Capítulo 2

LA SEGURIDAD EN LOS ELEMENTOS FÍSICOS

EXISTENTES EN UNA RED
 ESQUEMA

2.1. Introducción
2.2. Los sistemas de cableado o inalámbricos
2.3. Repetidores, hubs y conmutadores
2.4. Encaminadores
2.5. Los servidores y otras máquinas
2.6. Conclusiones
2.7. Evaluación
 Todas las redes están compuestas por una serie de dispositivos físicos,
máquinas, que tienen una mayor o menor capacidad de control mediante
programación software, pero no dejan de ser máquinas, con una misión con-
creta en la red. Es radicalmente importante considerar sus posibles insegun-
dades, teniendo en cuenta que, en un cierto sentido, son las piezas básicas del
sistema. Esas máquinas, además, se comunican entre sí utilizando uno o
varios medios de transmisión, habitualmente cables de una tecnología
determinada, unos más susceptibles que otros a determinados problemas de
seguridad. Hoy en día, además, cada vez son más las redes que, enteramente
o en parte, se comunican mediante sistemas inalámbricos, que exhiben sus
problemas particulares desde el punto de vista de la seguridad.
Tanto los medios de transmisión como las distintas máquinas son sus-
ceptibles de ataques contra su seguridad, desde dos puntos de vista:
- ataques físicos a su seguridad, en los que se busca la destrucción par-
cial o total del dispositivo concreto y, como consecuencia, la inhabili-
tación, total o parcial, de la red en la que prestan sus servicios.
- ataques wlógicosn a su seguridad, en los que, buscando los mismos
objetivos que los anteriores, no se dispone de un acceso físico y, como
consecuencia, no se pueden realizar o, aun disponiendo de acceso físi-
co, no es el método preferido para el ataque.
Aunque no se vaya a desarrollarlos, hay que considerar los ataques físi-
cos, es decir, los ataques en los que los dispositivos resultan dañados física-
mente. Estos ataques son relativamente fáciles de evitar, disponiendo de una
buena política de seguridad física, que evite el acceso físico a tales sistemas
por parte de personal no autorizado.
Centrándose en los ataques lógicos, hay que entender cada una de las
responsabilidades de los elementos hardwares típicos de una red y cada una
de sus posibles inseguridades, para considerarlas de cara a la política de
seguridad.
 Así pues, primero hay que identificar los elementos que se tienen que
considerar:
-Canales de comunicación y cableados típicos: par trenzado, fibra ópti-
ca, sin olvidarse de considerar la comunicación inalámbrica.
- Repetidores.
- Hubs o concentradores.
- Conmutadores
- Encaminadores.
Máquinas utilizadas por los usuarios, especialmente servidores.
Posiblemente para su estudio posterior ayudará el recordar los niveles
OS1 que deben implementar muchos de estos dispositivos, razón por la cual
se incluye la figura 2.1, como recordatorio de cada una de las Funciones que
realizan. No obstante, hay que examinarlos con más detalle en los siguientes
apartados.

Aplicación Aplicación
Sistemas
Presentación Inform~ticos Presentación

Sesión

Transporte Transporte

Nivel 3

Enlace de Datas Puente Enlace de Datos Nivel 2

Enlace Fisico Hubmepetidor Enlace Físico Nivel 1

FIGURA 2.1. Niveles OS1 d e dispositivos en sistemas de comunicaciones.

En las comunicaciones digitales, una diferencia de potencial (o voltaje, si

se prefiere) implica un 1 binario y otra (o la ausencia de alguna) marca el O
binario. Como se sabe, este formato simple hace bastante resistente al .mi-
don a las comunicaciones digitales, pero, a la vez, implica un cierto inconve-
niente, que consiste en la necesidad de transmitir 8 de tales elementos bina-
nos para cada carácter. Cuando se considera un circuito eléctrico, como por
ejemplo una red Ethemet que usa cables de par trenzado, el estado del vol-
taje está constantemente cambiando para transmitir información, lo que
introduce la primera inseguridad: la interferencia electromagnética.
LA SEGURIDAD EN LOS ELEMENTOS F~SICOSEXISTENTES EN UNA RED 45

