CAP2A05AWRM0102

Instituto Tecnolgico Argentino
WRM Wireless 2
Plan WRM2A05A
Reservados los Derechos de Propiedad Intelectual
Archivo: CAP2A05AWRM0102.doc ROG: VCG RCE: RPB RDC: VCG
Tema: Mecanismos de Seguridad

Clase N: 02 Versin: 1.2 Fecha: 24/6/05

Instituto Tecnolgico Argentino THP / Clase 02 Pgina 1/12
CONFIDENCIAL
E
S
T
U
D
I
O

MECANISMOS DE SEGURIDAD
1 OBJETIVO
El objetivo de esta clase est dedicado a que el profesional abocado a la instalacin de redes wire-
less tenga el conocimiento de tecnologa involucrada para implementar seguridad en las mismas.
Como sabemos el mundo wireless existen distintas normas tales como la IEEE 802.11a, 802.11b,
802.11g que definen la frecuencia, velocidad y hasta como se codificarn los datos que se transmiti-
rn. Detrs de estas normas tambin existen otras que son complementarias, como el nuevo modelo
de seguridad que define la norma IEEE 802.11i, esta es la mas reciente incorporacin en el campo
de la seguridad, pero para llegar a esta la mejora la industria a recorrido un camino con muchos
cambios, esto trae como consecuencia que al tratar de implementar seguridad en redes armadas con
distinto tipo de hardware y tecnologas propietarias una simple tarea se convierte en un problema al
no contar con los conocimientos necesarios.
Teniendo en cuenta este panorama analizaremos cada tecnologa y las distintas estrategias que se
encuentran disponibles para mejorar a las redes ya instaladas y las actuales, de esta forma podremos
ajustar la convivencia entre estas y planificar redes que prevean la incorporacin de nuevas tecno-
logas.

2 SEGURIDAD
En las redes cableadas existe una seguridad que es propio de estas, esto significa que alguien ajeno
a la red que desee leer o tomar datos de la misma el primer paso que tiene que dar es lograr acceder
fsicamente a la misma. De esto se desprende que solo podr tener acceso si es un integrante de la
misma red.
En las redes wireless esto es sustancialmente distinto ya que la tecnologa involucrada hace que
cualquiera que este dentro del rea de cobertura de una red podr escuchar toda la actividad de la
misma, recordemos que las redes wireless funcionan en forma similar a una emisora de radio, y por
lo tanto todos los que se encuentren en las vecindades estn en condiciones de poder ingresar a la
misma.
Con este panorama es que se implementan una serie de mecanismos orientados a disminuir el po-
tencial acceso de usuarios desconocidos.
Algo que debemos destacar es que el Service Pack 2 de Microsoft para Windows XP, incorpora
nuevas caractersticas acorde a las nuevas medidas de seguridad y una configuracin simplificada,
por lo que recomendamos fuertemente su utilizacin. Las caractersticas ms sobresalientes son:
Compatibilidad integrada con el nuevo sistema de seguridad WPA (Wi-Fi Protected Access
- Acceso protegido de fidelidad inalmbrica).
Asistente para la configuracin de una red inalmbrica.
Mejoramiento de la funcionalidad de reparacin para conexiones inalmbricas.
WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

Nuevo cuadro de dilogo Conexin de red inalmbrica, el cual permite tener acceso a los
nuevos asistentes, monitores de estado y configuraciones.

