UNIDAD 4 SEGURIDAD EN TELECOMUNICACIONES E INTERNET

4.1 GENERALIDADES DE TELECOMUNICACIONES Y

VULNERABILIDADES EN TCP/IP

Equipos y topologas de red

Modems, repetidores, switch, hubs, bridges, routers, gateways, LAN (bus, ring,
star), MAN, WAN, Interconnected networks (enlaces dedicados, enlaces virtuales,
tunneling, firewalls, Internet)
Medios de transmission
- Twisted pair, baseband & broadband coaxial cable, fibra ptica, radio
transmission, microwave transmission, cellular radio, satellite.
- Bandwidth, delay, cost, installation and maintenance.
Protocolos
- X.25, X.75 (orientado a conexin)
- IP, SLIP, PPP, TCP/UDP, SNA/SDLC/DIC, ISDN, CHAP, PAP, ARP, ICMP,
Frame delay, (conexin y no conexin) Modelo ISO/OSI
- IEEE estndar 802 para LANs y MANs
(ethernet.3, token ring.5, MAN.6)

SEGURIDAD EN REDES Y TELECOMUNICACIONES

Aspectos generales

Proteger host y los servicios que se proporcionan en la red.

Autenticacin (passw) y autenticacin mutua (emisor y receptor)
Control de acceso a los recursos
Confidencialidad, Integridad y Disponibilidad
Medidas de encripcin para aumentar CIA (confidentiality, integrity and
availability)
Responsabilidad (quin, cundo, cmo, dnde, periodicidad)

Quin es el responsable?

IP

Empleados
Hackers (curiosos, vndalos y criminales)
Operadores de telfono
Criminales de cmputo profesionales

La parte fundamental de los servicios ofrecidos por Internet consiste en el sistema de

entrega de paquetes. Este servicio est definido como:

No confiable
Mejor esfuerzo
Sin conexin

El protocolo que define los mecanismos de entrega poco confiable y sin conexin se conoce
como Protocolo Internet (IP).
TCP (Transmisin Control Protocol)
Es un protocolo de transporte de propsito general, puede ser usado sobre cualquier sistema
de entrega de paquetes, no necesariamente sobre IP. TCP no supone caractersticas de la red
subyacente.
TCP/IP
Suite de protocolos de comunicaciones para redes de tipo abierto utilizados en un modelo
de 4 capas desarrollado por la Advanced Research Projects Agency del DoD y tomando
como referencia el modelo OSI.

4.2 INTERNET/EXTRANET/INTRANET
Dispositivos de conectividad en las comunicaciones

Repeaters. Amplificador para cuando se excede la mxima distancia fsica de

alcance de las seales.
Hubs. Permite enlazar entre segmentos de conexin de una red.
Bridges. Enlaza y direcciona o filtra de un segmento a otro de la red los datos,
adems sirve para balancear la sobrecarga en los segmentos de la red.
Multiplexores. Une varias seales para ocupar el mismo canal de transmisin.
Routers. Conecta dos o ms redes separadas lgicamente

Arquitectura Internet
Los procesos tienen puertos: la combinacin de un puerto ID y el IP destino (address) del
host es un Socket: las conexiones son un set de sockets.
Algunos ejemplos son: puertos TELNET, FTP, TCP, UDP.

Protocol Relationship Tables son los diferentes servicios que dan los protocolos y en que
puertos se realizan.
Caractersticas de Internet

Red de redes
Topologa mundial (malla)
Broadcast packet-switched
Peer connected (interconexin entre capas)
Conexin de "cualquiera" con "cualquiera" (no restriccin)
Interoperatibilidad en incremento
Autoridad NO centralizada

Seguridad en Internet
El fenmeno de la extensin de la Internet ha adquirido una velocidad tan rpida y unas
proporciones, que el panorama actual y muchos de los efectos que se dan en su seno
resultan sorprendentes y difcilmente imaginables hace slo una dcada.
Inicialmente Internet nace como una serie de redes que promueven el intercambio de
informacin entre investigadores que colaboran en proyectos conjuntos o comparten
resultados usando los recursos de la red. En esta etapa inicial, la informacin circulaba
libremente y no exista una preocupacin por la privacidad de los datos ni por ninguna otra
problemtica de seguridad. Estaba totalmente desaconsejado usarla para el envo de
documentos sensibles o clasificados que pudieran manejar los usuarios, situacin esta muy
comn, pues hay que recordar que la Internet nace como un contrato del Departamento de
Defensa Americano -ao 1968- para conectar entre s tanto las Universidades como los
Centros de Investigacin que colaboran de una manera u otra con las Fuerzas Armadas
Norteamericanas.
Los protocolos de Internet fueron diseados de una forma deliberada para que fueran
simples y sencillos. El poco esfuerzo necesario para su desarrollo y verificacin jug
eficazmente a favor de su implantacin generalizada, pero tanto las aplicaciones como los
niveles de transporte carecan de mecanismos de seguridad que no tardaron en ser echados
en falta.
Ms recientemente, la conexin a Internet del mundo empresarial se ha producido a un
ritmo vertiginoso muy superior a la difusin de ninguna otra tecnologa anteriormente
ideada. Ello ha significado que esta red de redes se haya convertido en "la red" por
excelencia. Esto es, el medio ms popular de interconexin de recursos informticos y
embrin de las anunciadas autopistas de la informacin.
Se ha incrementado la variedad y cantidad de usuarios que usan la red para fines tan
diversos como el aprendizaje, la docencia, la investigacin, la bsqueda de socios o
mercados, la cooperacin altruista, la prctica poltica o, simplemente, el juego. En medio
de esta variedad han ido aumentando las acciones poco respetuosas con la privacidad y con
la propiedad de recursos y sistemas. Hackers, frackers, crakers... y dems familias han
hecho aparicin en el vocabulario ordinario de los usuarios y de los administradores de las