La interferencia electromagnética es producida por circuitos de corriente

alterna, los que existen en las comunicaciones analógicas y digitales. Si se
pudiera *ver. a los electrones en el cable, se podría observar que, al cambiar
el voltaje y fluir la corriente por el cable, los electrones tienden a *colocarse.
sobre todo en la superficie del cable, mientras que el punto central del cable
no mostraría <<movimiento>> electrónico. Si se incrementa la potencia, se
empieza a radiar energía, con un ángulo de 90" al flujo de corriente. Lo ver-
daderamente importante es que esta radiación está en relación directa con la
señal en el cable. Además, si se hace mayor la frecuencia o el voltaje, crece
también la cantidad de energía radiada.
Esta radiación electromagnética puede medirse y obtener, a partir de ella,
la señal que está viajando por el cable. De hecho, hace muchos años que se
dispone de dispositivos para tal medición. que se conectan alrededor del
cable, para medir la señal que viaja por el conductor central. Una vez regis-
trados los ~pulsos*digitales, simplemente hay que convertirlos de formato
binario a un Formato más entendible.
Una solución obvia, pero no por ello comúnmente desplegada, es usar
cables apantallados, de los que se dispone también hace tiempo, pero que son
más caros y presentan otros problemas de montaje que no son objeto de este
libro.
Una forma alternativa de medir el peligro al que se está expuesto con este
tipo de problemas es mirar la gran cantidad de dinero que gastan los ejérci-
tos en disponer de lo que, en su jerga, se denomina productos TEMPEST, que
empiezan por cables apantallados, pero pueden ser conmutadores (o cual-
quier dispositivo) apantallados y que pueden llegar a habitaciones, o incluso
edificios enteros, apantalladas.
Otra solución, que se puede usar completa o parcialmente, dependiendo
de la necesidad y del presupuesto es usar cable de fibra óptica que, además
de permitir en muchas ocasiones una mayor velocidad de transmisión, es
completamente inmune a las interferencia citadas, pues la transmisión se
basa en señales de luz.
Otro aspecto importante a tener en cuenta (al que se volverá en breve) es
que en los segmentos de red en que no existan conmutadores y no se tenga un
control muy exhaustivo de quién está conectado con un equipo al segmento,
se corre el riesgo de que alguien este usando un analizador de protocolos (o
.sniffer>>),que permite .ver. el tráfico de cualquier equipo a cualquier otro
equipo, aprovechando la capacidad de casi cualquier tajeta de red Ethemet
de trabajar en modo <<promiscuo». Hasta hace unos años, no era fácil dispo-
ner de un ~sniffern,pero, hoy en día, es fácil y barato hacerse con uno real-
mente sofisticado (diseñado para gestión, no para ataques de red) y aprove-
char los conocimientos de IP de cada uno, para obtener, reaImente, mucha
información.
46 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN

Se puede también usar transmisión sin cable, mediante lasers. El princi-

pal inconveniente es la facilidad de cortar el servicio, interrumpiendo la
señal.
Finalmente, hay que dedicar un rato a hablar de lo que se denomina, hoy
en día, comunicaciones (y redes) inalámbricas (del ingles ~wireless,,, sin
cables).
Se puede definir una red inalámbrica (WLAN) como un sistema flexible
de comunicación de datos, que suele implementarse como extensión, o alter-
nativa a una red de área local (LAN) tradicional, dentro de un edificio o entre
varios edificios (modelo campus).
Las WLANS usan señales electromagnéticas (de radio o infrarrojo) para
comunicar información de un punto a otro, sin necesidad de ningún cable.
Las ondas de radio son conocidas, en este marco, como portadoras de
radio, ya que su única función es llevar energía al receptor remoto. Los datos
que se transmiten se superponen sobre la portadora, lo que se conoce como
modulación de la portadora por la información que se transmite. Esta opera-
ción hace que la señal de radio ocupe más de una frecuencia. Puede haber
vanas portadoras de radio en el mismo espacio a la vez, sin interferir entre sí,
si se transmite en diferentes frecuencias de radio. Para extraer los datos, el
receptor de radio selecciona una frecuencia de radio, a la vez que rechaza
todo el resto de señales de radio, de otras frecuencias.
En una configuración típica (como la de la figura 2.2) un dispositivo
transmisor/receptor, denominado <<punto de acceso., conecta los dispositivos
inalámbricos a la red de cable. Tal dispositivo recibe, almacena y transmite
los datos entre la WLAN y la red cableada. Un único punto de acceso puede
soportar un grupo pequeño de usuarios y funcionar en una rango de alrede-
dor de 1 km, dependiendo de la tecnología concreta. El punto de acceso (o la
antena conectada a él) suele estar montada en alto. Los usuarios acceden a la
WLAN a través de adaptadores WLAN específicos, normalmente implemen-
tados como tarjetas de PC.
El estándar más seguido hoy en día para estas comunicaciones es el gru-
po IEEE 802.X, en concreto el 802.11 para redes entre 1 y 2 Mbps y el 802.1 1
HR, a 11 Mbps.
Hasta aquí, una breve introducción (o repaso). Los problemas de seguri-
dad están divididos, para las WLAN, en los dispositivos físicos y en las seña-
les de radio. Es evidente que, con una correcta elección del receptor de radio,
se puede obtener cualquier transmisión de este tipo de tecnología. En este
caso, la seguridad se apoya, especialmente, en las técnicas de acceso a los
puntos de acceso, en la criptografía utilizada en emisores y receptores y en su
posible configuración y uso. Como se verá en los capítulos sobre criptografía,
una cosa es disponer de una herramienta estupenda y otra muy distinta es
LA SEGURIDAD EN LOS ELEMENTOS FfSICOS EXISTENTES EN UNA RED 47

