Fi Alliance. Disponible en http://wifialliance.org/
InstitutoNacional
deTecnologas
delaComunicacin

usar ningn tipo de cableado. Por tanto, y dado que el medio compartido est libre y es
accesible por cualquier dispositivo que pueda funcionar en la misma frecuencia, los
aspectos referentes a la seguridad cobran una mayor relevancia en esta tecnologa con
respecto a las redes de rea local cableadas.
Velocidad
La velocidad de conexin en una red inalmbrica como mximo alcanza 100 Mbps. Esta
velocidad tiene una alta dependencia de los dispositivos que se utilicen para la conexin,
que han de ser del mismo fabricante (punto de acceso y tarjeta inalmbrica) y con un
nivel de interferencia nulo (sin ruido en el ambiente)
64
.
Funcionamiento
WLAN ofrece tres modos de funcionamiento:
1) Modo infraestructura. Es el modo ms comn. Consiste en un punto de acceso
inalmbrico conectado a una red; los dispositivos inalmbricos (porttiles y
PDA) se conectaran a travs de este punto de acceso.
2) Modo ad-hoc. Los dispositivos inalmbricos se asocian entre s, por lo que no
existe ningn elemento intermedio.
3) Modo puente o bridge. Esta configuracin permite a los routers compartir la
seal, a modo de repetidor, de manera que se ample el rango de cobertura de
la seal Wi-Fi. Esta opcin no est muy extendida y desarrollada, y por tanto, no
es vlida en todos los escenarios (no funciona entre routers distintos de
determinados fabricantes).

64
Peafiel, Carlos (2006). Op. cit. 35.
InstitutoNacional
deTecnologas
delaComunicacin

Figura 8: Arquitectura bsica de una red WLAN en modo infraestructura
Pocket PC
Ubicacin: cualquier
punto de la empresa o
domicilio
Servidor
Ubicacin: cualquier
punto de la empresa
o domicilio
Porttil
Ubicacin: cualquier
punto de la empresa
o domicilio
Porttil
Ubicacin: cualquier
punto de la empresa
o domicilio
Router wireless
Ubicacin: cualquier
punto de la empresa
o domicilio
Pocket PC
Ubicacin: cualquier
punto de la empresa o
domicilio
Servidor
Ubicacin: cualquier
punto de la empresa
o domicilio
Porttil
Ubicacin: cualquier
punto de la empresa
o domicilio
Porttil
Ubicacin: cualquier
punto de la empresa
o domicilio
Router wireless
Ubicacin: cualquier
punto de la empresa
o domicilio

Fuente: INTECO
Penetracin
Es una tecnologa inalmbrica utilizada prcticamente de forma masiva a nivel mundial.
Tanto los equipos intermedios como los terminales y los dispositivos de acceso son
desarrollados por muchas y muy diversas empresas.
Dada la alta aceptacin de Internet y la facilidad, comodidad y amigabilidad que
representa, esta tecnologa se considera clave dentro del grupo de inalmbricas. De
hecho, el concepto de red inalmbrica generalmente se asocia a las redes Wi-Fi,
olvidando que este concepto engloba tambin otras tecnologas.
Segn un informe del Observatorio Wireless, los puntos de acceso en Espaa en octubre
del ao 2006 alcanzaron los 102.950, lo que supuso un crecimiento del 80,9% desde
marzo de es mismo ao (ver Tabla 5). Estas cifras representan un aumento significativo
en el uso de esta tecnologa, lo que podran suponer un importante crecimiento en esta
lnea y, por consiguiente, un potencial de uso muy alto.
Tabla 12: Anlisis de penetracin y potencial uso de la tecnologa Wi-Fi
Wi-Fi

Alto Bajo
Fuente: INTECO
InstitutoNacional
deTecnologas
delaComunicacin

Tecnologa WiMAX
De forma muy general, se puede decir que WiMAX opera de manera muy similar a
WLAN, ya que es una alternativa a la comunicacin mediante ondas de radio para el
enlace DSL, es decir, para la conexin entre el hogar y el proveedor de servicios de
Internet. Por este motivo, se utiliz inicialmente para la telefona y el acceso a Internet,
principalmente en entornos rurales o lugares donde un despliegue de cable no resultaba
rentable o posible para un operador.
Caracterizacin
El protocolo WiMAX sigue el estndar IEEE 802.16, nombre que le ha dado el WiMAX
Forum
65
. Presenta algunas caractersticas particulares, como el control de calidad del
servicio y el uso de espectro reservado, que pueden hacer frente al WLAN en algunos
escenarios.
Podra ser considerado como un sistema de comunicaciones mviles alternativo de alta
capacidad, pero para ello se deberan resolver los problemas de atenuacin y distorsin
de las seales y el coste de las infraestructuras.
La diferencia fundamentale respecto a WLAN es que WiMAX ofrece una velocidad
superior, a grandes distancias, y para un nmero de usuarios mucho mayor.
Tericamente hablando, WiMAX elimina las barreras geogrficas que impiden que el
proveedor de servicios de Internet pueda desplegar su infraestructura para proporcionar
servicio (ya sea por el coste asociado o por limitaciones fsicas reales).
Velocidad
La tecnologa WiMAX puede transmitir a una velocidad de 75 Mbps en su versin fija
(IEEE 802.16a) o de 15 Mbps en la mvil (IEEE 802.16e)
66
.
Funcionamiento
Una red WiMAX est formada por dos elementos:
Una torre WiMAX, que sigue la misma filosofa que las redes celulares GSM. Se
estima que este tipo de torre puede proporcionar cobertura de hasta 50 kilmetros
de radio. Adems, la torre puede estar conectada directamente a Internet

65
Es un consorcio de empresas (inicialmente 67 y hoy en da ms de 500) dedicadas a disear los parmetros y
estndares de esta tecnologa, y a estudiar, analizar y probar los desarrollos implementados. Disponible en
http://www.wimaxforum.org/home
66
Fundacin OPTI. Op. cit. 32.
InstitutoNacional
deTecnologas
delaComunicacin

mediante una banda ancha, o incluso a otra antena WiMAX usando una lnea de
visin directa mediante microondas
Un receptor WiMAX. El receptor de esta seal puede ser un pequeo receptor o
una tarjeta PCMCIA, o incluso puede estar integrado dentro de los ordenadores
porttiles, como pretenden hacer varios fabricantes de tecnologa.
En la siguiente figura se puede apreciar el funcionamiento de una red WiMAX.
Figura 9: Funcionamiento de la tecnologa WiMAX
Red del
proveedor de
servicio
Internet
Torre WiMAX
Comunicacin por
lnea de divisin
Red de rea
local
Red del
proveedor de
servicio
Internet
Torre WiMAX
Comunicacin por
lnea de divisin
Red de rea
local

Fuente: How WiMAX works. Ed Grabianowski y Marshall Brain
67

El usuario puede conectarse de dos maneras:
Conectando una antena a su dispositivo (generalmente ordenador porttil, aunque
podra ser cualquiera), que se enlazara directamente con la antena WiMAX.
De manera ms eficiente, mediante una antena parablica o router intermedio que
se podra colocar por ejemplo, en el tejado de la vivienda y que hara de hub
(intermediador) entre la torre WiMAX y el dispositivo. Este escenario es ms
comn porque, adems de ser ms eficiente, ofrece al usuario una conectividad
WLAN con el router (que acta en modo WiMAX y WLAN).
Penetracin
Esta tecnologa est implantada en algunas zonas rurales de Andaluca y Aragn, Pas
Vasco, Castilla y Len, Alicante y algunas poblaciones de Madrid (como Alcorcn), y se

67
Brain, Marshall y Grabianowski, Ed: How WiMax Works. Disponible en http://computer.howstuffworks.com/wimax1.htm
InstitutoNacional
deTecnologas
delaComunicacin

espera que llegue a zonas rurales de Catalua y Navarra, donde ya existe un importante
operador global que ha resultado adjudicatario de concursos pblicos para el despliegue
de nuevas redes de telecomunicaciones de banda ancha sin cobertura ADS
68
. En el
mercado espaol ya existen operadores con ms de 40.000 abonados
69
, y se espera que
en el mbito mundial haya 150 millones de usuarios WiMAX en 2008
70
. Por todo ello, esta
tecnologa tiene actualmente un nivel medio de penetracin y potencial de uso en
Espaa.
Tabla 13: Anlisis de penetracin y potencial uso de tecnologa WiMAX
WiMAX

Alto Bajo
Fuente: INTECO
Tecnologa Bluetooth
El Bluetooth vendra a ser el nombre comn de la especificacin industrial IEEE 802.15.1,
que define un estndar global de comunicacin inalmbrica que posibilita la transmisin
de voz y datos entre diferentes dispositivos mediante un enlace por radiofrecuencia
segura, globalmente y sin licencia de corto rango.
Esta tecnologa naci a mediados de los noventa como un proyecto para investigar la
viabilidad de una interfaz de radio de bajo coste y bajo consumo para la interconexin
entre telfonos mviles y otros dispositivos (ordenadores, impresoras, etctera), con la
intencin de eliminar cables de conexin entre dispositivos.
Conforme este proyecto iba avanzando, se observaba que esta interfaz se poda utilizar
en un gran nmero de aplicaciones, ya que el chip de radio (elemento principal y ncleo
del dispositivo) era relativamente barato.
Caracterizacin

68
Expansin: Iberbanda comienza las pruebas de la tecnologa WiMAX en Espaa. Septiembre de 2006. Disponible en
http://www.expansion.com/edicion/exp/empresas/telecomunicaciones/es/desarrollo/1059146.html
69
Maravedis, Telecom Market Research & Analysis: WiMAX and Broadband Wireless (Sub-11GHz) Worldwide Market
Analysis and Trends 2006-2012. 2006.
70
Intel (2008): Seminario Consumer Electronics Show (CES).
InstitutoNacional
deTecnologas
delaComunicacin

Los dispositivos que con mayor intensidad utilizan esta tecnologa las PDA, telfonos
mviles, ordenadores porttiles y personales, impresoras y cmaras digitales y manos
libres (telecomunicaciones e informtica personal).
Las principales caractersticas de esta tecnologa son:
Puede cubrir una distancia de hasta diez metros de radio y transmitir voz y datos.
Facilita las comunicaciones entre equipos mviles y fijos.
Elimina los cables y los conectores existentes entre ellos.
Ofrece la posibilidad de crear pequeas redes inalmbricas y facilita la
sincronizacin de datos entre los equipos personales.
Velocidad
La velocidad de transmisin actual de Bluetooth es de 1Mbps, aunque existen estudios
que sealan que su velocidad podra alcanzar los 100 Mbps
71
.
Funcionamiento
Bluetooth opera en un rango de frecuencias comprendido entre los 2400 y 2483,5 MHz.
Al igual que en IP (Protocolo de Internet), los datos se transmiten en pequeos paquetes.
Estas redes estn diseadas para interconectar un mximo de hasta ocho perifricos, tal
y como se puede ver en la siguiente figura. Cada dispositivo puede configurarse como
maestro o esclavo. Los maestros son los encargados de dirigir el trfico entre ellos
mismos y los esclavos; adems, cada maestro puede estar conectado con otras redes
Bluetooth y, como puede haber varios maestros en una misma red, se pueden
interconectar hasta un mximo de diez redes entre s de forma encadenada. Esto da un
mximo de 72 dispositivos Bluetooth que pueden operar simultneamente.
Finalmente, hay hasta veinte perfiles distintos y tres tipos de enlaces que pueden actuar
de modo distinto. Los perfiles controlan el comportamiento del dispositivo Bluetooth y los
enlaces asignan los modos de transmisin entre dispositivos. De todos estos perfiles,
slo trece son usados hoy en da. Algunos son genricos, como el que permite que los
perifricos se reconozcan entre s, y otros tienen usos ms especficos y pueden ser
opcionales. La eleccin del tipo de enlace depender de lo que se quiera transmitir.

71
El Pas: Bluetooth aumenta la velocidad de transmisin a 100 Mbps: Banda ancha en Bluetooth a finales de 2007. La
tecnologa inalmbrica aumentar su capacidad de transmisin hasta 100 Mbps para que se pueda enviar audio y vdeo de
alta definicin, segn ha anunciado el organismo que regula sus especificaciones. El sistema estar basado en
ultrawideband (UWB), tecnologa de radio desarrollada por la Alianza Wimedia (Microsoft, Intel, HP...).
InstitutoNacional
deTecnologas
delaComunicacin

Algunos autores defienden la idea de que el Bluetooth ha sido la evolucin natural de la
comunicacin por infrarrojos (IrDA), dados los problemas que esta presentaba por el
alcance mximo, que era de dos metros, y porque la comunicacin estaba limitada a slo
dos participantes; y que adems necesitaban visibilidad directa para poderse comunicar.
La siguiente figura muestra el funcionamiento de esta tecnologa.
Figura 10: Funcionamiento de la tecnologa Bluetooth

Fuente: INTECO
Penetracin
Actualmente es una tecnologa con una elevada tasa de penetracin y potencial de uso,
pues se utiliza en la mayora de las comunicaciones de manos libres o conexin de
dispositivos para conectar al ordenador todo tipo de equipos como las PDA, cmaras
fotogrficas, teclados, o simplemente, para conectar los auriculares al telfono. El hecho
de que la mayora de los dispositivos mviles lleven incorporada esta tecnologa ha
marcado la diferencia a la hora de establecer un mtodo de conexin entre los terminales
y los ordenadores personales. Segn datos de MindTree Consulting, se espera que en el
ao 2011 haya 1.739 millones de dispositivos Bluetooth en el mundo
72
.
Tabla 14: Anlisis de penetracin y potencial uso de la tecnologa Bluetooth

72
MindTree Consulting. Disponible en http://www.arc.com/configcon/israel/pdfs/wireless-
track/2%20MindTree_ARCv1%202.pdf
InstitutoNacional
deTecnologas
delaComunicacin

Bluetooth

Alto Bajo
Fuente: INTECO
Tecnologa NFC
Near Field Communications o NFC es una tecnologa inalmbrica de interconexin de
dispositivos que opera a la frecuencia de 13,56 MHz (banda en la que no se necesita
licencia administrativa). Se usa para conexiones wireless y permite a un dispositivo leer
una pequea cantidad de informacin de otros dispositivos cuando ambos se encuentran
muy cerca (aproximadamente 10 centmetros). Esto puede ser interpretado como una
ventaja a la hora de utilizar servicios que implican privacidad, como puede ser el caso del
pago de un servicio.
Surge de la evolucin de la tecnologa de identificacin de dispositivos por
radiofrecuencia (RFID
73
), incluyendo funciones de las tecnologas de interconexin de
redes y de tarjetas inteligentes.
Como respuesta a la opinin de los expertos consultados, se ha excluido de este anlisis
la tecnologa RFID, a pesar de su actual nivel de uso en el mercado espaol y tasa de
penetracin, porque corresponde a una comunicacin en un nico sentido. Es decir, tan
slo se realiza una lectura por parte de un participante hacia otro, por lo que la capacidad
de cmputo de informacin por parte del emisor es escasa y su anlisis no generara la
profundidad suficiente en comparacin con las dems tecnologas seleccionadas.
Las empresas de gran consumo son las candidatas a utilizar esta tecnologa para agilizar
y gestionar sus procesos de inventariado, por lo que, en un futuro, su uso podra
aumentar considerablemente. Segn IDtrack
74
, el 30% de las empresas en Espaa ha
implementado estas tecnologas, ya sea a nivel de piloto, despliegue, proyecto restringido
a un rea o proyecto global. Adems, un 33,3% de las utiliza hace ms de tres aos, por
lo que su grado de madurez es suficiente para que un porcentaje significativo plantee su

73
Radio Frequency Identification (RFID): es como un cdigo de barras sin cables y su propsito fundamental es transmitir
la identidad de un objeto (similar a un nmero de serie nico) mediante ondas de radio. Un lector se comunica con una
etiqueta con un nmero de identificacin digital en un microchip, por lo que los posibles usos son mucho ms limitados que
en NFC, principalmente porque no existe la capacidad de procesamiento de informacin en el lado de la etiqueta. Se
agrupan dentro de las denominadas Auto ID (Automatic Identification o Identificacin Automtica).
74
IDtrack (2007): El estado actual de RFID en Espaa. En colaboracin con IBM. Disponible en
http://www.idtrack.org/IDtrack/estudios/Estudio_Estado_rfid_espana_IDtrack.pdf
InstitutoNacional
deTecnologas
delaComunicacin

implementacin a corto o medio plazo. Para IDTechEx, RFID facturar en 2008 7.000
millones de dlares en etiquetas
75
, cifra que alcanzar los 26.880 millones en 2017
76
.
Caracterizacin
La tecnologa NFC est principalmente orientada a los telfonos mviles y permite, a
travs de un microchip incorporado en una tarjeta, emitir y capturar informacin con
receptores cercanos.
Las interacciones con el contacto de una base ofrecen al usuario de un terminal mvil
una forma sencilla de conectar, procesar y compartir informacin con otros dispositivos,
mviles o de cualquier otro tipo
77
.
En cuanto a los beneficios de esta tecnologa, permite compartir informacin digital entre
dos dispositivos tan slo acercndolos, sin necesidad de conectarlos fsicamente.
Velocidad
Las velocidades de transmisin soportadas actualmente son de 106, 212 y 424 Kbps.
Funcionamiento
NFC se compone principalmente de dos partes: un terminal y una fuente.
El terminal es un dispositivo mvil (telfono, PDA, etctera) capaz de transmitir
(va NFC) y procesar informacin una vez ha detectado que hay un dispositivo
fuente cerca de l (a varios centmetros).
El dispositivo fuente acta de lector, activando el chip NFC que el dispositivo mvil
lleva incorporado.
Cuando se activa la fuente, esta emite una seal de radio de corto alcance que activa un
microchip en la etiqueta NFC, lo que permite la lectura de una pequea cantidad de datos
que pueden ser almacenados, tal y como se muestra en la Figura 11.

75
PR Newswire Europe Ltd. Febrero 2008. Disponible en http://www.prnewswire.co.uk/cgi/news/release?id=140442
76
Portillo, J , Bermejo A.B., Bernardos Ana M., Martinez, I: Informe de vigilancia tecnolgica. Tecnologa de identificacin
por radiofrecuencia (RFID): aplicaciones en el mbito de la salud. Coleccin de Informes de Vigilancia Tecnolgica
madri+d, 2007. Disponible en www.madrimasd.org/tic/Informes/Downloads_GetFile.aspx?id=7913
77
MKM Publicaciones: Tecnologa NFC (Near Fields Communications) para mviles Nokia. J unio 2007. Disponible en
http://www.mkm-pi.com/mkmpi.php?article341
InstitutoNacional
deTecnologas
delaComunicacin

Figura 11: Funcionamiento de la tecnologa NFC

Fuente: Vivotech
Un mvil equipado con la tecnologa NFC puede acceder fcilmente a servicios o realizar
operaciones con distintas aplicaciones del terminal. El usuario puede compartir
informacin o contenido digital, acercando los dos dispositivos que incorporan esta
tecnologa a corta distancia. Cuando el usuario aproxima un dispositivo NFC, el lector lee
el contenido y lo convierte en accin; el usuario slo tiene que aceptarla.
Penetracin
A pesar de contar con un nivel de penetracin todava incipiente, el potencial de uso en
Espaa es elevado por los mltiples servicios que se pueden desarrollar con esta
tecnologa, como el pago a travs del telfono mvil. Segn Abi Research, el 50% de los
dispositivos mviles del mundo tendrn NFC en 2009
78
.
Tabla 15: Anlisis de penetracin y potencial uso de la tecnologa NFC
NFC

Alto Bajo
Fuente: INTECO

78
Movilsur.com: El futuro de las tecnologas Near-Field Communications (NFC), 2008. Disponible en
http://www.movilsur.com/index.php/2008/04/29/el-futuro-de-al-tecnologia-near-field-communications-nfc/
InstitutoNacional
deTecnologas
delaComunicacin

4 PROBLEMAS DE SECURIZACIN EN REDES
INALMBRICAS
Para entender la problemtica de las redes inalmbricas, se definir en primer lugar qu
se entiende por una red segura.
Las redes inalmbricas en general presentan una serie de requisitos (en adelante,
dimensiones de seguridad) que deben cumplir para ser catalogadas como seguras,
aunque la seguridad total slo existira si no hubiese conexin a la red.
La seguridad de las redes inalmbricas no debera constituir un esfuerzo mayor que los
beneficios que se obtengan de ella, por lo que es necesario analizar correctamente el
valor de los datos y de la disponibilidad de la informacin, el coste de las medidas de
seguridad y de perder presencia o imagen en el mercado, entre otros.
En este captulo se desarrolla la cuestin de la securizacin de las redes en funcin de
sus dimensiones de seguridad en general y las vulnerabilidades de cada tecnologa
inalmbrica, considerando slo aquellas con elevada penetracin y alto potencial de uso.
4.1 Anlisis de vulnerabilidades de las redes a nivel global
En general, la mayor parte de las fuentes bibliogrficas consultadas establecen que las
redes, cableadas o inalmbricas, son seguras cuando cumplen adecuadamente con
cuatro dimensiones: autenticacin (A), confidencialidad (C), integridad (I) y
disponibilidad (D).
Adicionalmente, en la informacin presentada en la norma ISO/IEC 18028-2:2006 y en
las entrevistas realizadas a empresas de seguridad nacionales e internacionales se
recomienda incorporar dos nuevas variables: control de acceso (CA) y no repudio
(NR). Ambas dimensiones se consideran fundamentales para analizar la seguridad de las
redes, sobre todo de las inalmbricas.
El nivel de seguridad de una red estar determinado en cierta medida por el grado de
cobertura de cada una de las dimensiones de seguridad citadas.
Si se compara el impacto de estas dimensiones en las redes inalmbricas y cableadas,
se puede comprobar que en las inalmbricas el control de acceso y la disponibilidad
cobran una mayor importancia:
Para detectar una red LAN, las redes cableadas tienen que encontrar un punto de
acceso fsico, mientras que las redes inalmbricas slo necesitan una conexin a
Internet wireless disponible (control de acceso).
InstitutoNacional
deTecnologas
delaComunicacin

En cuanto a la disponibilidad, en el caso de las redes con hilos cualquier asaltante
que quiera atacarlas debe conectarse a la red con un cable, pero con una WLAN
no es necesario detectar un punto de acceso fsico, sino que basta con que una
tarjeta de red lo haga.
La informacin de este captulo se ha basado en las entrevistas realizadas, la opinin de
los expertos y las fuentes bibliogrficas consultadas como referencia.
4.1.1 Dimensiones de seguridad y vulnerabilidades
La siguiente tabla presenta las dimensiones de seguridad afectadas por cada posible
ataque.
Tabla 16: Ataques por dimensin de seguridad
Autenticacin Confidencialidad Integridad Disponibilidad
Control
de
acceso
No
repudio
Barrido de
Frecuencias
NO NO NO NO S
Sniffing NO S NO NO NO
Spoofing S NO NO NO NO
Hijacking S NO NO NO NO
Mecanismos
de ingeniera
social
S S NO NO NO
Confianza
transitiva
S NO NO NO NO
Creacin de
un puente
S NO NO NO NO
Adivinacin
de
contraseas
S NO NO NO NO
Explotacin
de errores o
fallos (bugs)
de software
NO NO NO S NO
Denegacin
de servicio
NO NO NO S NO
Mensajes de
control de
red
NO NO NO S NO
Interferencia/
inhibicin
NO NO NO S NO
Ataques
dirigidos por
datos
NO S NO NO NO
Caballo de
troya
NO S NO NO NO
Enrutamiento
fuente
NO S S NO NO
Evil Twin NO S NO NO NO
Man in the
Middle
NO S NO NO NO
InstitutoNacional
deTecnologas
delaComunicacin

Autenticacin Confidencialidad Integridad Disponibilidad
Control
de
acceso
No
repudio
Modificacin
de datos
NO NO S NO NO
Fuente: INTECO
A continuacin se describen cada una de estas dimensiones, las principales
vulnerabilidades asociadas a ellas y las consecuencias de un posible ataque.
Autenticacin
Se define en mltiples fuentes:
Segn el Real Decreto 994/1999, es un procedimiento de comprobacin de la
identidad de un usuario.
Segn las directrices de la Organizacin para la Cooperacin y el Desarrollo
Econmico (OCDE) para una poltica criptogrfica, es una funcin para el
establecimiento de la validez de la supuesta identidad de un usuario, dispositivo u
otra entidad en un sistema de informacin o comunicaciones.
Segn la ISO 7498-2, es un servicio de seguridad que garantiza que el origen de
datos, o entidad homloga, son quienes afirman ser.
Segn la Metodologa de Anlisis y Gestin de Riesgos de los Sistemas de
Informacin (Magerit) del Ministerio de Administraciones Pblicas
79
, es una
caracterstica de dar y reconocer la autenticidad de los activos del dominio (de tipo
informacin) y/o la identidad de los actores y/o la autorizacin por parte de los
autorizadores, as como la verificacin de dichas tres cuestiones.
Segn el Consejo Superior de Administracin Electrnica del Ministerio de
Administraciones Pblicas
80
, es la capacidad de verificar que un usuario que
accede a un sistema o aplicacin es quien dice ser, tras haberse identificado
convenientemente; o que un usuario que ha generado un documento o
informacin es quien dice ser.

79
Ministerio de Administraciones Pblicas (2006): Metodologa de Anlisis y Gestin de Riesgos de los Sistemas de
Informacin (MAGERIT). Ministerio de Administraciones Pblicas, Versin 2.0, Disponible en
http://www.csi.map.es/csi/pdf/magerit_v2/metodo_v11_final.pdf
80
Ministerio de Administraciones Pblicas (2004): Criterios de seguridad, normalizacin y conservacin de las aplicaciones
utilizadas para el ejercicio de potestades. Coleccin Informes y Documentacin. Serie Administracin del Estado.
Disponible en http://www.csi.map.es/csi/pg5c10.htm
InstitutoNacional
deTecnologas
delaComunicacin

Por tanto, la identificacin de los usuarios y la verificacin de la autenticidad es un
requisito previo a la autorizacin del acceso a los recursos del sistema.
Existen dos niveles de autenticacin:
Autenticacin fuerte: basada en la utilizacin de tcnicas de criptografa asimtrica
y en el uso de certificados electrnicos. Tambin suele referirse a la combinacin
de algo que el usuario posee (por ejemplo, una tarjeta electrnica) con algo que
conoce (como un cdigo PIN).
Autenticacin simple: basada en mecanismos tradicionales de usuario y
contrasea.
En general, las medidas adoptadas para asegurar la proteccin de la autenticacin han
de ser proporcionales a la naturaleza de los datos y de los procedimientos, a los riesgos a
los que estn expuestos y al estado de las tecnologas.
Vulnerabilidades
Esta dimensin se ve violada en el momento en que un usuario que se ha identificado no
es quien dice ser, por lo que resultar imposible identificar quin ha accedido a ciertos
recursos.
Los ataques asociados a esta dimensin son el sniffing, el spoofing, el hijacking, los
mecanismos de ingeniera social, la confianza transitiva, la creacin de un puente y la
adivinacin de contraseas.
La siguiente tabla describe cada uno de estos ataques.
Tabla 17: Ataques a la autenticacin
Ataques Descripcin
Spoofing
Se describe generalmente como la suplantacin de identidad de un emisor o de un
receptor interviniendo la conexin. Por ejemplo, en el caso en el que una persona
introduce en el sistema el usuario y contrasea de otra para acceder a recursos
privilegiados.
Hijacking
Robo de una conexin despus de una autenticacin exitosa. Por ejemplo, un
asaltante roba el canal de comunicacin de un usuario que se ha autenticado con
xito dentro de la red corporativa de su empresa, obteniendo los mismos privilegios
que el usuario autenticado.
Mecanismos
de
ingeniera
social
Consiste en el aprovechamiento la buena voluntad de los usuarios para solicitarles
datos de acceso confidenciales. Por ejemplo, cuando se enva un e-mail a una
persona hacindose pasar por el administrador de la red o por una autoridad para
acceder a datos importantes, o cuando se le dice, en nombre del soporte TIC de una
organizacin, que debe cambiar su clave de acceso por una temporal.
InstitutoNacional
deTecnologas
delaComunicacin

Ataques Descripcin
Confianza
transitiva
Consiste en el aprovechamiento la confianza entre usuarios y hosts
81
. Por ejemplo, si
el usuario A puede introducirse en los archivos del usuario B y B puede acceder a los
archivos del usuario C, a un asaltante podra bastarle con acceder como usuario A
para conseguir los archivos del usuario C.
Creacin de
un puente
Consiste en el aprovechamiento de un posible descuido de un usuario que est
conectado a Internet a travs de la red cableada y tiene la conexin inalmbrica
encendida y sin usar. Si la conexin Wi-Fi no es segura, el asaltante puede
aprovechar esa puerta abierta para controlar el PC y acceder a la red fija de la
empresa con todos los privilegios del usuario.
Adivinacin
de
contraseas
Consiste en la prueba sistemtica de contraseas relacionadas fundamentalmente con
la vida privada del asaltado hasta dar con la que ha introducido (por ejemplo, la fecha
de nacimiento de la vctima, el nombre de sus hijos, las fechas de cumpleaos de sus
familiares, etctera).
Fuente: INTECO
Consecuencias
Vulnerar el control de acceso podra generar, segn la ISO 18028-2:2006, los siguientes
riesgos:
Robo, borrado o prdida de informacin y otros recursos de la red.
Revelacin de informacin.
Confidencialidad
Es definida por mltiples fuentes:
Segn la metodologa Magerit
82
, es la condicin que asegura que la informacin
no puede estar disponible o ser descubierta por o para personas, entidades o
procesos. En este sentido la confidencialidad a menudo se relaciona con la
intimidad cuando se refiere a personas fsicas.
Segn la ISO 798-2, es una propiedad de la informacin que impide que est
disponible o sea revelada a individuos, entidades o procesos no autorizados.
Segn las directrices de la OCDE para una poltica criptogrfica, es la propiedad
de que los datos o la informacin no estn disponibles, ni se revelen, a personas,
entidades o procesos no autorizados.