redes.
La propia complejidad de la red es una dificultad para la deteccin y correccin de los
mltiples y variados problemas de seguridad que van apareciendo. Adems de las tcnicas y
herramientas criptogrficas antes citadas, es importante recalcar que una componente muy
importante para la proteccin de los sistemas consiste en la atencin y vigilancia continua y
sistemtica por parte de los gestores de la red. Como ejemplo, en la tabla ms abajo se
recoge una lista exhaustiva de problemas detectados, extrada del libro: "Firewalls and
Internet Security. (...)".
LISTA DE PELIGROS MS COMUNES EN SISTEMAS CONECTADOS A
INTERNET
Fuente:"Firewalls and Internet Security. Repelling the Wily Hacker"
1.

De todos los problemas, el mayor son los fallos en el sistema de passwords

Los sistemas basados en la autenticacin de las direcciones se pueden

atacar usando nmeros consecutivos.

Es fcil interceptar paquetes UDP.

Los paquetes ICMP pueden interrumpir todas las comunicaciones entre dos
nodos.

Los mensajes ICMP Redirect pueden corromper la tabla de rutas.

El encaminamiento esttico de IP puede comprometer la autenticacin

basada en las direcciones.

Es fcil generar mensajes RIP falsos.

El rbol inverso del DNS se puede usar para conocer nombres de mquinas

Un atacante puede corromper voluntariamente la cach de su DNS para

evitar responder peticiones inversas.

10 Las direcciones de vuelta de un correo electrnico no son fiables.

11 El programa sendmail es un peligro en s mismo.
12 No se deben ejecutar a ciegas mensajes MIME.
13 Es fcil interceptar sesiones Telnet.
14 Se pueden atacar protocolos de autenticacin modificando el NTP.
15 Finger da habitualmente demasiada informacin sobre los usuarios.
16 No debe confiarse en el nombre de la mquina que aparece en un RPC.
17

Se puede conseguir que el encargado de asignar puertos IP ejecute RPC en

beneficio de quien le llama.

18

Se puede conseguir, en muchsimos casos, que NIS entregue el fichero de

passwords al exterior.

19 A veces es fcil conectar mquinas no autorizadas a un servidor NIS.

20 Es difcil revocar derechos de acceso en NFS.
21 Si est mal configurado, el TFTP puede revelar el /etc/passwd.

22 No debe permitirse al ftp escribir en su directorio raz.

23 No debe ponerse un fichero de passwords en el rea de ftp.
24

A veces se abusa de FSP, y se acaba dando acceso a ficheros a quien no se

debe dar.

25 El formato de informacin de WWW debe interpretarse cuidadosamente.

26 Los servidores WWW deben tener cuidado con los punteros de ficheros.
27 Se puede usar ftp para crear informacin de control del gopher.
A la hora de plantearse en que elementos del sistema se deben de ubicar los servicios de
seguridad podran distinguirse dos tendencias principales:

Proteccin de los sistemas de transferencia o transporte. En este caso, el

administrador de un servicio, asume la responsabilidad de garantizar la transferencia
segura de la informacin de forma bastante transparente al usuario final. Ejemplos
de este tipo de planteamientos seran el establecimiento de un nivel de transporte
seguro, de un servicio de mensajera con MTAs seguras, o la instalacin de un
cortafuego, (firewall), que defiende el acceso a una parte protegida de una red.
Aplicaciones seguras extremo a extremo. Si pensamos por ejemplo en correo
electrnico consistira en construir un mensaje en el cual en contenido ha sido
asegurado mediante un procedimiento de encapsulado previo al envo, de forma que
este mensaje puede atravesar sistemas heterogneos y poco fiables sin por ello
perder la validez de los servicios de seguridad provistos. Aunque el acto de
securizar el mensaje cae bajo la responsabilidad del usuario final, es razonable
pensar que dicho usuario deber usar una herramienta amigable proporcionada por
el responsable de seguridad de su organizacin. Este mismo planteamiento, se
puede usar para abordar el problema de la seguridad en otras aplicaciones tales
como videoconferencia, acceso a bases de datos, etc.

En ambos casos, un problema de capital importancia es la gestin de claves. Este problema

es inherente al uso de la criptografa y debe estar resuelto antes de que el usuario est en
condiciones de enviar un solo bit seguro. En el caso de las claves secretas el problema
mayor consiste en mantener su privacidad durante su distribucin, en caso de que sea
inevitable su envo de un punto a otro. En el caso de clave pblica, los problemas tienen
que ver con la garanta de que pertenecen a su titular y la confianza en su vigencia (que no
haya caducado o sido revocada).
Una manera de abordar esta gestin de claves est basada en el uso de los Certificados de
Clave Pblica y Autoridades de Certificacin. El problema de la vigencia de la clave se
resuelve con la generacin de Listas de Certifados Revocados (CRLs) por parte de las CAs.