usarla correctamente. Baste decir, solo a modo de idea, que muchas redes
WLAN han sido atacadas con éxito (esto quiere decir que se ha obtenido toda
la información que fluía por ellas) porque o bien la criptografía que se podía
usar no se usaba (caso muy habitual) o bien estaba configurada con un algo-
ritmo criptográfico débil, una selección de clave pobre, un cambio de clave
muy inkecuente o una combinación de todos estos Factores.

vli Estación de
trabajo

punto acceso
!

!!!!O! Portátil
Servidor de red
Estación de
trabajo

FIGURA 2.2. Red con dispositivos inalámbricos

A modo de final de sección, se ha visto que la simple selección de cuál va

a ser el medio de transmisión, en cada parte de la red, debena tenerse en
cuenta en los Factores a los que se ha referido previamente en este apartado.

2.3. REPETIDORES, HUBS Y CONMUTADORES

(O SWITCHES)
Hay que recordar (Figura 2.1) que un repetidor no es más que un ampli-
ficador de la señal, con dos puertos. Solo implementa Funciones del nivel 1 de
OSI. Se usan, simplemente, para extender la distancia máxima para la que un
cable funciona correctamente. El repetidor recibe la señal en uno de sus
puertos, la amplifica (si lleva <<ruido.también) y la transmite por el otro
puerto. Se puede pensar en romperlo, pero es difícilmente catacable., por no
tener nada redmente configurable.
Los hubs (o concentradores) son, en esencia, repetidores multipuerto que
soportan cables de par trenzado en una topología de estrella. Cada nodo se
comunica con el hub, que, a su vez, amplifica la señal y la transmite por cada
uno de los puertos. Los hubs Funcionan en el nivel eléctrico, es decir, otra vez
el nivel 1 de OSI.
Hasta hace pocos años, se disponía de puentes (o ~br¿dges») como seg-
mentadores de datos. No se va a hablar de ellos aquí pues, prácticamente,
han sido sustituidos por esos dispositivos, combinación de hubs y puentes,
que se denominan conmutadores.
Comparados con los anteriores, los conmutadores son muy ainteligen-
tes.. Implementan (Figura 2.1) hasta el nivel 2 de OSI, por lo menos, aun-
que hay que señalar que existen también los llamados .conmutadores de
nivel 3,,, cuyas Funcionalidades coinciden con las de los encaminadores.
Esto quiere decir que, en sus funciones básicas, son capaces de <<aprender.
las direcciones MAC de cada nodo que exista por cada uno de sus puertos,
crear una tabla de direcciones y gestionar el tráfico con respecto a ella. En
concreto, un mensaje que vaya a una estación concreta, viajará por el cable
que una el conmutador y la citada estación, iy solo por ese cable!, evitando,
así, los ataques de tipo monitorización con sniffers, citados en el apartado
anterior.
Otra técnica típica de los conmutadores, y que colabora para una mayor
seguridad, es la de permitir el establecimiento de las redes de área local vir-
tuales (o VLANs).
Las VLANs son grupos de ordenadores relacionados lógicamente entre sí
por un número de grupo (número de VLAN) y configurados por el adminis-
trador del conmutador, gracias al soffware de configuración, residente en el
sistema operativo del conmutador. Concretamente, se configuran los puertos
de cada conmutador, asociándolos a una o más VLANs. Esto conduce a una
mayor segmentación lógica de los equipos, a la vez que permite organizar
mejor las máquinas por tareas o por departamentos.
Desafortunadamente, siempre que hay más posibilidades de configura-
ción, hay más posibilidades de ataques. Hay que recordar del capítulo 1 que,
si hay un sistema operativo, habrá bugs, algunos de ellos harán posible ata-
car el conmutador y, como consecuencia, la red. ¿Cómo?
Hay 2 métodos para acceder al conmutador para administrarlo:
- A través de la consola, una conexión local y directa al conmutador.
- Remotamente, ya sea por telnet, ssh o http.
LA SEGURIDAD EN LOS ELEMENTOS FfSICOS EXISTENTES EN UNA RED 49