El ingreso a una red sin seguridad es extremadamente fcil, se accede desde el nuevo cuadro de
dialogo de Conexin de red inalmbrica del Windows XP donde se puede iniciar una bsqueda de
nuevas redes mediante la opcin Actualizar lista de redes, obteniendo como resultado el nombre de
las mismas, finalmente restara conectarnos a la red deseada y comenzar a utilizarla.
Obviamente que se necesitaran mecanismos que impidan esto, para lograrlo existen una variedad de
estrategias para evitar los ingresos no deseados a nuestra red y son los siguientes:
Utilizar un nombre de identificacin nica de red que sea solo conocido por los integrantes
de la red.
Tener un sistema de control de acceso que autentifique a quien desee ingresar a nuestra red.
Proveer de confidencialidad al canal transmisin para impedir la lectura de la informacin
transportada.
2.1 SSID
Service Set Identifier - Identificador de Conjunto de Servicio, es el nombre que identifica a la red,
puede tener hasta 32 caracteres alfanumricos incluyendo letras maysculas y es la primera barrera
que se debe cruzar si se desea ingresar a una red wireless.
Al SSID tambin se lo conoce como identificador de rea en una clara alusin a los grupos de m-
quinas formados por las configuraciones topolgicas IBSS o BSS, esto significa que este ser el
nombre de la red.
El SSID es primer dato con que debemos contar cuando crea una red, este procedimiento puede ser
iniciado desde una estacin cuando se configure una red Ad-Hoc, o desde el Access Point en caso
de ser una red Infraestructura.
En las redes Ad-Hoc este identificador puede ser visto por cualquier equipo prximo a nuestra red,
pero en el caso de tener un Access Point, este puede no mostrar su nombre y as ocultar su existen-
cia.
El primer paso para configurar una red wireless luego de haber instalado la correspondiente placa
de red con su correspondiente driver, es seleccionar el nombre con que identificar la red, para esto
se debe seguir el siguiente procedimiento.
Dentro de las Propiedades de Conexiones de red inalmbrica, seleccionamos la solapa Redes ina-
lmbricas, dentro de este se encuentra una de las novedades del SP2, se de la opcin trata de la op-
cin Usar Windows para establecer mi configuracin de red inalmbrica.
Si la tildamos desactiva la aplicacin provista por el fabricante y permite a Windows realizar la
configuracin automtica de los parmetros de la placa de red.
WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

Para crear nuestra red presionamos el botn el Agregar..., el cual nos derivar a la prxima pantalla
en la solapa Asociacin, donde podremos asignarle el nombre de nuestra red (SSID).
En el caso de que la red sea del tipo Ad Hoc, se tendr que tildar la opcin Esta es una red de
equipo a equipo (ad hoc). No se utilizan puntos de acceso inalmbricos, esto significa que se
debern revisar los parmetros de configuracin de la placa de red (canal de transmisin, velocida-
des de transmisin y recepcin, etc.) y hacerlos coincidir con los de las mquinas restantes de la
red.
En caso que la red a configurar este en un Access Point el mecanismo es el mismo ya que se re-
quieren de los mismos datos.
2.2 AUTENTIFICACIN Y ASOCIACIN
Dentro de la solapa asociacin se encuentran una serie de datos que son imprescindibles a la hora
de implementar seguridad a una red, todas ellas estn relacionadas entre si, por lo tanto las desarro-
llaremos una a una.

WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

El tipo de seguridad que se implementa en la actualidad esta sujeta directamente a la tecnologa de
la placa de red y estas son dos, la WI-FI 802.11b (11Mbps) y 802.11g (54Mbps) que incorpora tam-
bin a la 802.11i (implementacin de seguridad).
El proceso de autentificacin de red tiene una particularidad que debe quedar en claro, esta prepa-
rado para poder identificar placas de red que se encuentran en mquinas y no usuarios.

Si se utiliza tecnologa 802.11b las opciones de configuracin son dos:
Abierta: no utiliza ninguna identificacin o clave.
Compartida: utiliza una clave que debe ser la misma en todas las otras mquinas.

En caso de utilizar la tecnologa 802.11i a las opciones anteriores se les agregan dos ms, las cuales
son de uso avanzado y sern tratadas con posterioridad.
WPA
WPA PSK

Al seleccionar la opcin Compartida, automticamente queda disponible el espacio para asignar la
clave de red y su confirmacin. De esta forma todo aquel que quiera ingresar a la red le ser solici-
tada previamente la clave de la red para poder ser autentificado.
La forma en la cual se completara la clave, la abordaremos en la prxima seccin ya que se encuen-
tran ambas sumamente relacionadas.
Una vez cumplimentada esta etapa le sigue el ltimo paso que se llama asociacin, este mecanismo
es el encargado de proveer los medios necesarios para que dos estaciones o una mquina y un Ac-
cess Point queden comunicados.
2.3 CIFRADO DE DATOS
El cifrado tiene objetivo proveer de confidencialidad al canal transmisin para impedir la lectura de
la informacin transportada, esto se logra encriptando los mensajes que viajan entre las estaciones
con una clave del tipo simtrica que se utiliza en ambas estaciones para decodificar la informacin
en destino, el tipo de calve mas conocida es la WEP (Wired Equivalent Privacy Privacidad Equi-
valente a la red Cableada). Al hablar de clave simtrica nos referimos a que dicha clave es la misma
en todos los puestos de trabajo, queda almacenada en forma local y el sistema de distribucin es
manual.
WEP es utilizada por los sistemas con tecnologa 802.11b y es el ms difundido hasta el momento,
sin embargo este es dbil y puede ser vulnerado, como paliativo a este inconveniente hoy se puede
encontrar al sistema WPA (Wi-Fi Protected Access Acceso Protegido Wi-Fi) que gradualmente
suplantara a WEP por ser ms robusto.
WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

