UNIVERSIDAD DE GUAYAQUIL
FACULTAD DE CIENCIAS MATEMÁTICAS Y FÍSICAS
CARRERA DE INGENIERÍA EN SISTEMAS
COMPUTACIONALES
“Aplicación del protocolo Radius en la creación de un esquema de acceso a
la red y asignación Dinámica de permisos en Base a perfiles de usuario
utilizando Herramientas Opensource para las Pymes de Guayaquil”
TESIS DE GRADO
Previa a la obtención del Título de:
INGENIERO EN SISTEMAS COMPUTACIONALES
AUTOR: Manuel Alberto Delgado Suarez
TUTOR: Ing. Ángel Ochoa
REPOSITORIO NACIONAL EN CIENCIAS Y TECNOLOGÍA
FICHA DE REGISTRO DE TESIS
TÍTULO“Aplicación del protocolo Radius en la creación de un esquema de acceso a la red y asignación Dinámica de permisos en Base a perfiles de usuario utilizando Herramientas Opensource para las Pymes de Guayaquil”
REVISORES: Ing. Christian Antón
Ing. Mitchell Vásquez INSTITUCIÓN: Universidad de Guayaquil FACULTAD: Ciencias Matemáticas y Físicas
CARRERA: Ingeniería en sistemas computacionales
FECHA DE PUBLICACIÓN: 29/12/2015 N° DE PÁGS.: 124
ÁREA TEMÁTICA: Redes y Telecomunicaciones
PALABRAS CLAVES: Firewall, AAA, Radius, Diseño de redes, Seguridades, Vlans, Opensource.
RESUMEN: Las redes de comunicación sin duda se han convertido en uno de los pilares fundamentales para hacer posible el intercambio de información en la sociedad, la implementación de las mismas está presente en casi todas las empresas desde Pymes hasta grandes empresas
N° DE REGISTRO(en base de datos): N° DE CLASIFICACIÓN: Nº
DIRECCIÓN URL (tesis en la web):
ADJUNTO PDF
X SI NO
CONTACTO CON AUTOR: Teléfono:
APROBACION DEL TUTOR
En mi calidad de Tutor del trabajo de investigación, “Aplicación del protocolo Radius en la creación de un esquema de acceso a la red y asignación Dinámica de permisos en Base a perfiles de usuario utilizando Herramientas Opensource para las Pymes de Guayaquil” elaborado por el Sr. Manuel Alberto Delgado Suarez, egresado de la Carrera de Ingeniería en Sistemas Computacionales, Facultad de Ciencias Matemáticas y Físicas de la Universidad de Guayaquil, previo a la obtención del Título de Ingeniero en Sistemas, me permito declarar que luego de haber orientado, estudiado y revisado, la Apruebo en todas sus partes.
Atentamente
CERTIFICACIÓN DE GRAMATÓLOGA
Quien suscribe el presente certificado, se permite informar que después de haber leído y revisado gramaticalmente el contenido de la tesis de grado de: Manuel Delgado Suarez. Cuyo tema es: “Aplicación del protocolo Radius en la creación de un esquema de acceso a la red y asignación Dinámica de permisos en Base a perfiles de usuario utilizando Herramientas Opensource para las Pymes de Guayaquil”.
Certifico que es un trabajo de acuerdo a las normas morfológicas, sintácticas y simétricas vigentes.
ATENTAMENTE,
NOMBRE DEL GRAMATOLOGO
DEDICATORIA
AGRADECIMIENTO
Agradezco a Dios por haberme brindado la oportunidad de prepararme académicamente, por permitirme conocer en el camino a personas que me han ayudado a crecer como persona y como profesional.
Agradezco a mi esposa a mis padres y a mi hermana que son mi apoyo y mi razón de querer ser mejor cada día.