De manera general, un conmutador tiene un sistema operativo y un juego

de cuentas de usuario, de los cuales una de ellas se usa como la cuenta de
administración.
Si se accede al conmutador mediante la consola, únicamente hay que
conocer la información de la contraseña asociada a esa cuenta. Desde el pun-
to de vista de seguridad, hay que tener el acceso físico al conmutador (o, al
menos, a los más importantes) suficientemente asegurado y la contraseña de
acceso debe de ser distinta de la que proporcione, por defecto, el proveedor
del conmutador. Tal contraseña, además, habrá que cambiarla con una cier-
ta periodicidad y no publicarla. Todos los detalles de cómo hacerlo deberían
de formar parte de la política de seguridad.
La otra forma de acceder al conmutador, suponiendo que se conoce la
contraseña de la cuenta, es basándose en un protocolo de una aplicación IP.
Esto tiene una consecuencia inmediata que se debe resaltar: un conmutador
debe implementar al menos el nivel 2 de OSI, pero, sólo con el fin de poder
gestionarlo de manera remota, de hecho implementa todos los niveles OSI,
tiene una dirección IP y es administrable mediante IP.
Habitualmente, los conmutadores tienen, además, unas listas de direc-
ciones IP desde las cuales está permitido acceder al conmutador, por ejemplo
los conmutadores Catalyst de Cisco Systems. Tal lista, obviamente, debe estar
cuidadosamente configurada con las direcciones IP de los equipos de uso
habitual de los posibles administradores del conmutador, pero que lo deba
estar no quiere decir que lo esté. Al no ser obligatoria tal configuración, en
prácticamente todos los modelos se puede quedar la lista vacía, significando
que se puede acceder idesde cualquier dirección IP!
Bien, una vez se tiene un equipo desde el cual acceder, jcon qué aplica-
ciones se puede acceder?
Se puede acceder mediante telnet, siempre que la dirección IP desde la
cual se haga esté en la lista. El uso de telnet tiene posibles efectos desagra-
dables. Como se repetirá en el capítulo 3, telnet es una aplicación que no
encripta el nombre de usuario ni la contraseña que se usa para el acceso.
Como consecuencia, cualquiera con un acceso <<promiscuo.y un analizador
de protocolos podría obtener tal información y conectarse, o intentarlo, al
conmutador.
En los modelos más modernos, se va imponiendo la sustitución del pro-
tocolo telnet por el protocolo ssh (de <<secure shelln). Su uso desde el punto
de vista del administrador es idéntica a la de telnet, pero todo el tráfico resul-
ta encriptado, haciendo mucho más segura la comunicación.
Otra forma de acceso remoto para gestión a un conmutador, cada vez más
empleado, es mediante http. Su funcionamiento es sencillo de entender: se
implementa un servidor http en el conmutador, que, a su vez, da acceso a una
50 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACI~N

aplicación típica Web, que es la que sirve para administrar el conmutador

remotamente. Uno se sienta delante de su PC, abre una sesión Web, escribe el
URL (Uniform Resource Locator) correcto, por ejemplo,