81
Hosts: nombre nico que se le da a un dispositivo conectado a una red informtica. Puede ser un ordenador, un servidor
de archivos, un dispositivo de almacenamiento por red, una mquina de fax, una impresora, etctera. Este nombre ayuda
al administrador de la red a identificar las mquinas sin tener que memorizar una direccin IP para cada una de ellas.
82
Ministerio de Administraciones Pblicas (2006). Op. cit. 79.
InstitutoNacional
deTecnologas
delaComunicacin

Segn las directrices de la OCDE para la seguridad de los sistemas de
informacin, es el hecho de que los datos o informaciones estn nicamente al
alcance del conocimiento de las personas, entidades o mecanismos autorizados,
en los momentos autorizados y de una manera autorizada.
En general, las medidas adoptadas para asegurar la proteccin de la confidencialidad
han de ser proporcionales a la naturaleza de los datos y de los procedimientos, los
riesgos a los que estn expuestos y el estado de la tecnologa. La confidencialidad de los
datos exige tambin medidas especficas a la hora de eliminarlos, transportarlos o
almacenarlos en medios fsicos.
Vulnerabilidades
Un ataque contra este requisito se entendera como el acceso a informacin confidencial
por personas o entidades no autorizadas. Esta dimensin versa sobre la posibilidad de
ver informacin o acceder a recursos de los que no se est permitido ver ni acceder
(documentos confidenciales, datos de carcter personal como el DNI, nmeros de
cuentas bancarias, etctera).
Los ataques que podran vulnerar la seguridad de esta dimensin son los siguientes:
Tabla 18: Ataques a la confidencialidad
Ataques Descripcin
Sniffing
Consiste en escuchar los datos sin interferir la conexin. Debido a la naturaleza de
las tecnologas inalmbricas, las comunicaciones dirigidas desde un emisor hacia un
receptor muchas veces pueden ser escuchadas por otros dispositivos, ya que la
comunicacin se propaga mediante ondas electromagnticas y cualquiera que est
en su radio de accin puede verlas o capturarlas. El ataque podra darse en el
momento en que un usuario, conectado desde una red inalmbrica, est enviando un
correo electrnico confidencial. Si el canal de comunicacin no se encuentra
securizado, un sniffer podra verlo.
Mecanismos
de ingeniera
social
Consiste en aprovechar la buena voluntad de los usuarios para solicitarles datos de
acceso confidenciales. Ocurre en escenarios con un cierto nivel de confianza
(preexistente o adquirida en el momento). El asaltante usa esta confianza para
solicitar documentacin o hace uso de algn tipo de trato de favor para obtener
recursos de los que el asaltado dispone, como nmeros de cuentas bancarias, claves
de Internet, etctera.
Ataques
dirigidos por
datos
Consiste en la ejecucin de cdigo software maligno (por ejemplo, J avascript), por
ejemplo, mientras se navega en pginas web poco recomendables.
Caballo de
troya
Consiste en ejecutar un programa malicioso que permanecer en el ordenador sin
llamar la atencin. Podra interpretarse como una puerta abierta por el que un intruso
se puede introducir dentro del ordenador o dispositivo del usuario original, accediendo
a sus datos y recursos.
InstitutoNacional
deTecnologas
delaComunicacin

Ataques Descripcin
Enrutamiento
fuente
Consiste en modificar la ruta de vuelta de los paquetes. Dado que la informacin se
divide en paquetes de datos, y estos contienen un origen y un destino, el ataque
consiste en modificar el destino para que se dirijan al asaltante, el cual los modificara
de nuevo para que fuesen a su destinatario
Evil Twin
Consiste en instalar un punto de acceso ilegtimo en el entorno de actuacin de una
red conocida hacindose pasar por un componente ms de la red. De esta forma, se
consigue que muchos usuarios se conecten a este punto de acceso.
De este modo, el intruso puede visualizar todo el trfico de informacin generado
desde el equipo del usuario.
Muchos expertos aseguran que muy pocos usuarios pueden protegerse a s mismos
de este ataque, aunque los profesionales parecen estar en mejores condiciones
83
.
Este tipo de conexiones Wi-Fi fraudulentas pueden establecerse en un ordenador
porttil con un simple programa y una llave USB que acte como punto de acceso.
Man in the
Middle
Un intruso adquiere la capacidad de leer, insertar y modificar a voluntad los mensajes
entre dos partes sin que ninguna de ellas conozca que el enlace entre ellos ha sido
violado. Este ataque se emplea tpicamente para manipular activamente los
mensajes, ms que para intercepceptar la comunicacin de un modo pasivo y puede
incluir subataques como la interceptacin de la comunicacin (eavesdropping),
incluyendo el anlisis del trfico y posiblemente un ataque a partir de textos planos
(plaintext) conocidos; ataques a partir de textos cifrados escogidos; ataques de
sustitucin; ataques de repeticin; ataque por denegacin de servicio (denial of
service), etctera. El atacante podra, por ejemplo, bloquear las comunicaciones
antes de atacar una de las partes. La defensa en ese caso pasa por el envo
peridico de mensajes de estatus autenticados.
Fuente: INTECO
Consecuencias
Los ataques a esta dimensin podran generar, segn la ISO 18028-2:2006, los
siguientes riesgos para los usuarios:
Robo de informacin.
Integridad
84
, es la propiedad de que los datos o la informacin
no sean modificados o alterados sin autorizacin. La integridad est ligada a la
fiabilidad funcional del sistema de informacin, a su eficacia para cumplir las
funciones del sistema.

83
Herranza, Arantxa: Precaucin antes los Evil Twin, puntos de acceso Wi-Fi de uso fraudulento, mayo de 2007. Pc
World, Techworld.
84
InstitutoNacional
deTecnologas
delaComunicacin

Segn las directrices de la OCDE para una poltica criptogrfica, es la propiedad
de que los datos o la informacin no hayan sido modificados o alterados de forma
no autorizada.
Segn las directrices de la OCDE para la seguridad de los sistemas de
informacin, consiste en que los datos o informaciones sean exactos y completos
y en la preservacin de este carcter exacto y completo.
Segn el Consejo Superior de Administracin Electrnica del Ministerio de
Administraciones Pblicas
85
, es la seguridad de que la informacin, o los datos,
estn protegidos contra modificacin o destruccin no autorizada, y la certidumbre
de que los datos no han cambiado de la creacin a la recepcin.
Segn el Information Technology Security Evaluation Criteria (ITSEC)
86
, es la
prevencin de la modificacin no autorizada de informacin.
Segn la ISO 7498-2, es la propiedad de los datos que garantiza que estos no
han sido alterados o destruidos de modo no autorizado.
La integridad de los datos garantiza la exactitud o precisin de los mismos. Los datos
estn protegidos contra la modificacin no autorizada, eliminacin, creacin y repeticin.
En general, las medidas adoptadas para asegurar la proteccin de la integridad han de
ser proporcionales a la naturaleza de los datos y de los procedimientos, los riesgos a los
que estn expuestos y el estado de la tecnologa.
Vulnerabilidades
Un ataque a este requisito de seguridad consistira en la modificacin de la informacin
por personas que no estn autorizadas a hacerlo.
Los posibles ataques se detallan en la Tabla 19.

85
86
El ITSEC es un conjunto estructurado de criterios para evaluar la seguridad informtica dentro de los productos y
sistemas. Es el equivalente europeo del Libro Naranja desarrollado por el National Computer Security Center (NCSC) de la
National Security Agency (NSA) del Departamento de Defensa de EE.UU.
InstitutoNacional
deTecnologas
delaComunicacin

Tabla 19: Ataques a la integridad
Ataques Descripcin
Enrutamiento
fuente
Consiste en modificar la ruta de vuelta de los paquetes. Dado que la informacin se
divide en paquetes de datos con un origen y un destino, el asaltante puede modificar
el destino para que se dirijan a l y modificarlos de nuevo para que vayan a su
destinatario
Modificacin
de datos
Consiste en la alteracin, borrado o repeticin de informacin o parte de ella sin el
consentimiento de las personas autorizadas para hacerlo. Por ejemplo, la
manipulacin de una imagen fotogrfica mediante programas de edicin avanzada.
Fuente: INTECO
Consecuencias
Violar esta dimensin traera, segn la ISO 18028-2006, las siguientes consecuencias:
Destruccin de la informacin u otros recursos.
Modificacin o corrupcin de la informacin.
Interrupcin del servicio.
Disponibilidad
87
, es el grado en el que un dato o los elementos
que soportan la conexin a una red estn en el lugar, momento y forma en que
son requeridos por un usuario autorizado. La disponibilidad est asociada a la
fiabilidad tcnica de los componentes del sistema de informacin o de la red de
comunicacin.
Segn la ISO 7498-2, es la propiedad que requiere que los recursos de un
sistema abierto sean accesibles y utilizables a peticin de una entidad autorizada.
Segn el ITSEC, es la prevencin de una negacin ilcita de acceso a la
informacin o a los recursos.
El ITU X.805 10/2003 (Telecommunication Standardization Sector of ITU)
88
y la ISO
18028-2:2006 sealan que la disponibilidad garantiza que no haya denegacin de acceso

87
88
Sector de Normalizacin de las Telecomunicaciones de la UIT (10/2003). Arquitectura de seguridad para los sistemas
que prestan de extremo a extremo las comunicaciones.
InstitutoNacional
deTecnologas
delaComunicacin

autorizado a los elementos de la red, a la informacin almacenada, a los flujos de
informacin, a los servicios ni a las aplicaciones. En esta categora se incluyen las
soluciones de recuperacin de desastres.
En general, las medidas adoptadas para asegurar la proteccin de la disponibilidad han
de ser proporcionales a la naturaleza de los datos y de los procedimientos, los riesgos a
los que estn expuestos y al estado de la tecnologa.
En la dimensin de la disponibilidad intervienen muchos y muy variados aspectos:
instalaciones adecuadas y equipamiento fsico, una adecuada plataforma tecnolgica que
permita hacer frente a escenarios variables de carga de trabajo o posibles fallos,
procedimientos de explotacin y de mantenimiento, proteccin contra cdigo maligno y
frente a intentos de intrusin o ataques de denegacin de servicio y normas y
procedimientos referentes a la gestin de la informacin que pueda almacenarse cifrada
que garanticen la gestin de claves de seguridad. La eliminacin de errores de
codificacin y la adopcin de estndares y especificaciones pblicas de programacin
pueden facilitar el control de la aplicacin.
Vulnerabilidades
Un ataque a este requisito de seguridad se producira cuando la red no estuviera
disponible por motivos ajenos al emisor, por ejemplo, por un ataque por inhibidor de
frecuencias o un colapso por un nmero elevado de peticiones.
Los ataques que pueden romper esta dimensin de seguridad se detallan en la siguiente
tabla:
Tabla 20: Ataques a la disponibilidad
Ataques Descripcin
Explotar
errores o
fallos (bugs)
de software
Consiste en aprovechar errores de implementacin de software para acceder a
recursos sin privilegio.
Denegacin
de servicio
Consiste en bloquear un determinado conjunto de servicios para que sus usuarios no
puedan acceder a ellos. Se podra denegar el servicio cuando un gran grupo de
ordenadores o dispositivos soliciten a la vez y de forma masiva el mismo servicio o
recurso sin tener que utilizarlo; esto hara que los usuarios que de verdad lo
necesiten no puedan acceder a l, ya que el servidor estara totalmente saturado.
InstitutoNacional
deTecnologas
delaComunicacin

Ataques Descripcin
Mensajes de
control de red
Se centra en utilizar mensajes ICMP
89
para aprovechar las implementaciones de la
pila TCP/IP
90
. Se podra pensar que este ataque se incluye en los bugs de software
pero, dada su naturaleza inherente al protocolo de comunicacin, se debera tener en
cuenta separadamente.
Interferencia/
inhibicin
Consiste en lanzar interferencias de la seal sobre la banda de funcionamiento de la
tecnologa objeto del ataque o en inutilizarla con un inhibidor de frecuencias. Este
ataque es usado generalmente en entornos cercanos a altos cargos de empresas y
polticos, para inhabilitar acciones mediante el uso de tecnologa de radio.
Fuente: INTECO
Consecuencias
Los ataques a esta dimensin de seguridad podran tener las siguientes consecuencias
(segn la ISO 18028-2:2006):
Destruccin de los recursos de red (el ataque puede daar las antenas de
conexin).
Interrupcin de servicios, clasificadas segn detalle:
o Menos de una hora, considerndolos fcilmente recuperables.
o Hasta un da laborable, coincidente con un plazo habitual de recuperacin
con ayuda telefnica de especialistas externos o de reposicin con
existencia local.
o Hasta una semana, coincidente con un plazo normal de recuperacin
grave con ayuda presencial de especialistas externos, de reposicin sin
existencia local o con el arranque del centro alternativo.
o Ms de una semana, considerado como interrupcin catastrfica.
Control de acceso
Segn el Real Decreto 994/1999, es el mecanismo que, en funcin de la
identificacin ya autenticada, permite el acceso a datos o recursos.

89
ICMP (Internet Control Message Protocol, Protocolo de Mensajes de Control de Internet). Corresponde al subprotocolo
de control y notificacin de errores del Protocolo de Internet (IP).
90
Atenta contra las caractersticas del protocolo de comunicacin, haciendo, por ejemplo, que la red de una organizacin
se colapse por los mensajes de informacin enviadosdesde diversos ordenadores a peticin de un asaltante.
InstitutoNacional
deTecnologas
delaComunicacin

Segn la ISO 7498-2, es el servicio de seguridad que previene el uso de un
recurso salvo en determinados casos y de manera autorizada.
El control de acceso o autorizacin proporciona los mecanismos o permisos necesarios
para la utilizacin de los recursos de la red y garantiza que slo el personal o los
dispositivos autorizados pueden acceder a la red, a la informacin almacenada, a los
flujos de informacin, a los servicios y a las aplicaciones
91
, como por ejemplo el control
de acceso basado en roles (RBAC).

El control de acceso es slo un mecanismo para restringir el uso de recursos, pero no
permite identificar quin se ha conectado o ha accedido a la red. Por ejemplo, un
administrador de red puede proporcionar a varios empleados un nombre de usuario y
contrasea de invitado para restringir el acceso; cada vez que alguien intente
conectarse, deber conocer el usuario/contrasea asociado para superar el control, si
bien el administrador no podr saber cul de los empleados se ha conectado.
Bajo estos conceptos, el control de acceso considera:
Autorizacin de derechos de acceso a distintos recursos del sistema.
Acceso a redes, sistemas, aplicaciones, datos.
Control y auditora de acceso.
El acceso por usuarios que no pertenezcan a la organizacin dara lugar a riesgos si se
produce desde localizaciones con un nivel de seguridad inadecuado. En algunos casos,
se debe llevar a cabo un anlisis de riesgos particular para determinar las medidas que
se deben implantar. La profundidad del anlisis de riesgos debera depender de las
necesidades propias de la compaa.
Vulnerabilidades
Esta dimensin es esencialmente vulnerable cuando se quiere encontrar una red
inalmbrica para acceder a ella sin autorizacin.
El ataque que aplica en esta dimensin es el barrido de frecuencias, es decir, el
descubrimiento una red inalmbrica con el fin de acceder a ella y utilizar sus recursos
como persona autorizada.

91
ITU X.805 10/2003 e ISO 18028-2:2006.
InstitutoNacional
deTecnologas
delaComunicacin

Tabla 21: Ataques al control de acceso
Ataques Descripcin
Barrido de
frecuencias
Las redes inalmbricas utilizan cierto intervalo de frecuencias (llamado espectro) de
ondas electromagnticas por las que se comunican y puedan funcionar (establecer su
cobertura, funcionamiento, etctera). Este ataque consiste en rastrear el aire para
descubrir una red inalmbrica y acceder a ella.
Fuente: INTECO
Consecuencias
Vulnerar esta dimensin podra generar, segn la ISO 18028-2:2006, los siguientes
riesgos:
Modificacin o corrupcin de informacin.
Robo, borrado o prdida de informacin y otros recursos.
No repudio
Existen varias maneras de definirlo como criterio de seguridad en sistemas de
informacin. Aunque la ITU X.805 10/2003 y la ISO 18028-2:2006 consideran que debe
estar catalogada como una dimensin independiente de los requisitos de seguridad, en
este estudio, en lnea con la opinin de expertos y entrevistas realizadas, se considera
una caracterstica para potenciar la autenticacin, confidencialidad e integridad.
Segn la ITU y la ISO, el no repudio proporciona los medios tcnicos para prevenir que
una persona o entidad niegue haber realizado una accin. .
Vulnerabilidades
Por considerarse una caracterstica y no una dimensin de la seguridad, no presenta
ataques. A pesar de ello, puede ser evitado si el intruso es lo suficientemente hbil para
no dejar rastro.
Consecuencias
Segn la ISO 18028-2:2006, los riesgos de seguridad asociados al no repudio son:
InstitutoNacional
deTecnologas
delaComunicacin

Interrupcin de servicios.
4.2 Anlisis del nivel de vulnerabilidad por tipo de tecnologa inalmbrica
Una vez que se han definido detalladamente cada una de las dimensiones de seguridad
utilizadas para medir el nivel de seguridad de las redes inalmbricas y los posibles
ataques para vulnerarlas, se aplica la misma lgica de anlisis para las tecnologas
seleccionadas por su mayor potencial de uso en el mbito espaol.
Este anlisis incorpora diferentes niveles, dependiendo del tipo de tecnologa, que
variarn en base a diversos factores como la seguridad inherente a cada tecnologa, la
facilidad econmica de crear una infraestructura para atacar una red, el uso y la
amigabilidad de la tecnologa, etctera.
Las tecnologas seleccionadas se han agrupado tomando como criterio la similitud que
guardan entre ellas:
GPRS y GSM, al ser el primero una evolucin natural del segundo y
complementarse entre s; GSM se utiliza para transmitir voz y GPRS para datos.
UMTS y HSPA, al ser la segunda la optimizacin de la tecnologa espectral
UMTS/WCDMA.
WLAN y WiMAX, dado que la segunda opera de manera muy similar a WLAN y a
que es una alternativa a la comunicacin mediante ondas de radio para el enlace
DSL; adems, conceptualmente persiguen un objetivo similar, aunque tienen
caractersticas distintas.
Bluetooth y NFC se estudiarn independientemente, dado que no existe ninguna
similitud tecnolgica entre ellas.
Los resultados se han obtenido de las entrevistas realizadas a las empresas
colaboradoras, la opinin de los expertos consultados y la investigacin bibliogrfica.
La siguiente tabla resumen presenta los ataques sufridos por cada tipo de red inalmbrica
y la dimensin de seguridad a la que afectan.

InstitutoNacional
deTecnologas
delaComunicacin

Tabla 22: Ataques por tipo de tecnologa inalmbrica
Dimensiones
de seguridad
Ataques
GSM/
GPRS
UMTS/
HSPA/
WIMAX WLAN Bluetooth NFC
Spoofing S S S S S NO
Hijacking S S S S S NO
Mecanismos
de ingeniera
social
S S NO S S NO
Confianza
transitiva
NO NO NO S NO NO
Creacin de
un puente
NO NO NO S NO NO
Autenticacin
(AU)
Adivinacin
de contrasea
S S NO S S S
Sniffing S S S S S NO
Mecanismos
de ingeniera
social
S S NO S S NO
Ataques
dirigidos por
datos
S S S S NO NO
Caballo de
troya
NO NO NO S NO NO
Enrutamiento
fuente
S S S S NO NO
Evil Twin S S NO S S S
Confidencialidad
(C)
Man in the
Middle
S S S S S S
Enrutamiento
fuente
S S S S NO NO
Integridad
(I) Modificacin
de datos
S NO S S S NO
Explotar
errores o
fallos (bugs)
de software
NO NO NO S S NO
Denegacin
de servicio
S S S S S NO
Mensajes de
control de red
NO NO NO S NO NO
Disponibilidad
(D)
Interferencia/
inhibicin
S S S S S S
Control de
acceso
(CA)
Barrido de
frecuencia
S S S S S NO
92

No repudio (N-
R)
No aplica
Fuente: INTECO

92
A pesar de que se ha especificado que este ataque no afecta a esta tecnologa, realmente s es posible escanearla, si
bien, por su corto alcance de emisin (10 cm), obligara al intruso a tener que desplazar el detector de frecuencias
manualmente por toda la superficie de acceso para su identificacin, lo que no lo hace muy prctico.
InstitutoNacional
deTecnologas
delaComunicacin

A continuacin se considera cada una de las tecnologas en relacin a los ataques a los
que son vulnerables las diferentes dimensiones de seguridad. Y al final de cada una se
presenta un cuadro resumen en el que se valora de forma cualitativa la seguridad de
cada tecnologa respecto a cada dimensin. Esta valoracin se basa en el trabajo de
investigacin realizado durante el proyecto y tiene por objeto posibilitar la comparacin
entre las dimensiones de seguridad de una misma tecnologa.
4.2.1 Tecnologa GSM/GPRS
Autenticacin (AU)
Bajo esta dimensin de seguridad, estas redes pueden ser vulneradas con diversos
ataques como son el spoofing, el hijacking, mecanismos de ingeniera social y adivinacin
de contraseas. Por el contrario, los ataques de confianza transitiva y creacin de un
puente no aplican, debido a que estas tecnologas no recurren a terceros en ningn
momento de su ciclo de vida.
Con respecto a los ataques de spoofing y hijacking, existe un artculo escrito por Elad
Barkan, Eli Biham y Nathan Keller (Instant Ciphertext Only Cryptanalysis of GSM
Encrypted Communication CRYPTO 2003) en el que afirman ser capaces de romper el
algoritmo criptogrfico A5
93
; si esto es as, esta dimensin podra ser vulnerada con
cualquiera de los ataques mencionados. Lo cierto es que para ser capaces de descifrar
una comunicacin GSM, en primer lugar es necesario capturar la informacin que se ha
transmitido, y para esto es necesaria una infraestructura sofisticada, que no se encuentra
al alcance de cualquier usuario, por lo que esta tecnologa se considera segura frente a
estos posibles ataques.
En relacin a los ataques de adivinacin de contraseas e ingeniera social, siempre es
posible tratar de adivinar el PIN de la tarjeta SIM, aunque la probabilidad de acierto es
baja por el alto nmero de combinaciones posibles. Bajo esta premisa, estas redes son
vulnerables, pero aun as se confirma su elevado nivel de seguridad.
En general, con la autenticacin en GSM/GPRS se consiguen identificar unvocamente al
usuario dentro de la red, proteger el sistema de accesos no autorizados y crear una clave
de sesin que permita el posterior cifrado de datos para las comunicaciones, haciendo
segura esta tecnologa.
Confidencialidad (C)
Esta tecnologa, bajo esta dimensin, puede ser vulnerada utilizando diversos ataques,
como el sniffing, mecanismos de ingeniera social, ataques dirigidos por datos,

93
Algoritmo utilizado para cifrar las comunicaciones en un entorno GSM.
InstitutoNacional
deTecnologas
delaComunicacin

enrutamiento fuente, Evil Twin y Man in the Middle, mientras que el ataque de caballo de
troya no aplica por ser exclusivo de la tecnologa WLAN.
Un ataque de sniffing es posible, si bien la tecnologa necesaria para hacerlo es muy
compleja y sofisticada y no se encuentra al alcance de cualquiera. A da de hoy, slo un
operador puede intervenir una comunicacin, y para ello se deben dar dos circunstancias:
que el terminal est utilizando su red y que sea bajo requerimiento de una orden judicial.
En cuanto a los mecanismos de ingeniera social, siempre es posible tratar de adivinar el
PIN de la tarjeta SIM, con lo que estos ataques pueden vulnerar a este tipo de
tecnologas inalmbricas. Para llevar a cabo un ataque dirigido por datos, se puede
ejecutar un cdigo maligno tras una navegacin web por GPRS. Un ataque por
enrutamiento fuente tiene sentido en el momento en el que al terminal se le asigna una
direccin IP en GPRS.
Los ataques Evil Twin o Man in the Middle, al igual que el sniffing, requieren una
infraestructura muy compleja, que debe ser capaz de emular la seal de una antena real
de un operador. Esta circunstancia es posible, ya que una red mvil no se identifica. Sin
embargo, debido a lo costoso y complejo de este ataque es muy improbable que se dirija
a usuarios o pymes; podra darse en guerra o estados de excepcin.
En general, para GPRS la mayora de los aspectos de seguridad coinciden con los de
GSM, con la diferencia de que se aaden los ataques propios de las redes de datos.
Adems, son posibles los ataques de sobrefacturacin, en los que un atacante solicita
datos hacindose pasar por un usuario, capturando su direccin IP; el servidor enva a la
vctima estos datos, que le son facturados.
Adems, un aspecto que proporcionan las tecnologas GSM/GPRS es la proteccin de la
identidad del usuario; para garantizar su confidencialidad, no se emplea su identidad
usual (nmero de serie de la tarjeta SIM), sino una temporal, vlida nicamente para la
conversacin creada en ese momento y para una antena determinada
94
.
En cuanto a los ataques sobre redes GSM/GPRS, el cifrado protege la sealizacin y los
datos de los usuarios entre el dispositivo mvil y la estacin base, pero no en el resto del
trayecto, por lo que los datos viajan en claro (sin cifrar) a travs de la infraestructura de la
operadora
95
, pudiendo vulnerarse la confidencialidad.

94
Martnez Marcos, A.: Seguridad en Tecnologas Inalmbricas. Revista SIC, nmero 66.
95
Martnez Marcos, A. Op. cit. 94.
InstitutoNacional
deTecnologas
delaComunicacin

Integridad (I)
Puede ser atacada mediante modificacin de datos o enrutamiento fuente. Dicho ataque
es factible, segn el documento mencionado en el apartado de autenticacin, sobre la
rotura del algoritmo A5. Adems, un ataque por enrutamiento fuente tiene sentido en el
momento en que al terminal se le asigna una direccin IP en GPRS.
Disponibilidad (D)
Bajo esta dimensin, esta tecnologa podra ser vulnerada utilizando los ataques de
denegacin de servicio e interferencia/inhibicin, mientras que los ataques de explotacin
de errores o fallos (bugs) de software y los mensajes de control de red no aplican, el
primero porque el protocolo no est muy difundido y apenas se han descubierto errores y
el segundo, porque no se conoce la especificacin del protocolo y no se sabe cmo
atentar con esta tcnica (ni siquiera si sera posible).
Los ataques de denegacin de servicio e interferencia/inhibicin se analizados
conjuntamente porque, por un lado, es posible saturar una antena para que no acepte
conexiones y, por otro, se puede saturar el medio compartido para que se produzcan
interferencias en las seales y estas no cumplan con su cometido.
En general, a pesar de ser una tecnologa segura en cuanto a la disponibilidad, el ataque
ms fcil de realizar es la inhibicin de frecuencias, pues afecta a todo lo que se
transmita mediante ondas electromagnticas, haciendo que la red no est disponible. An
as, la probabilidad de que se produzca es bastante pequea porque se necesitan
dispositivos que no estn al alcance de cualquier usuario.
Control de acceso (CA)
El control de acceso de una red GSM/GPRS requiere de forma obligatoria la utilizacin de
una tarjeta SIM autorizada por un operador. Esta condicin hace imposible realizar la
conexin a una red GSM/GPRS sin el consentimiento previo de su propietario, por lo que,
en principio, un barrido de frecuencias sera un ataque intil. Sin embargo, dada la alta
penetracin en el mercado espaol de la telefona GSM, es bastante sencillo adquirir una
tarjeta SIM de un operador para realizar un ataque de este estilo.
Conclusin
Para estas tecnologas, violar cualquiera de las dimensiones de seguridad requiere una
infraestructura prcticamente imposible de conseguir y, aunque tericamente s se puede
violar, las caractersticas asociadas de la tecnologa la hacen segura.
A su seguridad contribuyen an ms las medidas incorporadas en el protocolo GSM
(algoritmo de encriptacin A5). En todo caso, si se quisiera atentar contra estas
InstitutoNacional
deTecnologas
delaComunicacin

tecnologas, prcticamente slo se podra llegar a quebrantar de alguna manera su
disponibilidad.
Tabla 23: Nivel de vulnerabilidad de la tecnologa GSM/GPRS
Tecnologa AU C I D CA
GSMS/GPRS

Tecnologa muy insegura Tecnologa muy segura
Fuente: INTECO
4.2.2 Tecnologa UMTS/HSPA
Este grupo tiene prcticamente las mismas caractersticas que la tecnologa GSM/GPRS.
Aunque son distintas, los riesgos en cada una de ellas son muy parecidos, principalmente
debido a la complejidad de la infraestructura que se necesita para atentar contra ella.
Autenticacin (AU)
Esta dimensin puede ser atacada mediante el spoofing, el hijacking, los mecanismos de
ingeniera social y la adivinacin de contraseas, mientras que los ataques de confianza
transitiva y creacin de un puente no aplican, ya que el primero afecta slo a equipos
conectados a redes TCP/IP donde hay un servidor que gestiona la red y permisos y la
segunda, a equipos con Wi-Fi.
Con respecto a los ataques de spoofing y hijacking, existe un parecido ms que
razonable con la tecnologa GSM/GPRS, lo que justifica la posibilidad de estos ataques.
En relacin con la adivinacin de contraseas y los mecanismos de ingeniera social,
siempre es posible tratar de adivinar el PIN de la tarjeta SIM (usada en UMTS y HSPA.
Esta tecnologa puede ser atacada con mecanismos de ingeniera social, ataques
dirigidos por datos, enrutamiento fuente, Evil Twin y Man in the Middle, mientras que los
ataques de caballo de troya no aplican porque se producen en equipos conectados a
redes TCP/IP como las de la tecnologa WLAN.
Al igual que en el caso de las tecnologas GSM/GPRS antes descritas el ataque de
sniffing, si bien es tcnicamente posible, no es viable porque necesita un equipamiento
similar al de un operador.
InstitutoNacional
deTecnologas
delaComunicacin