TRIBUNAL DE GRADO
Ing. Eduardo Santos Baquerizo,M.Sc. DECANO DE LA FACULTAD CIENCIAS MATEMATICAS Y
FISICAS
Ing. Inelda Martillo Alcívar, M.Sc. DIRECTORA
CISC, CIN
Ing. Jessica Yépez Holguín, M.Sc. VOCAL PRINCIPAL
Ing. Nelly Valencia Martínez, M.Sc. VOCAL PRINCIPAL
Ing. Ángel Ochoa Flores. DIRECTOR DE TESIS
DECLARACIÓN EXPRESA
“La responsabilidad del contenido de esta Tesis de Grado, me corresponden exclusivamente; y el patrimonio intelectual de la misma a la UNIVERSIDAD DE GUAYAQUIL”
II
.
UNIVERSIDAD DE GUAYAQUIL
FACULTAD DE CIENCIAS MATEMÁTICAS Y FÍSICAS
CARRERA DE INGENIERIA EN SISTEMAS COMPUTACIONALES
APLICACIÓN DEL PROTOCOLO RADIUS EN LA CREACIÓN DE UN ESQUEMA DE ACCESO A LA RED Y ASIGNACIÓN DINÁMICA DE
PERMISOS EN BASE A PERFILES DE USUARIO UTILIZANDO HERRAMIENTAS OPENSOURCE PARA LAS PYMES DE GUAYAQUIL
Tesis de Grado que se presenta como requisito para optar por el título de
INGENIERO en Sistemas Computacionales
Autor: Manuel Delgado Suarez C.I 0926804618
Tutor: Ing. Ángel Ochoa F.
III
CERTIFICADO DE ACEPTACIÓN DEL TUTOR
En mi calidad de Tutor de Tesis de Grado, nombrado por el Consejo Directivo de la Facultad de Ciencias Matemáticas y Físicas de la Universidad de Guayaquil.
CERTIFICO:
Que he analizado el Proyecto de Grado presentado por el/la estudiante Manuel Alberto Delgado Suarez, como requisito previo para optar por el título de Ingeniero en sistemas computacionales cuyo problema es:
APLICACIÓN DEL PROTOCOLO RADIUS EN LA CREACIÓN DE UN ESQUEMA DE ACCESO A LA RED Y ASIGNACIÓN DINÁMICA DE PERMISOS EN BASE A PERFILES DE USUARIO UTILIZANDO HERRAMIENTAS OPENSOURCE PARA LAS PYMES DE GUAYAQUIL.
Considero aprobado el trabajo en su totalidad.
Presentado por:
Delgado Suarez Manuel Alberto C.I. 0926804618
Tutor: Ing. Ángel Ochoa
IV
UNIVERSIDAD DE GUAYAQUIL
FACULTAD DE CIENCIAS MATEMÁTICAS Y FÍSICAS
CARRERA DE INGENIERIA EN SISTEMAS COMPUTACIONALES
Autorización para Publicación de Tesis en Formato Digital
1. Identificación de la Tesis
Nombre Alumno: Manuel Alberto Delgado Suarez
Dirección: Cdla Simón Bolívar Mz 2 Villa 144
Teléfono: 0967246847 E-mail: [email protected]
Facultad: Ciencias Matemáticas y Físicas
Carrera: Ingeniería en Sistemas computacionales
Título al que opta: Ingeniero en Sistemas Computacionales
Profesor guía: Ing. Ángel Ochoa F.
Título de la Tesis: Aplicación del protocolo Radius en la creación de un esquema de acceso a la red y asignación Dinámica de permisos en Base a perfiles de usuario utilizando Herramientas Opensource para las Pymes de Guayaquil.
Temas Tesis: Redes, Seguridad Perimetral, Software Libre, Categorización, Gestión.
2. Autorización de Publicación de Versión Electrónica de la
Tesis
A través de este medio autorizo a la Biblioteca de la Universidad de Guayaquil y a la Facultad de Ciencias Matemáticas y Físicas a publicar la versión
El texto de la Tesis debe ser enviado en formato Word, como archivo .Doc. O .RTF y .Puf para PC. Las imágenes que la acompañen pueden ser: .gif, .jpg o .TIFF.