4.3 REDES VIRTUALES PRIVADAS

Una Red Virtual Privada (VPN - Virtual Private Network) es aquella red privada construida
sobre una red pblica. Las razones que empujan el mercado en ese sentido son,
fundamentalmente de costes: resulta mucho ms barato interconectar delegaciones
utilizando una infraestructura pblica que desplegar una red fsicamente privada. En el otro
extremo, por supuesto, es necesario exigir ciertos criterios de privacidad y seguridad, por lo
que normalmente debemos recurrir al uso de la criptografa.
En general existen dos tipos de redes privadas virtuales:
Enlaces Cliente-Red:
En estos enlaces se encapsula, tpicamente, PPP (Point-to-Point Protocol). Las tramas del
cliente se encapsulan en PPP, y el PPP resultante se encapsula para crear el VPN. Se
emplean, entre otras muchas cosas, para:

Acceso seguro de un cliente a la red.

Clientes mviles (para independizarlos de la topologa fsica).
Puntos de acceso remoto. Por ejemplo, un "pool" de mdems en otra ciudad, o
clientes nuestros entrando por otro ISP.
Rutado de tramas no utilizables en Internet. Por ejemplo, tramas NetBEUI, IPX,
SNA o DECNET.

Enlaces Red-Red:
En estos casos se est encapsulando el trfico de una red local, por lo que nos ahorramos el
paso PPP anterior. Las tramas de la LAN se encapsulan directamente para crear el VPN. Se
utiliza para:

Fundir dos redes locales a travs de Internet, para que parezcan una sola.
Establecer canales con privacidad, autenticidad y control de integridad, entre dos
redes independientes.
Rutado de tramas no utilizables en Internet. Por ejemplo, tramas NetBEUI, IPX,
SNA o DECNET.

La gran ventaja de este sistema es que simplemente con un acceso local a Internet (desde
cualquier pais) y una correcta configuracin se podran conectar a nuestro servidor de NT,
2000 o XP server a un coste muy bajo utilizando modem y a coste 0 si tenemos una tarifa
plana.
Pongamos por ejemplo una conexin en Espaa entre 2 delegaciones, la de Barcelona y la
de Madrid. Con una punto a punto sobre RDSI pagaramos 64000 pts./mes por 64 kbps de
ancho de banda. Slo por unir las dos delegaciones, las conexiones a Internet seran aparte,
adems la llamada es de un punto a otro (no es bidireccional).Crear una VPN es
relativamente fcil pero hay que tener en cuenta una serie de observaciones como si
tenemos un router ADSL para acceso corporativo, o si tenemos un modem conectado a un
pc y sobre todo el sistema operativo del servidor y de los clientes.

Dado que la configuracin que est teniendo mas fuerza es la de tener un router para que de
acceso a Internet a todos los ordenadores de la red, nos centraremos en esta.
Evidentemente toda la teora e implementacin de VPNs tambin funciona sobre routers
RDSI con acceso a Internet, los agujeros a crear en el router son los mismos.
En primer lugar tenemos que crear dos agujeros en unos puertos de estos routers, esto es
necesario ya que las redes privadas virtuales generan peticiones de entrada y salida sobre
los puertos y adems le tenemos que decir al router a que ordenador local tiene que
redireccionar estas peticiones. El router al conectarse a Internet recibe una IP del proveedor
de acceso, en cambio a nivel local tiene un IP reservada para redes locales, por lo que el
router tiene que saber a que ordenador local tiene que reenviar los paquetes que lleguen con
una peticin a los puertos

4.4 SEGURIDAD EN CAPAS RED Y TRANSPORTE

SEGURIDAD A NIVEL RED
Seguridad en IP
IP carece de mecanismos para proveer autenticacin, integridad y confidencialidad; IP
busca adoptar los principios establecidos por OSI (7498-2) para construir su arquitectura de
seguridad.
Un poco de historia.....

El DoD de USA propone IPSO (Ip Security Options) para Ipv4

SwIPe para Ipv4
TUBA (TCP and UDP with Bigger Addresses) propuesto para Ipng.
SIPP (Simple Internet Protocol Plus), propuesto para Ipng y retenido como base de
este protocolo
Ipv6, tambin conocido como Ipng

Encapsulado en capa 4 y capa 3

TLSP (Capa 4)
IP-H

KEY-ID

TCP-H

DATOS

DATOS
ENCRPTADOS

NLSP (Capa 3)
IP-H

KEY-ID

IP-H

DATOS

DATOS
ENCRIPTADOS

SEGURIDAD A NIVEL TRANSPORTE

SSL (Secure Sockets Layer)
Es una propuesta de estndar para encriptado y autenticacin en el Web; es un esquema de
encriptado de bajo nivel usado para encriptar transacciones en protocolos de nivel
aplicacin como http. FTP, etc.
Con SSL puede autentificarse un servidor con respecto a su cliente y viceversa.
Caractersticas:

Se basa en un esquema de llave pblica para el intercambio de llaves de sesin.