Con respecto a la ingeniera social, siempre es posible tratar de adivinar el PIN de la
tarjeta SIM usada para las comunicaciones UMTS y HSPA, con lo que estos ataques
tienen bastante sentido aqu. Para un ataque dirigido por datos, se puede ejecutar un
cdigo maligno llegado tras una navegacin web. En cuanto al ataque de enrutamiento
fuente, cobra sentido en el momento en que se le puede asignar una direccin IP a un
dispositivo. Para un ataque Evil Twin o Man in the Middle ocurre lo mismo que para
GSM/GPRS, que no tiene sentido en un entorno pyme o particular, pero para grandes
empresas, al usar ciertas caractersticas de GSM, es posible la suplantacin de una
antena del operador, que no se tiene que autenticar con el terminal.
Integridad (I)
Esta dimensin puede ser atacada con un enrutamiento fuente, que cobra sentido en el
momento en que se le puede asignar una direccin IP a un dispositivo; el cambio de la
fuente de enrutamiento se hace basndose en el protocolo IP, utilizado en ltima
instancia para que el destinatario reciba la informacin.
Al igual que ocurre con las tecnologas GSM/GPRS, el ataque de modificacin de datos,
si bien es tcnicamente posible, no es viable, pues para emprenderlo es necesario
disponer de un equipamiento similar al de un operador.
En general, para UMTS estas medidas de seguridad tienen una base centrada en GSM, y
por encima de la cual se encuentra un mecanismo de criptografa y cifrado basado en
desafos aleatorios y generacin de claves derivadas, que la hacen mucho ms robusta
que el propio GSM.
Disponibilidad (D)
Esta dimensin puede ser atacada mediante denegacin de servicio e
interferencia/inhibicin, mientras que la explotacin de bugs de software y de los
mensajes de control de red no aplican, en el primero de los casos por no ser conocidos
los errores de programacin del software y en el segundo, por desconocerse la
problemtica en estas tecnologas.
Los ataques de denegacin de servicio e interferencia/inhibicin en estas tecnologas van
de la mano, pues es posible saturar una antena para que no acepte conexiones, y por
otro lado, se puede saturar el medio compartido para que se produzcan interferencias en
las seales y estas no cumplan con su cometido.
A pesar de ser una tecnologa segura en cuanto a la disponibilidad, el ataque ms fcil de
realizar es la inhibicin de frecuencias, haciendo que la red no este disponible. A pesar
de ello, la probabilidad de que se produzca es bastante pequea, porque necesita
dispositivos que no estn al alcance de cualquier usuario. S es ms probable que en
InstitutoNacional
deTecnologas
delaComunicacin

determinadas zonas o edificios dotados de mecanismos de seguridad mediante
inhibidores de frecuencia, la utilizacin de estos dispositivos impida que haya
disponibilidad o cobertura de red en el radio de accin del inhibidor, aunque la antena que
emite la seal no se vea afectada.
Sobre esta dimensin de seguridad acta el barrido de frecuencia. Para realizarlo es
necesario disponer de un terminal 3G y de una tarjeta SIM, que slo puede ser facilitada
por el operador de telecomunicaciones. La presencia de redes UMTS se comprueba con
telfonos de tercera generacin, viendo que est activado el icono del 3G. Para HSPA, se
necesitara un dispositivo bastante menos comn que un telfono mvil, sin ser
especialmente difcil su adquisicin.
Conclusin
Se concluye que este grupo de tecnologas se considera seguro, incluso ms que el de
GSM/GPRS. Ciertamente, su alto grado de proteccin se debe, en parte, a los protocolos
de cifrado incorporados, que las hacen ms robustas.
Por tanto, y a la vista de todo lo anterior, si se quisiese atentar contra la seguridad en
estas tecnologas, prcticamente slo se podra traspasar la dimensin de disponibilidad.
Tabla 24: Nivel de vulnerabilidad de la tecnologa UMTS/HSPA
UMTS/HSPA

Fuente: INTECO
4.2.3 Tecnologa WLAN/WiMAX
Tal y como se he describe en el epgrafe 3.3.2, Tecnologas con elevada penetracin y
potencial de uso, existen dos maneras de conectarse a una red WiMAX. Por un lado, el
escenario en el que un usuario, a travs de una antena, conecta directamente su
dispositivo a la red WiMAX se podra considerar muy seguro, por las caractersticas
inherentes al protocolo.
Por otro lado, si la conexin se realiza a travs de un router intermedio (en el que el
usuario se conecta al router y este a la red WiMAX), la parte del enlace entre el usuario y
InstitutoNacional
deTecnologas
delaComunicacin

el router ser una comunicacin WLAN, con la que compartir todos los riesgos y
amenazas.
La mayora de los proveedores de red prefieren el segundo escenario, ya que:
La eficiencia de las comunicaciones es bastante mayor (hay menos interferencias
y la calidad del enlace es superior).
En el primer escenario se obligara al usuario a disponer de un dispositivo capaz
de conectase a una antena WiMAX, mientras que prcticamente todos los
ordenadores porttiles de hoy en da incorporan tarjetas inalmbricas WLAN de
fbrica.
Los problemas de seguridad se solventan en el segundo escenario con varios
mecanismos ya existentes; adems, estos routers WiMAX suelen incorporar
caractersticas de seguridad.
Por estos motivos, se ha decidido considerar en conjunto los problemas de seguridad de
las tecnologas WLAN y WiMAX.
Autenticacin (AU)
En esta dimensin de seguridad, para la tecnologa WLAN, son factibles los ataques de
spoofing, hijacking, los mecanismos de ingerira social, la confianza transitiva, la creacin
de un puente y la adivinacin de contraseas. Para WiMAX, aplicaran los riesgos de
spoofing y hijacking.
En WLAN, los ataques de sniffing, spoofing y hijacking son viables desde el momento en
que esta tecnologa slo cambia respecto a las redes tradicionales cableadas la
modulacin y el modo de transmisin de la seal; el resto de protocolos de comunicacin
son los mismos. La misma justificacin se podra argumentar para el ataque de confianza
transitiva. En cambio, en el caso de la creacin de un puente, la propia definicin del
ataque hace que sea inherente y exclusivo de esta tecnologa respecto a la dimensin de
autenticacin. Con respecto a los ataques de adivinacin de contraseas e ingeniera
social, siempre es posible tratar de adivinar la clave de la red, con lo que estos ataques
tienen bastante sentido en este entorno.
Aunque WiMAX sea vulnerable a los ataques de spoofing y hijacking, lleva incorporados
mecanismos de seguridad para solventar estas vulnerabilidades, ya que la autenticacin
est basada en certificados digitales.
InstitutoNacional
deTecnologas
delaComunicacin

Si se quisiese realizar un ataque de spoofing o hijaking, la dificultad residira en tratar de
romper la seguridad que aportan los certificados digitales. El resto de ataques no
aplicaran en WiMAX precisamente por la seguridad que confieren los certificados.
Para WLAN, en general, cabe destacar que muchos de los dispositivos de conexin
tienen desactivada la seguridad para su interfaz inalmbrica. Esta tecnologa se utiliza
principalmente en entornos domsticos y, al incrementarse cada vez ms su penetracin
en el mercado, los operadores advirtieron que los usuarios no se conectaban a la red
inalmbrica que tenan contratada, sino a cualquiera. Para evitarlo, decidieron proveer
sus dispositivos de red de clave WEP
96
.
Por ltimo, cabe indicar que este tipo de claves no son del todo seguras, pero sirven
como medida para evitar el acceso a la red, aunque romper el cifrado no es fcil. Aun as,
existen hoy en da muchos paquetes de software gratuitos para descifrar la clave de
seguridad WEP en redes inalmbricas.
Con respecto a la confidencialidad, en WLAN son viables los ataques de sniffing, los
mecanismos de ingeniera social, los ataques dirigidos por datos, los caballos de Troya,
el enrutamiento fuente, el Evil Twin y el Man in the Middle. En WiMAX aplicaran los
ataques de sniffing, los dirigidos por datos, el enrutamiento fuente, el Evil Twin y el Man in
the Middle.
Un ataque de sniffing puede ser realizado desde cualquier equipo con tecnologa WLAN
(normalmente un porttil) que, mediante software, es capaz de capturar la seal
transmitida para analizarla. En funcin del tipo de cifrado que se haya utilizado (ver
epgrafe 5.1.4), la confidencialidad de la informacin ser mayor o menor. Lo mismo
ocurrira en el caso de la tecnologa WiMAX.
Los mecanismos de ingeniera social, los ataques dirigidos por datos, caballo de troya, el
enrutamiento fuente y el Man in the Middle cobran sentido en el momento en que estos
ataques son independientes del medio de transmisin, como en el caso de WLAN, y se
absorben junto con los de las redes cableadas tradicionales. Lo mismo ocurre para
WiMAX, con la excepcin de que no aplican el ataque de caballo de troya ni la ingeniera
social.
A veces se consigue vulnerar esta dimensin de seguridad a travs de puntos de acceso
no autorizados que se hacen pasar por los de la empresa, o por acceso pblicos

96
WEP (Wired Equivalent Privacy o Privacidad Equivalente al Cable). Este tipo de protocolo est ms desarrollado en el
Epgrafe 5.2.5, Protocolo WLAN, IEEE 802.11 o Wi-Fi.
InstitutoNacional
deTecnologas
delaComunicacin

gratuitos, con el objetivo de engaar al usuario para que se conecte a ellos y as espiar
toda su informacin. En particular, la confidencialidad en WiMAX est basada en el
cifrado de datos con los algoritmos Triple DES
97
o EAP, por lo que, para atacar esta
dimensin, habra que romper uno de estos algoritmos de cifrado.
En general, debido a la gran popularidad de la tecnologa WLAN, existen varios
programas de software, tanto de pago como gratuitos, capaces de capturar y manipular la
informacin que se est enviando a travs de estas redes, si bien es cierto que no todos
los dispositivos de red pueden ser configurados para capturar esa informacin y que esta
no suele estar en un formato fcilmente legible.
Integridad (I)
En esta dimensin, tanto para WLAN como para WiMAX es posible realizar ataques de
enrutamiento fuente y modificacin de datos.
Estos dos ataques cobran sentido en el momento en que son independientes del medio
de transmisin, como en el caso de WLAN, y se absorben juntos con el de las redes
cableadas tradicionales.
Adems, el ataque de modificacin de datos es posible, pues el medio de transmisin y
propagacin puede estar compartido por cualquiera que se encuentre en el radio de
cobertura de la comunicacin.
En particular, para WiMAX los certificados digitales, junto a los algoritmos de cifrado TLS-
EAP y 3DES, son suficientes para garantizar esta dimensin de seguridad. Adems, la
autenticacin extremo a extremo (mediante TLS-EAP
98
) garantiza que la informacin
llegue al destino solicitado sin ser interceptada.
Disponibilidad (D)
Con respecto a la disponibilidad, para WLAN son viables los ataques de explotacin de
bugs de software, denegacin de servicio, mensajes de control de red e
interferencia/inhibicin. Para WiMAX aplican los ataques de denegacin de servicio e
interferencia/inhibicin.
Con respecto a la explotacin bugs de software y a los mensajes de control de red,
cobran sentido en el momento en que son independientes del medio de transmisin,
como es en WLAN, y se absorbe junto con el de las redes cableadas tradicionales.

97
En criptografa, se llama Triple DES al algoritmo que hace triple cifrado del DES. Tambin es conocido como TDES o
3DES. fue desarrollado por IBM en 1978.
98
Extensible Authentication Protocol con Transport Layer Security.
InstitutoNacional
deTecnologas
delaComunicacin

Dada la popularidad de las redes WLAN, su disponibilidad es fcilmente atacable.
Cualquier persona puede intentar conectarse y realizar, entre otros, un ataque de
denegacin de servicio. Adems, estas redes tienen los mismos problemas de seguridad
que las cableadas, ya que la nica diferencia entre ellas est en el modo en que se
conectan a la red (enlace).
En general, tanto WLAN como WiMAX, pueden sufrir ataques de denegacin de servicio
y de interferencia/inhibicin porque la seal es inalmbrica.
Resulta bastante sencillo saber si existe una red inalmbrica WLAN si se est dentro de
su radio de cobertura, por lo que realizar un ataque de barrido de frecuencias resulta
trivial. Tan slo habra que disponer de un terminal con interfaz Wi-Fi y escanear el medio
en busca de redes inalmbricas.
Cierto es que un dispositivo de acceso a estas redes (router o punto de acceso) puede
ocultar su nombre de red, pero aun as cualquier detector puede saber si existen o no
redes a su alcance, aunque se desconozca su nombre. Adems, est popularizndose la
tecnologa WLAN en los mviles, por lo que resulta incluso ms accesible.
En cambio, detectar e identificar una red WiMAX resulta ms tedioso, ya que los
dispositivos necesarios para hacerlo no suelen ser de uso tan comn .
En general, se puede saber si existe o no una red inalmbrica si se dispone de un
dispositivo que sea capaz de escanear el medio en busca de ondas operando en
determinadas frecuencias, reservadas exclusivamente para estas tecnologas.
Conclusin
Los diferentes mecanismos de seguridad de los protocolos 802.11 y 802.16 permiten que
estas redes puedan ser inseguras, si no se utiliza ningn tipo de cifrado ni de proteccin,
o muy seguras, mediante el uso de mecanismos de cifrado, certificados y autenticacin
con el protocolo 802.1x).
Para WLAN se aprecia que la dimensin de seguridad ms dbil es la autenticacin,
seguida de la confidencialidad, la disponibilidad y el control de acceso. El ataque ms
sencillo podra ser, para la dimensin de confidencialidad, el sniffing.
InstitutoNacional
deTecnologas
delaComunicacin

Tabla 25: Nivel de vulnerabilidad de la tecnologa WLAN
WLAN

Fuente: INTECO
Para WiMAX, la seguridad es inherente al protocolo, por lo que es una tecnologa
bastante segura. Respecto a una posible comparacin directa con WLAN, se dira que, al
tener WiMAX un rango de cobertura muchsimo ms extenso, la posibilidad de realizar un
ataque del tipo interferencia/inhibicin es ms alta que en el caso de la tecnologa Wi-Fi.
En cambio, en cuanto al control de acceso, el hecho de que la conexin a una red
WiMAX sea ms complicada la convierte en ms segura que la tecnologa WLAN.
Tabla 25: Nivel de vulnerabilidad de la tecnologa WIMAX
WiMAX

Fuente: INTECO
4.2.4 Tecnologa Bluetooth
Autenticacin (AU)
Dada la naturaleza de esta tecnologa, son posibles los ataques de spoofing y hijacking,
los mecanismos de ingeniera social y adivinacin de contraseas. En cambio, no
proceden los ataques de confianza transitiva ni de creacin de puentes, que son del
mbito Wi-Fi.
Si la comunicacin entre dos terminales Bluetooth no est configurada de manera segura,
son posibles los ataques de sniffing y spoofing, mientras que, en caso contrario, la
seguridad se puede romper con un ataque de hijacking. Los mecanismos de ingeniera
social y adivinacin de contraseas siempre estn presentes.
En general, son bastante conocidos los ataques por mecanismos de ingeniera social,
que aprovechan el desconocimiento y la buena voluntad de los usuarios. Se pueden
InstitutoNacional
deTecnologas
delaComunicacin

evitar simplemente dejando el dispositivo Bluetooth apagado cuando no se vaya a utilizar,
o no aceptando elementos y objetos de los que se desconozcan el origen.
En esta dimensin cobran sentido los ataques de sniffing, los mecanismos de ingeniera
social, el Evil Twin y el Man in the Middle; en cambio, los ataques dirigidos por datos, los
caballos de troya y el enrutamiento fuente no aplican a esta tecnologa, pues no funciona
bajo los protocolos TCP/IP que a los que se dirigen.
Realizar un ataque de sniffing sobre Bluetooth es bastante complicado debido a que, la
tcnica de salto de frecuencias impide a cualquier dispositivo que no est emparejado
con el maestro escuchar las comunicaciones, ya que no tiene acceso a la tabla de saltos
utilizada para la transmisin de paquetes.
Un ataque del tipo Evil Twin puede ejecutarse en el momento en que el punto malicioso
puede hacerse pasar por una entidad que desee enviar datos al dispositivo vctima,
aunque este tipo de ataque, debido a la naturaleza de Bluetooth, debe pasar junto con el
ataque de mecanismo de ingeniera social.
Los Man in the Middle pueden llegar a ser posibles debido a ciertas caractersticas del
protocolo; aun as, sera necesario conocer parte de la informacin que se est
transmitiendo en un momento determinado, lo cual resulta bastante difcil.
En general, existe un problema relacionado con la privacidad en Bluetooth. Todos los
dispositivos tienen una direccin (o nombre) nico a nivel mundial, otorgado por el
Institute of Electrical and Electronics Engineers (IEEE), que es conocido como
BD_ADDR. El hecho de que cada dispositivo se identifique usando su BD_ADDR hace
que, una vez se conozca qu persona es duea del dispositivo, se pueda hacer un
seguimiento de sus comportamientos.
El Bluetooth debera usar como mecanismo de seguridad para garantizar la
confidencialidad de los datos transmitidos el cifrado. El problema es que su
implementacin es opcional y siempre se realizara tras una autenticacin exitosa
99
. Aun
as, violar este requisito de seguridad es bastante complejo y requiere conocimientos
avanzados de informtica y telecomunicaciones.
Integridad (I)
Dadas las particularidades de esta tecnologa, no aplica el ataque de enrutamiento
fuente, mientras que el ataque de modificacin de datos tiene sentido por estar el medio

99
Moreno Tablado, A. Seminario de Tecnologas Wireless: Seguridad en Bluetooth.
InstitutoNacional
deTecnologas
delaComunicacin

de transmisin y propagacin compartido por cualquiera que se encuentre en el radio de
cobertura de la comunicacin Bluetooth.
Tambin puede darse el ataque denominado Bluebugging
100
es la evolucin del ataque
bluesnarfing y consiste en obtener acceso a las funciones del telfono mvil a travs del
Bluetooth, sin alertar al usuario de que se est accediendo a su dispositivo. Esta
vulnerabilidad otorga al asaltante la capacidad de iniciar llamadas telefnicas, enviar y
recibir mensajes de texto, leer y escribir datos en la agenda telefnica, escuchar
conversaciones y conectarse a Internet.
Disponibilidad (D)
La disponibilidad en esta tecnologa puede verse comprometida por ataques de
explotacin de bugs de software, denegacin de servicio e interferencia/inhibicin. En
cambio, no aplica el ataque de mensajes de control de red, ya que el Bluetooth no utiliza
el protocolo TCP/IP sobre el que funciona.
Los ataques de explotacin de bugs de software se solan realizar en las primeras
implementaciones de Bluetooth, cuando el protocolo estaba desarrollado pensando en el
uso y no en la seguridad. En cuando a la interferencia/inhibicin, cobra sentido en
cualquier tecnologa inalmbrica, igual que la denegacin de servicio.
En cuanto a los mensajes de control de red, no tienen sentido porque el protocolo no est
muy difundido, es decir, no se conoce su especificacin y, por consiguiente, no se sabe
cmo atentar con esta tcnica.
Bluetooth utiliza un esquema de reconocimiento rpido y con saltos rpidos de frecuencia
para garantizar la robustez del enlace. Es ms robusto que casi todos los dems
sistemas de comunicacin porque salta ms rpido y usa paquetes ms pequeos, por lo
que, cuando un paquete se pierde o no llega a su destino (por el motivo que sea), es ms
fcil y rpido reenviarlo. Sin embargo, existe un ataque de denegacin de servicio en el
que un atacante con un dispositivo Bluetooth y con el software adecuado podra emitir
una solicitud constante de respuesta a otro dispositivo, lo que producira una degradacin
temporal de la batera en el receptor y una desactivacin temporal de los servicios del
dispositivo
101
.
En general, es una tecnologa bastante segura, aunque siempre puede sufrir ataques por
inhibicin de frecuencias que haran que la red no estuviese disponible. Estos ataques
son improbables, ya que estos aparatos no estn al alcance de cualquier usuario.

100
Preguntas y Respuestas de seguridad de www.bluetooth.com.
101
Martnez Marcos, A. Op. cit. 94.
InstitutoNacional
deTecnologas
delaComunicacin

Adems se podra incluir la vulnerabilidad producida por el ataque bluejacking
102
, que se
refiere al envo annimo de anuncios o publicidad usando tecnologa inalmbrica
Bluetooth. No modifica ni suprime ningn dato del dispositivo receptor, pero
conceptualmente es lo mismo que el envo de correo spam. Los dispositivos en modo
invisible no son susceptibles a este tipo de ataques.
En cuanto al control de acceso en Bluetooth, un ataque de barrido de frecuencia siempre
es posible, pues es bastante sencillo saber si existe otro dispositivo Bluetooth.
Sin embargo, existe la posibilidad de configurar el dispositivo para indicar a otros que
est presente y evitar al tiempo que se detecte cuando se escanee el medio. Este
mecanismo es el que se utiliza en la comunicacin con vehculos, para que se asocien a
determinados telfonos mviles con Bluetooth y luego dejen de darse a conocer al medio,
evitando el ataque de car whisperer
103
. El cual es un sistema que permite la recepcin y
envo de audio desde dispositivos manos libres con tecnologa Bluetooth instalados en
los vehculos. De esta forma un atacante puede comunicarse desde un dispositivo no
autorizado, mediante una transmisin desde un ordenador porttil equipado con el
sistema car whisperer, enviar contenido sonoro al auricular y recibirlo a travs del
micrfono del dispositivo.
Otros ataques asociados al control de acceso son el bluesnarfing y el bluebugging. El
primer ataque se refiere al acceso no autorizado a un dispositivo inalmbrico a travs de
una conexin Bluetooth con el posible robo de informacin. Los dispositivos en modo
invisible no son susceptibles a este tipo de ataques. El segundo es la evolucin del
primero y consiste en obtener acceso a las funciones del telfono mvil a travs del
Bluetooth, sin alertar al usuario de que se est accediendo a su dispositivo. Esta
vulnerabilidad otorga al asaltante la capacidad de iniciar llamadas telefnicas, enviar y
recibir mensajes de texto, leer y escribir datos en la agenda telefnica, escuchar
conversaciones y conectarse a Internet.
Conclusin
Se concluye, por tanto, que esta tecnologa es poco segura, porque depende en cierta
medida de su correcto uso; si el usuario protege adecuadamente los dispositivos de
posibles ataques, la tecnologa ser segura. La forma de atacar una comunicacin que
use esta tecnologa ira dirigida a la dimensin de autenticacin.

102
Op. cit. 100.
103
Op. cit. 100.
InstitutoNacional
deTecnologas
delaComunicacin

Tabla 26: Nivel de vulnerabilidad de la tecnologa Bluetooth
Bluetooth

Fuente: INTECO
4.2.5 Tecnologa NFC
Autenticacin (AU)
Esta tecnologa no tiene ningn apartado dedicado a la autenticacin en particular por no
aplicar. Aun as, los protocolos para realizar transacciones s suelen solicitar alguna clave
o contrasea, que podra adivinarse.
En esta dimensin de seguridad, slo es viable un ataque del tipo Man in the Middle,
leyendo la tarjeta NFC del usuario sin que este se de cuenta. En cambio, los mecanismos
de ingeniera social, los ataques dirigidos por datos, los caballos de Troya y el
enrutamiento fuente no cobran sentido en esta tecnologa, ya que no hay contraseas
que robar y no utiliza la tecnologa IP.
En general, dada la escasa distancia a la que deben estar los integrantes de una
comunicacin NFC, se considera que la informacin transmitida de manera inalmbrica
es bastante segura, ya que la nica forma de violar la confidencialidad de la
comunicacin es que exista otro dispositivo de las mismas caractersticas a la misma
distancia, por lo que el usuario se percatara del intento de asalto.
Sin embargo, un ataque Evil Twin s es posible; se pueden instalar puntos de acceso
NFC falsos hacindolos pasar por lectores autnticos. El principal riesgo es el acceso a
datos confidenciales alojados en la tarjeta NFC, si bien no est previsto incorporar datos
personales.
Integridad (I)
En esta tecnologa no aplican ni los ataques por enrutamiento fuente ni la modificacin de
datos, dada la escasa distancia a la que se tienen que ubicar los elementos de la
comunicacin.
InstitutoNacional
deTecnologas
delaComunicacin

Disponibilidad (D)
Esta dimensin de seguridad puede ser atacada mediante interferencia/inhibicin,
mientras que la explotacin de Bugs de Software, los ataques de denegacin de servicio
y los mensajes de control de red no son aplicables.
En general, es una tecnologa bastante segura, pero siempre se pueden inhibir las
frecuencias para que la red no est disponible. La probabilidad de que esto ocurra es
bastante pequea, ya que estos aparatos no estn al alcance de cualquier usuario.
Al ser esta tecnologa bastante novedosa, las estaciones lectoras se identifican con unos
dibujos bastante llamativos, formando curvas concntricas sobre un mismo punto. Por
tanto, la identificacin de una red NFC es bastante sencilla (ver Figura 11). Para llegar a
formar parte de la red o interactuar con ella se debe poseer un chip NFC, de lo que se
desprende que un ataque de barrido de frecuencia no es posible, aunque s que se puede
saber dnde opera esta tecnologa. Si la intencin no es buena, es posible insertar chips
NFC en lugares no identificados y habituales sin posibilidad de deteccin por el usuario,
que slo podra constatar la aparicin de un mensaje de confirmacin en el terminal mvil
con NFC.
Conclusin
Dadas las caractersticas que definen esta tecnologa y el uso que se hace de ella (las
comunicaciones suelen ser de unos pocos segundos), podra considerarse relativamente
segura. No obstante, si alguien estuviese interesado en quebrantar su seguridad, muy
probablemente tratara de quebrantar la confidencialidad, ya que un ataque Man in the
Middle no resultara extremadamente complejo de implementar. Tambin se podra
transgredir la seguridad yendo contra la disponibilidad y el control de acceso, aunque a
priori su xito estara menos garantizado. En cuanto a la autenticacin no aplica a esta
tecnologa por las propias caractersticas de la misma.
Tabla 27: Nivel de vulnerabilidad de la tecnologa NFC
NFC

Fuente: INTECO
InstitutoNacional
deTecnologas
delaComunicacin

5 SOLUCIONES DE SEGURIDAD CON APLICACIN A
REDES INALMBRICAS
Tras el trabajo de campo y la investigacin bibliogrfica, se concluye que para lograr un
nivel adecuado de seguridad, tanto para redes cableadas como para inalmbricas, es
importante implantar un conjunto de medidas de seguridad tcnicas y organizativas para
los datos, la informacin, las aplicaciones y los sistemas que las sustentan y que,
adems, se mantengan en equilibrio las dimensiones de seguridad ya descritas:
autenticidad, confidencialidad, disponibilidad, integridad y no repudio.
En este captulo se exponen las medidas empleadas para garantizar las dimensiones de
seguridad en cada tecnologa inalmbrica. Adems, independientemente de la
tecnologa, se detalla una serie de recomendaciones que han de seguirse para proteger
la red.
5.1 Dimensiones de seguridad
Tomando como referencia las recomendaciones dadas por el Consejo Superior de
Administracin Electrnica (CSAE)
104
, se proponen las siguientes medidas generales de
seguridad:
5.1.1 Control de acceso
Implantar un procedimiento formalizado para regular el acceso a las redes o
dispositivos, es decir, no dejar nunca una red abierta sin contemplar algn tipo de
validacin previa a la conexin, salvo en casos intencionados por motivos
personales o profesionales (por ejemplo, puntos de acceso pblicos en
aeropuertos).
5.1.2 Autenticacin
Establecer algn mecanismo que permita asociar al usuario con el dispositivo
conectado a la red, y que permita comprobar que se ha superado correctamente
el control de acceso. Los objetivos de esta medida deben ser:
o Identificar y autenticar la identidad del usuario para acceder a la aplicacin
y a otros recursos, antes de permitirle realizar cualquier accin.
o Asignar a cada usuario un identificador nico para su uso exclusivo y
personal, de forma que cualquier actuacin pueda ser trazada.