V
Ubicación del problema en un contexto ... 4
Situación conflicto nudos críticos ... 5
Causas y consecuencias del problema ... 6
Delimitación del problema ... 8
Formulación del problema ... 8
Evaluación del problema ... 8
OBJETIVOS DE LA INVESTIGACIÓN ... 11
OBJETIVO GENERAL ... 11
OBJETIVOS ESPECÍFICOS ... 12
ALCANCES DEL PROBLEMA ... 12
Justificación e importancia de la investigación ... 15
Utilidad práctica de la investigación ... 15
Beneficios ... 16
Seguridad en Redes de Información ... 19
Ataques y vulnerabilidades ... 20
Aspectos básicos de la seguridad de la información ... 26
Autenticación, Autorización y Contabilidad de usuarios (AAA) ... 28
Métodos de Autenticación. ... 33
Autenticación basada en contraseñas (passwords) ... 35
Firmas digitales ... 36
Certificados digitales ... 37
Protocolo de autenticación por contraseña (PAP)... 40
Protocolo de autenticación por reto (CHAP) ... 41
Sistemas biométricos ... 42
Comparación de los métodos de Autenticación estudiados... 44
Control de Ancho de Banda ... 46
Primero en entrar - primero en salir (FIFO) ... 47
Token Bucket Filter (TBF) ... 48
Stochastic Fairness Queueing (SFQ)... 49
Disciplina de Colas Prio ... 50
Disciplina de Colas HTB (Hierarchical Token Bucket) ... 50
Asignación Dinámica de Permisos ... 51
VI
Protocolo RADIUS ... 55
Operación del protocolo RADIUS ... 59
Interacción de RADIUS con PAP y CHAP ... 63
Formato del paquete RADIUS ... 64
Protocolo IPSec ... 67
VARIABLES DE LA INVESTIGACIÓN ... 84
DEFINICIONES CONCEPTUALES ... 85
CAPÍTULO III: ... 87
METODOLOGÍA ... 87
DISEÑO DE LA INVESTIGACIÓN... 87
Modalidad de la Investigación ... 87
Tipo de investigación. ... 87
Instrumentos de Recolección de Datos ... 92
Técnicas ... 92
Instrumentos... 92
PROCESAMIENTO Y ANÁLISIS ... 97
Análisis e Interpretación de Datos ... 97
Resultado de las encuestas ... 98
CRITERIOS PARA LA ELABORACIÓN DE LA PROPUESTA ... 107
CRITERIOS PARA LA VALIDACIÓN DE LA PROPUESTA ... 112
VII
ABREVIATURAS
PYME Pequeña y mediana empresa
DMZ Zona Desmilitarizada
LAN Red de área local
VLANs Red de área local virtual
TI Tecnologías de Información
WAN Red de área amplia
TICs Tecnologías de Informática y Comunicaciones
QoS Calidad de servicio
ISP Proveedor de servicios de internet
VPN Red privada virtual
TCP Protocolo de Control de Transmisión
AAA Autenticación, autorización y contabilización
IP Protocolo de Internet
IPX Intercambio de paquetes interred
TELNET Red de telecomunicación
RADIUS Servicio de autenticación remota de usuario TACACS Sistema de control de acceso desde terminales PAP Protocolo de autenticación por contraseña CHAP Protocolo de autenticación por reto
PKI Infraestructura de clave pública
ITU-T Unión internacional de telecomunicación
PPP Protocolo Punto a Punto
ASCII Código Estándar Estadounidense para el Intercambio de Información
RFC Petición De Comentarios
MD5 Algoritmo de Resumen del Mensaje 5
PIN Número de identificación personal
Bps Bits por segundo
FIFO Primero en entrar - primero en salir
ToS Tipo de servicio
TBF Tiempo entre fallos