Las llaves de sesin son usadas para encriptar las transacciones sobre http
Cada transaccin usa una llave de sesin. Esto dificulta al "cracker" el comprometer
toda una sesin.

Objetivos de SSL:
1. Seguridad criptogrfica. Se sugiere el uso de SSL para establecer conexiones seguras
entre dos partes.
2. Interoperabilidad. Programadores independienvtes deben poder desarrollar aplicaciones
basadas en SSL, que intercambien parmetros criptogrficos sin tener conocimiento de los
cdigos de los programas de cada uno.
3. Extensibilidad. SSL provee un marco donde pueden incorporarse mtods criptogrficos
segn se necesite. Esto evita el problema de estar creando nuevos protocolos, as como
nuevas libreras de seguridad.
4. Eficiencia Relativa. Puesto que las operaciones criptogrficas demandan demasiado
CPU, el protocolo SSL incorpora un esquema opcional de "caching", que reduce el nmero
de conexiones que deben establecerse desde inicio. Adems se ha tomado en cuenta el
reducir en lo posible la actividad de la red.
Protocolo SSL

El estndar de IETF "Transport Layer Security" (TLS) se basa en SSL; requiere un

transporte confiable, provee seguridad en el canal.
Se ubica:
APLICACION
SSL
TCP/IP

Existen dos subprotocolos:

SSL record protocol. Define los formatos de los mensajes empleados en SSL.
Existen dos formatos principales: Record Header Format y Record Data Format
(donde se encapsulan los datos a enviar)
SSL handshake protocol. Autentifica al servidor para el cliente, permite al cliente y
servidor seleccionar algoritmos criptogrficos que sean soportados por ambos,
opcionalmente autentifica al cliente para el servidor, usa criptografa de llave
pblica para generar secretos compartidos y establece una conexin SSL encriptada.

4.5 PROTOCOLOS DE SEGURIDAD A NIVEL APLICACION

SET (Secure Electronic Transactions)
SET hace seguras las transacciones en lnea mediante el uso de certificados digitales; con
SET se puede verificar que tanto clientes como vendedores estn autorizados para realizar o
aceptar un pago electrnico, fue desarrollado por Visa y Master Card.
ANLSIS DE LOS NIVELES DE SEGURIDAD

NIVEL
D1

NIVEL
C1

El nivel D1 es la forma ms elemental de seguridad disponible. Este

estndar parte de la base que asegura, que todo el sistema no es confiable.
No hay proteccin disponible para el hardware, el sistema operativo se
compromete con facilidad, y no hay autenticidad con respecto a los
usuarios y sus derecho, para tener acceso a la informacin que se encuentra
en la computadora. Este nivel de seguridad, se refiere por lo general a los
sistemas operativos como MS-DOS, MS-Windows y System 7.x de Apple
Macintosh.
El nivel C1 tiene dos subniveles de seguridad C1 y C2. El nivel C1, o
sistema de proteccin de seguridad discrecional, describe la seguridad
disponible en un sistema tpico UNIX. Existe algn nivel de proteccin
para el hardware, puesto que no puede comprometerse tan fcil, aunque

todava es posible.
Los usuarios debern identificarse as mismos con el sistema por medio de
un nombre de usuario y una contrasea. Esta combinacin se utiliza para
determinar que derechos de acceso a los programas e informacin tiene
cada usuario. Estos derechos de acceso son permisos para archivos y
directorios. Estos controles de acceso discrecional, habilitan al dueo del
archivo o directorios, o al administrador del sistema, a evitar que algunas
personas tengan acceso a los programas i informacin de otras personas.
Sin embargo, la cuenta de administracin del sistema no est restringida a
realizar cualquier actividad.
En consecuencia, un administrador del sistema sin escrpulos, puede
comprometer con facilidad la seguridad del sistema sin que nadie se entere.

NIVEL
C2

El nivel C2, fue diseado para ayudar a solucionar tales hechos. Juntos con
las caractersticas de C1, el nivel C2 incluye caractersticas de seguridad
adicional, que crean un medio de acceso controlado. Este medio tiene la
capacidad de reforzar las restricciones a los usuarios en la ejecucin de
algunos comandos o el acceso a algunos archivos, basados no solo en
permisos si no en niveles de autorizacin. Adems la seguridad de este
nivel requiere auditorias del sistema.
Esto incluye a la creacin de un registro de auditoria para cada evento que
ocurre en el sistema. La auditoria se utiliza para mantener los registros de
todos los eventos relacionados con la seguridad, como aquellas actividades
practicadas por el administrador del sistema. La auditoria requiere de
autenticacin adicional. La desventaja es que requiere un procesador
adicional y recursos de discos del subsistema.
Con el uso de las autorizaciones adicionales, no deben confundirse con los
permisos SGID Y SUID, que se pueden aplicar a un programa, en cambio,
estas son autorizaciones especficas que permiten al usuario ejecutar
comandos especficos o tener acceso a las tablas de acceso restringido.

NIVEL
B1

En nivel B de seguridad tiene tres niveles. El B1, o proteccin de seguridad

etiquetada, es el primer nivel que soporta seguridad multinivel, como la
secreta y la ultrasecreta. Este nivel parte del principio de que un objeto bajo
control de acceso obligatorio, no puede aceptar cambios en los permisos
hechos por el dueo del archivo.