Cuando se utiliza WEP en su versin original utiliza un cdigo de 64 bits para realizar la encripta-
cin, a esta versin tambin se la llama WEP1. Posteriormente se lanzo una segunda versin llama-
da WEP2 que utiliza 128 bit para mejorar la encriptacin.
Siguiendo esta tendencia algunos fabricantes ofrecen hasta 256 bits para mejorar sus productos, sin
embargo en este punto debemos tener en cuenta que a raz de esto, solo los productos de este fabri-
cante podrn comprender los datos encriptados con 256 bits y los dispositivos de otras marcas con
128 o 64 bits quedaran fuera del sistema. Este es uno de los contratiempos con los cuales nos po-
demos encontrar debido a que hay fabricantes que utilizan tcnicas propietarias o que no estn con-
templadas en WI FI.
Profundizando en la cantidad de bits que se utilizan para la encriptacin debemos decir que no se
utilizan todos para este fin, por ejemplo si utilizamos a WEP como ejemplo, de los 64 bits nombra-
dos, en realidad solo se utilizan 40 para encriptar la informacin (datos), estos 40 bit provienen de
la clave compartida que como vemos tiene un doble propsito (clave de autentificacin y encripta-
cin).
Los otros 24 bits restantes son utilizados para encriptar a los frames enviados con una clave distinta
en cada envo, reforzando de esta forma la seguridad existente. Estos 24 bits son aportados por la
placa de red y el usuario no tiene ingerencia alguna.
De esto se desprende que, en le caso de utilizar un sistema de 128 bit, solo se utilizaran 104 para la
clave compartida.
Al momento de completar los datos de la clave se deber tener en cuenta que las mismas cumplan
con los siguientes requisitos de escritura:

Clave en formato ASCII (Caracteres alfanumricos) en este slo se pueden utilizar 5 carac-
teres en caso de de utilizar 40 bits para encriptar y 13 si utilizamos 104. Esto se debe a que
un carcter utiliza 8 bits para ser representado en forma binaria. De no cumplirse estas con-
diciones la clave es rechazada
Clave en formato Hexadecimal (Letras desde la A hasta la F inclusive y nmeros desde el 0
hasta el 9 inclusive) en este caso se emplean 10 caracteres si es utilizan claves de 40 bits y
26 caracteres en caso utilizar 128.
En el caso de querer implementar una red wireless con Access Point, el procedimiento es el mismo
y solo se requiere de la informacin con la cual se denominar a la red (SIDD), la clave compartida
y la cantidad de bits para la encriptacin. En la prxima figura vemos la interfaz administrativa co-
rrespondiente a un Access Point, en el cual salvando algunas diferencias encontramos las mismas
opciones para completar.

WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

2.4 SEGURIDAD AVANZADA
Luego del lanzamiento de wireless con la seguridad de tipo WEP, los usuarios corporativos entre
ellos organismos gubernamentales (en EE.UU.) vieron las ventajas del sistema, pero surgieron las
debilidades con respecto a la seguridad.
El IEEE se dedic inmediatamente a la solucin de este problema y la llam IEEE 802.11i, la cual
implementa una solucin integral al problema de la seguridad.
Desgraciadamente los extensos tiempos de desarrollo, obligaron a los fabricantes de productos
wireless a implementar soluciones propietarias tal como la utilizacin de 256 bits para la encripta-
cin y tratar as de mejorar la imagen de sus productos. Esto provoc obviamente que slo los pro-
ductos de este fabricante se pudiesen comunicar entre si, perdiendo as la compatibilidad con el
resto.
WI FI conociendo la problemtica, promovi una salida adelantada de productos con parte de estas
soluciones con el apoyo de la IEEE con la norma 802.11i y la llamo WPA (Wi-Fi Protected Access
Acceso Protegido Wi-Fi), en la actualidad tambin se la llama WPA1 debido a que no es la ver-
sin final y como imaginaran la WPA2 es la versin final, al cual cumple con el estndar IEEE
802.11i.
Este tipo de seguridad ya se est implementada y se encuentra disponible desde octubre del ao
2004, esto significa que no todos los fabricantes podrn obtener las aprobaciones de sus productos
para esta fecha y que gradualmente aparecern en el mercado los productos.
Una empresa que se adelanto a los acontecimientos fue Microsoft, implementando esta tecnologa
en su Service Pack2 para Windows XP, de esta forma estos sistemas operativos estn en condicio-
nes poder manejar la nueva seguridad avanzada.
WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