104
InstitutoNacional
deTecnologas
delaComunicacin

Utilizar contraseas nicas por cada usuario. En caso de requerir una seguridad
fuerte, se recomienda utilizar algoritmos para la generacin de claves
105
.
Establecer mecanismos de autenticacin. Se pueden considerar tres niveles:
o Autenticacin simple: basada en mecanismos tradicionales de usuario y
contrasea.
o Autenticacin fuerte: basada en la utilizacin de tcnicas de criptografa
asimtrica y en el uso de certificados electrnicos. Tambin suele referirse
a la combinacin de algo que el usuario posee (por ejemplo, una tarjeta
electrnica) con algo que conoce (como las claves PIN).
5.1.3 Disponibilidad
La exposicin de las tecnologas inalmbricas a todo el espectro de frecuencia hace que
esta dimensin sea especialmente importante en este entorno. Para garantizarla se
recomiendan de forma genrica las siguientes medidas:
Adoptar dispositivos de proteccin fsica de los puntos de acceso inalmbricos.
Generar mecanismos de prevencin de ataques de denegacin de servicio
(control peridico de los protocolos utilizados y recibidos por los puntos de
acceso).
5.1.4 Confidencialidad
Utilizar mecanismos que permitan cifrar la informacin para que no pueda ser
utilizada por terceros, dadas las consecuencias de la exposicin al entorno de la
informacin transmitida por una red inalmbrica. Para ello, se recomiendan una
serie de mecanismos de cifrado:
o Cifrado simtrico: algoritmo en el que la clave para cifrar es igual a la de
descifrar. La seguridad del proceso depende del secreto de la clave, no del
algoritmo. El emisor y el receptor deben compartir la misma clave,
desconocida para cualquier otro individuo, para cifrar y descifrar.
o Cifrado asimtrico: algoritmo de cifrado que utiliza claves distintas para
cifrar y descifrar. De estas dos claves, una es conocida (pblica) y la otra
permanece en secreto (privada). Lo fundamental de este sistema reside en
la confianza de que una determinada clave pblica corresponde realmente

105
INTECO: Recomendaciones para la creacin y uso de contraseas seguras. Disponible en
http://www.inteco.es/Seguridad/Observatorio/Estudios_e_Informes/Notas_y_Articulos/recomendaciones_creacion_uso_cont
rasenas
InstitutoNacional
deTecnologas
delaComunicacin

a quien proclama ser su propietario. Habitualmente, se utilizan diferentes
pares de claves para distintos fines (firma electrnica, autenticacin
electrnica, confidencialidad).
o Definicin de funcin resumen o hash: funcin de un solo sentido que, a
partir de una cadena de bits de longitud arbitraria, calcula otra,
aparentemente aleatoria, de longitud fija, normalmente un resumen. Se
utiliza principalmente en la creacin y verificacin de la firma electrnica.
o Certificado reconocido: certificados electrnicos expedidos por un
prestador de servicios de certificacin que cumpla los requisitos
establecidos en la Ley de Firma Electrnica
106
en cuanto a la
comprobacin de la identidad y dems circunstancias de los solicitantes y
a la fiabilidad y las garantas de los servicios de certificacin que presten.
En el trfico de correo electrnico se recomienda utilizar el estndar S/MIME v2
107
(o
superior) para garantizar su seguridad.
Sobre esta dimensin, es importante destacar que todas las tecnologas tienen ya
definidas por defecto su mecanismo de cifrado, siendo Wi-Fi la nica sobre la que los
usuarios pueden configurar el nivel de seguridad.
Para aquellas tecnologas donde no se tiene la opcin de actuar, la alternativa ms
recomendable es implementar las medidas de seguridad sobre el dispositivo para que la
informacin ya viaje cifrada, Esto se explica con mayor detalle en el epgrafe 6.
5.1.5 Integridad
No existen soluciones especficas para mantener la integridad de la informacin para
redes inalmbricas, no son diferentes de las soluciones inherentes a las redes fijas. En
cualquier caso, debido a la facilidad de deteccin de las tecnologas inalmbricas, es
recomendable utilizar un doble mecanismo. Por un lado, la definicin y aplicacin de
procedimientos para evitar la instalacin de software no autorizado por la organizacin, y
por otro, la disposicin de un certificado digital/firma digital.
5.1.6 No repudio
En el caso especfico de las tecnologas inalmbricas, el no repudio se evita aplicando un
sistema de autenticacin que permita trazar quin se ha conectado. Para ello, se

106
Ley 59/2003, de 19 de diciembre, de Firma Electrnica. Disponible en
http://www.boe.es/boe/dias/2003/12/20/pdfs/A45329-45343.pdf
107
S/MIMEv2 (Secure Multipurpose Internet Mail Extensin, version 2) o S/MIMEv3 IETF, la cual es el sucesor de
normalizacin de la S/MIMEv2 protocolo desarrollado por RSA Inc. Utiliza los mecanismos criptogrficos especificados por
CMS para garantizar mensajes con formato MIME.
InstitutoNacional
deTecnologas
delaComunicacin

recomienda complementar el mecanismo de autenticacin con la creacin y el
mantenimiento de un directorio de registro de acceso (log), que registre el momento
(fecha y hora) en que un usuario o proceso accede a la red.
5.2 Soluciones por tecnologas inalmbricas
A continuacin se presentan las soluciones recomendadas para cada uno de los grupos
de tecnologas inalmbricas identificados.
5.2.1 Tecnologa GSM/GPRS/UMTS/HSPA
Las soluciones para estas cuatro tecnologas se estudian juntas pues, al tratarse todas
ellas de tecnologas gestionadas por operadores de telecomunicaciones y de largo
alcance, las medidas de seguridad son similares.
Todas estas tecnologas utilizan sistemas de control de acceso muy slidos basados en
la existencia de una tarjeta SIM y su registro previo en los sistemas del operador. Es
decir, el proceso de acceso a la red de un operador pasa por que sus sistemas de red
reconozcan la identificacin generada por la SIM para autorizar su conexin. Por otro
lado, esta forma de conectarse impide la suplantacin, al no publicar la SIM su
identificador real, sino uno temporal utilizado nicamente durante la comunicacin
establecida en ese momento. Tampoco es posible realizar una clonacin de SIM, pues
dos tarjetas no pueden estar conectadas al mismo tiempo a una red de telefona.
Actualmente no existen medidas al alcance del usuario y/o las pymes para incrementar la
seguridad en las dimensiones definidas. Por lo tanto, los aspectos de seguridad
especficos de las tecnologas suministradas por los operadores de telecomunicaciones
son las referidas a la proteccin del dispositivo de acceso.
Autenticacin (A)
El registro previo de las tarjetas SIM por parte del operador, el hecho de que sean
imprescindibles para establecer la comunicacin y la emisin del dispositivo de su
identificador personal permiten asociar estos dispositivos a una persona fsica o jurdica.
Si bien esto no es posible en el caso de los mviles prepago (por no requerirse la
autenticacin del usuario en el momento del alta), en Espaa esta situacin cambiar en
virtud de la Ley de Conservacin de Datos relativos a las Comunicaciones
InstitutoNacional
deTecnologas
delaComunicacin

Electrnicas
108
, que obliga a las compaas a guardar los datos de usuarios y llamadas
(salvo su contenido) y cederlos en investigaciones criminales.
Los protocolos de transmisin de datos permiten, por una parte, la utilizacin de los
mecanismos de cifrado propios del mundo IP (ssl, https, IPSec...). Cuando se trata de
protocolos diseados especficamente para la telefona mvil, incorporan protocolos
seguros asociados como, en el caso del WAP, el WTLS. Su utilizacin depende de cada
operador, ya que es el encargado de operar la red.
Disponibilidad (D)
La disponibilidad se comprueba constantemente por los operadores, en base a la
informacin transmitida por las antenas y el control que de ellas realizan. En caso de que
alguna de las antenas quede inutilizada, se alarma al centro de operaciones de red, lo
que les permite actuar para su reparacin. Normalmente, si una de las antenas sufre una
cada por un ataque, es posible que el dispositivo siga funcionando si la antena ms
prxima tiene cobertura suficiente sobre la zona afectada; la red est protegida y
cualquier incidencia no afecta al funcionamiento general de la misma.
Integridad (I) y no repudio (NR)
En cuanto a la integridad, tal y como se describe en el epgrafe 5.1.5, no existen
soluciones especficas para garantizarla.
La aplicacin de soluciones para el no repudio se basa en las medidas de autenticacin
disponibles y en el registro que todos los operadores realizan de las llamadas de los
usuarios.
5.2.2 Tecnologa WiMAX
Aunque esta tecnologa comparte muchos de los ataques de la tecnologa WLAN, el
anlisis de las soluciones se realiza por separado.
Control de acceso (CA) y Autenticacin (A)
El controlador de servicio AAA (Authentication Authorization Accounting) es una solucin
para operadores que incluye la autenticacin, autorizacin y registro para la implantacin
de servicios WiMAX. Este controlador cumple rigurosamente la norma establecida por la

108
Ley 25/2007, de 18 de octubre, de conservacin de datos relativos a las comunicaciones electrnicas y a las redes
pblicas de comunicaciones. Disponible en http://www.boe.es/boe/dias/2007/10/19/pdfs/A42517-42523.pdf
InstitutoNacional
deTecnologas
delaComunicacin

especificacin 1.0.0. de la Fase 3 del Grupo de Trabajo en Redes del WiMAX Forum
109
,
que contempla funciones como el mtodo de autenticacin EAP
110
, IP mvil y las
derivaciones requeridas de adaptacin al WiMAX mvil.
La seguridad WiMAX soporta dos estndares de encriptacin de calidad, DES3 y AES,
que hacen que sea considerada una tecnologa de vanguardia. Bsicamente, todo el
trfico en redes WiMAX debe ser encriptado empleando el Counter Mode con Cipher
Block Chaining Message Authentication Code Protocol (CCMP), que utiliza AES para
transmisiones seguras y autenticacin de la integracin de datos.
La autenticacin end-to-end de la metodologa PKM-EAP es utilizada de acuerdo con el
estndar TLS de encriptacin de clave pblica.
Disponibilidad (D)
Los operadores de servicio controlan constantemente la disponibilidad y correcto
funcionamiento, en base a la informacin transmitida por las antenas y el control que de
ellas realizan. En caso de que alguna de las antenas quede inutilizada, se alarma al
centro de operaciones de red para que proceda a su reparacin.
En cuanto a la integridad, tal y como se describe en el epgrafe 5.1.5, no existen
soluciones especficas para garantizarla.
La aplicacin de soluciones para el no repudio se basa en las medidas de autenticacin
disponibles, en este caso, en el servidor AAA.
5.2.3 Tecnologa Bluetooth
La principal motivacin de esta tecnologa fue la creacin de un protocolo de
comunicacin sencillo, rpido, gil, efectivo y barato, de corto alcance y que consumiese
pocos recursos, por lo que inicialmente no se pens en ningn aspecto relativo a la
seguridad. El gran xito de esta tecnologa y su uso frecuente hicieron necesario mejorar
el protocolo para adaptarlo a los requisitos de seguridad . Por tanto, dependiendo de la
versin de Bluetooth que se est utilizando, es posible que tenga o no unas medidas de
seguridad implcitas. En este apartado se describen las medidas de seguridad necesarias
para la versin ms antigua de Bluetooth.

109
Disponible en http://www.wimaxforum.org/technology/documents/WiMAXNetworkArchitectureStage2-3Rel1.0.0.zip
110
Extensible Authentication Protocol. Protocolo que permite la autenticacin end-to-end y que se basa en protocolos
criptogrficos estndares.
InstitutoNacional
deTecnologas
delaComunicacin

Control de acceso (CA) y autenticacin (A)
En general, y tal y como se ha comentado anteriormente, existen varios niveles de
implementacin del protocolo Bluetooth. El acceso a un dispositivo mediante esta
tecnologa se realiza a travs de un proceso denominado emparejamiento. Para que un
dispositivo pueda emparejarse a otro, se solicita una clave o cdigo PIN que debe ser
introducido en ambos dispositivos.
A partir de ese momento, el sistema solicita una aceptacin del. Para evitar el riesgo de
captura del cdigo PIN durante la comunicacin, la mejor defensa es la longitud de dicho
PIN, por lo que se recomienda utilizar claves alfanumricas de al menos ocho dgitos.
Para evitar que se empareje un dispositivo no deseado se recomienda seguir las
siguientes recomendaciones:
No realizar emparejamientos en lugares pblicos.
No aceptar ningn mensaje de conexin si no se reconoce el origen o la fuente
Apagar la conexin Bluetooth cuando no se est utilizando para evitar ataques de
intento de acceso.
Configurar el dispositivo en modo oculto, reduciendo as las posibilidades de que
un atacante detecte el dispositivo cuando escanee el entorno.
No publicar un nombre identificativo del dispositivo que d pistas sobre el modelo
y marca del mvil.
Disponibilidad (D)
No hay soluciones especficas para garantizar la disponibilidad de una comunicacin
Bluetooth ante ataques, ya que la emisin de esta tecnologa depende del dispositivo.
El protocolo Bluetooth no cifra la informacin; por ello, para asegurar la confidencialidad
de la informacin se hace necesario configurarlo desde el dispositivo y siempre despus
de haber realizado un emparejamiento. Se recomienda tener siempre activada la opcin
de cifrado en el dispositivo, aunque la implementacin del protocolo no est disponible en
versiones antiguas.
InstitutoNacional
deTecnologas
delaComunicacin

No hay mecanismos especficos para proteger la integridad de la informacin transmitida
por Bluetooth. Tampoco hay soluciones especficas a los problemas de no repudio.
5.2.4 Tecnologa NFC
La tecnologa NFC acta a muy corta distancia, lo que le confiera unos niveles de
seguridad en la transmisin muy robustos que se detallan a continuacin en base a las
diferentes dimensiones de seguridad.
En NFC no se accede a ninguna red, simplemente se intercambia informacin entre un
receptor y un emisor.
Autenticacin (A)
La tarjeta o chip NFC integrado en el dispositivo almacena toda la informacin de
autenticacin del dispositivo, por lo que a la hora de realizar una accin se tiene
perfectamente identificada qu tarjeta o dispositivo ha emprendido la operacin.
Disponibilidad (D)
No hay soluciones especficas para garantizar la disponibilidad de una comunicacin NFC
ante ataques, ya que la emisin de esta tecnologa depende del dispositivo emisor y
receptor.
La informacin a travs de NFC viaja cifrada. Este hecho, unido a la proximidad a la que
se realizan las comunicaciones y a su corta duracin (slo se utiliza para el intercambio
de datos), hace muy difcil que se puedan interceptar.
En este caso, se recomienda como principal medida de seguridad (al igual que en el caso
de las tarjetas de crdito) no perder de vista el dispositivo a la hora de realizar la actividad
de aproximacin al medio de reconocimiento, y slo aceptar el mensaje de confirmacin
si se est seguro de la legitimidad del punto de reconocimiento; si se tiene la sospecha
de que ha sido manipulado, lo recomendable es dirigirse a otro punto ms cercano.
No hay mecanismos especficos para proteger la integridad de la informacin que viaja a
travs de una comunicacin NFC. Tampoco hay soluciones especficas a los problemas
de no repudio.
InstitutoNacional
deTecnologas
delaComunicacin

5.2.5 Protocolo WLAN, IEEE 802.11 o Wi-Fi
Sin lugar a dudas, esta es la tecnologa que permite ms opciones de configuracin del
nivel de seguridad de la red, ms all de la proteccin del propio dispositivo. En funcin
de las necesidades, la red Wi-Fi se puede dejar completamente abierta y sin cifrar para
poder acceder a los recursos y datos fcilmente o hacer de ella un entorno muy seguro.
Frente a las tecnologas NFC, Bluetooth y GSM/GPRS/UMTS/HSDPA, que no permite
actuar a los usuarios sobre sus mecanismos de defensa, el Wi-Fi s ofrece esta
posibilidad.
Como consecuencia, las soluciones de Wi-Fi engloban, normalmente, ms de una de
las dimensiones de seguridad, por lo que el anlisis se har en funcin del tipo de
solucin, indicando en cada caso las dimensiones que protege.
Protocolos de seguridad
Todos los equipos que emiten seal Wi-Fi (routers o puntos de acceso, PC, etctera)
permiten configurar el protocolo de seguridad con el que se quiere transmitir, permitiendo
as cubrir las dimensiones de control de acceso, confidencialidad y, en algunos casos,
autenticacin. Los diferentes protocolos existentes son:
WEP (Wired Equivalent Privacy o Privacidad Equivalente al Cable). Fue el primer
sistema de cifrado asociado al protocolo 802.11. Utiliza una clave simtrica. Se
considera como el menos seguro de todos por su facilidad para romperlo, siempre
y cuando la persona que quiera hacerlo tenga los conocimientos informticos
adecuados.
WPA (Wi-Fi Protected Access o Proteccin de Acceso Wi-Fi). Este protocolo,
evolucin del WEP, es ms robusto. Fue diseado inicialmente como protocolo de
autenticacin para paliar las deficiencias del cifrado WEP. Aunque su longitud de
clave es menor que la de WEP, su mtodo de cifrado es ms robusto.
WPA2 (Wi-Fi Protected Access o Proteccin de Acceso Wi-Fi, versin 2).
Estndar basado en el IEEE 802.11i. Este mtodo es considerado bastante
seguro, ya que utiliza el algoritmo de cifrado AES, por lo que su ruptura es
bastante complicada.
WPA PSK (Wi-Fi Protected Access Pre-Share Key o Proteccin de Acceso con
Clave Precompartida). Segn las entrevistas realizadas, esta opcin de cifrado es
la ms segura para una pyme o un particular. Este mtodo difiere del anterior en
que existe una clave compartida por todos los integrantes de la red previamente a
la comunicacin (desde la configuracin de los dispositivos). La fortaleza de la
seguridad reside en el nivel de complejidad de esta clave.
InstitutoNacional
deTecnologas
delaComunicacin

Cualquiera de estos protocolos de cifrado de datos y autenticacin de red se configura en
dos pasos:
En primer lugar, se debe configurar la clave en el router de acceso y, despus, en
los dispositivos que vayan a utilizar la red. Es decir se debe a la configuracin del
router mediante interfaz web, configurar la seguridad en la interfaz wireless y por
ltimo elegir el cifrado del tipo de seguridad que se quiera tener. En WEP, se
deber elegir entre una clave de 5 o 13 caracteres o una de 10 o 26 dgitos
hexadecimales
111
, dependiendo de que se quiera una clave de 64 o 128 bits de
longitud. En cambio, para una clave de la familia WPA, slo se necesita entre 8 y
63 caracteres o 64 dgitos hexadecimales.
En segundo lugar, se deber hacer lo mismo en todos los dispositivos que se
quieran conectar a la red, usando exactamente la misma configuracin que para
el router.
En general, los mtodos descritos solucionan muchos de los problemas de seguridad de
varias dimensiones, ya que son protocolos de nivel de enlace y hacen posible securizar
en primera instancia las comunicaciones inalmbricas, equiparndolas a las cableadas.
Aun as, las soluciones ms potentes permiten solventar los ataques derivados del
quebrantamiento de varias dimensiones, tales como la autenticacin, la confidencialidad,
la integridad y algunos ataques a la disponibilidad.
Como todas dependen de una clave compartida, en el momento en que sea conocida
(por ser difundida o porque se conozca por ingeniera social o adivinacin) estas
dimensiones dejarn de ser seguras.
Autenticacin por MAC
Estas opciones se pueden incrementar con una autenticacin por direcciones MAC, que
consiste en dotar al punto de acceso de la red de una lista con las direcciones MAC de
las tarjetas inalmbricas que pueden asociarse a dicho punto. Este mtodo se puede
romper, pero para ello se necesitan conocimientos de informtica avanzados. Con esta
solucin se preservaran las dimensiones de autenticacin y control de acceso.
Servidor AAA (Authentication Authorization Accounting)
En el caso de grandes empresas se pueden utilizar servidores de autenticacin
centralizados, como Remote Authentication Dial-In User Service (RADIUS). Toda la
infraestructura para disponer de un sistema con un servidor RADIUS forma parte del

111
Sistema de numeracin de base 16. El conjunto de sus nmeros van del 0 al 9 y de la A a la F.
InstitutoNacional
deTecnologas
delaComunicacin

protocolo 802.1x. Con ello se conseguira solventar todos los problemas de seguridad de
las redes inalmbricas asociados a la confidencialidad, autenticacin, accesibilidad e
integridad.
Proteccin de gestin de tramas o sistemas de identificacin de puntos de acceso
no autorizados
Esta solucin permite que la red detecte tramas spoofed (de spoofing) de puntos de
acceso o usuarios que aparentan serlo. Ante esta situacin, el sistema, mediante una
gestin inteligente de la red, es capaz de realizar las siguientes acciones de defensa:
Identificar por triangulacin el posicionamiento fsico de dicho punto de acceso en
un mapa de la empresa, de forma que puedan evitarse interferencias en la red.
Evitar de forma proactiva que ningn ordenador u otro dispositivo de la empresa
se conecte a ese punto no permitido, mediante el envo de mensajes de
desconexin. El sistema global es capaz de recuperar la conexin de esos
equipos a la red autorizada.
Proteccin mediante firewall
Existen soluciones para controlar, mediante el firewall, los ataques de malware a travs
de un dispositivo. El sistema de proteccin es capaz de identificar el equipo del que
proviene el ataque y dar una orden al punto de acceso para que proceda a su
desconexin.
Uso de NAC (Network Access Control)
Los sistemas de autenticacin de dispositivos no slo permiten controlar quin se puede
conectar, sino tambin desde qu dispositivos se puede realizar dicho acceso y si el
dispositivo conectado cumple con las polticas de seguridad de la empresa (incluso puede
denegar el acceso a un equipo autorizado que no cumpla dichas medidas).
Contar con Virtual Private Network (VPN)
Una red privada virtual es una tecnologa de red que permite una extensin de la red local
sobre una red pblica o no controlada, como por ejemplo Internet. De esta forma, puede
controlar quin y qu mquina se conect y el nivel de acceso. Para asegurar la
integridad de la informacin, la VPN utiliza funciones de hash; los algoritmos hash ms
comunes son los Message Digest, versiones 2 y 5 (MD2 y MD5), y el Secure Hash
Algorithm (SHA). Para asegurar la confidencialidad, se hace uso de algoritmos de cifrado
como el DES (Data Encryption Standard), Triple DES (3DES) y EAS (Advanced
Encryption Standard).
InstitutoNacional
deTecnologas
delaComunicacin

Otras medidas
Apagar el acceso Wi-Fi cuando no se est utilizando, para evitar el riesgo de
ataques innecesarios.
Ocultar la publicacin del nombre de la red SSID para que no pueda ser
identificada, aunque esto no evite que sea detectada.
InstitutoNacional
deTecnologas
delaComunicacin

6 DISPOSITIVOS MVILES
Una de las principales ventajas asociadas a las tecnologas inalmbricas es su
contribucin a la movilizacin de las comunicaciones. Para ello tambin es necesario
contar con dispositivos pequeos y de fcil transporte que permitan el aprovechamiento
de las ventajas de conexin que ofrecen estas tecnologas.
Los dispositivos mviles se dividen principalmente en dos grupos:
Dispositivos mviles bsicos, que permiten la recepcin y envo de llamadas,
mensajes de voz y de texto.
De ltima generacin o avanzados, que permiten trabajar bajo un sistema
operativo (Pocket PC, Linux, Symbian, Palm OS, Windows Mobile o BlackBerry),
funcionar como una agenda digital, recibir y enviar correos electrnicos, navegar
por Internet mediante conexin GRPRS o Wi-Fi, conectarse va inalmbrica a
otros dispositivos o reproducir vdeos, msica y capturar imgenes para enviarlas
luego a otro dispositivo. Son, por ejemplo, las PDA, los mviles con acceso a
servicios de correo electrnico, los porttiles y los PC de sobremesa.
Los dispositivos mviles han pasado de ser simples terminales para la transmisin de voz
a complejos dispositivos o smartphones que permiten ejecutar aplicaciones, disponen de
un sistema operativo, tienen la capacidad de transmitir datos y/o correos electrnicos y
son capaces de almacenar informacin. Todas estas nuevas funcionalidades los
convierten en pequeos ordenadores personales, por lo que tambin heredan todos los
posibles riesgos asociados a ellos: malware, prdida de informacin, etctera.
Considerando esta realidad, junto con la caracterstica de la mayora de ellos de ser el
principal medio de acceso y/o utilizacin de las tecnologas inalmbricas objeto de este
estudio, los dispositivos mviles son tratados separadamente del anlisis global
realizado.
Adems, debido a su elevada penetracin y frecuencia de uso, el enfoque del anlisis de
este captulo se centra en los dispositivos utilizados principalmente para la telefona,
descartando los ordenadores porttiles, cuya problemtica es semejante a la de los PC
de sobremesa.
6.1 Tendencias
El telfono mvil se ha convertido en una herramienta de comunicacin imprescindible en
la nueva cultura del siglo XXI. Su ndice de penetracin ha crecido de forma espectacular
en Espaa en los ltimos aos, como se puede ver en el Grfico 1, lo que ha permitido
consolidarla como uno de los lderes mundiales en el uso de esta tecnologa.
InstitutoNacional
deTecnologas
delaComunicacin

Segn la Encuesta sobre equipamiento y uso de tecnologas de la informacin y
comunicacin en los hogares realizada por el INE
112
, el porcentaje de personas que
utiliza el mvil en su vida diaria es del 83,3%.
Grfico 20: Porcentaje de persona que utilizan telfono mvil por edad
57,7%
98,0%
96,3%
93,0%
84,6%
48,6%
70,9%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
10-14 16-24 25-34 35-44 45-54 55-64 65-74

Fuente: INE (2007)
Hay que considerar que parte de la poblacin dispone de ms de un terminal (ver Grfico
2), normalmente uno particular y otro de empresa.
La telefona mvil es, con diferencia, la tecnologa ms extendida, pero no todos los
usuarios responden a ella de la misma manera. Como casi todos los avances
tecnolgicos, es la juventud la que ms uso hace de ella, en una curva que decae segn
avanza la edad.
De mantenerse los actuales niveles de porcentaje de uso en las edades ms tempranas,
la tendencia ser la de igualar las bandas superiores de edad al mismo porcentaje, a
medida que se vaya produciendo el relevo generacional.
Otro factor que hay que considerar en el avance del mvil es la sustitucin que se est
produciendo de la telefona fija en los hogares espaoles (Grfico 3). De acuerdo con los
datos del INE y extrayendo una evolucin temporal (ver Grfico 21), durante 2006 las
viviendas que nicamente disponen de mvil han superado a las que nicamente tienen
fijo, que caen por debajo del 11,0%.

112
Disponible en http://www.ine.es/jaxi/tabla.do?path=/t25/p450/a2006s2/l0/&file=04001.px&type=pcaxis
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 21: Porcentaje de hogares que disponen nicamente de un tipo de telfono

16,1%
17,0%
9,7%
13,4%
15,5%
11,2%
8,1%
8,8%
10,6%
18,2% 21,3%
23,2%
0%
5%
10%
15%
20%
25%
2003 2004 2005 (pri mer
semestre)
2005 (segundo
semestre)
2006 (pri mer
semestre)
2006 (segundo
semestre)
Mvi l Fi j o

Fuente: INE (2007)
Hasta ahora, la primaca de la lnea fija estaba motivada por la banda ancha. La ausencia
de red de cable descartaba la posibilidad de una conexin a Internet a alta velocidad,
pero esta realidad ha cambiado. Sin duda, 2006 ha sido el ao del 3G/UMTS, la telefona
de tercera generacin. Adems, gracias a los beneficios que reporta el HSDPA, el acceso
a Internet a travs de la telefnica mvil ir ganando adeptos en los prximos aos. Un
estudio realizado por la Asociacin Espaola de Empresas de Consultora (AEC)
113
prev
que casi la mitad de los usuarios se conectar a la red a travs de sus telfonos mviles
en 2008.
Como se ha mencionado en el epgrafe 3, en 2007 se vendieron 9,7 millones de
terminales 3G con tecnologa UMTS, cifra que representa un 19,6% sobre el total de los
clientes mviles (noviembre de 2007). Y aunque la evolucin de los diferentes tipos de
terminales mviles es y ser exponencial, los telfonos mviles avanzados sern los
futuros lderes.

113
Estudio sectorial de las telecomunicaciones, 2008. Disponible en
http://www.ae2010.es/Frontals/Detalle_Contenidos/_tYsBraNzHW4UHletc2j0wdIgmi35LQdoFJ 8BtAbWx1M
InstitutoNacional
deTecnologas
delaComunicacin

Figura 12: Evolucin de unidades vendidas por tipo de dispositivo
USB /
Tarjetas de
memoria
BlackBerry
Smartphones
Palm /
PocketPC
Laptops
Desktops
1995 2010 2000 2005
Unidades
vendidas

Fuente: Basado en McAfee
114

De la evolucin de los propios dispositivos en el seno de las empresas (ver Grfico 6 y
Grfico 7) y el uso que en las pymes se le da a la telefona mvil y a las redes
inalmbricas (en parte por las posibilidades que ofrece para la mejora de los procesos de
negocio) da cuenta el hecho de que, por ejemplo, ms de la mitad de las empresas las
utilizan durante sus viajes de negocio (en concreto, en un 66,3% de las empresas los
empleados se conectan a los sistemas TIC corporativos por redes telemticas externas;
Grfico 22).
A pesar del elevado porcentaje de penetracin el tamao de la empresa influye, una vez
ms, en el uso que se da a estas redes externas: el 59,2% de las que tienen entre 10 y
49 empleados las utilizan, frente a un 75,8% de las empresas de entre 50 y 249
trabajadores y un 87,7%, en el caso de las organizaciones con ms de 250 empleados.

114
McAfee Mobile Security: Proteccin del dato y movilidad en J ornada Respuestas SIC. Ponencias puesto final mvil
corporativo. La seguridad en la ltima frontera, febrero de 2008, Madrid.
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 22: Empresas con empleados conectados por redes telemticas externas a las TIC
corporativas durante viajes de negocio (% sobre el total)
6
6
,
3
%
7
6
,
8
%
5
9
,
2
%
8
7
,
7
%
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%

Fuente: INE (2007)
En definitiva, y tomando en consideracin la situacin en los hogares y en las pymes, se
prev una evolucin positiva de esta tecnologa, aunque es necesario tomar conciencia
de la problemtica de la seguridad wireless.
Segn Gartner
115
, las tecnologas clave de la telefona mvil de aqu a 2011 sern:
Las redes 3,5G (redes de nueva generacin diseadas para obtener una mayor
eficiencia en el uso del espectro para el transporte de voz y de datos de forma
simultnea, con el fin de reducir costes de infraestructuras y aunar servicios de
trfico de datos) y 3,75G (Long Term Evolution o LTE
116
), as como las
tecnologas del tipo Metro Wirelss Broadband, sobre todo la Wi-Fi Mesh o redes
malladas, consistente en la creacin de reas de cobertura en espacios abiertos
mediante equipos de radio (nodos).
La tecnologa WiMAX alcanzar los 60 millones de usuarios en 2010, y se espera
que en 2012 se vean los primeros despliegues de la tecnologa 4G.