y obtiene la ventana con la petición de identificación. Si uno conoce, como

antes, el nombre de usuario y la contraseña, ya está dentro.
Este procedimiento se puede refinar, usando https, una variación del pro-
tocolo http, que trabaja con SSL (Secure Socket Layer), protocolo criptográ-
fico (del que se hablará en el capítulo 16) que, bien configurado, permite exi-
gir un certificado digital correspondiente al equipo desde el cual se realiza la
conexión.
Además, se puede hacer que la identificación y autenticación (aspectos de
seguridad de los que se hablará mucho más en otros capítulos del libro) no se
haga en el conmutador, es decir, se puede pedir que la prueba de que uno es
quien dice que es (en términos de cuenta de usuario) se realice en un sistema
distinto, que trabaje con un protocolo AAA (de Authentication, Authoriur-
tion Accounting), como RADIUS o TACACS/+.
iUffff! No asustarse. Muchos de estos términos se aclaran en otras partes
del libro (así como en el capítulo final de índice de acrónimos). Su aparición
aquí es para resaltar lo importante que se ha vuelto el asegurar el correcto
acceso a los conmutadores en una red, entre otras cosas porque cada vez hay
más en cualquier red que se plantee.
Bien, es muy importante, hay que considerarlo con detalle en la política de
seguridad, pero, fijándose bien, hay herramientas para hacerlo muy seguro.
En un acceso permitido, o sea, siendo quien se debe ser, ¿qué pasos de
seguridad hay que cumplir para acceder?
1. Hay que conocer el nombre y contraseña correctos.
2. Hay que estar usando una dirección IP correcta.
3. Como consecuencia, para SSL, hay que tener un certificado digital
correcto. Como se verá en el capítulo 16, esto tiene muchas más con-
notaciones de gestión y de seguridad, pero, por ahora, se supone que
se dispone de uno correcto.
4. Hay que conocer la dirección IP correcta del conmutador para abrir la
sesión Web.
5. Una vez en la ventana, se teclea el nombre y la contraseña, que será
contrastado contra un servidor de autenticación, usando, por ejemplo,
protocolo RADIUS.
6. Ya se está dentro. Ahora, hay que saber cómo configurarlo.
LA SEGURIDAD EN LOS ELEMENTOS F~SICOSEXISTENTES EN UNA RED 51

Parece difícil colarse ... pero, hay que recordar: cuanto más complejo es
un sistema, más difícil es asegurarlo. Revisando la anterior lista punto a pun-
to otra vez:
1. ¿Se ha modificado periódicamente la contraseña?
2. ¿Hay una lista de direcciones IP bien configurada, o está vacía?
3. ¿La versión de SSL no tiene .agujeros. de seguridad, como por ejem-
plo los descritos en http:llonline.securityfocus.com/archive/l/29782/
2002-09-1 112002-09-l710?
4. ¿Hay una sola o varias direcciones IP en el conmutador?
5. ¿Está activo el servidor AAA?, si no, jse dispone de un servidor de
<<backup>,?,
o ¿se está preparados para tener que acceder solo en local?
6. Éste no es un punto menor. Con el auge de las herramientas gráficas,
cada vez es más fácil configurar mal un conmutador, si no se conoce
bien el entorno, porque nadie se lo ha enseñado. Muchos problemas de
seguridad tienen su causa en el desconocimiento ,no mal intenciona-
do, que deja desconfigurado, o mal configurado, el sistema operativo
del conmutador.
Y, por último, ¿se ha tenido en cuenta, en todos los puntos de seguridad,
los ataques que, para tener éxito, no necesitan de un acceso al conmutador?
Hay que recordar del capítulo 1 los ataques de denegación de servicio (o ata-
ques DOS). Alguien podría pensar que siendo tan pequeño el sistema opera-
tivo de un conmutador, diseñado solo para gestionarlo, no va a tener bugs
que permitan tales ataques ... pues estaría equivocado. Tales ataques existen,
se dan y en muchos modelos de muchos fabricantes. Como muestra, un
botón, aparecido como <<SecurityAdvisoryn de Cisco, de octubre de 2002:

Denegación de servicio en switches Cisco Catalyst

Los switches Cisco Catalyst con versiones del software Cisco CatOS
desde la 5.4 hasta la 7 . 3 que contengan un xcvn en el nombre de imagen
se ven afectadas por un desbordamiento de búffer en el servidor HTTP
incluido.
Si el servidor HTTP está activo el desbordamiento de búfer puede ser
explotado de forma remota y provocar la caída del dispositivo y su reinicio.
La vulnerabilidad puede ser explotada repetidas veces y lograr de esta for-
ma una denegación de servicio.
Si el servidor HTTP está activo en un switch Cisco Catalyst con una ver-
sión afectada de CiscoView una petición HTTP de gran longitud provocará
el desbordamiento de búfer y el reinicio del switch. El servidor HTTP está
deshabilitado por defecto.
Cisco publica actualizaciones del software que deberá actualizarse en
función de la versión de CatOS instalada:
52 SEGURIDAD E N LAS COMUNICACIONES Y E N LA INFORMACI6N