2.4.1 WPA 1
Esta nueva propuesta de seguridad propone nuevos mtodos para implementar seguridad y brindar
soporte para la tecnologa anterior.
La solucin es radical y propone utilizar un mecanismo para poder autentificar en forma fehaciente
la identidad de quien quiere unirse a la red, esto lo hace implementado una mquina servidor que
tiene como misin almacenar las identidades de los integrantes de la red. Tambin incorpora otra
maquina que cumple la funcin de intermediaria entre el usuario y la base de datos en la cual se
tendr que validar, esta funcin es cumplida por una nueva generacin de Access Point que tienen
esta nueva capacidad.
En la siguiente figura podemos observar un diagrama bsico de esta nueva estructura propuesta por
WPA bajo el estndar IEEE 802.1x.
En la parte superior se encuentra la estacin de trabajo
en la red wireless, a la cual se la denomina Suplicante o
Solicitante debido a que tiene que pedir la autorizacin
para ingresar a la red.
En la parte inferior se encuentra el Servidor de Autenti-
ficacin o servidor AAA (Authentication, Authorization
and Accounting Autentificacin Autorizacin e Infor-
mes), cuya misin es administrar una base de datos que
contiene a todos los integrantes de la red para, Autentifi-
car la identidad, Autorizar el ingreso la red y llevar un
Informe detallado de las actividades del usuario supli-
cante.
En el centro se encuentra el Access Point el cual cumple
la misin de Autentificador, este acta como intermedia-
rio o delegado entre el Servidor de autentificacin y la
estacin suplicante. Esto significa que en ningn mo-
mento se realiza un contacto directo entre la estacin de
trabajo y la red LAN cableada, asegurndose que toda la
informacin referida al proceso de autentificacin sea realizado sobre un medio seguro como la red
LAN y no a travs de la red wireless.
Los servicios de AAA son tambin se los conoce como RADIUS (Remote Authentication Dial-In
User Service).
Esto no es la nica novedad, tambin se mejor la seguridad a nivel encriptacin con la incorpora-
cin de de TKIP (Temporal Key Integrity Protocol Protocolo de Clave de Integridad Temporal)
esta sirve para asegurarse que todos frames sean cifrados con cdigos distintos, ya que esto no era
obligatorio en WEP.
WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

Tambin se incorpor un nuevo sistema para detectar la integridad de los datos llamado MIC (Mes-
sage Integrity Check Verificador de Integridad de Mensaje) que reemplaza al utilizado anterior-
mente.
Finalmente los 24 bits utilizados por la placa de red para encriptar cada frame fueron incrementados
a 48 bits, dificultando as la posibilidad de desencriptar los datos transmitidos.
Todo esto visto desde una ventana de configuracin de Windows es muy sencillo, ya que se reduce
a seleccionar en primera instancia que tipo de autentificacin se utilizar, tal como podemos obser-
var en la prxima figura.

Algunas de las opciones disponibles ya son conocidas y las nuevas son WPA y WPA-PSK.
De la primera ya hablamos pero requiere de un servidor AAA, lo cual resultara muy oneroso para
implementar por usuarios SOHO o uno hogareo.
En este punto aparece la opcin WPA-PSK (WPA - Pre Shared Key - WPA con Clave Pre Com-
partida), este es un mecanismo donde no se requiere de un AAA y se utiliza una nica clave, la cual
se utiliza por una sola vez y en cada proceso de asociacin, garantizando as la confidencialidad de
estas.
WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