115
Wireless & Mobile Summit 2007. Disponible en http://www.gartner.com/2_events/conferences/emob7i.jsp
116
3GPP Long Term Evolution (LTE) es el nombre dado al proyecto de 3GPP para mejorar el estndar UMTS para hacer
frente a las futuras necesidades. Estas mejoras son el aumento de la eficiencia, la reduccin de los costes, la ampliacin y
mejora de los servicios prestados y una mayor integracin con los protocolos ya existentes.
InstitutoNacional
deTecnologas
delaComunicacin

La tecnologa Bluetooth tambin gozar de un lugar privilegiado. En cuanto a los
terminales, se confirma el dominio de los dispositivos destinados al gran pblico
frente a los especializados para profesionales (uno de cada diez).
Los smartphones abarcarn ms del 60,0% del mercado de la telefona mvil en
2010 en Europa, con una aceleracin de la disponibilidad de nuevas funciones en
los terminales mviles (msica, vdeo, DRM
117
, etctera).
Ms de la mitad de las empresas destinarn ms del 5,0% de sus presupuestos
para TIC a las tecnologas mviles de aqu a 2009.
Por tanto, actualmente se est ante un fenmeno globalizado de movilizacin de las
comunicaciones, de forma que cada vez ser ms sencillo y habitual disponer de una
conexin inalmbrica en cualquier lugar y a cualquier hora.
6.1.1 Cifras relacionadas con la seguridad
De las entrevistas realizadas se desprende que la mayora de las empresas espaolas
subestiman o simplemente no conocen las amenazas derivadas del uso inadecuado de
los dispositivos mviles. Esta conclusin tambin se podra extraer del escaso nmero de
denuncias por robo y de la escasa difusin de los problemas originados.
El anlisis se centra en el robo de los dispositivos, con la consiguiente prdida de datos y
el coste que supone recuperarlos, y en el dao que pueden ocasionar las infecciones por
ataques de virus.
Una aproximacin muestra que un 28,0% de ejecutivos espaoles perdieron alguno de
estos dispositivos durante 2007, segn datos de un reciente estudio de mercado
encargado por Toshiba a Dynamic Markets sobre el comportamiento de los ejecutivos
con sus agendas electrnicas, PDA o smartphones en el ao 2006
118
. El estudio
demuestra adems que la medida de seguridad que los ejecutivos consideran ms
prctica y efectiva para mantener la informacin de negocios a salvo es el reconocimiento
dactilar (26,0%). Por ltimo, el 72% de los ejecutivos afirma que para evitar cualquier
prdida protegen la informacin almacenada en sus dispositivos con una contrasea.
Por otro lado, la Red de Tecnologa de Wisconsin estima que en 2007 ms de 250.000
telfonos mviles y dispositivos porttiles se extraviaron en aeropuertos en Estados
Unidos, de los que solamente el 25-30% fue devuelto a sus dueos. Las autoridades del

117
Digital Radio Mondiale o DRM es un estndar de radiodifusin sonora de radio digital desarrollado por el Consorcio
Digital Radio Mondiale para mejorar la calidad de las transmisiones analgicas de la radio en las bandas de amplitud
modulada.
118
Disponible en http://www.terra.es/tecnologia/articulo/html/tec15650.htm
InstitutoNacional
deTecnologas
delaComunicacin

metro de Londres informan de que alrededor de 100.000 dispositivos son encontrados en
sus subterrneos cada ao.
Adems, numerosos usuarios no tienen conciencia de los enormes riesgos inherentes a
los dispositivos mviles. En 2007, InsightExpress realiz una encuesta online, encargada
por Cisco Systems y la Alianza Nacional de Seguridad Ciberntica (NCSA) entre 700
trabajadores de siete pases que usaban estos dispositivos, y descubri que el 73,0% de
los usuarios no tena conciencia de los riesgos de seguridad y las mejores prcticas para
evitarlos
119
.
Segn J ack Heine, analista de Gartner, el costo de cada telfono mvil o PDA no
recuperado es de 2.500 dlares debido a los datos que contiene. Gartner anuncia que las
empresas con ms de 5.000 empleados podran ahorrar entre 300.000 y 500.000 dlares
por ao identificando y siguiendo los dispositivos
120
.
Otro de los riesgos inherentes a la prdida o robo de los dispositivos es el robo de los
datos. El riesgo de robo de datos es creciente; as lo manifiestan entidades como Identity
Theft Resource Center (ITRC)
121
, que afirma que 19 personas son vctimas de robos de
identidad cada minuto debido a la fuga de datos ocasionados por el robo de PDA
122
.
Otras fuentes, como el Ponemon Institute, sealan que durante un periodo de tres aos,
217 millones de americanos fueron vctimas de robos de identidad o estuvieron
expuestos a los mismos
123
.
En cuanto a los virus o malware que afectan a este tipo de terminales, datos de un
reciente estudio de Informa Telecoms & Media esponsorizado por McAfee
124
sealan
que, en el ao 2007, el 83,0% de las 200 operadoras de telefona mvil encuestadas
haba sido afectado por diferentes problemas e infecciones. El nmero de incidentes es
an muy bajo y afecta a pocos usuarios, si bien en 2006 fue de cinco veces mayor que en
2005; el coste para hacer frente a las amenazas fue de ms de mil horas de trabajo, lo
que supuso un incremento de un 700%.

119
Disponible en http://newsroom.cisco.com/dlls/2007/prod_082107b.html
120
J ack Heine: Cul es el costo de telfonos y PDA perdidos?. Disponible en
http://www.techweb.com/wire/story/TWB20010425S0006
121
Disponible en http://www.idtheftcenter.org/index.html
122
Disponible en http://www.idtheftcenter.org/artman2/publish/v_fact_sheets/Fact_Sheet_104.shtml
123
GRUPO SIA: La seguridad en el puesto final mvil corporativo: estrategias y estado del arte. en J ornada Respuestas
SIC. Ponencias puesto final mvil corporativo. La seguridad en la ltima frontera. Febrero de 2008, Madrid.
124
Nota de prensa del estudio disponible en
http://www.mcafee.com/us/about/press/corporate/2007/20070212_120001_b.html. El estudio est disponible en
http://www.mcafee.com/us/enterprise/products/mobile_security/index.html
InstitutoNacional
deTecnologas
delaComunicacin

A pesar de estas cifras, y segn un reciente informe de G DATA, la tendencia en el
desarrollo de nuevas amenazas por parte de la industria del malware dirigidas a los
dispositivos mviles est a la baja. En 2006, las incidencias registradas ascendieron a 73,
en 2007 la cifra slo llego a 22 y entre enero y febrero de 2008 slo se han desarrollado
seis nuevas amenazas. En la actualidad, segn afirma el director del laboratorio de
seguridad de G DATA Ralf Benzmller
125
, tan slo existen 101 virus que afectan a este
tipo de dispositivos y ninguno de ellos presenta un potencial daino destacable.
No obstante, segn un estudio realizado por SearchMobileComputing
126
sobre los
aspectos ms importantes para las organizaciones en materia de seguridad mvil, el
tema de los virus slo preocupa al 42,5% de los encuestados (ver Grfico 23). La
preocupacin recae principalmente en la prdida o robo de dispositivos mviles (87,5%
de los participantes), el acceso no autorizado a la red (65,0%) y el robo de datos en
reposo (47,5%).
Grfico 23: Cules son los aspectos ms importantes para su organizacin en materia de
seguridad mvil?
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
Prdida o robo
de dispositivos
mviles
Acceso no
autorizado a la
red
Robo de datos
en reposo
Virus Robo de datos
por el aire
Incumplimento
de normativas

Fuente: Estudio 2007, SearchMobileComputing.com
Dados los graves impactos que podran generar a las personas y compaas la prdida o
el dao de este tipo de dispositivos, la necesidad de protegerlos resulta cada vez ms
importante.

125
Benzmller, R.: El miedo: el malware ms daino en seguridad mvil. Revista Auditoria y Seguridad, mayo de 2008.
Disponible en http://www.revista-ays.com/DocsNum22/Tribuna/Ralf.pdf
126
Lpez Rebollal, E. y J arauta Snchez, J . : Seguridad en entornos mviles corporativos. Revista Seguridad en
Informacin y comunicaciones (SIC), abril de 2008. Disponible en http://www.sia.es/noticias/SIC79_082-088.pdf
InstitutoNacional
deTecnologas
delaComunicacin

6.2 Problemas de securizacin: vulnerabilidades y consecuencias
Considerando las caractersticas propias de estos dispositivos, junto con la importancia
que tienen en la sociedad actual, y siguiendo con la estructura de anlisis de la
problemtica de las tecnologas inalmbricas, se ha definido una dimensin de seguridad
denominada proteccin del dispositivo.
Es una realidad que el nmero de trabajadores mviles de las empresas est en continuo
crecimiento, como confirma el estudio elaborado por IDC por encargo de Nokia Situacin
y tendencias de movilidad en Espaa 2007
127
. Segn el mismo, 8,5 millones de
espaoles cumplen con esta condicin, por lo que necesitan un telfono mvil o un
porttil con conexin a Internet para llevar a cabo su actividad laboral; de ellos, 230.000
se conectan a Internet utilizando un dispositivo mvil. El informe revela que un 50% de
las grandes empresas implementa una estrategia de movilidad, porcentaje que desciende
al 40-45% en el caso de las medianas y al 35% en el de las pequeas
128
.
La movilidad se constituye en un elemento que reporta importantes ventajas en el mbito
profesional y personal de los individuos; de hecho, uno de los factores clave en el xito
de la movilidad en las comunicaciones es la capacidad para conciliar la vida profesional y
personal como consecuencia de la inmediatez.
La mejora en los anchos de banda y las coberturas territoriales ha permitido un
crecimiento exponencial de la tecnologa mvil en los ltimos aos, masificando el
mercado y generando nuevas aplicaciones y servicios asociados a estos dispositivos.
A pesar de estas ventajas y de la actual tasa de penetracin de los dispositivos mviles,
estos tienen asociados vulnerabilidades o riesgos que afectan a su funcionamiento y a la
informacin almacenada en ellos. La mayor parte de las organizaciones no estn
suficientemente preparadas para afrontar estos riesgos, en parte porque la penetracin
del uso de dispositivos mviles ha estado impulsada por los propios usuarios, y porque su
diversidad hace muy difcil su tratamiento homogneo: en la mayora de los casos existen
polticas de seguridad bsicas que impiden mantenerlos en entornos seguros
129
. En un
primer momento, en el que el servicio bsico mvil era la comunicacin por voz, la
disparidad de modelos no representaba ningn problema para los profesionales, pero
ahora que las posibilidades de comunicacin van ms all, empieza a ser un punto
delicado.

127
Disponible en http://media.noticias.com/static/tendenciasmovilidad.pdf
128
Grau, J .: La integridad de la red y de la informacin corporativa en las comunicaciones mviles. Revista Auditoria y
Seguridad (SIC,) mayo de 2008. Disponible en http://www.revista-ays.com/DocsNum22/PersEmpresarial/Grau.pdf.
129
Lpez Rebollal, E. y J arauta Snchez, J . Op. cit. 126.
InstitutoNacional
deTecnologas
delaComunicacin

El motivo principal es la velocidad de cambio de los terminales, seguida del hecho de que
un porcentaje importante de estos terminales se adquieren de forma personal y con un
uso compartido. Por ejemplo, las PDA adquiridas por los empleados son utilizados para
recibir correos electrnicos, pero a nivel particular utilizan el GPS, la agenda para
contactos personales, la cmara fotogrfica, etctera.
En el caso de las PDA, como se puede ver en la siguiente figura, el problema se origina
al ser mecanismos puentes para el acceso a las redes corporativas, como transmisoras
de virus y malware, acceso VPN imperdonado, fuga de informacin confidencial o robo de
credenciales.
Figura 13: Fuentes de infeccin de dispositivos mviles
Conexi n P2P
Bl uetooth
Si ncroni zaci n PC
Acceso WIFI-LAN
Tarj eta de memori a
Vi rus i nformti co
Red comuni caci ones
web, correo mvi l
Red comuni caci ones
SMS, MMS, WAP

Fuente: INTECO
Bajo esta premisa y desde la perspectiva de la seguridad, la mayora de empresas y los
individuos no conocen o subestiman las amenazas o riesgos asociados a las tecnologas
mviles. La probabilidad de prdida de los dispositivos es cada vez ms elevada, as
como el acceso sin autorizacin, la amenaza constante de dispositivos infectados por la
generacin de virus o cdigos maliciosos (malware) y la fuga y prdida de informacin.
Estas amenazas son inherentes a los propios dispositivos, dado que utilizan la amplia
gama de posibilidades de comunicacin (GPRS-UMTS, Bluetooth, WLAN), como
vectores de ataque e introduccin de virus y malware.
En definitiva, hay que abordar la seguridad considerando la movilidad como un servicio
en que el dispositivo es un elemento ms de la cadena de uso. Segn David Fernndez,
InstitutoNacional
deTecnologas
delaComunicacin

director de la divisin de movilidad de Microsoft
130
, hay niveles de seguridad
implementados en los dispositivo (acceso, uso, instalacin de aplicaciones, etctera),
seguridad de la red y seguridad como extensin de las polticas ya existentes en las
empresas.
Los ataques relacionados con los dispositivos de seguridad se reflejan en la siguiente
tabla.
Tabla 28: Ataque a la proteccin de dispositivos
Ataques Descripcin
Robo/prdida/
dao
Consiste en robar el dispositivo de acceso con o sin violencia, o simplemente
perderlo o daarlo. Por ejemplo, un asaltante podra acceder a los mismos recursos
y a la misma informacin que el dueo legtimo del dispositivo. En caso de prdida
o dao, el usuario podra no disponer de la informacin relevante contenida en el
dispositivo.
Acceso no
autorizado
Consulta de informacin disponible sin autorizacin del propietario. Se podra
realizar simplemente si un usuario se ausenta de su puesto de trabajo y deja sin
bloquear la PDA.
Malware
Infeccin de los dispositivos mediante software con intenciones no claras para el
propietario. Se suele asociar principalmente a la introduccin de un virus o un
programa espa.
Fuente: INTECO
Robo/prdida/dao
La naturaleza de estos dispositivos los convierten en objeto de posibles sustracciones por
individuos que deseen los propios aparatos o busquen en ellos la informacin que
almacenan. Adems, en la mayora de los casos al inters por el propio dispositivo se
une el deseo por obtener informacin personal, crediticia y/o bancaria, o corporativa de la
empresa en la que el individuo trabaja.
Numerosos telfonos avanzados (smartphones) ofrecen importantes capacidades de
almacenamiento, conexiones Bluetooth, Wi-Fi y 3G con tasas de transferencia de datos
de alta velocidad. Por ello, es mucha la informacin que un solo dispositivo puede
contener. Adems, en la medida en que cada vez ms empleados fuera de la oficina
acceden a aplicaciones esenciales a travs de pequeos dispositivos, los datos
corporativos son susceptibles de prdida, robo o dao son cada vez ms.

130
Seguridad en entornos mviles. Revista Auditoria y Seguridad (SIC), mayo de 2008. Disponible en http://www.revista-
ays.com/DocsNum22/PersEmpresarial/Fernandez.pdf
InstitutoNacional
deTecnologas
delaComunicacin

Algunas empresas entrevistadas durante el desarrollo de este estudio han sealado que
el nmero de vctimas de estos ataques se mantiene relativamente estable, aunque eso
no significa que no se deban tomar medidas al respecto.
La divulgacin de datos perdidos o robados de una empresa, sumada al aumento de los
robos de dispositivos mviles, hace de ello preocupacin pblica, ya que afecta a los
ciudadanos tanto en el plano personal como en el profesional y a las empresas en
general. Por este motivo, los individuos y las organizaciones deben ser conscientes de
esta realidad y tomar medidas de proteccin al respecto que pasan por el control de
accesos, la recuperacin de datos y el cifrado de la informacin confidencial.
Acceso no autorizado
Por las propias caractersticas de los dispositivos mviles, el acceso no autorizado puede
producir importantes daos a los individuos y a las organizaciones.
Los ataques externos son caros y arriesgados, por lo que los cibercriminales optan por
explotar las debilidades problemas internas de las organizaciones para conseguir la
informacin que necesitan.
Segn datos de Trend Micro
131
, ms del 80% de las fugas de informacin en las
compaas responde a problemas internos ocasionados por polticas de seguridad
insuficientes, originadas principalmente por:
La falta de capacitacin bsica a los empleados en riesgos de seguridad TIC.
El incremento del nmero de usuarios con permisos de acceso excesivos.
El trnsito de la informacin confidencial a travs de la red sin el amparo de
infraestructuras de seguridad corporativa.
La prdida de informacin por terceras partes relacionadas con la compaa.
Para evitar este tipo de ataques se requerirn polticas y procedimientos adecuados.
Afortunadamente los criterios recogidos en la ISO 27000 sobre Sistemas de Gestin de
Seguridad de la Informacin (SGSI) son perfectamente vlidos para encarar estas
necesidades. Pasan, en primer lugar, por la revisin de las polticas de seguridad y la
preparacin y revisin de los procedimientos que aplican.

131
Lpez Rebollal, E. y J arauta Snchez, J . Op. cit. 126.
InstitutoNacional
deTecnologas
delaComunicacin

Malware
Con ms de 2.500 millones de usuarios de mviles en el mundo y cerca de 1.000
millones de envos de dispositivos mviles en 2006, los servicios para mviles se estn
expandiendo con funcionalidades diversas y, a un tiempo, el entorno mvil se est
convirtiendo en objetivo de ataques maliciosos.
Los cdigos malware para dispositivos mviles funcionan de manera anloga a como lo
hacan con los ordenadores porttiles hace unos aos (red, correo, spam, descargas),
pero su nivel de avance en este caso es 10 veces superior
132
, lo que tambin se ve
incrementado por el uso particular que hacen los empleados de los mviles corporativos.
Las caractersticas propias del malware para dispositivos mviles son:
Se utilizan comnmente los SMS y MMS como mecanismos de propagacin.
Cualquier usuario podra recibir un supuesto ringtone o cualquier otro elemento
que puede resultar ser malware. En este caso, el usuario debe encontrarse dentro
de la cobertura de los servicios mviles de su proveedor o recibir el virus a travs
de alguno de sus contactos que ya est afectado.
Otra posible va de difusin de los virus es la sincronizacin de los dispositivos va
puerto USB.
La posibilidad de combinar el uso personal y profesional en los dispositivos. De
esta forma, los ataques de efecto social (como los contactos asociados al
dispositivo) pueden ser ms efectivos.
Los efectos generales ms comunes del malware para mviles, segn PandaLabs
133
, son
los siguientes:
Mal funcionamiento del dispositivo, al bloquearse el telfono mvil.
Prdida de productividad por agotamiento de la batera. El atacante juega con el
estado de encendido o en espera del terminal mvil de la vctima, mediante el
envo continuado de mensajes con datos basura que consiguen que el telfono
salga del modo standby para tratar de determinar si el mensaje recibido es vlido.
Con el cambio constante de estado entre encendido y en espera, la batera se va
agotando a un ritmo veinte veces superior al normal.

132
Kay Miller, S.: Defending mobile devices from viruses, spyware and malware, 2007. Disponible en
http://searchsecurity.techtarget.com/generic/0,295582,sid14_gci1220595,00.html
133
El adware ha sido el tipo de malware que ms ordenadores ha infectado durante el primer trimestre de 2008, marzo de
2008. Disponible en http://www.pandasecurity.com/spain/homeusers/media/press-releases/viewnews?noticia=9196
InstitutoNacional
deTecnologas
delaComunicacin

Costes indeseados originados por el envo de SMS a nmeros de tarificacin
especial.
Prdida de datos e informacin tras un borrado de carpetas o de mensajes.
Robo de datos confidenciales, como los nmeros de telfono de la agenda, los
SMS u otra informacin sensible que pueda haber almacenada en el dispositivo.
En el mbito de los fabricantes, operadores mviles, empresas y usuarios, las
consecuencias podran ser las siguientes:
Tabla 29: Consecuencias relacionadas con la vulnerabilidad de los dispositivos
Fabricantes
dispositivos
Operadores mviles Empresas Usuarios

Costes de devolucin
de los dispositivos
infectados.

Dao a la imagen y
reputacin de la
empresa en el
mercado.

Prdida de imagen,
descontento del cliente e
inestabilidad de los
clientes.

Minutos facturables
perdidos en los
dispositivos infectados
por virus.

Llamadas al servicio de
atencin al cliente por la
infeccin o sus
consecuencias.

Servicio interrumpido
(por ejemplo, ataque de
denegacin de servicio
va SMS).

Prdida de productividad
del empleado.

Impacto en la
productividad global de
la empresa.

Costes de reponer o de
reparar el dispositivo.

Riesgo de prdida de
datos.

Dispositivo inutilizable.

Prdida de
productividad.

Prdida de informacin
personal valiosa e
informacin en general.

Devolucin del
dispositivo para su
reparacin o solicitud de
un nuevo dispositivo
Fuente: Trend Micro

Basndose en la clasificacin ISO 18028-2:2006, los expertos y los entrevistados
concluyen que las consecuencias personales y profesionales generales de estos ataques
podran ser las siguientes:
Revelacin de informacin por personas no autorizadas.
InstitutoNacional
deTecnologas
delaComunicacin

6.3 Soluciones de seguridad
En este apartado se describen las medidas y soluciones de seguridad existentes para
proteger los dispositivos mviles en s, independientemente de la tecnologa inalmbrica
que utilicen.
Todas las soluciones indicadas podrn ser implantadas en mayor o menor medida en
funcin de la capacidad de procesamiento del terminal o dispositivo utilizado.
6.3.1 Polticas de gestin de asignacin de perfiles de usuarios
El parque de mviles en las empresas est creciendo cada da ms, lo que conlleva una
gestin bastante ms difcil y compleja. Los motivos de este aumento son el
abaratamiento de los terminales y de las tarifas y la facilidad y la conveniencia del uso de
estos dispositivos para desarrollar un trabajo cada da ms competitivo. Adicionalmente,
los empleados utilizan en numerosas ocasiones los mviles de la empresa para fines
particulares, por lo que es ms necesario que nunca establecer mecanismos de control
sobre ellos. Por regla general, no existen medidas concretas para evitarlo, pero s para
controlarlo y evitar as riesgos de seguridad.
En general, unas buenas prcticas en seguridad para entornos mviles incluyen las
siguientes acciones:
Actualizar la poltica de seguridad.
Elaborar una gua de buenas prcticas para usuarios, prestando especial atencin
a la formacin y concienciacin.
Establecer una poltica de realizacin de copias de seguridad peridicas (anuales,
semestrales, mensuales, semanales y diarias, segn el volumen de los datos).
Implantar mecanismos de reinicio y borrado remoto de los dispositivos.
Aplicar el control de acceso a los dispositivos para prevenirlos del uso inadecuado
por usuarios no legtimos.
Realizar una gestin centralizada de los dispositivos.
Cifrar los datos sensibles corporativos o personales para favorecer la
confidencialidad.
Establecer una proteccin antimalware.
Gestionar un control de polticas de puntos de acceso.
InstitutoNacional
deTecnologas
delaComunicacin

Prevenir las fugas de informacin.
A continuacin, se identifican las soluciones ms habituales para la resolucin de
problemas de seguridad y de gestin en dispositivos mviles.
Sistemas de gestin centralizada de dispositivos
Estn basados en procesos automticos que, de un modo flexible y rentable, permiten
controlar y administrar recursos mviles minimizando los costes administrativos
destinados a TIC. Estos controladores suelen ser compatibles con un alto espectro de
plataformas para dispositivos mviles y para ordenadores de sobremesa y porttiles. Con
esta solucin se puede mantener el control de todos los dispositivos mviles y su
informacin de forma centralizada, permitiendo as una mayor eficiencia a la hora de
gestionarlos.
Las principales caractersticas de estos sistemas son:
Control del inventario de terminales mviles de la empresa.
Bloqueo y borrado remoto de informacin en caso de prdida o robo del terminal
mvil. Los dispositivos ms modernos incluyen cliente OMA MD (Open Mobile
Alliance Device Management), que permite varias funciones bsicas de gestin,
entre ellas la reinicializacin de los dispositivos.
Control remoto del software instalado por los usuarios y borrado si no cumple con
las polticas de seguridad establecidas por la empresa.
Aplicacin de las polticas de seguridad de los sistemas operativos, desde el
control de permisos a los usuarios hasta la denegacin de acceso a determinados
entornos o reas privadas. En este caso, la recomendacin efectuada por las
empresas entrevistadas es la utilizacin del software original, de forma que se
puedan realizar las actualizaciones de seguridad pertinentes, adems de poder
recurrir a los departamentos de TIC si fuera necesario. Estas polticas pueden
incluir mecanismos que obliguen a los usuarios a aplicar las medidas ms
habituales para securizar un dispositivo mvil, como los cdigos de acceso al
dispositivo, la realizacin de copias de seguridad peridicas y la encriptacin de la
informacin.
Los dispositivos de acceso a redes inalmbricas son el activo sobre el que ms
capacidad de accin y configuracin de la seguridad tienen los usuarios, por lo que se
recomienda ser prudente y aplicar las mejores soluciones para trabajar de forma segura
en un entorno inalmbrico.
InstitutoNacional
deTecnologas
delaComunicacin

NAC (Network Access Control)
Esta solucin trabaja principalmente en la dimensin de la autenticacin y se puede
encontrar, principalmente, como una opcin dentro de paquetes comerciales de algunos
antivirus.
El NAC est orientado a detectar la existencia de malware activo en un terminal para
evitar que pase a la red. As es posible controlar y gestionar la autenticacin tanto del
usuario como del dispositivo.
La fortaleza de esta solucin radica en la posibilidad no slo de identificar el dispositivo,
sino tambin de diagnosticar si cumple con los requisitos y polticas de seguridad
establecidas a priori por el propietario (la empresa). En caso de no cumplir con estos
requisitos, el sistema obliga al dispositivo a actualizarse antes de conectarse a la red,
pudiendo llegar incluso a denegarle el acceso.
Existen tambin sistemas de proteccin perimetral asociados al NAC en los que las
conexiones ya no slo pasan a travs de firewalls, sino que tambin incorporan
soluciones tipo IDS (sistema de deteccin de intrusos) o IPS (sistema de prevencin de
intrusos) para detectar ataques y anticiparse a ellos. Adems, se puede utilizar un SCM
(Secure Content Management) para paliar el malware, el spam y filtrar la navegacin
web.
La unin de todo ello con una capa de VPN (Virtual Private Network o tnel de cifrado)
representara una solucin bastante poderosa en la proteccin de los dispositivos.
Adems, el sistema NAC permite controlar y detectar el software instalado en un
dispositivo, determinar si est permitido o no y, en el ltimo caso, desinstalarlo en remoto.
A este respecto, existen dos filosofas en cuanto a la proteccin de dispositivos: una de
ellas consiste en mantener una lista blanca de aplicaciones que se pueden ejecutar, y la
otra, opuesta, en mantener una lista negra con las que no tienen permiso. Algunos
fabricantes recomiendan la primera de ellas, ya que mantiene la seguridad desde el
dispositivo hacia la red, el exterior.
Soluciones para mantener la privacidad de los datos almacenados en las PDA y
telfonos inteligentes
Tanto las agendas electrnicas o PDA como los telfonos de ltima generacin se
caracterizan por disponer de una gran capacidad de cmputo y almacenamiento de
datos. Por ello suelen contener informacin empresarial o particular de elevado valor y,
en algunos casos, de carcter confidencial para sus propietarios, quienes pierden el
control sobre ella en el momento en que extravan el dispositivo mvil o son vctimas de
un robo. Adems, ciertas aplicaciones, como el correo electrnico, dificultan el
InstitutoNacional
deTecnologas
delaComunicacin

seguimiento de la informacin almacenada. Todo esto puede llegar a ser un foco de
riesgo para los negocios y los particulares.
Para solventar los problemas mencionados anteriormente existen soluciones que actan
de forma directa sobre la informacin, protegiendo la propiedad intelectual empresarial y
el resto de datos almacenados en el dispositivo mediante una combinacin eficaz de
productos de cifrado. Estas soluciones son capaces de funcionar sobre varios sistemas
operativos (Symbian, Pocket PC, Windows Mobile Smartphone y Palm).
Estas herramientas hacen que la informacin sea ilegible por terceras personas mediante
la aplicacin de algoritmos de cifrado.
Soluciones para la autenticacin de informacin en la red
Los autenticadores suelen ser llaves que se conectan a los dispositivos mviles y son
capaces de generar claves para cifrar informacin. Son mecanismos extremadamente
fciles de utilizar y llevan asociado un alto grado de seguridad. Entre los posibles usos de
estos mecanismos est la ayuda a las empresas a proteger informacin privada a travs
de la gestin de las identidades de los usuarios o mediante la firma de transacciones.
6.3.2 Polticas de gestin de riegos y actuaciones en caso de sustraccin o
extravo
Polticas de gestin de riegos
Por parte del departamento de IT, la prevencin y el control de riesgos en entornos
mviles se basa en los mecanismos de seguridad tradicionales, como las polticas de
seguridad. Estas se deben definir para que minimicen todos los posibles acontecimientos
que interrumpan la actividad normal de una empresa.
Slo un reducido nmero de organizaciones dispone de polticas de seguridad que
consideren los riesgos de los dispositivos mviles. No obstante, son el primer paso para
securizar los entornos mviles, por lo que deben llevarse a cabo en base a:
Las necesidades de movilidad de los usuarios y de los propios dispositivos. Las
polticas han de poder responder a los siguientes interrogantes.
o Quin: usuarios y grupos de usuarios del dispositivo.
o Qu: acciones realizadas con los dispositivos: emisin y recepcin de e-
mails, actualizacin, descarga, etctera.
o Sobre qu: ordenadores o dispositivos mviles, o grupos de ellos.
InstitutoNacional
deTecnologas
delaComunicacin

o Dnde: qu reas, dnde estn, servidores de datos, de aplicaciones,
pantallas tctiles, dispositivos, control de redes, etctera.
Las necesidades de acceso a las redes, sistemas o datos.
o Redes: qu redes, quin puede acceder, con qu permisos, para hacer
qu.
o Sistemas: qu sistemas, con qu permisos.
o Datos: quin puede leer, modificar, escribir o borrar qu datos.
Las acciones que estn permitidas y las que estn expresamente prohibidas (lista
blanca y lista negra).
La especificacin de las medidas de seguridad que se tienen que llevar a cabo
para tratar de alcanzar las mejores prcticas en este aspecto dentro de la
empresa. Para ello, se recomienda dentro de la organizacin
134
:
o Incrementar los conocimientos sobre la naturaleza de los diferentes
riesgos.
o Determinar el impacto cuantificado de la prdida de informacin o de los
problemas para acceder a sus aplicaciones.
o Conocer las herramientas disponibles para gestionar los riesgos
informticos.
o Ajustar la gestin de riesgos IT al valor de la corporacin.
o Crear una capacidad sistemtica y corporativa para gestionar los riesgos a
la seguridad.
Los procesos de formacin y de auditora. La mejor defensa, sin ningn tipo de
duda, es una buena formacin por parte del usuario. A su vez, los procesos de
auditora interna y la obligacin de cumplir determinados requisitos de seguridad
pueden ayudar a establecer una foto del estado de la seguridad dentro de la
empresa, y con ella, ayudar a mejorarla en un proceso continuo.