Versiones 5.x actualizar a 5.5(17)

Versiones 6.x actualizar a 6.3(9)
Versiones 7.3 aun sin corregir
Versiones 7.4 actualizar a 7.4(1)
Más información en:

Es decir, se puede hacer caer., repetidamente, un conmutador y, como

consecuencia, dejarlo Fuera de servicio, con todo el potencial de caída de la
red correspondiente, desde una situación remota, sin más que conocer la ver-
sión del conmutador, su dirección IP y un poco de suerte. Apurando, para
probar si la versión es una de las buscadas, se puede, simplemente, tratar de
conectarse y esperar.
Resumiendo, los dispositivos físicos de la red, de nivel bajo en la
arquitectura OSI, deben también tenerse en cuenta en la política de segu-
ridad, especialmente los conmutadores. Hay que pensar qué mecanismos
de seguridad se imponen para ellos, para el acceso a ellos y para su ges-
tión, incluyendo la auditoria de posibles vulnerabilidades de su sistema
operativo.

2.4. ENCAMINADORES
Los encaminadores (o routers) no solo incorporan la Función de filtrado,
sino que también determinan la ruta hacia el destino de cada mensaje, o sea,
hacen una selección del camino óptimo, empleándose tanto en redes de área
local como de área extensa. Implementan, al menos, los niveles 1, 2 y 3 de la
arquitectura OS1 (Figura 2.1), pero, al igual que los conmutadores, suelen
implementarlos todos y, así, permitir todos los medios de acceso explicados
para los conmutadores.
Difieren de los conmutadores, fundamentalmente, en que actúan sobre
los paquetes transferidos entre los niveles de red de las estaciones, a diferen-
cia de los conmutadores que lo hacen sobre las tramas al nivel de enlace de
datos, y por otro lado, ambos son idealmente transparentes a las estaciones
finales que comunican. Sin embargo, normalmente, las estaciones finales tie-
nen definido el encaminador al que deben dirigirse para solicitar los servicios
de encaminamiento.
Su funcionamiento se basa en la utilización de un esquema de direc-
cionamiento jerárquico y lógico (definido por el administrador, siguiendo
las normas de una arquitectura particular, por ejemplo IP, por contraste al
direccionamiento físico del nivel 2, o por ejemplo, las direcciones MAC de
LA SEGURIDAD EN LOS ELEMENTOS F~SICOSEXISTENTES EN UNA RED 53

Ethemet), que distingue la dirección de un dispositivo dentro de la red y la

dirección de la red. Con ese conocimiento, el encaminador es capaz de
construir <<tablas de rutas., que le ayudarán a decidir por qué camino
envía el mensaje. Para ello, deben incorporar protocolos de nivel de red y,
por lo tanto, se trata de elementos dependientes del protocolo de la red. La
actualización de estas tablas de rutas se lleva a cabo en función del tipo de
encaminador, los cuales pueden ser estáticos, dinámicos o los que permi-
ten los dos tipos de actualización a la vez. En el primer caso, dicha actua-
lización la realiza el administrador de la red. En el segundo, son los proto-
colos de encaminamiento quienes se encargan de la notificación
automática del cambio o avería mediante mensajes de difusión entre los
encaminadores.
Obviamente, casi el 90% de los encaminadores son IP, es decir, sus men-
sajes son mensajes de aplicaciones y protocolos de la familia IP. Sus protoco-
los de encaminamiento más típicos son RIP (Routing Zntenzet Protocol) ver-
siones 1 y 2, OSPF (Open Shortest Path First), IGRP (Internet Gateway
Routing Protocol), EIGRP (Enhanced IGRP), estos dos últimos de Cisco
Systems, BGP (Border Gateway Protocol) y otros.
Un encaminador es susceptible de sufrir distintos tipos de ataques:
1. Ataques de denegación de servicio, sin necesidad de acceso. Las técni-
cas usadas son idénticas a las comentadas para los conmutadores en el
apartado anterior y un buen ejemplo, una vez más de Cisco, puede ver-
se en http:iiwww.secunia.com/advisones17766/.
2. Ataques de acceso para modificación de información, casi siempre de
las tablas de rutas. Suelen realizarse mediante los métodos citados en
el caso de conmutadores, como telnet, ssh, AAA, etc.
3. Ataques basados en la falta de autenticación. Se verán con más detalle
en el capítulo 4, pero se tratan de mensajes enviados en cualquiera de
los protocolos citados, con una información de rutas errónea y que, al
no <<preguntar.el encaminador quién la manda y aceptarla sin proble-
mas, permite controlar en parte la red. Hay dos modalidades para este
tipo de ataques:
- Enviar información muy errónea, para volver docan a la red.
- Enviar mensajes a 2 encaminadores, explicándoles (mediante rutas
falsas) que la ruta más corta entre ellos, pasa por la definida, para
poder «sniffarx la información en el segmento de red con mayor
facilidad.
Al igual que antes, las soluciones a estos problemas suelen ser claras, pero
no fácilmente implementables. Es claro, no obstante, que habrá que tenerlos
en cuenta a la hora de desarrollar e implementar la política de seguridad.
54 SEGURIDAD E N LAS COMUNICACIONES Y E N LA INFORMACION