NIVEL
B2

El nivel B2, conocido como proteccin estructurada, requiere que se

etiquete cada objeto, los dispositivos como discos duros, cintas, terminales,
etc. podrn tener asignado un nivel sencillo o mltiple de seguridad. Este es
el primer nivel que empieza a referirse al problema de un objeto a un nivel
ms elevado de seguridad en comunicacin con otro objeto a un nivel
interior.

NIVEL
B3

El nivel B3, o el nivel de demonios de seguridad, refuerza a los demonios

con la instalacin de hardware. Por ejemplo, el hardware de administracin
de memoria se usa para proteger el dominio de seguridad de acceso no
autorizado, o la modificacin de objetos en diferentes dominios de
seguridad. Este nivel requiere que la terminal del usuario conecte al

sistema, por medio de una ruta de acceso segura.

El nivel A, o nivel de diseo verificado, es hasta el momento el nivel ms
elevado de seguridad validado por el libro naranja. Incluye un proceso
exhaustivo de diseo, control y verificacin. Para lograr este nivel de
NIVEL A
seguridad, todos los componentes de los niveles inferiores deben incluirse,
el diseo requiere ser verificado en forma matemtica, adems es necesario
realizar un anlisis de los canales encubiertos y de la distribucin confiable.

4.6 ATAQUES DE REDES Y MEDIDAS PREVENTIVAS

Desgraciadamente, el incremento en el uso de Internet tambin incluye a individuos con
falta de honestidad y sin tica profesional (crackers) que en un momento dado pueden
comprometer la integridad y la privacidad de la informacin.Uns provea las fuentes de
programas que lo componen. Esto permita recopilar versiones modificadas de dichos
programas, pudiendo introducirse con ello caballos de troya o virus. Internet provee muchas
formas de conectar dos sistemas entre s, algunas de stas conexiones pueden ser no
deseadas. Dada la gran facilidad de interconexin brindada, es necesario contar con una
administracin de seguridad rigurosa.
Clasificacin de los ataques:
1. Ataques activos. En un ataque activo, el intruso interfiere con el trfico legtimo que
fluye a travs de la red interactuando de manera engaosa con el protocolo de
comunicacin
2. Ataque Pasivo. Un ataque pasivo es aquel en el cual el intruso monitorea el trfico de la
red para capturar contraseas u otra informacin para su uso posterior.
Sniffers:Este programa puede colocarse en una pc en una LAN o en un gateway, por donde
pasan los paquetes. El sniffer va leyendo los mensajes que pasan por estos dispositivos y
graba la informacin en un archivo. En los primeros mensajes de una conexin se
encuentran los passwords, normalmente sin cifrar.
Snooping:Es la tcnica de bajar los archivos desde un sistema al sistema hacker.
Spoofing:Consiste en entrar a un sistema hacindose pasar por un usuario autorizado. Una
vez dentro del sistema, el atacante puede servirse de ste como plataforma para introducirse
en otro y as sucesivamente.Flooding o Jamming:Consiste en inundar un equipo con tanta
cantidad de mensajes que ste se colapsa. No le queda espacio libre en la memoria o en el
disco. El ataque tipo floofing ms conocido es el SYN attack.

ARP(Hades Resolution Protocol)Permite obtener la direccin fsica de una mquina a

partir de su direccin IP.
Protocolo ICMP (Internet Control Message Protocol)Permite a ruteadores y servidores
reportar errores o informacin de control sobre la red; reporta errores como: expiracin de
TTL, congestin, direccin IP destino no alcanzable, etc; viaja encapsulado en el rea de
datos de un datagrama IP.
Mensajes ICMP ms comunes
Tipo

Descripcin

Echo replay

Destination Unreachable

Source Quench

Redirect (cambio de ruta)

Echo Request

11

Time Exceded for 2

Datagram

12

Parameter Problem on a
Datagram

13

Timestamp Request

14

Timestamp Replay

Mensaje ICMP Cambio de RutaUtilizado por un ruteador para indicarle a una mquina en
su segmento que utilice una nueva ruta para determinados destinos.
Discusin Ataques ARP e ICMP

El ataque ARP es considerado como un ataque trivial.

El ataque ICMP es considerado como un ataque difcil de implementar.

Requisito observado: la direccin IP fuente del datagrama sobre el cual viaja el mensaje
ICMP, debe ser igual a la direccin IP de cualquier ruteador en la tabla de ruteo de la
mquina vctima.
Mecanismos de proteccin. Se recomienda la utilizacin del sistema arpwatch
desarrollado por el Laboratorio Lawrence Berkeley; adems de monitoreo continuo del
trfico de la red para detectar inconsistencias en las parejas (dir IP, dir fsica) de los
paquetes.
Smurfing.

Ataque pasivo que afecta, principalmente a la disponibilidad de los equipos.

Se lleva (ba) a cabo principalmente en ruteadores Cisco y probablemente en otras

marcas.

4.7 MONITORES DE REDES Y SNIFFERS

Qu es un Sniffer ? Qu es un analizador de protocolos ?