134
Fuertes, L.: Gestin de riesgos IT. Cmo implantar las mejores prcticas.
InstitutoNacional
deTecnologas
delaComunicacin

Actuacin en caso de prdida o sustraccin del dispositivo
El riesgo ms frecuente, cuando se utilizan dispositivos mviles, es su prdida o
sustraccin. En esta situacin se debe actuar segn la poltica de seguridad de la
empresa o de la compaa de telecomunicaciones que presta el servicio. En cualquier
caso, y con carcter general, los pasos ms habituales son:
Presentar una denuncia ante la polica, informando del hecho.
Informar al departamento de IT, si el dispositivo es gestionado por el mismo, para
que proceda segn lo establecido. Si dispone de sistemas de proteccin y gestin
de dispositivos, los pasos normales seran:
o Bloqueo del dispositivo.
o Borrado remoto de la informacin contenida en el dispositivo.
o Recuperacin de la informacin perdida en un nuevo dispositivo.
Ponerse en contacto directamente con el operador de telecomunicaciones que
proporciona el servicio, si ese dispositivo no es gestionado por ningn
departamento de IT, para solicitar el bloqueo del terminal. Para ello ser necesario
disponer del cdigo IMEI
135
, habitualmente impreso en la parte posterior del
equipo, bajo la batera, o marcar la secuencia *#06# para que aparezca en la
pantalla. En caso de prdida o robo, este es el dato fundamental que hay que
proporcionar al operador de telefona mvil para que bloquee el terminal y no se
pueda volver a utilizar, con independencia de la tarjeta SIM que se pretenda
utilizar
136
.
6.3.3 Polticas de recuperacin de la informacin ante contingencias
El mecanismo ms extendido para solucionar problemas de prdida de informacin es la
definicin de polticas de copias de seguridad o backup. Se suelen establecer en funcin
de las necesidades de cada usuario/empresa pero, en general, se recomienda que
tengan la suficiente frecuencia para no ocasionar un grave perjuicio a la empresa, en el
supuesto de perder toda o parte de la informacin. El otro aspecto clave es que el lugar,
soporte o medio en el que se realice el backup o copiado de la informacin, que debe
estar bien protegido y, en el mejor de los caso, en un lugar distinto de donde se almacena
la informacin original.

135
El IMEI (International Mobile Equipment Identity) es un cdigo pregrabado en los telfonos mviles GSMque identifica al
aparato unvocamente a nivel mundial.
136
Red. es: Manuales Plan Avanza: Ciudadana mvil, 2008. Disponible en
http://www.red.es/prensa/pdf/ciudadania_movil.pdf
InstitutoNacional
deTecnologas
delaComunicacin

Existe, por otra parte, una metodologa formal, denominada plan de contingencia, que
trata de normalizar el proceso por el cual se analizan los riesgos. A travs del mismo se
toman medidas preventivas para evitar la prdida de informacin y se definen los planes
de recuperacin. Se divide en las siguientes fases
137
:
Identificacin de los posibles riesgos y amenazas. Esta fase es crucial, pues
el olvido de algn elemento puede ser crtico a la hora de recuperar el sistema.
Evaluacin de los riesgos identificados, catalogndolos y asignndoles un
grado de importancia.
Asignacin de prioridades en la recuperacin de aplicaciones y procesos del
negocio.
Establecimiento de los requerimientos de la recuperacin.
Elaboracin de la documentacin del plan.
Verificacin e implementacin del plan.
Distribucin y mantenimiento del plan.
Para la evaluacin de los impactos de los riesgos, se deben tener en cuenta los
siguientes costes:
Costes de reemplazar los equipos, redes y dems infraestructuras. Es el
coste ms limpio para el negocio, ya que lo nico que se ver afectado ser la
cuenta corriente de la empresa.
Costes por falta de produccin. Se basa en estimaciones de la produccin
asociada a la informacin disponible (por ejemplo, telfonos de contacto de
clientes o proveedores). Generalmente se sabe cunto se produce diariamente, y
se puede estimar cunto se dejara de producir si se perdiera la informacin en
cuestin.
Costes de reputacin. Son sin duda los ms peligrosos y a la vez los ms
difciles de evaluar. Los clientes son lo primero dentro de cualquier compaa y su
confianza en el negocio es fundamental. Esta confianza puede verse debilitada si
se da una imagen de incapacidad para solucionar problemas de prdida de
informacin, y si esta sensacin se extiende en el mercado, las consecuencias
para la empresa pueden ser irreversibles.

137
Click-off. Seguridad Informtica. Disponible en http://clik-of.com/plancontingencia.htm
InstitutoNacional
deTecnologas
delaComunicacin

Para la asignacin de prioridades a las aplicaciones y a los procesos del negocio se
deber establecer un orden lgico segn la necesidad de cada rea implicada, por lo que
se deber saber qu funcin tiene cada rea y qu hace cada sistema. Se debe poder
distinguir entre lo que es ms urgente (accin que se debe realizar en primer lugar) y lo
ms importante (impacto que hay que evitar o conseguir) para saber qu se debe
restaurar primero, pensando siempre en el peor caso posible para evitar sorpresas.
Para el establecimiento de los requerimientos de recuperacin, la clave es definir un
periodo de tiempo aceptable y viable para lograr que todo el sistema est de nuevo
activo. Este periodo debe ser verificado para comprobar que es realista y factible por toda
la organizacin.
Para la elaboracin, verificacin y distribucin de la documentacin del plan se debe
contar con la siguiente informacin:
Nmeros de telfono, direcciones y mapas o planos de localizacin. Aunque
resulte obvio, es necesario tener bien apuntado los telfonos generales (como el
de los bomberos), as como los mapas de los centros alternativos de trabajo.
Responsabilidades, procedimientos y prioridades. Cada persona tiene su
responsabilidad dentro del plan y debe tener unos pasos a seguir previamente
establecidos. Tambin debe aparecer todos los procesos y sus prioridades.
Informacin sobre adquisiciones y compras. En el momento del desastre se debe
saber a quin acudir para reabastecerse y el tiempo que llevar hacerlo.
Diagramas de las instalaciones. Contar con ellos permite abordar el problema de
una manera mucho ms rpida y eficiente. Las redes claramente documentadas y
etiquetadas permiten incluso subcontratar la instalacin de los sistemas a
empresas especializadas.
Sistemas, configuraciones y copias de seguridad en cinta u otros medios. Se debe
poseer copias de seguridad actualizadas en otra ubicacin fsica y con el
contenido y las configuraciones de los servidores y redes bien documentados.
En resumen, la seguridad de los dispositivos mviles debe ser una tarea cuya
responsabilidad est compartida entre el usuario y la empresa o prestador del servicio.
Con la ayuda de mecanismos, polticas o herramientas existentes en el mercado se
pueden paliar la gran mayora de los problemas de seguridad existentes, ya que, como se
ha podido comprobar, estas medidas son principalmente correctivas frente a robos,
accesos o prdidas de formacin.
InstitutoNacional
deTecnologas
delaComunicacin

7 CONCLUSIONES Y RECOMENDACIONES
7.1 Conclusiones
En los captulos anteriores se ha realizado un exhaustivo estudio de las diferentes
tecnologas inalmbricas utilizadas en Espaa, as como de los principales riesgos y
vulnerabilidades y sus soluciones. En base a estos anlisis, se puede concluir que:
Las medidas de seguridad disponibles para los usuarios y las pymes van
encaminadas a proteger los dispositivos de acceso, a nivel individual o mediante
una gestin centralizada, mientras que los proveedores (de servicios de
telecomunicaciones, fabricantes de terminales y equipos de red) asumen la
seguridad intrnseca de la tecnologa y los organismos competentes definen las
polticas y normas de seguridad.
La seguridad de las tecnologas, y de las redes en general, puede ser analizada
desde el punto de vista de cobertura de las dimensiones de seguridad
identificadas:
o Control de acceso.
o Autenticacin.
o Disponibilidad.
o Confidencialidad.
o Integridad.
o No repudio.
La vulnerabilidades (y, por consiguiente, los ataques) de las tecnologas
inalmbricas son comunes a todas ellas, ya que funcionan por ondas de radio, si
bien la forma de llevar a cabo los ataques es diferente.
o Todas las tecnologas de comunicaciones provistas por operadores, como
GSM/GPRS/UMTS/HSPA y WiMAX, son suficientemente seguras, por lo
que el usuario debe prestar atencin a la proteccin de su dispositivo, el
eslabn ms dbil de la cadena.
o En cambio, en las tecnologas cuya utilizacin y gestin corresponden al
usuario final la seguridad depende en gran medida de:
InstitutoNacional
deTecnologas
delaComunicacin

- Una gestin del servicio responsable por parte del usuario y una
configuracin para la solicitud de contraseas con cada conexin
(Bluetooth).
- La observacin visual del entorno de validacin y custodia del
dispositivo (NFC).
- La utilizacin por parte del usuario de al menos un mecanismo de
cifrado, siendo los ms recomendables el WPA PSK para pymes y
el WPA para usuarios finales (wireless LAN o 802.11).
Por otro lado, tambin se ha constatado que la seguridad es una prioridad en todas las
empresas, por lo que las nuevas tecnologas implementan mejores y ms robustas
soluciones de seguridad, siendo responsabilidad del usuario final la gestin del
dispositivo de acceso.
Sin embargo, todas estas medidas de seguridad son instituidas de forma libre por los
diferentes fabricantes y actores del sector, sin que exista ninguna normativa, legislacin o
regulacin que establezca cuales deben ser los criterios de seguridad que una red
inalmbrica tiene que cumplir.
Las principales medidas de seguridad van encaminadas a proteger los dispositivos de
acceso, bien a nivel individual o mediante una gestin centralizada, delegando la
seguridad intrnseca de la tecnologa en los organismos que definen los estndares, las
polticas y las normas de seguridad para las tecnologas inalmbricas.
En cuanto a los problemas derivados del malware, se concluye que no es responsabilidad
de las tecnologas evitar los problemas asociados, sino que dependen en gran medida de
los dispositivos utilizados, del software de proteccin instalado y de las polticas de
seguridad definidas, sin olvidar la gestin responsable de los usuarios finales.
Por ltimo, se puede concluir que los entornos inalmbricos en general son seguros y que
basta con seguir una serie de recomendaciones bsicas para evitar riesgos. En cualquier
caso, se recomienda acudir a los diferentes proveedores y especialistas en seguridad
para solicitar asesoramiento en cada caso particular.
Tendencias
La globalizacin, junto con la convergencia de redes y la tendencia hacia unas
comunicaciones todo-IP
138
, hacen que ahora ms que nunca la seguridad deba
entenderse como una necesidad global end-to-end de la red, independientemente de la

138
Disponible en http://vlex.com/vid/322883
InstitutoNacional
deTecnologas
delaComunicacin

tecnologa y medio por el que se comunica. Por otro lado, la creciente capacidad de los
terminales mviles hace que los problemas y las soluciones cada vez se asemejen ms a
los de un PC de sobremesa.
Por tanto, frente a un panorama en el que las tendencias en seguridad no deben
distinguir ni el dispositivo utilizado para acceder la tecnologa, ni desde dnde se hace, se
puede concluir que el futuro de la seguridad en las comunicaciones pasa por establecer
mecanismos que garanticen que la informacin enviada llega al destino deseado, sin
posibilidad de ser interceptada, descifrada ni modificada. Adems, esta tecnologa deber
impedir el acceso no autorizado de cualquier intruso y/o dispositivo no reconocido,
adems de garantizar al usuario que se conecta a una red segura, de una forma segura y
que esa red es la que dice ser y asegurar en todo momento la disponibilidad de la seal.
Respecto a los dispositivos mviles, sus medidas de securizacin tienden a ser las
mismas que las de un PC. En el aspecto de la movilidad, la tendencia es la de
implementar sistemas de gestin centralizada de los dispositivos mviles, para cubrir
incidentes de prdida, robo y recuperacin de informacin.
En cuanto a la informacin que viaja por la red, cada da se hace ms necesario asegurar
que est limpia de malware. En el futuro, los propios operadores del servicio debern
vigilar el trfico y establecer unos mnimos controles de seguridad, si bien la
responsabilidad final, basada en la utilizacin de software de seguridad actualizado y de
unas buenas prcticas al conectarse a la red, seguir correspondiendo al usuario que se
conecta.
Por ltimo, cabe destacar que uno de los principales caballos de batalla de los
operadores y suministradores de tecnologas de comunicacin inalmbricas ser la
garanta de disponibilidad de la red frente a las interferencias existentes en el medio,
provocadas en gran medida por otras redes, sistemas de proteccin mediante inhibidores
de frecuencia, situaciones de emergencia, situaciones climatolgicas extremas, etctera.
Se concluye, por tanto, que la evolucin va encaminada cada vez ms hacia unas
tecnologas y dispositivos ms seguros. La industria y los organismos independientes
definirn todo tipo de soluciones al alcance de los usuarios.
En contra de esta tendencia de evolucin tecnolgica, est la desinformacin general de
los usuarios, que no son capaces de absorber y asimilar todos los adelantos tecnolgicos
ni sus posibilidades, dejando a veces al descubierto aspectos bsicos de seguridad por
mero desconocimiento o despreocupacin.
InstitutoNacional
deTecnologas
delaComunicacin

7.2 Recomendaciones
A partir del conocimiento adquirido segn la experiencia previa y lo analizado a lo largo
de la realizacin del presente estudio, INTECO recomienda acciones ligadas a la
colaboracin, certificacin y concienciacin de las pymes y ciudadanos y al impulso de un
marco regulativo o legislativo:
Colaboracin. Fomentar mediante foros u otras acciones la colaboracin de
todos los agentes participantes para la identificacin de soluciones globales de
seguridad, con el objetivo de ofrecer al usuario final una oferta completa.
Certificacin. Es importante que la Administracin regule el cumplimiento de
unos mnimos de seguridad en comunicaciones inalmbricas para las pymes y los
usuarios finales. Esta regulacin, adems, se puede complementar con la
certificacin en seguridad de redes inalmbricas, que deberan cumplir las pymes
en funcin de la informacin que manejan, su tamao y el sector de actividad y los
proveedores de servicios de comunicacin inalmbricas en cuanto al servicio
prestado/instalado al usuario final.
Concienciacin. La red no es el elemento dbil de la cadena, sino los
dispositivos y los puntos de acceso. Se debe, por tanto, trabajar de forma intensa
en concienciar a los ciudadanos y a las pymes sobre lo importante que es cumplir
con unos mnimos de seguridad en las comunicaciones inalmbricas para
salvaguardar su informacin y/o la de sus clientes.
Regulacin/legislacin. No existe ninguna legislacin ni normativa que
establezca unos mnimos de seguridad en la instalacin y utilizacin de redes
inalmbricas, por lo que se recomienda la definicin de un marco regulatorio y/o
legislativo.
Colaboracin
Del estudio y entrevistas realizadas se extrae que todos los actores trabajan de forma
individual la problemtica de la seguridad en el entorno inalmbrico (dispositivos, redes,
software, etctera). En algunos casos se han identificado alianzas que permiten combinar
esfuerzos con el fin de asegurar unas comunicaciones ms seguras.
La seguridad es un requisito que debe cubrirse con unos mnimos ms all de un inters
comercial concreto para asegurar la confianza del usuario en la tecnologa y fomentar su
utilizacin. La sensacin generalizada de inseguridad puede provocar un descenso en la
utilizacin de dichas tecnologas.
Para ofrecer soluciones end-to-end mnimamente seguras, es importante fomentar la
colaboracin de todos los agentes, con el fin de identificar el mnimo que debe alcanzarse
InstitutoNacional
deTecnologas
delaComunicacin

para que el usuario final se sienta seguro utilizando las tecnologas inalmbricas. Estas
colaboraciones se pueden fomentar mediante la creacin de foros donde participen todas
las empresas involucradas.
Asimismo, se recomienda que el catalizador de estas colaboraciones entre los diferentes
actores sea la propia Administracin Pblica, a travs de organismos independientes que,
de forma imparcial y desde la defensa de los intereses de los ciudadanos, involucren a
todas las empresas que componen la cadena de valor. El objetivo de estos foros sera
establecer criterios comunes de seguridad, utilizando este aspecto como un servicio al
ciudadano, y no como un criterio de diferenciacin competitiva entre las diferentes
industrias. El fomento de la seguridad generalizada va en beneficio de todos, pues ayuda
a incrementar el uso de estas tecnologas y, por consiguiente, su competitividad.
Certificacin
La seguridad es cuestin de confianza y, por ello, es recomendable definir frmulas que
permitan identificar qu comunicaciones y qu empresas/entornos cumplen unos
mnimos de seguridad para que se pueda trabajar con ellas de forma tranquila y segura.
Para ello, se recomiendan tres vas de certificacin:
Proveedores de servicio/dispositivos. Deberan garantizar que el producto que
entregan y/o comercializan cumple unos mnimos de seguridad, tanto a nivel de
polticas como de software, de forma que el usuario final pueda sentirse
respaldado por la experiencia de estos proveedores al contratar el servicio.
Intermediarios. Empresas que ponen a disposicin de sus clientes la utilizacin de
tecnologas inalmbricas que tienen en propiedad. Los usuarios de accesos
inalmbricos de redes deberan tener la certeza de que la utilizacin de dichas
comunicaciones inalmbricas no les supone ningn riesgo.
Las pymes. Dado que utilizan tecnologas inalmbricas para su actividad laboral,
deberan poder asegurar a sus clientes que la informacin que tienen con ellos
est protegida incluso en un entorno wireless y que cumple con lo establecido por
la Ley Orgnica de Proteccin de Datos Personales y el Reglamento de Medidas
de Seguridad.
Al igual que en la recomendacin anterior, se propone que la Administracin Pblica o
bien un organismo privado homologado establezca un sello de garanta que certifique que
las instalaciones inalmbricas cumplen unos mnimos de seguridad.
InstitutoNacional
deTecnologas
delaComunicacin

Concienciacin
Una de las principales conclusiones de este estudio es que la seguridad depende en gran
medida del usuario final. En muchos casos son las propias polticas de seguridad que el
usuario define, as como las buenas prcticas en la utilizacin de los dispositivos, las que
permiten mantener un nivel de seguridad de los dispositivos y comunicaciones
inalmbricas adecuado.
Esta situacin hace que sea de vital importancia que las empresas facilitadoras de los
servicios inalmbricos (operadores o instaladores de Wi-Fi) conciencien mediante planes
de comunicacin, tanto a las pymes como a los usuarios finales, de lo importante que es
mantener y cumplir unos mnimos de seguridad para garantizar una utilizacin
satisfactoria de las tecnologas inalmbricas de comunicacin. Para ello se puede recurrir
a diversos mecanismos como campaas publicitarias, manuales de instalacin de los
productos en cuestin, inclusin en las diferentes guas de usuario utilizadas por los
clientes, etctera.
Por su parte, las administraciones o algn organismo con competencia en la materia
pueden contribuir a esta concienciacin, con la publicacin continuada en sus sitios web
de recomendaciones sobre seguridad.
Regulacin/legislacin
La ausencia de una normativa o regulacin especfica provoca que los proveedores de
servicios de comunicacin inalmbrica no se vean obligados a cumplir ningn tipo de
mnimos, aunque sea de su propio inters por el bien de su negocio.
A este respecto, se hace necesario que la Administracin como poder legislativo
establezca y promueva el cumplimiento de unos mnimos de seguridad (informacin en el
momento de la instalacin, de los riesgos que existen y las recomendaciones de
seguridad, la configuracin de seguridad mnima obligatoria o WAP, etctera) en todas
las instalaciones inalmbricas (sobre todo Wi-Fi), de forma que los usuarios estn
protegidos.
InstitutoNacional
deTecnologas
delaComunicacin

8 ANEXO I: SOLUCIONES GLOBALES
Las soluciones de seguridad deben estar enfocadas hacia
139
:
Identificar, autenticar y, cuando corresponda, autorizar el acceso a los sistemas
de informacin.
Identificar al remitente y receptor de las comunicaciones electrnicas.
Controlar el acceso a las personas autorizadas para la utilizacin de datos e
informacin y para proteger los procesos informticos frente a manipulaciones no
deseadas.
Mantener la integridad de la informacin y elementos del sistema, para prevenir
prdidas o alteraciones.
Garantizar la disponibilidad de la informacin y de las aplicaciones.
Prevenir la interceptacin, alteracin y acceso no autorizado a la informacin.
Gestionar las incidencias de seguridad.
Auditar y controlar la seguridad.
Las soluciones recomendadas en este captulo para asegurar ptimos niveles de
seguridad se estructuran bajo el siguiente esquema:
Figura 14: Soluciones de seguridad
Soluciones
globales
Soluciones por
tecnologa
Control de acceso
Autenticacin
Confidencialidad
Integridad
Disponibilidad
No repudio
Proteccin de dispositivos
Otras recomendaciones
Polticas de seguridad
Auditoras de seguridad
Anlisis y gestin de riesgos
Organizacin y personas
Soluciones de
securizacin
Soluciones
globales
Soluciones por
tecnologa
Control de acceso
Autenticacin
Confidencialidad
Integridad
Disponibilidad
No repudio
Proteccin de dispositivos
Otras recomendaciones
Soluciones de
securizacin

Fuente: INTECO

139
Ministerio de Administraciones Pblicas. Consejo Superior de Administracin Electrnica (2004). Op. cit. 80.
InstitutoNacional
deTecnologas
delaComunicacin

8.1 Soluciones globales
Las soluciones de seguridad presentadas a continuacin se consideran a nivel global,
independientemente del tipo de red (cableada o inalmbrica) y de las tecnologas que la
compongan, y son recomendaciones que permiten responder adecuadamente a los
objetivos que engloba el concepto de seguridad.
Existen tres principios unificados de seguridad
140
:
1) Primer principio de seguridad: El intruso utilizar cualquier artilugio que haga
ms fcil su acceso al sistema y posterior ataque. Existe una diversidad de
frentes desde los que se puede producir un ataque. Esto dificulta el anlisis de
riesgos, porque el delincuente aplicar la filosofa del punto ms dbil.
2) Segundo principio de seguridad: Los datos deben protegerse slo hasta que
pierdan su valor. Aqu se habla, por tanto, de la caducidad del sistema de
proteccin, del tiempo en que debe mantenerse la confidencialidad o secreto del
dato.
3) Tercer principio de seguridad: Las medidas de control se implantan para ser
utilizadas de forma efectiva. Deben ser eficientes, fciles de usar y apropiadas
al medio. Es decir, deben funcionar en el momento oportuno, optimizando los
recursos del sistema y pasando desapercibidas para el usuario.
La aplicacin de estas recomendaciones depender del tamao de la empresa. Por su
parte, los ciudadanos debern aplicar aquellas medidas que mejor se ajuste a sus
necesidades.
8.1.1 Dimensiones de seguridad
En este captulo se describirn las soluciones que, a lo largo de este estudio, se han
identificado para proteger de manera efectiva cada una de las dimensiones de seguridad
identificadas en el epgrafe 4.1.1, Dimensiones de seguridad y vulnerabilidades:
Control de acceso: corresponde a la capacidad esencial de proteger los accesos a
la red.
Autenticacin: es la capacidad de verificar que un usuario que accede a un
sistema o a una determinada informacin es quien dice ser.
Confidencialidad: es la condicin que asegura que la informacin slo pueda estar
disponible y ser analizada por personas autorizadas para ello.

140
Martnez Barber, H.umberto: Seguridad en Redes de Ordenadores. Universidad de Murcia.
InstitutoNacional
deTecnologas
delaComunicacin

Integridad: condicin que asegura que la informacin puede ser modificada,
entendiendo por tal su creacin y borrado, por personas autorizadas para ello.
Disponibilidad: es aquel estado en el que el dato o la informacin est en el lugar,
la forma y el modo debido cuando es requerida por la persona autorizada.
No repudio: es la capacidad de demostrar que se ha realizado un hecho
determinado. A pesar de ser una caracterstica que potencia las dimensiones de
autenticacin, confidencialidad e integridad, se incluye en este anlisis para evitar
las vulnerabilidades.
Proteccin de dispositivos: entendida tambin a nivel transversal, corresponde al
riesgo de que el dispositivo de acceso a la red caiga en manos no autorizadas o
bajo amenazas de software externo.
Para asegurar los conceptos propios de cada una de las dimensiones de seguridad y
tomando como referencia las recomendaciones dada por el Consejo Superior de
Administracin Electrnica (CSAE), se podran ofrecer las siguientes recomendaciones a
nivel general:
Implantar un procedimiento formalizado de registro de altas y bajas de acceso de
usuarios a todos los servicios de la aplicacin y del sistema.
Informar a cada usuario de todos sus derechos de acceso, siendo necesaria su
comprensin y aceptacin de las condiciones.
Mantener actualizado el registro de todas las personas con acceso a ciertos
servicios, revisndolo peridicamente para evitar duplicados o sobrantes.
Eliminar de forma inmediata las autorizaciones de acceso a los usuarios que
dejen la compaa.
No permitir la utilizacin de claves compartidas o multiusuario.
Asociar el control de acceso con los requisitos de autenticacin, confidencialidad,
integridad y disponibilidad exigidos por el recurso al cual se intenta acceder.
Establecer polticas de autorizacin de acceso a usuarios.
Revisar peridicamente los accesos privilegiados (por ejemplo, cada tres meses).
InstitutoNacional
deTecnologas
delaComunicacin

Exigir a los usuarios el cumplimiento de las recomendaciones relativas a las
dimensiones de identificacin y autenticacin (contraseas, certificados, tarjetas,
etctera) y a los equipos no atendidos (desconexin de sesiones, proteccin si
procede con bloqueador de teclado o llave).
Adoptar medidas en relacin con el trabajo desde fuera de las instalaciones de la
organizacin (teletrabajo).
Establecer procedimientos de proteccin de los activos, medidas de proteccin
fsica y medidas contra la introduccin y propagacin de virus o de otro cdigo
daino.
Implementar sistemas de identificacin de puntos de acceso no autorizados.
Existen sistemas de gestin topogrfica de la red wireless desplegada que
permiten monitorizar la existencia de frecuencias no autorizadas en el radio de
accin de la empresa. Mediante una gestin inteligente, estos sistemas posibilitan
la identificacin mediante triangulacin de la posicin del punto de acceso no
autorizado y evitan que otros dispositivos se conecten a l.
Desconectar el punto de acceso cuando se detecta que desde l se est
produciendo un ataque con malware.
Elaborar y mantener una lista de usuarios autorizados; estos deben tener un
conjunto de atributos de seguridad que puedan ser mantenidos individualmente.
Asignar a cada usuario un identificador nico para su uso exclusivo y personal, de
forma que cualquiera de sus actuaciones pueda ser trazada.
Implantar en el sistema el requisito de identificacin de los usuarios y
autenticacin de su identidad para acceder a la aplicacin y a otros recursos antes
de que se les permita realizar cualquier accin.
En relacin con la identificacin y el uso de contraseas:
o Los usuarios deberan seleccionar sus propias contraseas; el sistema
debe permitirlo y ayudar al usuario a elegirla.
o El sistema debera exigir para la contrasea al menos ocho caracteres
alfanumricos. Adems, convendra que la almacenase de forma cifrada.
o Se debe establecer un mecanismo de control de acceso al sistema o a la
informacin que lo bloquee, por ejemplo, en el momento en que se
introduzca tres veces una contrasea incorrecta, y un registro de los logs.
InstitutoNacional
deTecnologas
delaComunicacin

o La contrasea debera ser cambiada regularmente y denegarse el acceso
al usuario en caso de que no cumpla los plazos establecidos (caducidad
de la contrasea).
o Hay que concienciar al usuario de que las contraseas no deben tener
informacin de fcil composicin (por ejemplo, fechas asociadas con el
usuario o series regulares, nmeros de telfono, nombres de familiares,
repeticin de caracteres seguidos, etctera), no deben ser compartidas o
dadas a conocer a otros usuarios y nunca deben quedar escritas en un
lugar de fcil acceso
141
.
Respecto a la autenticacin, se pueden considerar dos niveles:
o Autenticacin simple: basada en mecanismos tradicionales de usuario y
contrasea.
o Autenticacin fuerte: basada en la utilizacin de tcnicas de criptografa
asimtrica y en el uso de certificados electrnicos. Tambin suele referirse
a la combinacin de algo que el usuario posee (por ejemplo, una tarjeta
electrnica) con algo que conoce (como las claves PIN). Un modelo de
autenticacin fuerte es el certificado o firma digital, conjunto de datos en
forma electrnica, consignados junto a otros o asociados con ellos, que
pueden ser utilizados como medio de identificacin del firmante
142
.
Si lo que se quiere es establecer un control de acceso a la red basado en polticas
definidas por el administrador, se recomienda utilizar un NAC (Network Access
Control). De esta forma, no slo se determina quin se puede conectar, sino que
tambin se controla los dispositivos desde los que se puede realizar dicho acceso.
Esta solucin tambin permite registrar si el dispositivo conectado cumple con las
polticas de seguridad de la empresa. De esta forma, se puede incluso denegar el
acceso a un equipo autorizado cuando no cumpla con dichas medidas de
seguridad.
En relacin con los accesos remotos al sistema, se debera contar con una VPN
(Virtual Private Network). Una red privada virtual es una tecnologa de red que
permite una extensin de la red local sobre una red pblica o no controlada; es el
caso de Internet, que permite controlar quin y qu mquina se conect y conocer
el nivel de acceso.

141
INTECO: Recomendaciones para la creacin y uso de contraseas seguras. Disponible en
http://www.inteco.es/Seguridad/Observatorio/Estudios_e_Informes/Notas_y_Articulos/recomendaciones_creacion_uso_contrasenas
142
InstitutoNacional
deTecnologas
delaComunicacin

Cifrar la informacin cuando la naturaleza de los datos y de los tratamientos y los
riesgos a los que estn expuestos lo requiera.
o Cifrado simtrico: algoritmo de cifrado en el que la clave para cifrar y
descifrar es la misma. La seguridad del proceso depende del secreto de la
clave, no del secreto del algoritmo. El emisor y el receptor deben compartir
la misma clave, que debe ser desconocida para cualquier otro individuo.
o Cifrado asimtrico: algoritmo de cifrado en el que la clave utilizada para
cifrar es distinta a la utilizada para descifrar. De estas dos claves, una es
conocida (pblica) y la otra permanece en secreto (privada). Lo
fundamental de este sistema reside en la confianza de que una
determinada clave pblica corresponde realmente a quien proclama ser su
propietario. Habitualmente, se utilizan diferentes pares de claves para
distintos fines (firma electrnica, autenticacin electrnica,
confidencialidad).
o Definicin de funcin resumen o hash: funcin de un solo sentido que, a
partir de una cadena de bits de longitud arbitraria, calcula otra,
aparentemente aleatoria, de longitud fija, normalmente un resumen. Se
utiliza principalmente en la creacin y verificacin de la firma electrnica.
o Certificado reconocido: los certificados electrnicos expedidos por un
prestador de servicios de certificacin que cumpla los requisitos
establecidos en la Ley de Firma Electrnica, en cuanto a la comprobacin
de la identidad y dems circunstancias de los solicitantes y a la fiabilidad y
las garantas de los servicios de certificacin que presten.
Los algoritmos deberan permitir una longitud mnima de claves de 128 bits (al
menos 16 caracteres alfanumricos).
Utilizar el estndar S/MIME, v2143 o superior, para contar con un correo
electrnico seguro.
Implantar procedimientos de apoyo a los mecanismos de cifrado (control de
acceso fsico y lgico, autenticacin, gestin de claves, etctera) para evitar la
divulgacin no autorizada de la informacin almacenada en dispositivos y
soportes electrnicos o en trnsito a travs de redes de telecomunicaciones.