A la derecha de la figura se pueden ver las opciones de seguridad disponibles tales como TKIP,
AES y WEP (utilizado por el IEEE802.11b) el cual todava se encuentra disponible por cuestiones
de compatibilidad, pero que a futuro desaparecer.
2.4.2 WPA2
WPA2 es versin final de la norma IEEE 802.11i, es igual a WPA1 pero incorpora a la seguridad
AES Advanced Encryption Standard Clave de encriptacin Avanzada, que utiliza 128 bits para el
encriptado la cual se implementar en ambas configuraciones de red BSS y IBSS. Tambin incorpo-
ra un nuevo sistema de verificacin para la integridad de datos que puede detectar si el frame fue
modificado durante el viaje entre estaciones este va en reemplazo del MIC y se llama CCMP
(Counter Mode with Cipher Block Chaining Message Authentication Code Protocol - Algoritmo
que utiliza el AES). Finalmente tambin dobla la cantidad de bits utilizados en el vector de iniciali-
zacin elevando la cantidad de bits al doble de su predecesor o sea 48 bits.
2.5 SEGURIDAD AVANZADA EN ACCESS POINT
Recordemos que esta opciones de autentificacin y cifrado de datos tambin se encuentran disponi-
bles en los Access Point, adems de estas realizar estas tareas estos incorporan otros mecanismos de
seguridad para reforzar los antes descriptos, estos se encuentran disponible solo a nivel local y de-
penden de cada fabricante su disponibilidad.
Entre los sistemas mas difundidos se encuentra el filtrado de acceso por direcciones MAC, esto
significa que solo las estaciones de trabajo cuyas direcciones MAC se encuentren en la base de da-
tos del Access Point podrn ingresar al mismo y se sern rechazados los intentos de conexiones
cuya MAC no figuren en la lista.
Un ejemplo de esta propiedad la podemos
ver en la prxima figura, en el caso particu-
lar de este fabricante se presenta un senci-
lla interfaz la cual nos ofrece la posibilidad
de habilitar o deshabilitar esta funcin y el
permitir o denegar el acceso a las direccio-
nes MAC de la lista inferior.
Para poder realizar esta tarea obviamente
que ser necesario el conocimiento de la
direcciones MAC de los puestos , para ello
se podr recurrir a las propiedades de la
placas de red wireless o en algunos casos
dentro del mismo Access Point observando
la lista de los dispositivos conectados en
ese momento.
WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

Otro mtodo, el cual tambin se encuentra dirigido a limitar el acceso, es algo menos difundido y
consiste en dejar a nuestro Access Point no visible para las estaciones de trabajo en busca de nuevas
redes disponibles.
Para esclarecer esto primero debemos decir que una estacin de trabajo puede ver a un Access point
gracias a que este emite un frame especial cada cierto tiempo para que pueda ser visto por todo
aquel que se encuentre dentro su rea de cobertura, para evitar que cualquiera en la vecindad pueda
visualizarlo e intente accederlo es que se bloquea este frame espacial.
A esta funcionalidad se la puede ver en
la prxima figura y se la describe en
ocasiones como permitir o denegar el
SSI D Broadcast, al SSID ya lo conoce-
mos es el nombre de la red o zona y
Broadcast es la difusin de la misma.
Por lo tanto si escogemos no dejar visi-
ble a nuestro Access Point los usuarios
debern conocer los datos de la red
(SSID), la clave compartida, la configu-
racin de seguridad utilizada y que su
direccin MAC este permitida para po-
der ingresara a la red.
Volviendo al tema de IEEE 802.1x en
los Access Point el rol es distinto y re-
quiere de otros datos para poder configu-
rar el servicio, ya que este es un inter-
mediario entre el suplicante y el servidor
de autentificacin, razn por la cual se
WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

deben disponer de los datos correspondientes al servidor, tal como se puede observar en siguiente
figura.
Los datos necesarios son, la habilitacin del servicio 802.1x, el tipo de encriptacin, la direccin IP
del servidor RADIUS y la clave que utilizarn entre ellos, el servidor y el autentificador.
Para finalizar debemos hacer hincapi en la variedad de productos que se estn lanzando al mercado
de wireless por algunos fabricantes y la importancia que estn teniendo, algunos de ellos son los
siguientes y se promete ms.
Incorporacin de velocidades que llegan a los 108 Mbps.
Dual Band: lo que permite a los dispositivos trabajar en la norma 802.1g y la 802.11a.
Firewall integrados con control parenteral.
Servidores de impresin.
Cmaras de video para Internet.

WRM Wireless 2
Plan WRM2A05A


CONFIDENCIAL
E
S
T
U
D
I
O

NOTAS

CAP2A05AWRM0102

Diunggah oleh

Informasi Dokumen

Hak Cipta

Format Tersedia

Bagikan dokumen Ini

Bagikan atau Tanam Dokumen

Opsi Berbagi

Apakah menurut Anda dokumen ini bermanfaat?

Apakah konten ini tidak pantas?

Hak Cipta:

Format Tersedia

CAP2A05AWRM0102

Diunggah oleh

Hak Cipta:

Format Tersedia

Instituto Tecnolgico Argentino

Anda mungkin juga menyukai