2.5. LOS SERVIDORES Y OTRAS MÁQUINAS

El resto de las máquinas de una red suelen ser:
- Máquinas de uso final de un usuario , pudiendo denominarlas esta-
ciones de trabajo para no tener que hacer referencia a un sistema
operativo concreto, aunque, como se verá en el capítulo siguiente, si se
cuentan todas las versiones de Windows y UNIX se tendría casi el 90%
de ellos.
- Máquinas que ofrecen servicios, o servidores, que suelen tener como
sistema operativo alguna modalidad de U N E o Windows (NT o 2000
o XP), aunque hay un buen número de servidores con otros sistemas,
como Netware u OpenVMS.
Como se verá una buena política de seguridad debe hacer responsable a
cada usuario de buena parte de la seguridad de su estación de trabajo, espe-
cialmente de:
- La seguridad de su cuenta de usuario y contraseña, pues, a través de
ellas, se tiene acceso a datos y aplicaciones compartidas, correo, etc.
- La seguridad de sus ficheros y directorios personales. Se supone que
nadie más que el propio usuario debe estar interesado en ellos. Para
ello, deberá disponer de un buen antivirus y de un buen sistema de
ficheros.
En cuanto a la seguridad de los servidores, se debe tener en cuenta vanas
cosas:
- Si son servidores de datos, hay que tener en cuenta, como se verá en
el capítulo 12, los diseños redundantes y otros aspectos que garanti-
cen suficientemente la disponibilidad de tales datos.
- Si son servidores de autenticación,es decir, de los que permiten o no
el acceso a una serie de máquinas a los usuarios, por ejemplo un ser-
vidor Solaris con NIS+ (Network Inforrnation Services) o un servidor
Windows NT (o Windows 2000 o XP) que sea Controlador de Dominio,
hay que tener en cuenta la correcta configuración de su propio siste-
ma de seguridad y que esté bien configurado con un sistema de fiche-
ros seguro, como el NTFS de Windows o el AdvFS de Compaq Tru64
UNIX.
- Si son servidores de aplicaciones, como un servidor de correo elec-
trónico o un servidor DNS, un servidor www, ftp o de cualquier otra
aplicación IP típica, hay que tener especialmente configuradas tales
aplicaciones. Esto se verá en más detalle más adelante, cuando se
estudie por un lado las particularidades de IP y, por otro, los ataques
típicos a cada aplicación.
LA SEGURIDAD E N LOS ELEMENTOS FfSICOS EXISTENTES E N UNA RED 55

No obstante, hay una serie de consideraciones generales que valen para

todos.
Los servidores deben estar ubicados físicamente en lugar seguro, tanto
más seguro cuanto más <<delicado.sea su contenido. Esto es debido a que,
como se verá, el acceso físico suele ayudar mucho para cualquier tipo de
ataque.
Su ubicación topológica en la red debena cumplir el mismo principio.
Debe estar en una parte de la red especialmente asegurada y, a poder ser,
conectado a un puerto individual de un conmutador, para evitar ataques de
monitorización con analizadores de protocolos.
Las aplicaciones de los servidores son programas. Es decir, como se verá
en el capítulo siguiente, tienen vulnerabilidades que hay que tener en cuenta
y cuyo número crece, no es siempre el mismo. Hay que habilitar en la políti-
ca de seguridad los mecanismos para auditarlos correctamente.
Por ahora ya es suficiente. En el siguiente capítulo se profundizará un
poco más en sistemas operativos, protocolos y aplicaciones.