143
S/MIMEv2 (Secure Multipurpose Internet Mail Extensin version 2). Op. cit. 107.
InstitutoNacional
deTecnologas
delaComunicacin

Contar con una VPN (Virtual Private Network). Para asegurar la confidencialidad
se hace uso de algoritmos de cifrado como DES (Data Encryption Standard),
Triple DES y AES (Advanced Encryption Standard).
Integridad (I)
Implantar procedimientos de explotacin de la aplicacin y de los sistemas
adecuados a la proteccin de la integridad.
Implantar procedimientos de copias de respaldo de ficheros y bases de datos, y
de proteccin y conservacin de informacin en soportes reescribibles como CD-
ROM o DVD.
Proteger los archivos de informacin mediante el atributo de slo lectura.
Realizar un anlisis peridico de los accesos y de los recursos utilizados.
Adoptar medidas de proteccin frente a cdigo daino en los servidores de
aplicacin, en los equipos de los usuarios y en los soportes circulantes (por
ejemplo, CD-ROM, disquetes, USB, etctera).
Definir y aplicar procedimientos para evitar la instalacin de software no
autorizado por la organizacin.
Disponer de una VPN (Virtual Private Network). Para asegurar la integridad de la
informacin, la VPN utiliza funciones de hash. Los algoritmos de hash ms
comunes son los Message Digest, versiones 2 y 5 (MD2 y MD5), y el Secure Hash
Algorithm (SHA).
Disponer de un certificado o firma digital, conjunto de datos en forma electrnica,
consignados junto a otros o asociados con ellos, que pueden ser utilizados como
medio de identificacin del firmante144. Este medio de identificacin es el
certificado digital.
Establecer un mecanismo de suma de comprobacin o checksum. Es un sistema
que se utiliza para comprobar rpidamente que ciertos datos no han sido
modificados (aunque no detecta cules han sido los cambios). Su versin ms
simple consiste en sumar byte a byte la informacin y guardar esta suma. Para
saber si la informacin ha sido modificada bastar con volver a calcular su suma y

144
InstitutoNacional
deTecnologas
delaComunicacin

comprobar el resultado. En una versin ms til se usa un resumen digital
mediante el algoritmo MD5145.
Contar con un cifrado de datos. Es un mecanismo de seguridad consistente en
modificar la informacin de tal manera que el resultado de esa modificacin no se
pueda interpretar y que slo se pueda llegar a la informacin original mediante
una clave secreta. Existen dos tipos de cifrado aplicables, el simtrico y el
asimtrico.
Contar con un plan de contingencia, documento que describe con un alto nivel de
detalle qu se debe hacer en caso de que ocurra cualquier desastre que afecte al
sistema de informacin y de datos. Debe cubrir problemas como el robo de
servidores de informacin, su borrado o prdida, incendios, inundaciones,
recuperacin por copias de seguridad, etctera, y contener informacin relativa
tanto a mquinas y dispositivos como a la infraestructura.
Disponibilidad (D)
Adoptar procedimientos de explotacin que garanticen la fiabilidad de la aplicacin
y de los soportes en los que resida la informacin y adoptar medidas de seguridad
fsica.
Adoptar medidas de proteccin fsica de los puntos de acceso inalmbricos.
Actualizar peridicamente o cuando sea necesario el software de base y aplicar
correcciones a sus debilidades.
Proteger los equipos que soporten la aplicacin contra fallos de suministro
elctrico mediante sistemas de alimentacin ininterrumpida (SAI o UPS,
Uninterruptible Power Supply), ya que pueden originar una alteracin o la prdida
de datos.
Contar, dependiendo del tamao de la organizacin y de sus necesidades, con
suministro elctrico y hardware duplicados.
Adoptar medidas apropiadas de seguridad fsica en el entorno donde se
encuentren los equipos que den soporte a la aplicacin.

145
Este algoritmo resume cualquier documento, independientemente de su tamao o naturaleza, en una fila de 128 bits. En
el momento en el que se modifique cualquier cosa (palabra, forma, letra, figura, color, etctera), su resumen digital MD5
dar una hilera de 128 bits totalmente distinta.
InstitutoNacional
deTecnologas
delaComunicacin

Implantar procedimientos de proteccin y vigilar el funcionamiento de mecanismos
capaces de evitar la instalacin de software no autorizado y otros que la evolucin
de las amenazas o de la tecnologa hagan necesarios.
Ejecutar bateras de test y comprobar las listas CERT (esta opcin est ms
enfocada a los desarrolladores de software). Las bateras de test consisten en
crear bateras de pruebas (entradas de datos) a un software ya implementado
para ver los resultados que se obtienen (salidas de datos) y cerciorarse de que
realmente deben salir esos datos. Las listas CERT se publican indicando errores
de programas que, generalmente, no han sido todava corregidos. Consultando
esas listas se puede saber qu entradas provocan qu errores.
Generar mecanismos de prevencin de ataques de denegacin de servicio
mediante un control peridico de los protocolos utilizados en los puntos de
acceso.
No repudio (NR)
Disponer de un certificado o firma digital: es el conjunto de datos en forma
electrnica, consignados junto a otros o asociados con ellos, que pueden ser
utilizados como medio de identificacin del firmante146 (certificado digital).
Crear y mantener un directorio de registro de acceso (log) que registre el
momento (fecha y hora) en que un usuario o proceso crea, modifica o borra un
archivo o datos y los datos del usuario o del proceso.
Proteccin del dispositivo
Actualizar la poltica de seguridad segn vaya transcurriendo el tiempo.
Elaborar una gua de buenas prcticas para usuarios, prestando especial atencin
a la formacin y concienciacin.
Establecer una poltica de realizacin de copias de seguridad peridicas (anuales,
semestrales, mensuales, semanales y diarias, dependiendo del volumen de los
datos).
Implantar mecanismos de reinicio y borrado remoto del dispositivo.
Aplicar el control de acceso al dispositivo para prevenirlo del uso por usuarios no
legtimos.

146
InstitutoNacional
deTecnologas
delaComunicacin

Realizar una gestin centralizada de dispositivo.
Cifrar los datos sensibles corporativos o personales para favorecer la
confidencialidad.
Establecer una proteccin antimalware.
Gestionar un control de polticas de puntos de acceso.
Prevenir las fugas de informacin.
8.1.2 Otras recomendaciones
En este apartado se describen acciones adicionales a los aspectos tecnolgicos, que
deben ser consideradas para implementar una solucin de seguridad completa y efectiva.
Incluyen todas aquellas normas, reglas o prcticas de seguridad que afecten a las
dimensiones de seguridad anteriormente descritas (autenticacin, confidencialidad,
integridad, disponibilidad de la informacin), a todos los actores implicados (responsable
o propietario de la aplicacin o los datos de carcter personal y usuarios) y a la
regulacin del modo en que los bienes que contienen informacin sensible son
gestionados, protegidos y distribuidos en el seno de las organizaciones.
Para cumplir con los objetivos descritos anteriormente, el contenido de la poltica de
seguridad de una compaa debe incluir:
El objeto del documento.
El mbito de aplicacin de la poltica.
Los recursos que se encuentran protegidos.
Las funciones y obligaciones del personal.
Las normas, procedimientos, reglas, estndares y medidas para garantizar la
autenticidad, confidencialidad, integridad, disponibilidad y conservacin de la
informacin.
El procedimiento de identificacin, autenticacin y control de accesos.
El procedimiento para la gestin de incidencias de seguridad.
La gestin de soportes y copias de respaldo.
InstitutoNacional
deTecnologas
delaComunicacin

La poltica o el procedimiento de control de los accesos a travs de las redes.
Los planes de contingencia y de continuidad del servicio.
Los controles peridicos de verificacin del cumplimiento de las normas y
procedimientos establecidos.
Se refiere a un proceso, basado en las normas ISO 9000:2000, sistemtico,
independiente y documentado con el fin de obtener informacin para evaluar de manera
objetiva los resultados obtenidos en materia de seguridad.
Cada empresa en funcin de su tamao debera incluir las siguientes recomendaciones
en sus procedimientos:
La auditora a la seguridad debe ser objetiva y peridica para asegurar que la
organizacin ejecuta los procedimientos correctamente.
La aplicacin informtica que sustente la seguridad de las redes debe estar
dotada de un registro de eventos o pista de auditora que permita identificar al
menos los usuarios, fechas, horas y procesos mediante los cuales se ha
realizado, o intentado realizar, alguna modificacin de la informacin sensible.
Se ha de revisar peridicamente que los usuarios cumplen con los requisitos de
seguridad establecidos por la compaa, por ejemplo, con el cambio peridico de
contraseas, la conservacin de la informacin relacionada con el puesto de
trabajo o los backup peridicos.
Es necesario revisar peridicamente las medidas organizativas y tcnicas de
seguridad para mejorar su eficacia.
Hay que realizar peridicamente anlisis de vulnerabilidades de las redes
mediante la utilizacin de herramientas disponibles en el mercado para detectar y
corregir problemas de seguridad.
Se refiere a la seleccin y clasificacin de los activos que hay que proteger de las
amenazas a las cuales son vulnerables y, a su vez, a la seleccin e implementacin de
las medidas de seguridad adecuadas para conocer, prevenir, impedir, reducir o controlar
los riesgos identificados y as minimizar su potencialidad o sus posibles perjuicios.
InstitutoNacional
deTecnologas
delaComunicacin

Es recomendable realizar y mantener un inventario de los activos a proteger
(informacin, equipamiento del sistema, soportes e informacin, otros equipos
como los de climatizacin y alimentacin, etctera).
Para cada activo se debe identificar a su propietario, as como su valor e
importancia en trminos cuantitativos o cualitativos, en funcin de los requisitos de
autenticidad, integridad, confidencialidad y disponibilidad que le son aplicables.
En relacin a la informacin, se debe documentar a qu usuarios se autoriza el
acceso y los atributos relacionados con el referido acceso.
Es necesario definir procedimientos de etiquetado y manipulacin de la
informacin para cada uno de los distintos niveles en los que se clasifica y las
diferentes actividades: acceso, modificacin, copia, almacenamiento, transmisin
y destruccin.
Se contemplan las principales actividades que deberan desarrollar las personas
dedicadas a la seguridad de las redes dentro de una compaa, con dedicacin completa
o compartida con otras funciones. Incluye, por ejemplo, la aplicacin de la poltica de
seguridad, el desarrollo de normas, sistemas y procedimientos de deteccin de
amenazas, la proteccin de activos y la accin ante eventos, as como la administracin
de la seguridad y de las correspondientes salvaguardas, preventivas o correctivas frente
a anomalas.
Definir y documentar las funciones y obligaciones del personal, en particular en
relacin con el acceso y la utilizacin de los sistemas de informacin y a los datos
de carcter personal.
Definir las responsabilidades relacionadas con la seguridad en cada puesto de
trabajo.
Dar a conocer al personal las medidas de seguridad que afecten al desarrollo de
sus funciones y que en su caso deban aplicar, as como las consecuencias de su
incumplimiento.
Formar y concienciar al personal respecto a sus obligaciones en materia de
seguridad.
Suministrar al personal que maneje datos de carcter personal u otra informacin
que haya de protegerse el mobiliario adecuado para almacenar la informacin (en
soporte papel o electrnico).
InstitutoNacional
deTecnologas
delaComunicacin

Controlar peridicamente que el personal que tenga relacin con la seguridad de
la informacin de la compaa cumpla con las obligaciones establecidas.
Establecer criterios de confidencialidad de la informacin manipulada en los casos
de personal con contratos temporales o pertenecientes a empresas
subcontratadas.
Garantizar que el usuario est sensibilizado respecto de los riesgos que puede
implicar un tratamiento incorrecto de la informacin de carcter personal.

InstitutoNacional
deTecnologas
delaComunicacin

9 ANEXO II: MARCO REGULATORIO DE LA
SEGURIDAD EN REDES INALMBRICAS
El desarrollo de redes inalmbricas y su seguridad, hasta el da de hoy, no se ha visto
acompaado de un marco regulador especfico.
Los expertos consultados, las entrevistas y la investigacin bibliogrfica han confirmado
esta situacin. Actualmente no existe una legislacin especfica que regule la actuacin
de las redes inalmbricas respecto a su seguridad, por lo tanto, las directrices a seguir
deben enfocarse a la legislacin actual que mejor se ajuste al caso de estudio.
A pesar de eso, la comisin de cualquier delito haciendo uso de medios informticos o
electrnicos (delito informtico) generar sanciones dependiendo de las rdenes
jurisdiccionales que se apliquen en cada caso. Estas sanciones pueden ser:
Sanciones va administrativa.
Sanciones por va civil.
Sanciones aplicando el derecho laboral.
Sanciones va penal, que tendrn preferencia sobre las de tipo administrativo.
Para tener una visin general de la normativa existente, en este captulo se analiza
brevemente la normativa espaola y europea relacionada de una forma u otra con el
entorno de redes inalmbricas.
9.1 Normativa espaola
Actualmente existen en Espaa leyes o normativas relacionadas con la tecnologa,
incluyendo aspectos como la neutralidad tecnolgica, la proteccin de datos, el
cumplimento de estndares, etctera.
Estas normas son las siguientes:
9.1.1 Ley Orgnica 15/1999, del 13 de diciembre, de Proteccin de Datos de
Carcter Personal (LOPD)
Se complementa con el reglamento estipulado en el Real Decreto 1720/2007
147
.

147
Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgnica
15/1999, de 13 de diciembre, de Proteccin de Datos de Carcter Personal. Disponible en
InstitutoNacional
deTecnologas
delaComunicacin

El objetivo de esta ley es garantizar y proteger, en lo concerniente al tratamiento de los
datos personales (automatizados o no), las libertades pblicas y los derechos
fundamentales de las personas fsicas y, especialmente, su honor e intimidad personal y
familiar.
La LOPD es de aplicacin a los datos de carcter personal registrados en soporte fsico
(incluyendo el papel) que los haga susceptibles de tratamiento, y a su uso posterior por
sectores pblicos y privados.
El personal que tenga acceso a estos datos est obligado al secreto profesional respecto
a ellos y, por tanto, no podr comunicarlos a terceras personas para un fin distinto de
aquel para el que fueron recabados.
Asimismo, el personal deber mantener en las bases de datos la informacin necesaria
para el desarrollo de sus funciones, es decir, los datos no deben ser excesivos en
relacin con el mbito y las finalidades determinadas. Los datos de carcter personal
sern exactos y puestos al da, de forma que respondan con veracidad a la situacin
actual del afectado.
Los interesados a los que se soliciten datos personales debern ser previamente
informados de modo expreso, preciso e inequvoco:
De la existencia de un fichero o tratamiento de datos de carcter personal, de la
finalidad de la recogida de estos y de los destinatarios de la informacin.
Del carcter obligatorio o facultativo de su respuesta a las preguntas que les sean
planteadas.
De las consecuencias de la obtencin de los datos o de la negativa a
suministrarlos.
De la posibilidad de ejercitar los derechos de acceso, rectificacin, cancelacin y
oposicin.
De la identidad y direccin del responsable del tratamiento o, en su caso, de su
representante.
Con el fin de mantener la confidencialidad, integridad y disponibilidad de la informacin, la
LOPD exige la existencia de un documento de seguridad con las normas y
procedimientos para cumplir los puntos anteriores.
Los afectados, personas de las que se almacenan datos de carcter personal, tienen una
serie de derechos amparados por esta ley:
InstitutoNacional
deTecnologas
delaComunicacin

Derecho de informacin. Cuando el afectado proporciona sus datos, debe ser
informado de lo expuesto en los puntos anteriores.
Derecho de acceso, cancelacin, rectificacin y oposicin. El afectado puede ver
la informacin que se dispone de l, cambiar esos datos para que sean correctos
y exactos, cancelar la informacin y oponerse a que se almacene, en este caso,
con perjuicio de la funcionalidad para la que fueron recabados.
9.1.2 Real Decreto Legislativo 1/1996, de 12 de abril, de Ley de Propiedad
Intelectual
148

Esta ley se complementa con la Ley 23/2006, de 7 de julio
149
, por la que se modifica el
texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto
Legislativo 1/1996, de 12 de abril.
La Ley de Propiedad Intelectual establece que la propiedad intelectual de una obra
literaria, artstica o cientfica corresponde al autor por el solo hecho de su creacin.
La propiedad intelectual est integrada por derechos de carcter personal y patrimonial,
que atribuyen al autor la plena disposicin y el derecho exclusivo a la explotacin de la
obra, sin ms limitaciones que las establecidas en la ley.
Son objeto de propiedad intelectual todas las creaciones originales literarias, artsticas o
cientficas expresadas por cualquier medio o soporte, tangible o intangible, actualmente
conocido o que se invente en el futuro, comprendindose entre otras las siguientes.
Los libros, folletos, impresos, epistolarios, escritos y discursos.
Conferencias, informes forenses, explicaciones de ctedra y cualesquiera otras
obras de la misma naturaleza.
Los proyectos, planos, maquetas y diseos de obras arquitectnicas y de
ingeniera.
Los grficos, mapas y diseos relativos a la topografa, la geografa y, en general,
a la ciencia.
Las obras fotogrficas y las expresadas por procedimiento anlogo a la fotografa.

148
Real Decreto Legislativo 1/1996, de 12 de abril, de Ley de Propiedad Intelectual. Disponible en
149
Ley 23/2006, de 7 de julio, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el
Real Decreto Legislativo 1/1996, de 12 de abril. Disponible en http://www.boe.es/boe/dias/2006/07/08/pdfs/A25561-
25572.pdf
InstitutoNacional
deTecnologas
delaComunicacin

Los programas de ordenador.
Tambin son objeto de propiedad intelectual en los trminos del libro I de la presente ley
las colecciones de obras ajenas, de datos o de otros elementos independientes como las
antologas y las bases de datos que por la seleccin o disposicin de sus contenidos
constituyan creaciones intelectuales, sin perjuicio, en su caso, de los derechos que
pudieran subsistir sobre dichos contenidos.
La proteccin reconocida en el presente artculo a estas colecciones se refiere
nicamente a su estructura en cuanto a la forma de expresin de la seleccin o
disposicin de sus contenidos, no siendo extensiva a estos.
A efectos de la presente ley, y sin perjuicio de lo dispuesto en el apartado anterior, se
consideran bases de datos las colecciones de obras, de datos o de otros elementos
independientes dispuestos de manera sistemtica o metdica, y accesibles
individualmente por medios electrnicos o de otra forma.
La proteccin reconocida a las bases de datos en virtud del presente artculo no se
aplicar a los programas de ordenador utilizados en la fabricacin o en el funcionamiento
de bases de datos accesibles por medios electrnicos.
9.1.3 Ley 17/2001, de 7 de diciembre, de Marcas
150

Para la proteccin de los signos distintivos se concedern, de acuerdo con la presente
ley, los siguientes derechos de propiedad industrial:
Las marcas.
Los nombres comerciales.
La solicitud, la concesin y los dems actos o negocios jurdicos que afecten a los
derechos sealados en el apartado anterior se inscribirn en el Registro de Marcas,
segn lo previsto en esta ley y en su reglamento.
El Registro de Marcas tendr carcter nico en todo el territorio nacional y su llevanza
corresponder a la Oficina Espaola de Patentes y Marcas, sin perjuicio de las
competencias que en materia de ejecucin de la legislacin de propiedad industrial
corresponden a las comunidades autnomas, segn se desarrolla en esta ley.
El derecho de propiedad sobre la marca y el nombre comercial se adquieren por el
registro vlidamente efectuado de conformidad con las disposiciones de la presente ley.

150
Ley 17/2001, de 7 de diciembre, de Marcas. Disponible en http://www.boe.es/boe/dias/2001/12/08/pdfs/A45579-
45603.pdf
InstitutoNacional
deTecnologas
delaComunicacin

Esta ley tiene el mismo problema que la propiedad intelectual. Los productores de
contenidos ignoran los requisitos de esta ley y utilizan indebidamente marcas y nombres
comerciales, lo cual puede acabar en una demanda de la empresa afectada.
9.1.4 Ley 20/2003, de 7 de julio, de Proteccin Jurdica del Diseo Industrial
151

Esta ley tiene por objeto establecer el rgimen jurdico de la proteccin de la propiedad
industrial del diseo.
Todo diseo que cumpla los requisitos establecidos en esta ley podr ser registrado
mediante su inscripcin, vlidamente efectuada, en el Registro de Diseos.
La solicitud, la concesin y los dems actos o negocios jurdicos que afecten al derecho
sobre el diseo solicitado o registrado se inscribirn en el Registro de Diseos, segn lo
previsto en esta ley y en su reglamento.
El Registro de Diseos tendr carcter nico en todo el territorio nacional y su llevanza
corresponder a la Oficina Espaola de Patentes y Marcas, sin perjuicio de las
competencias que en materia de ejecucin de la legislacin de propiedad industrial
corresponden a las comunidades autnomas, segn se establece en esta ley.
9.1.5 Circular 1/2006 del Fiscal General del Estado del 27 de mayo de 2006, sobre
los delitos contra la propiedad intelectual e industrial tras la reforma de la Ley
Orgnica 15/2003
152

La Circular se aborda a partir del importante cambio que la reforma llevada a cabo por la
Ley Orgnica 15/2003, de 25 de noviembre, del Cdigo Penal ha supuesto en la
configuracin de los delitos contra la propiedad intelectual e industrial, que se han
trasformado de dos delitos semipblicos, sujetos al rgimen de denuncia previa del
ofendido, en delitos pblicos perseguibles de oficio. La reforma introduce adems otras
novedades en la regulacin de estos tipos delictivos, que requieren establecer unos
criterios de interpretacin y actuacin unitaria del Ministerio Fiscal en la persecucin
eficaz de las conductas vulneradoras de esos derechos que el legislador ha considerado
como merecedoras de un reproche de naturaleza penal.

151
Ley 20/2003, de 7 de julio, de Proteccin J urdica del Diseo Industrial. Disponible en
http://www.oepm.es/cs/Satellite?c=Normativa_C&cid=1150364394370&classIdioma=_es_es&pagename=OEPMSite%2FNo
rmativa_C%2FtplContenidoHTML
152
Circular 1/2006 del Fiscal General del Estado del 27 de mayo de 2006, sobre los delitos contra la propiedad intelectual e
industrial tras la reforma de la Ley Orgnica 15/2003. Disponible en http://aui.es/IMG/pdf_CIRCULAR1-2006-FISCALIA.pdf
InstitutoNacional
deTecnologas
delaComunicacin

9.1.6 Orden PRE/2740/2007, de 19 de septiembre, por la que se aprueba el
Reglamento de Evaluacin y Certificacin de la Seguridad de las Tecnologas de la
Informacin
153

Este reglamento regula el marco de actuacin, y crea los organismos necesarios, para
poner en marcha los procesos de evaluacin y certificacin al alcance de la industria y la
Administracin. Bajo este esquema se incluye el CCN (Centro Criptogrfico Nacional) y el
CC (Common Criteria):
Centro Criptolgico Nacional: tiene por funcin elaborar y difundir normas,
instrucciones, guas y recomendaciones para garantizar la seguridad de los
sistemas de las tecnologas de la informacin y las comunicaciones de la
Administracin, as como coordinar la promocin, el desarrollo, la obtencin, la
adquisicin y puesta en explotacin y la utilizacin de la tecnologa de seguridad
de los sistemas mencionados. Tambin tiene por objeto formar al personal de la
Administracin especialista en el campo de la seguridad de los sistemas de las
tecnologas de la informacin y las comunicaciones, velar por el cumplimiento de
la normativa relativa a la proteccin de la informacin clasificada en su mbito de
competencia, constituir el organismo de certificacin del esquema nacional de
evaluacin y certificacin de la seguridad de las tecnologas de informacin, de
aplicacin a productos y sistemas en su mbito, y establecer las necesarias
relaciones y firmar los acuerdos pertinentes con organizaciones similares de otros
pases.
Common Criteria (ISO/IEC 15408): establecen un conjunto de requisitos para
definir las funciones de seguridad de los productos y sistemas de la tecnologa de
la informacin y los criterios para evaluar su seguridad.
9.1.7 Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento
sobre las condiciones para la prestacin de servicios de comunicaciones
electrnicas, el servicio universal y la proteccin de los usuarios
154

Se presta especial atencin a la proteccin de los datos personales en la prestacin de
servicios de comunicaciones electrnicas. A este respecto, conviene sealar que esto se
realiza a travs de la regulacin desde un triple punto de vista: el tratamiento de los datos
que obren en poder de los operadores relativos al trfico, facturacin y localizacin de los
abonados y usuarios, la elaboracin de las guas telefnicas de nmeros de abonados y

153
ORDEN PRE/2740/2007, de 19 de septiembre, por la que se aprueba el Reglamento de Evaluacin y Certificacin de la
Seguridad de las Tecnologas de la Informacin. Disponible en http://www.boe.es/boe/dias/2007/09/25/pdfs/A38781-
38805.pdf
154
Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestacin de
servicios de comunicaciones electrnicas, el servicio universal y la proteccin de los usuarios. Disponible en
InstitutoNacional
deTecnologas
delaComunicacin

la prestacin de servicios avanzados de telefona, como la identificacin de la lnea de
origen y el desvo automtico de llamadas.
Se regulan tambin los dems derechos de los usuarios de servicios de comunicaciones
electrnicas, en aspectos tales como el contenido de los contratos entre los usuarios
finales y los operadores, el derecho de desconexin de determinados servicios, el
derecho a indemnizacin por la interrupcin del servicio o el procedimiento de suspensin
o interrupcin de aquel ante situaciones de impago.
9.1.8 Orden ITC/912/2006, de 29 de marzo, por la que se regulan las condiciones
relativas a la calidad de servicio en la prestacin de los servicios de
comunicaciones electrnicas
155

El objeto de esta orden es el establecimiento de las condiciones relativas a la calidad de
servicio en la prestacin de los servicios de comunicaciones electrnicas y a otros
aspectos afines, en desarrollo de lo previsto en el Reglamento sobre las condiciones para
la prestacin de servicios de comunicaciones electrnicas, el servicio universal y la
proteccin de los usuarios, aprobado por el Real Decreto 424/2005, de 15 de abril.
Dichas condiciones se refieren a:
La informacin a los usuarios sobre los niveles de calidad de servicio relativos a
los servicios de telefona disponible al pblico, acceso a Internet y consulta
telefnica sobre nmeros de abonado.
El contenido de los contratos con los usuarios en lo relativo a la calidad de
servicio.
Los niveles mnimos para el servicio universal.
El aseguramiento de la calidad en la precisin de la facturacin a los usuarios
finales.
El tratamiento de los sucesos que conlleven una degradacin importante de la
calidad de servicio.
El desglose de la facturacin detallada.
Las modalidades de presentacin de la facturacin desglosada a efectos de la
proteccin de los datos de carcter personal.