Un sniffer es un proceso que olfatea el trfico que se genera en la red a nivel de enlace; de
este modo puede leer toda la informacin que circule por el tramo (segmento) de red en el
que se encuentre. Por este mtodo se pueden capturar claves de acceso, datos que se
transmiten, numeros de secuencia, etc...
Un analizador de protocolos es un sniffer al que se le ha aadido funcionalidad suficiente
como para entender y traducir los protocolos que se estn hablando en la red. Debe tener
suficiente funcionalidad como para entender las tramas de nivel de enlace, y los paquetes
que transporten.
Truco: Normalmente la diferencia entre un sniffer y un analizador de protocolos, es que el
segundo est a la venta en las tiendas y no muestra claves de acceso.
Qu quiere decir que lee informacin a nivel de enlace ?
Quiere decir que el sniffer se dedica a leer TRAMAS de red, por lo que los datos que
obtendremos de l sern tramas que transporn paquetes (IP, IPX, etc...). En estos paquetes
se incluyen los datos de aplicacin (entre ellos claves de acceso).
Estos programas ponen al menos un interfaz de red (o tarjeta de red o NIC) en _modo
promiscuo_; es decir que al menos uno de los interfaces de red de la mquina est
programado para leer toda la informacin que transcurra por el tramo de red al que est
conectado, y no solamentelos paquetes con dirigidos a l.
Tengo una red con topologia en estrella, Soy vulnerable ?
Muy probablemente S. Cualquier tipo de red basada en BUS o ANILLO lgicos es
vulnerable. Aunque los cables se enven a un concentrador (hub) haciendo que la topologa
fsica sea de estrella, si la topologa lgica de la red es en bus o en anillo las tramas podrn
escucharse desde cualquier host conectado al concentrador.
En general, IEEE 802.3 (ethernet), 802.4 (token bus), 802.5 (token ring), Ethernet 2, etc..
suelen ser vulnerables con la siguiente salvedad: algunos concentradores de nueva
generacin aslan el trfico entre hosts conectados a una misma red; por lo que en estas
redes la utilizacin de sniffers es poco menos que intil (excepto en ciertos casos donde la
carga de la red obliga al concentrador a unir varios buses lgicos en uno fsico - - -- esta
salvedad puede no cumplirse dependiendo del concentrador utilizado).
Quiero dar acceso a mi red va modem. Pueden leer la informacin que circula por
mi red ejecutando un sniffer al otro lado de la lnea ?
Depende de cmo se configure la conexin.
En este caso tendrs que engaar al router para que crea que las direcciones que se asignan

para acceso telefnico pertenecen a tu misma red. Si tienes (un poco de) cuidado al
configurar la mquina que controla estos hosts remotos no deberas tener ningn problema,
ya que las tramas que se enviarn a estas mquinas sern nicamente aquellas que les
corresponda recibir.
Casi siempre los proveedores de acceso a internet (Como Infova en Espaa, Infosel en
Mxico o similares) interponen entre tu red y el usuario remoto una serie de mecanismos
(routers y conexiones punto a punto) que hacen inefectivo el uso un Sniffer en la mquina
remota.
Cmo puedo saber si hay alguien corriendo un sniffer en mi red ?
Esto es ms difcil de lo que parece.
La forma ms comn de saber si un interfaz de red est en modo promiscuo consiste en
ejecutar (en mquinas UNIX) el programa ifconfig de la siguiente forma:
$ifconfig -a [ Muestra el estado de las placas de red. La salida sera similar a esto ]
eth0 Link Encap: 10Mbps Ethernet HWaddr: xx:xx:xx:xx:xx:xx
inet addr: a.b.c.d Bcast: a.b.c.f Mask: m.m.m.m
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
RX packets: 0 errors:0 dropped:0 overruns:0
TX packets:0 errors:0 dropped:0 overruns:0
Interrupt:15 Base Address:0x300
El problema de esta solucin es que se necesita tener acceso root a todas las mquinas que
deben comprobarse (otra opcin sera hacer un crontab que compruebe el estado cada cierto
tiempo, sin embargo un cracker con acceso al sistema puede ver los trabajos en cron y
deshabilitar esta verificacin).

4.8 COMUNICACIONES DE VOZ SEGURAS

El 90% de las escuchas se realiza en las proximidades de la fuente que se desea monitorear,
directamente sobre los cables telefnicos de la red de acceso, con un costo extremadamente
bajo y una instalacin muy simple. El 9% de los casos se hace con aparatos de control
directamente en la central pblica , pero esta operacin requiere de elevados conocimientos
y tcnicos especializados. Solo el 1% de las intercepciones se realizan en el lugar de destino
de la comunicacin (esta tcnica es muy rara pues requiere filtrados y costos muy
elevados).
Puede ser que usted no est solo en la lnea telefnica! El espionaje industrial, fraude
financiero, rivalidades comerciales, asuntos de seguridad nacional y aun las investigaciones
sobre asuntos personales ocurren todos los das. La porcin ms vulnerable de la red
telefnica es el lazo local de abonado, el cual lo conecta con la red pblica. El lazo local
est compuesto por dos alambres de cobre, de modo tal que la "pinchadura" de la lnea es
tcnicamente muy simple. Como contraste, una vez que la seal llega a la Red Pblica de