2.6. CONCLUSIONES
En cualquier sistema de comunicaciones existen tres piezas clave: los
emisores, los receptores y el medio de comunicación.
En el caso de las redes de ordenadores, esto se aplica perfectamente
pero, en diferentes grados, a lo que se ha descrito en este capítulo.
Se ha tratado de componentes hardware a tener en cuenta en cual-
quier proceso de seguridad, que se pretenda seguir para las redes que
se utilicen.
Algunos son claramente de carácter hardware, como los cables, los
repetidores y hubs.
Se ha visto que no todos los cables ofrecen la misma seguridad, que
siempre será más seguro trabajar con par trenzado apantallado o con
fibra óptica.
Se ha hecho una breve introducción a la comunicación inalámbrica y
se ha visto que, en este caso, en el medio lo importante es la capacidad
de encriptar correctamente.
Se ha visto que los hubs y repetidores son suficientemente <<tontos,,
como para no preocuparse mucho de ellos.
Sin embargo, se han descrito muchos de los posibles problemas que se
pueden tener (algunos muy graves) si se piensa que no hay que dedicar un
56 SEGURIDAD EN LAS COMUNICACIONES Y E N LA INFORMACIÓN

buen espacio (y tiempo) en la política de seguridad a la configuración correc-

ta y mantenimiento de los conmutadores y de los encaminadores.Es esen-
cial elegir correctamente cuáles se van a usar, cómo y quién los va a configu-
rar, cómo será su mantenimiento y su auditoria.
No se puede acabar sin hablar de las máquinas de usuario. Ellas son la
razón última de casi todo lo que se hace en seguridad de redes. Finalmente,
son ellas las emisoras y receptoras, sean estaciones de trabajo o servidores,
pero no hay que olvidar que, en realidad, el emisor y el receptor últimos son
procesos de cada uno de los sistemas operativos. Hay que prohndizar más,
en el capítulo siguiente, en cómo se comunican tales procesos, en cada siste-
ma operativo y mediante qué protocolos de comunicación.

1 . Los encaminadores son máquinas más seguras que los hubs por:
a ) Porque implementan hasta el nivel 3 de la arquitectura OSI, y los hubs
solo hasta el nivel 1.
b ) No son necesariamente más seguros. Depende de su configuración
concreta.
C) Tienen mecanismos físicos de seguridad adicionales.
d ) Son más seguros los hubs, al no tener ninguna configuración especial
que realizar en ellos.

2. ;Cuáles de las siguientes características son típicas de los productos TEM-

PEST?
a ) Protegen frente a desastres naturales, como tempestades.
b ) Son productos que están apantallados frente a la interferencia electro-
magnética.
C) Los hay desde un simple cable apantaliado hasta un edificio apantallado.
d ) No ofrecen mucha más seguridad pero, en cambio, son muy baratos.

3. Las VLAN (redes de área local virtuales) son:

a ) Redes locales montadas en secreto, basándose en técnicas criptográfi-
cas secretas.
b ) Grupos de ordenadores, relacionados lógicamente entre sí, por un
número de grupo (o de VLAN) y configurados por el administrador de
un conmutador.
C) Grupos de ordenadores, en distintas redes IP, en distintas situaciones
geográficas, dependientes de distintos encaminadores y conmutadores.
 d) Un nuevo desarrollo de seguridad, probado únicamente como piloto,
en el MIT.

4. Para la gestión remota de un encaminador o de un conmutador siempre es

más seguro:
a ) Acceder a el mediante ssh o telnet, que da, además, las mejores presta-
ciones de velocidad.
b) Acceder a el mediante http, al poderse usar criptografía SSL
c ) Depende, en cada caso de cómo este configurado. No hay una solución
claramente más segura que otra.
d ) No puede accederse remotamente.

5. Para una mayor seguridad se deben usar sistemas operativos en las

máquinas con el siguiente criterio:
a) Todos los servidores deben ser LINUX. Es el más probado con diferencia.
b) Todas las máquinas deben ser Windows 2000, excepto los servidores
que deben ser UNIX, a poder ser de un fabricante con soporte de su
producto.
c) No hay un criterio único. La decisión dependerá de muchos factores,
entre otros la estabilidad, las aplicaciones que se vayan a usar y los cri-
terios de autenticación de usuarios
d ) Todos los servidores deben ser mainframes con MVS, sistema de IBM
lo suficientemente desconocido como para no temer ataques sobre él.