155
Orden ITC/912/2006, de 29 de marzo, por la que se regulan las condiciones relativas a la calidad de servicio en la
prestacin de los servicios de comunicaciones electrnicas. Disponible en
InstitutoNacional
deTecnologas
delaComunicacin

9.2 Normativa europea
Actualmente, en Europa la normativa ISO 1799:2005 marca las lneas generales en
cuanto al fomento del uso de mejores prcticas en la gestin de la seguridad de la
informacin.
Esta normativa tiene por funcin identificar controles independientes de la tecnologa que
sean de aplicacin general para organizaciones pequeas, medianas y grandes y a
diferentes aplicaciones, sistemas y plataformas tecnolgicas, facilitar la adopcin de
controles proporcionados al riesgo, atender la demanda relativa al desarrollo,
implantacin y medida de prcticas de seguridad efectivas y proporcionar principios y
recomendaciones de gestin en los que basar la poltica de seguridad de la informacin
en cualquier soporte, sin restringirse nicamente a los aspectos especficos de seguridad
de tecnologas de la informacin y de las comunicaciones.
En general, los estados miembros deberan incorporar soluciones eficaces e
interoperables en materia de seguridad de la informacin como requisito bsico para sus
actividades.
InstitutoNacional
deTecnologas
delaComunicacin

10 ANEXO III: FUNCIONAMIENTO GENERAL DE LAS
REDES DE TRFICO DE DATOS
A nivel general, las redes de trfico de datos siguen una especificacin comn y estndar
denominada pila OSI (Open System Interconnection), que define cmo debera ser una
comunicacin. La divide en siete capas (hay una versin que la divide en cinco,
agrupando las tres ltimas en una sola) segn la funcionalidad que debera tener cada
una, permitiendo que cuando se desee mejorar algn punto en particular, tan slo se
deba cambiar o modificar una capa, respetando las especificaciones para las dems.
Estas capas, por orden, son las siguientes:
Capa fsica: es la encargada de la transmisin de la informacin a nivel puramente
fsico, es decir, mediante la modulacin de las ondas (electromagnticas, haz de
luz, etctera). En este nivel operan los denominados hubs.
Capa de enlace: gracias a esta capa es posible un direccionamiento fsico de un
dispositivo. Se encarga de transmitir sin errores los datos al nivel fsico y solventar
los problemas de la prdida, duplicidad o deterioro de la informacin. Adems, se
encarga del direccionamiento fsico, de la topologa y el acceso a la red y del
control de la distribucin ordenada de las tramas. En este nivel operan los
denominados switchers.
Capa de red: es la encargada de hacer que la informacin llegue de un origen a
un destino, aun cuando no estn conectados directamente, como es en el caso de
Internet. A este nivel operan los routers.
Capa de transporte: normalmente, cuando se enva un flujo de informacin
(denominado paquete) este no viaja de forma ntegra por la red, sino que se suele
fraccionar en fragmentos ms pequeos. La misin es esta capa es recoger todos
estos fragmentos ms pequeos y ensamblarlos en uno solo, para pasarlo a la
capa de sesin. Los dos modos principales de comunicacin a nivel de transporte
son TCP y UDP. Con TCP, el destinatario se asegura que la informacin le va
llegar correctamente al cien por cien y en orden, pero dentro de un intervalo de
tiempo de aceptabilidad. UDP asegura que la informacin llegar en un periodo
escaso de tiempo, pero no toda. TCP es utilizado para el envo de datos y UDP
para envo de multimedia como voz y vdeo en tiempo real.
Capa de sesin: tiene como misin establecer y gestionar las conexiones entre
usuarios o procesos finales.
InstitutoNacional
deTecnologas
delaComunicacin

Capa de presentacin: gestiona cmo debe representarse al usuario final la
informacin enviada o recibida (formatos, colores, estilos, bytes, etctera).
Capa de aplicacin: en ella se definen los protocolos de alto nivel para las
comunicaciones de las entidades. Estos protocolos son los ms conocidos;
algunos de ellos son HTTP (HyperText Markup Language, lenguaje de marcas de
hipertexto) para navegar por Internet, POP3 (Post Office Protocol, protocolo de
servicio postal) y SMTP (Simple Mail Transfer Protocol, protocolo para transferir
correo simple) para recibir y enviar correos electrnicos, FTP (File Transfer
Protocol, protocolo de transferencia de ficheros) para transferir ficheros, etctera.
La arquitectura de una red corresponde con el siguiente dibujo:
Figura 15: El camino entre capas OSI de un flujo de informacin
Puente
Aplicacin
Transporte
Red
Link
Fsico
Link
Fsico
Red
Link
Fsico
Aplicacin
Transporte
Red
Link
Fsico
Data
Data
Router
Puente
Aplicacin
Transporte
Red
Link
Fsico
Link
Fsico
Red
Link
Fsico
Aplicacin
Transporte
Red
Link
Fsico
Data
Data
Router

Fuente: INTECO
Un paquete de informacin es enviado a travs de una red hasta un destino. Los recursos
intermedios necesarios para que llegue dicha informacin no tienen por qu implementar
todas las funcionalidades de la pila OSI, tan slo las capas ms bajas.
De todo ello se puede deducir que para convertir un sistema cableado en uno
inalmbrico, si las capas tienen una funcionalidad correctamente delimitada, tan slo
habra que cambiar las dos primeras (el nivel de enlace y el fsico). Esta es la idea de las
comunicaciones inalmbricas, aunque la modificacin de estas dos capas no deja de ser
extremadamente complicada, ya que la definicin de una capa inalmbrica debe tener en
cuenta problemas y dificultades muy importantes que no se tienen en medios cableados o
guiados.
InstitutoNacional
deTecnologas
delaComunicacin

Por tanto, si la capa de una tecnologa es igual a la de otra, las ventajas e inconvenientes
sern tambin los mismos. As pues, los peligros que se puedan llegar a presentar a nivel
de aplicacin, de transporte o a nivel de red sern generalmente los mismos en una
tecnologa inalmbrica que en una cableada. De hecho, todas las soluciones utilizadas
para las tecnologas cableadas se pueden utilizar en las inalmbricas (aunque no siempre
tendrn el mismo efecto), y la mayora de las soluciones existentes para securizar las
redes inalmbricas son protocolos que securizan el nivel de enlace.
InstitutoNacional
deTecnologas
delaComunicacin

11 ANEXO IV: METODOLOGA Y FUENTES
CONSULTADAS
11.1 Metodologa
En base a los objetivos y resultados buscados en el informe se ha definido una
metodologa de trabajo basada en la realizacin de entrevistas cualitativas, en el anlisis
y bsqueda de informacin en fuentes independientes y en la participacin de una panel
de expertos cuya principal misin es asesorar al equipo de trabajo en el enfoque y
avance del trabajo realizado.
11.1.1 Listado de empresas colaboradoras
Para la realizacin de este estudio se ha contado con la participacin de empresas de
reconocido prestigio, que han aportado su conocimiento y experiencia en el mbito de la
seguridad en redes inalmbricas.
Las empresas participantes han sido las siguientes:
Aladdin
Alcatel-lucent
Cisco
Check Point
cija Abogados
Ericsson
everis
HP
Magirus
Microsoft
Mobipay
Mossec
Nokia
Ono
Panda Software
Sun
Symantec
Telefnica
Trend Micro
Vodafone
Zitralia
InstitutoNacional
deTecnologas
delaComunicacin

Figura 16: Metodologa y resultados del informe

ENTREVISTAS A EMPRESAS RELEVANTES DEL SECTOR
Identificacin
de la cadena
de valor
Diseo del
cuestionario
de entrevistas
Realizacin de
entrevistas
ESTUDIO DE INFORMES Y FUENTES DE INFORMACIN
Identificacin
de las fuentes
Anlisis de la
informacin
disponible
PANEL DE EXPERTOS
Identificacin
de los
componentes
Realizacin de
reuniones de
consulta
Anlisis de las
recomendaciones
RESULTADOS
Caracterizacin de
las tecnologas
inalmbricas
Vulnerabilidades y
soluciones de
seguridad
Recomendaciones
para la
Administracin y
la industria
ENCUESTAS DE UTILIZACIN DE INALAMBRICAS EN
HOGARES
Elaboracin Diseo
de la
encuesta
y captacin
muestra
de la
Realizacin
de
auditoras
de seguridad
Lanzamiento
de la
encuesta y
recopilacin
de datos
Obtencin de
resultados
diagnstico
Obtencin de
conclusiones
de encuestas
ENTREVISTAS A EMPRESAS RELEVANTES DEL SECTOR
Identificacin
de la cadena
de valor
Diseo del
cuestionario
de entrevistas
Realizacin de
entrevistas
ESTUDIO DE INFORMES Y FUENTES DE INFORMACIN
Identificacin
de las fuentes
Anlisis de la
informacin
disponible
PANEL DE EXPERTOS
Identificacin
de los
componentes
Realizacin de
reuniones de
consulta
Anlisis de las
recomendaciones
RESULTADOS
Caracterizacin de
las tecnologas
inalmbricas
Vulnerabilidades y
soluciones de
seguridad
Recomendaciones
para la
Administracin y
la industria
ENCUESTAS DE UTILIZACIN DE INALAMBRICAS EN
HOGARES
Elaboracin Diseo
de la
encuesta
y captacin
muestra
de la
Realizacin
de
auditoras
de seguridad
Lanzamiento
de la
encuesta y
recopilacin
de datos
Obtencin de
resultados
diagnstico
Obtencin de
conclusiones
de encuestas

Fuente: INTECO
11.1.2 Panel de expertos
El panel, formado por un grupo de gerentes y socios de la consultora everis, ha tenido
como fin asesorar al equipo de trabajo, tanto en el enfoque como en la validacin de las
conclusiones y resultados obtenidos.
La composicin del panel de expertos ha sido la siguiente:
Pablo Argaiz, socio del sector Telecom.
Luciano Moyano, gerente senior del rea de Redes.
Conrad Lpez, gerente senior del rea de Redes.
J ess Martin Tello, gerente senior del sector Telecom.
InstitutoNacional
deTecnologas
delaComunicacin

J oaqun Guerrero, gerente Telecom.
Miguel ngel Thomas, gerente de Seguridad.
11.1.3 Entrevistas a empresas relevantes del sector
Como paso previo a la realizacin de las entrevistas a las empresas del sector ms
relevantes, se ha definido una cadena de valor de la seguridad en las redes inalmbricas,
a partir de la cual identificar a los principales actores del sector.
Figura 17: Cadena de valor de securizacin en redes inalmbricas

Empresas de seguridad
Usuarios
Fabricantes de elementos de red
Fabricantes de terminales
Fabricantes y/o proveedores
Organismos independientes
Facilitadores
de servicios
de acceso y
conectividad
de acceso
Proveedores
de contenidos
y servicios
de software
Empresas de seguridad
Usuarios
Fabricantes de elementos de red
Fabricantes y/o proveedores
Organismos independientes
Facilitadores
de servicios
de acceso y
conectividad
de acceso
Proveedores
de contenidos
y servicios
de software

Fuente: INTECO
Proveedores de contenidos y servicios: cualquier empresa que toma la
determinacin de poner informacin a disposicin de terceros mediante su
conexin a la red (estos actores tambin pueden ser usuarios).
Facilitadores de servicios de acceso y conectividad: operadores de
telecomunicaciones y proveedores de soluciones inalmbricas para pymes y
particulares.
Fabricantes de elementos de red: empresas del sector encargadas de fabricar o
proveer de elementos de red (routers, switches, hub, puntos de acceso wireless,
antenas de comunicacin, etctera) a los propios facilitadores de servicios de
acceso y conectividad o a las pymes.
Fabricantes de terminales: empresas fabricantes o proveedoras de terminales con
la capacidad de conectarse a las tecnologas inalmbricas definidas en este
estudio: GSM/GPRS/UMTS/HSPA, RFID, NFC, Bluetooth, 802.11.
Fabricantes y/o proveedores de software: empresas proveedoras o
desarrolladoras de sistemas operativos, que permiten el funcionamiento de los
diferentes dispositivos de acceso.
InstitutoNacional
deTecnologas
delaComunicacin

Usuarios: personas fsicas o pymes que se conectan a una red inalmbrica.
Empresas de seguridad: empresas desarrolladoras, proveedoras o mayoristas de
soluciones hardware y software de seguridad: antivirus, soluciones especficas,
etctera.
Organismos independientes: organismos, incluida la propia Administracin, que a
partir de normativas, estndares o leyes promueven y regulan los aspectos de la
seguridad en las comunicaciones inalmbricas.
Una vez definido el listado de empresas que iban a ser entrevistadas para ampliar el
alcance y profundidad del estudio, se dise un cuestionario donde se recogan las
siguientes cuestiones cualitativas:
Identificacin de la lista de requisitos de seguridad.
Identificacin de los ataques y soluciones existentes en el mercado.
Listado de tecnologas que estudiar.
Legislacin y normativa relevante.
Recomendaciones y tendencias.
A partir de este cuestionario se realizaron las entrevistas a las empresas ms relevantes
del sector.
11.1.4 Encuestas a usuarios pertenecientes a hogares conectados a Internet
Realizacin y anlisis de resultados de 3.233 encuestas a usuarios pertenecientes a
hogares conectados a Internet sobre dispositivos mviles y redes inalmbricas
156
. Las
caractersticas del trabajo de campo son:
Universo: Usuarios espaoles de Internet, con acceso frecuente a Internet desde
el hogar, mayores de 15 aos. Para delimitar con mayor precisin el concepto de
usuario, se exige una conexin a Internet desde el hogar de al menos una vez al
mes.
Tamao y distribucin muestral: se ha extrado una muestra representativa de
3.233 usuarios de Internet, mediante afijacin muestral segn un modelo
polietpico:

156
Los datos de los resultados cuantitativos obtenidos de la muestra, tienen su base en opiniones y percepciones de los
usuarios encuestados.
InstitutoNacional
deTecnologas
delaComunicacin

o Estratificacin por comunidades autnomas para garantizar un mnimo de
sujetos en cada una de estas entidades.
o Muestreo por cuotas de tamao del hogar, edad, sexo, actividad laboral y
tamao del hbitat
157
.
Tabla 30: Distribucin muestral por CC.AA. (%)
CC.AA.
Muestra
Obtenida
Muestra
Terica
Andaluca 15,7 15,2
Aragn 3,4 3,0
Asturias 3,7 2,5
Baleares 1,9 2,7
Canarias 1,9 4,7
Cantabria 1,9 1,3
Castilla-La Mancha 3,1 2,9
Castilla y Len 6,2 5,4
Catalua 15,1 18,5
Pas Vasco 5,5 4,7
Extremadura 1,2 1,4
Galicia 6,7 4,5
Madrid 18,4 18,6
Murcia 2,4 2,5
Navarra 0,9 1,4
La Rioja 0,6 0,7
Comunidad Valenciana 9,2 10,0
Fuente: INTECO. Mayo 2008
Aunque las desviaciones entre la muestra obtenida (mayo de 2008) y la
terica (enero de 2008) han sido pequeas, la muestra de esta oleada (que
incluye el total de encuestas recogidas con sus escaneos correspondientes)
se ha equilibrado al universo en base a los datos poblacionales por
comunidades autnomas, para el universo descrito anteriormente, y a las
variables de cuota, para alcanzar un ajuste ms perfecto.
Captura de informacin: entrevistas online a partir de un panel de usuarios de
Internet, con un total 3.233 encuestados.
Trabajo de campo: realizado en mayo de 2008.

157
Estas cuotas se han obtenido de datos representativos a nivel nacional de internautas mayores de 15 aos que se
conectan ms de una vez al mes desde el hogar facilitados por Red.es, entidad pblica empresarial del Ministerio de
Industria, Comercio y Turismo (Las TIC en los hogares espaoles: 11 Oleada-Octubre 2006).
InstitutoNacional
deTecnologas
delaComunicacin

Error muestral: de acuerdo con los criterios del muestreo aleatorio simple para
variables dicotmicas en las que p=q=0,5 y para un nivel de confianza del 95,5%,
se establece el siguiente clculo del error muestral: muestra total n=3.233, error
muestral 1,72%.
Tabla 31: Distribucin muestral por categoras sociodemogrficas (%)
Concepto
Muestra
Obtenida
Muestra
Terica
Actividad
Ocupado 81,7 71,7
Parado 4,3 4,6
Estudiante 5,8 16,1
J ubilado 4,6 3,0
Otros inactivos 3,5 4,6
Tamao hogar
1 6,2 3,2
2 20,6 15,4
3 23,4 28,7
4 y ms 49,8 52,7
Sexo
Hombre 47,1 53,7
Mujer 52,9 46,3
Hbitat
Hasta 20.000 27,3 24,8
De 20.001 a 100.000 24,2 24,1
Ms de 100.000 y capitales 48,5 51,1
Edad
Hasta 24 20,7 23,4
25-35 41,7 28,2
35-49 27,9 31,8
De 50 y mas 9,7 16,6
Base muestra terica= 3.523 Base muestra obtenida=3.233 Fuente: INTECO. Mayo 2008
Dado que tanto los datos finales de la encuesta de enero de 2008 como los de mayo de
2008, que son objeto de comparacin en este informe, se han ponderado para ajustarse
al mismo universo de estudio, son perfectamente homogneos en cuanto a distribucin
geogrfica, sexo, edad, tamao del hogar y otras variables sociodemogrficas relevantes.
Es decir, no presentan variacin en tales dimensiones a efectos del anlisis.
11.1.5 Estudio de informes y fuentes de informacin
Este estudio se ha abordado a partir de tres vas:
InstitutoNacional
deTecnologas
delaComunicacin

Anlisis del mercado de las telecomunicaciones en Espaa, taxonoma de las
tecnologas inalmbricas existentes en el mbito mundial y su proyeccin de uso
en el mercado espaol.
Informacin sobre los principales riesgos, ataques y soluciones de seguridad de
las diferentes redes inalmbricas.
Informacin sobre normativa, estndares y regulacin de aplicacin a la seguridad
de las tecnologas estudiadas.
Para ello se han consultado fuentes de toda ndole, desde organismos y empresas
independientes hasta informacin de foros de Internet de sitios especializados en el tema.
A continuacin se listan las fuentes consultadas en este estudio:
3G Amrica
Aaron E. Earle, Auerbach
Publications
Abi Research
Afina
Aladdin
Albalia Interactiva
Android
Apple
Arm
Asociacin de Usuarios de
Internet (http://www.aui.es)
Asociacin Multisectorial de
Empresas Espaolas de
Electrnica y Comunicaciones
AT&T, Seguridad de la
Informacin
Ayuntamiento de Mijas
Banda Ancha
(http://www.bandaancha.es)
Birdstep Enterprise Division
Blog Bits de Actualidad
(http://actualidad.insight-
networks.net)
Blogwimax
Bluehack: the Spanish Bluetooth
Security Group
Bluesocket
Bluetooth.com
British Telecom
Calypso Wireless
Cloakware
Cloudmark
Comisin del Mercado de las
Telecomunicaciones (CMT)
InstitutoNacional
deTecnologas
delaComunicacin

Comisionado de la Unin
Europea
Converting Magazine
CSIC-Consejo Superior de
Investigaciones Cientficas
Department of Defense Standard
Diarios 5 Das, ABC, Cibersur, El
Mundo, El Pas, The Independent
Enisa
everis
F-Secure
Fundacin Auna
(http://www.fundacionauna.com)
Fundacin OPTI (Observatorio de
Prospectiva Tecnolgica
Industrial)
Fundacin Orange
Fundacin Telefnica
Gaptel-Red.es
(http://www.Gaptel-Red.es)
Gartner
GSM Association
GSM Forum
GSM Spain
(http://www.gsmspain.com/)
http://www.wikio.es
Huawei
IBM
ID Techex Ltd
IDATE
IDG Communications
IDTrack
INE-Instituto Nacional de
Estadstica
Iniciativa FON
INTECO
INTEL
Inteligentis ltd.
International Standard
Organization - ISO
Ironport
ITU-International
Telecommunication Union
Kaspersky
Lansur
Magirus
MaisMedia, Soluciones Integrales
para Internet
(http://www.Maismedia.com)
Maravedis, Telecom Market
Research & Analysis
mBalance
Microsoft
InstitutoNacional
deTecnologas
delaComunicacin

Ministerio de Administraciones
Pblicas-Consejo Superior de
Administracin Electrnica
MKM Publicaciones Editorial
Motorola
Mvil Data Chile
(http://www.moviladmin.cl/)
National Institute of Standard And
Technology-NIST
National Mobile Phone Crime Unit
(UK)
Netasq
News.com (http://www.news.com)
Nordea bank
Nortel
Noticas de Consultoras
(http://Consultant-News.com)
Nova kbm
O2
Observatorio Wireless
Open Mobile Terminal Platform
(OMTP)
Orange
Palm
Partner Communications
Company ltd.
Phonemag
(http://www.phonemag.com)
Praesidium Services LTD.
Radware
Red.es
Reuters
Revista Macworld IDG
Communication
Revistas ON World, PCActual,
PCWorld, Prensa.Com, Red
RFC Group
RIM (BlackBerry
http://www.blackberry.com)
Safenet
Snchez Castillo, Ericc. Redes
Celulares PCS y Trunking
SanDisk Corporation
Secretara de Estado de
Telecomunicaciones
Seguridad Informtica en Banco
de Colombia
Serious Organized Crime Agency
(SOCA)
SGI Soluciones Globales Internet
Siemens
Sky Mobilemedia
Solaiemes
InstitutoNacional
deTecnologas
delaComunicacin

SonicWALL Distributed Wireless
Solution
Sophos Security
Strix Systems
Swisscom Mobile
Symbian
Telecentros.es
(http://www.telecentros.es/)
Telecom
(http://www.telecom.com)
Telecom Italia
Telecom.com
(http://www.telecoms.com)
Teliasonera
Tendencias Tecnolgicas
(http://www.tecnotendencias.com/)
Tonse Telecom. Research
UMTS Forum
Universidad Carlos III Madrid
Universidad de Bremen
Universidad de Cambridge
Universidad de Castilla-La
Mancha
Universidad de Colombia
Universidad de Deusto
Universidad de Murcia
Universidad de Nebrija, Madrid
Universidad de Ruhr
Universidad de Valencia
Universidad Politcnica de
Valencia
Universidad Pontificia de
Comillas, ICAI
Universitat Oberta de Catalunya
University of Auckland
University of Austin, Texas
Vnunet.com
(http://www.vnunet.com)
Web de tecnologa de Terra
(http://www.terra.es/tecnologia)
Wi-Fi Alliance
Wikipedia
WiMax Elche
WiMAX Forum
ZDNnet

InstitutoNacional
deTecnologas
delaComunicacin

INDICE ANLITICO
1G, 20, 46
2G, 21, 22, 54
3G, 17, 20, 21, 23, 28, 47, 51, 52, 53, 54, 89, 114, 122,
170
3GPP, 55, 116
AES, 105, 108, 146
Bluetooth, 4, 5, 9, 11, 17, 18, 23, 27, 32, 38, 39, 63, 64,
65, 66, 82, 83, 94, 95, 96, 97, 98, 105, 106, 108, 116,
121, 122, 134, 166, 170
CDMA2000, 20, 21, 46
cdmaOne, 21, 46
Cordless Phone, 27, 46
CSD, 21, 22, 46
D-AMPS, 21, 46
DES, 92, 110, 146
EDGE, 21, 47
Femtocell, 25, 47
FOMA/W-CDMA, 47
GPRS, 4, 5, 9, 10, 17, 21, 23, 35, 51, 52, 53, 54, 55, 82,
83, 84, 85, 86, 87, 88, 89, 103, 108, 121, 134, 166
GSM, 4, 5, 9, 10, 17, 21, 22, 23, 24, 25, 35, 49, 50, 51,
52, 53, 54, 55, 58, 61, 82, 83, 84, 85, 86, 87, 88, 89,
103, 108, 131, 134, 166, 171
HC-SDMA, 22, 47
HIPERLAN, 26, 47
HIPERMAN, 25, 47
HSCSD, 22, 47
HSDPA, 22, 25, 29, 52, 55, 56, 57, 108, 114
HSPA, 4, 5, 9, 10, 17, 22, 55, 56, 57, 58, 82, 83, 87, 88,
89, 103, 134, 166
HSUPA, 22, 55, 57
iDEN, 22, 47
IPSec, 104
IrDA, 27, 47, 65
ISO, 21, 69, 71, 73, 76, 77, 80, 81, 123, 125, 150, 158,
160, 171
ITU, 77, 80, 81, 171
LAN, 3, 8, 11, 15, 19, 23, 26, 33, 46, 69, 70, 135
LTE, 22, 47, 116
MAN, 3, 8, 15, 19, 24, 25, 46
MD5, 110, 146, 147
Mobile FI, 23, 47
Mobile WiMAX, 23, 25, 47
NFC, 4, 5, 11, 27, 66, 67, 68, 82, 83, 98, 99, 107, 108,
135, 166
OCDE, 71, 73, 74, 76
PAN, 3, 8, 15, 19, 26, 27, 46, 48
PDC, 23, 47
PHS, 23, 47
RFID, 9, 27, 66, 67, 166
SSID, 110
ssl, 104
TD-SCDMA, 23, 47
Trunking, 25, 172
UMA, 23, 47
UMB, 24, 47
UMTS, 4, 5, 9, 10, 17, 21, 22, 24, 28, 29, 35, 46, 47, 52,
53, 54, 55, 57, 82, 83, 87, 88, 89, 103, 108, 114, 116,
121, 134, 166, 173
InstitutoNacional
deTecnologas
delaComunicacin

UMTS-TDD, 24, 47
VPN, 110, 121, 128, 144, 146
VSAT, 20, 24
WAN, 3, 8, 15, 19, 20, 23, 46
WAP, 104
WCDMA, 55, 82
WEP, 91, 108, 109
WiBro, 25
Wi-Fi, 5, 9, 10, 17, 18, 23, 29, 32, 40, 41, 58, 59, 60, 75,
87, 91, 93, 94, 102, 107, 108, 110, 112, 116, 122,
139, 167, 173
WiMAX, 4, 5, 23, 25, 29, 47, 61, 62, 63, 82, 89, 90, 91,
92, 93, 94, 104, 105, 116, 134, 173
Wireless-Mesh, 26
WLAN, 4, 5, 25, 26, 58, 59, 61, 62, 70, 82, 83, 85, 87,
89, 90, 91, 92, 93, 94, 104, 107, 121
WPA, 108, 109
WPA PSK, 11, 108, 135
WPA2, 108

InstitutoNacional
deTecnologas
delaComunicacin

NDICE DE GRFICOS
Grfico 1: Comparacin entre la poblacin espaola y el nmero lneas de telefona mvil
...........................................................................................................................................28
Grfico 2: Penetracin de la telefona mvil en los hogares espaoles............................30
Grfico 3: Equipamiento de telfono en las viviendas principales.....................................31
Grfico 4: Uso del telfono mvil por tramos de edad y gnero........................................31
Grfico 5: Equipamiento de los hogares en Espaa .........................................................32
Grfico 6: Porcentaje de empresas que disponan de infraestructura tecnolgica (% sobre
el total)...............................................................................................................................34
Grfico 7: Telefona mvil y uso de dispositivos mviles avanzados en las pymes en
Espaa (% sobre el total) ..................................................................................................35
Grfico 8: Porcentaje de empresas con acceso a Internet por tipo de tecnologa (% sobre
el total de empresas con conexin a Internet)...................................................................36
Grfico 9: Utilizacin de medidas de seguridad en el telfono mvil por usuarios en
Espaa...............................................................................................................................38
Grfico 10: Usos del Bluetooth en telfonos mviles avanzados por usuarios en Espaa
...........................................................................................................................................39
Grfico 11: Incidentes en dispositivos mviles de usuarios en Espaa............................39
Grfico 12: Usos de las redes inalmbricas en lugares pblicos por usuarios en Espaa40
Grfico 13: Estado de la proteccin de accesos inalmbricos a Internet en el hogar.......40
Grfico 14: Estado de la proteccin de accesos inalmbricos a Internet en el hogar en
Espaa...............................................................................................................................41
Grfico 15: Comparativa de incidencias de seguridad......................................................42
Grfico 16: Porcentaje de empresas con conexin a Internet que usan servicios de
seguridad a nivel interno (por tamao de empresa, % sobre el total de empresas con
acceso a Internet)..............................................................................................................43
InstitutoNacional
deTecnologas
delaComunicacin

Grfico 17: Porcentaje de empresas que han actualizado sus servicios de seguridad en
los ltimos tres meses (por tamao de empresa, % sobre el total de empresas con
acceso a Internet)..............................................................................................................43
Grfico 18: Porcentaje de empresas que han tenido algn problema de seguridad en los
ltimos doce meses (por tamao de empresa, % sobre el total de empresas con acceso a
Internet) .............................................................................................................................44
Grfico 19: Comparativa entre las medidas de seguridad utilizadas por pymes y grandes
empresas...........................................................................................................................45
Grfico 20: Porcentaje de persona que utilizan telfono mvil por edad........................113
Grfico 21: Porcentaje de hogares que disponen nicamente de un tipo de telfono....114
Grfico 22: Empresas con empleados conectados por redes telemticas externas a las
TIC corporativas durante viajes de negocio (% sobre el total) ........................................116
Grfico 23: Cules son los aspectos ms importantes para su organizacin en materia
de seguridad mvil?.........................................................................................................119

InstitutoNacional
deTecnologas
delaComunicacin

NDICE DE TABLAS
Tabla 1: Tecnologas WAN................................................................................................20
Tabla 2: Tecnologas MAN................................................................................................25
Tabla 3: Tecnologas LAN.................................................................................................26
Tabla 4: Tecnologas PAN.................................................................................................27
Tabla 5: Puntos de acceso (2006).....................................................................................29
Tabla 6: Incidencias de seguridad ms recientes detectadas por los usuarios segn
momento en que se ha producido (% acumulados) ..........................................................41
Tabla 7: Tecnologas con bajo nivel de penetracin y potencial de uso en Espaa.........46
Tabla 8: Anlisis de penetracin y potencial de uso de tecnologa GSM..........................51
Tabla 9: Anlisis de penetracin y potencial uso de la tecnologa GPRS.........................53
Tabla 10: Anlisis de penetracin y potencial uso de la tecnologa UMTS.......................55
Tabla 11: Anlisis de penetracin y potencial de uso de la tecnologa HSPA ..................58
Tabla 12: Anlisis de penetracin y potencial uso de la tecnologa Wi-Fi.........................60
Tabla 13: Anlisis de penetracin y potencial uso de tecnologa WiMAX.........................63
Tabla 14: Anlisis de penetracin y potencial uso de la tecnologa Bluetooth..................65
Tabla 15: Anlisis de penetracin y potencial uso de la tecnologa NFC..........................68
Tabla 16: Ataques por dimensin de seguridad................................................................70
Tabla 17: Ataques a la autenticacin.................................................................................72
Tabla 18: Ataques a la confidencialidad............................................................................74
Tabla 19: Ataques a la integridad......................................................................................77
Tabla 20: Ataques a la disponibilidad................................................................................78
Tabla 21: Ataques al control de acceso.............................................................................81
Tabla 22: Ataques por tipo de tecnologa inalmbrica.......................................................83
InstitutoNacional
deTecnologas
delaComunicacin

Tabla 23: Nivel de vulnerabilidad de la tecnologa GSM/GPRS........................................87
Tabla 24: Nivel de vulnerabilidad de la tecnologa UMTS/HSPA......................................89
Tabla 25: Nivel de vulnerabilidad de la tecnologa WLAN.................................................94
Tabla 26: Nivel de vulnerabilidad de la tecnologa Bluetooth............................................98
Tabla 27: Nivel de vulnerabilidad de la tecnologa NFC....................................................99
Tabla 28: Ataque a la proteccin de dispositivos ............................................................122
Tabla 29: Consecuencias relacionadas con la vulnerabilidad de los dispositivos...........125
Tabla 30: Distribucin muestral por CC.AA. (%) .............................................................168
Tabla 31: Distribucin muestral por categoras sociodemogrficas (%)..........................169
InstitutoNacional
deTecnologas
delaComunicacin

INDICE DE FIGURAS
Figura 1: Estructura general del estudio............................................................................16
Figura 2: Redes segn cobertura geogrfica....................................................................19
Figura 3: Tecnologas con elevada penetracin y potencial de uso en Espaa................48
Figura 4: Comunicacin a travs de tecnologa GMS .......................................................49
Figura 5: Sistemas de celdas hexagonales GSM..............................................................51
Figura 6: Funcionamiento GPRS.......................................................................................53
Figura 7: Dispositivo HSPA ...............................................................................................57
Figura 8: Arquitectura bsica de una red WLAN en modo infraestructura........................60
Figura 9: Funcionamiento de la tecnologa WiMAX...........................................................62
Figura 10: Funcionamiento de la tecnologa Bluetooth.....................................................65
Figura 11: Funcionamiento de la tecnologa NFC.............................................................68
Figura 12: Evolucin de unidades vendidas por tipo de dispositivo................................115
Figura 13: Fuentes de infeccin de dispositivos mviles.................................................121
Figura 14: Soluciones de seguridad................................................................................140
Figura 15: El camino entre capas OSI de un flujo de informacin...................................162
Figura 16: Metodologa y resultados del informe.............................................................165
Figura 17: Cadena de valor de securizacin en redes inalmbricas...............................166

InstitutoNacional
deTecnologas
delaComunicacin

http://www.inteco.es
http://observatorio.inteco.es

Estudio Sobre La Seguridad y Buenas Practicas Observatoriointeco

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Estudio Sobre La Seguridad y Buenas Practicas Observatoriointeco

Cargado por

Copyright:

Formatos disponibles

InstitutoNacional

También podría gustarte