Telefona Conmutada, la intercepcin requiere de experiencia tcnica y una inversin

mucho ms importante. Sin una completa proteccin usted es muy vulnerable a las
intercepciones y escuchas telefnicas.
Para solucionar este tipo de probremas usted podra instalar una unidad de encriptacin en
cada telfono... Las soluciones actuales estn limitadas a tecnologas de encriptacin puntoa-punto. Esto significa que solo se podr tener una comunicacin segura cuando se instalen
dispositivos similares en ambos extremos de la lnea. Aun as, usted no puede realmente
pretender tener unidades de encriptacin dispersas entre todos sus posibles interlocutores
telefnicos o de fax, por lo que esa no es una solucin muy prctica.
Existen en el mercado diversos productos que ofrecen una solucin un ejemplo de esto es
RedSegura le brinda proteccin an si su contraparte no tiene ningn tipo de dispositivo de
proteccin instalado. Fue diseada para proteger las comunicaciones de voz y fax cursadas
a travs de lneas analgicas de la red telefnica pblica, utilizando un elevado nivel de
criptografa. Crea un canal seguro entre el Terminal RedSegura (TRS) y la Central
RedSegura (CRS) ubicada en la red pblica

Llamadas salientes - Cuando el abonado realiza una llamada saliente, el TRS disca
automticamente el nmero del servidor ms prximo y establece un canal seguro a
travs del cual ser establecida la comunicacin.
Llamadas entrantes - Cuando alguien desee establecer una llamada segura con un
abonado de Red Segura, deber llamarlo a su nmero seguro especial, el cual
enrutar la llamada al servidor y desde all en forma codificada al abonado. Por lo
tanto, y sin importar si quien llama es o no abonado, la red de acceso est protegida
en forma permanente.

Utiliza una robusta y probada tecnologa de encriptacin de alto nivel. La unidad de

encriptacin transmite las claves pblicas con tecnologa Elgamal, la que unida a la
encriptacin con la tecnologa simtrica DES ofrecen una proteccin de la informacin que
est extremadamente en la vanguardia de todo lo conocido

4.9 SEGURIDAD EN E-MAIL

PEM (privacy enhanced mail) se define con reglas que contemplan la integridad,
autenticacin del origen del mensaje y soporta no repudiacin. Par la confidencialidad
(opcional) requiere encripcin, jerarqua de certificacin y servicios de directorio. Esto
puede verse como una limitacin para su uso extendido. PEM es un estndar de Internet,
est diseado dentro de la arquitectura SMTP, usa conceptos del X.400 de la ITU. No est
ligada necesariamente a ningn algoritmo de encripcin pero aplica en criptografa de llave
pblica, en particular firma digital.
Debido a que PEM es de uso reducido, PGP (Pret Good Privacy) ha crecido en demanda.
Ambos usan una combinacin de llave pblica y mtodo simtrico. Sin embargo PGP, no

requiere una autoridad certificadora, proporciona la confidencialidad y firma digital slo

con la encripcin del archivo. Usa IDEA, para la encripcin de datos, RSA para encriptar la
llave pblica y la "firma digital" adems usa MDS para el compendio del mensaje en firma
digital.
POLTICAS

Para asuntos formales de negocios y oficiales de la empresa

Para asuntos personales o complementarios (no crticos)
Control de acceso y confidencialidad de mensajes
Administracin y archivo de mensajes

LISTA DE USUARIOS

Uno a uno
De uno a un grupo de usuarios o una organizacin
Grupos de discusin (central mailing list server and broadcast to the other
participants). USENET groups.

PROTOCOLOS

SMTP (Simple Mail Transport Protocol). Acepta mensajes de otros sistemas y los
almacena.
POP (Post Office Protocol). Permite a un cliente en POP bajar el e-mail que fue
recibido en otro servidor de e-mail.
IMAP ( Internet Mail Access Protocol). Es ms conveniente que POP, pues no
requiere guardarse la sincrona entre las listas local y del server para la lectura del email

AMENAZAS

DANGEROUS ATTACHMENTS (por ejemplo: trojan executables, virus infected

files, dangerous macro)
IMPERSONATION
EAVESDROPPING
MAILBOMBING. Muchos Internet Service Provider (ISP) proporcionan cuentas
gratutitas que posteriormente pueden usarse para lanzar ataques.
SPAM

E-MAIL AFEGUARS. Polticas que deben definirse para el nivel de proteccin

deseado.

Prevencin a contenidos peligrosos

Prevencin a modificaciones o suplantaciones de usuarios
Prevencin a eavesdropping

MESSAGE HANDLING SYSTEM (MHS). De OSI es el estndar x.400 para e-mail,

proporciona seguridad protegiendo a los mensajes contra modificaciones y divulgacin,
adems autentifica la identidad de las partes. MSH contiene:

Modelo funcional
Estructura de mensaje
Reporte de liberacin

TACACS Y RADIUS
Son sistemas de autentificacin y control de acceso a una red va conexin remota;
permiten redireccionar el "username" y "password" hacia un servidor centralizado. Este
servidor decide el acceso de acuerdo a la base de datos del producto o la tabla de passwords
del Sistema Operativo que maneje.
CORREO ELECTRNICO
El correo electrnico es el servicio de envo y recepcin de mensajes entre los usuarios que
conforman una red de computadoras. Estos mensajes llegan a cualquier parte del mundo en
segundos, a lo sumo en minutos. Cada usuario tiene su propia direccin en la red,
tpicamente en la forma "nombre@conexin".
El correo electrnico es uno de los servicios ms importantes de su conexin al usar la red.
Una vez que usted se acostumbra a utilizar seriamente este medio de comunicacin es muy
fcil depender de l. En unos meses decenas de amigos, familiares, colegas, etc., tendrn su
direccin electrnica al igual que usted la de ellos.
La importancia de este medio de comunicacin est creciendo cada vez ms en nuestros
das, hasta el punto que dentro de varios aos, segn los expertos, el correo electrnico ser
el medio ms utilizado despus del telfono para comunicarse con otras personas.
Existen diferentes paquetes soportados "oficialmente" por Redula con los cuales se puede
enviar y recibir mensajes.
Otra forma de utilizar el correo electrnico es bajo el ambiente WINDOWS, iniciando
previamente una sesin de TELNET ubicando el apuntador sobre el icono identificado con
TELNET (el cual no es estndar, sino que es creado), y luego pulsando con el ratn,
aparecer otra pantalla donde debe escoger la opcin CONNECT y elegir el servidor al cual
desea conectarse, luego debe introducir la identificacin y clave respectiva y as podr
probar cualquiera de los tres paquetes mencionados descritos. Igualmente bajo Windows se
encuentra el grupo de programas WINQVT/NET y el EUDORA, los cuales permiten
enviar, recibir correos y acceder a grupos de noticias en un entorno de ventanas y botones
grficos bastante agradable y sencillo. Entre los editores usados en los programas de correo
electrnico figura el editor pico para el pine y el elm.

Esto es realmente el correo electrnico: Una herramienta que le permite enviar correo
seguro a cualquier persona en toda la Internet.

4.10 SEGURIDAD EN FAX

Existen diferentes tipos de productos en el mercado que proporcionan seguridad en la
transmisin de datos por fax, a continuacin presento un ejemplo:
El CSD 3700 habilita la transmisin de alta seguridad y automtica de mensajes de fax.
Una vez recibidos los mensajes, stos pueden ser almacenados con seguridad en memoria
no voltil opcional hasta que los receptores autorizados entren su cdigo de identificacin
personal, PIN (Personal Identification Number). Compacto y fcil de usar, el CSD 3700
opera con cualquier mquina de fax del Grupo III.
Manejo de claves
Con cada clave negociada, se produce una nueva clave aleatoria en cada transmisin de fax.
Esta clave de sesin es nica a las dos partes en comunicacin. Ninguna otra unidad puede
generar esta clave.
El CSD 3700 apoya tanto las redes de fax abiertas como las cerradas. Las redes de fax
abiertas les permiten a dos personas cualquiera en el sistema CSD 3700 enviar faxes con
seguridad. No se requiere ninguna relacin de claves previa. Las redes abiertas son ideales
para uso industrial donde un nmero siempre cambiante de compaas necesitan
comunicarse entre s.
Las redes cerradas apoyan aplicaciones de gobierno y otras de alta seguridad donde
solamente a un nmero especificado de personas les es permitido enviar y recibir
informacin sensitiva. El CSD 3700 aade una clave de red (privada) al intercambio de
claves negotiada para formar una red cerrada. Solamente las mquinas con la misma clave
de red se pueden comunicar entre s y cada unidad puede almacenar hasta 20 claves de red.
Modos de envo
Envo con seguridad.

Enviar en el modo de seguridad solamente.

Envo con
seguridad/Desvo para
simple.

Un usuario puede enviar un fax normal sin

seguridad.

Envo automtico con

seguridad/Normal.

Automticamente enva con seguridad a una unidad

receptora CSD 3700. Si no, enva en forma normal.
Modos de recepcin

Recepcin con seguridad. Recibe en el modo seguro solamente.

Automticamente recibe en el modo seguro si se
Recepcin automtica con
est comunicando con otro CSD 3700. Si no, recibe
seguridad/Normal.
normalmente.

Independientemente del modo de TX/RX, el CSD 3700 imprime un encabezamiento de

estado, indicando si est en Normal o Seguro en todos los mensajes de fax recibidos.
CSD 3710
El CSD 3710 tiene todo el poder de seguridad y de automatizacin del CSD 3700, pero con
otro nivel de proteccin - un Buzn de Correo Electrnico con Seguridad. El buzn
electrnico provee la seguridad interna eliminando el peligro de que mensajes de fax
confidenciales queden a la vista en la bandeja de salida de fax.
El que envia y el que recibe el mensaje de fax encriptado pueden hacer que el mensaje de
fax sea almacenado en forma encriptada en el buzn de la unidad receptora. Los mensajes
almacenados son dados (descifrados e impresos) solamente despus de la entrada de un
Nmero de Identificacin Personal vlido, PIN (Personal Identification Number).
El CSD 3710 apoya hasta 50 buzones y 120 pginas de texto. Tambin est disponible la
adicin de memoria de alta capacidad. La memoria del buzn est protegida y es retenida
en caso de interrupcin en la energa elctrica.
Calidad
TCC est dedicada a productos y servicios de calidad. TCC est certificada por ISO 9001.
ISO 9001 otorgado por TUV es el estndar ms riguroso para sistemas de calidad total en
diseo/desarrollo, produccin, instalacin y servicios