SFQ Encolamiento imparcial estocástico HTB Contenedor de señal jerárquica
CBQ Encolamiento Basado sobre Clases
OSI Modelo de interconexión de sistemas abiertos
IPsec IP seguro
HTTP Protocolo de transferencia de híper texto
HTTPS Protocolo de transferencia de híper texto seguro SSH intérprete de órdenes segura
IETF Grupo de Trabajo de Ingeniería de Internet IANA Autoridad de Asignación de Números de Internet UDP Protocolo de datagrama de usuario
EAP Protocolo de autenticación extensible PAM Módulo de autenticación insertable
LDAP Protocolo Ligero/Simplificado de Acceso a Directorios NAS Servidor de acceso a la red
VIII ISAKMP Protocolo de asociación de clave y administración de seguridad de internet
PSK Clave pre compartida
ESP Carga de seguridad encapsulada
IKE Protocolo para Intercambio de Claves en Internet SSL Seguridad de la capa de transporte
TLS Seguridad en la Capa de Transporte
Rcp Copia remota
Rlogin apertura de sesión remota
Rsh administración remota por consola
MAC Control de acceso al medio
WAP Punto de acceso inalámbrico
CNUDMI Comisión de las Naciones Unidas para el Derecho Mercantil Internacional
OMPI Organización Mundial de la Propiedad Intelectual
V.I. Variable Independiente
IX
ÍNDICE DE CUADROS
Pág. CUADRO 1
Comparación de las principales características de diferentes métodos de
autenticación………..46 CUADRO 2
Matriz de Operacionalización de variables………..………..92 CUADRO 3
Resultados Pregunta 1 de la encuesta (Administradores de red)………...99 CUADRO 4
Resultados Pregunta 2 de la encuesta (Administradores de red)………..100 CUADRO 5
Resultados Pregunta 3 de la encuesta (Administradores de red)………..101 CUADRO 6
Resultados Pregunta 4 de la encuesta (Administradores de red)………..102 CUADRO 7
Resultados Pregunta 5 de la encuesta (Administradores de red)………..103 CUADRO 8
Resultados Pregunta 6 de la encuesta (Administradores de red)………..104 CUADRO 9
Resultados Pregunta 7 de la encuesta (Administradores de red)………..105 CUADRO 10
Resultados Pregunta 8 de la encuesta (Administradores de red)………..106 CUADRO 11
Cronograma de Actividades………...………..114
CUADRO 12
X
Lógica de diseño para la implementación del proyecto……….……….…….111
GRÁFICO 10
Diagrama de conexión de accesos Inter VLAN.……….………..…….…….112
GRÁFICO 11
XI UNIVERSIDAD DE GUAYAQUIL
FACULTAD DE CIENCIAS MATEMATICAS Y FISICAS CARRERA DE INGENIERIA EN SISTEMAS COMPUTACIONALES
APLICACIÓN DEL PROTOCOLO RADIUS EN LA CREACIÓN DE UN ESQUEMA DE ACCESO A LA RED Y ASIGNACIÓN DINÁMICA DE
PERMISOS EN BASE A PERFILES DE USUARIO UTILIZANDO HERRAMIENTAS OPENSOURCE PARA LAS PYMES DE GUAYAQUIL
Autor: Manuel Alberto Delgado Suarez
XII UNIVERSIDAD DE GUAYAQUIL
FACULTAD DE CIENCIAS MATEMATICAS Y FISICAS CARRERA DE INGENIERIA EN SISTEMAS COMPUTACIONALES
APLICACIÓN DEL PROTOCOLO RADIUS EN LA CREACIÓN DE UN ESQUEMA DE ACCESO A LA RED Y ASIGNACIÓN DINÁMICA DE
PERMISOS EN BASE A PERFILES DE USUARIO UTILIZANDO HERRAMIENTAS OPENSOURCE PARA LAS PYMES DE GUAYAQUIL
Autor: Manuel Alberto Delgado Suarez
Tutor: Ing. Ángel Ochoa F.
ABSTRACT
1
INTRODUCCIÓN
Hoy en día tanto las PYMES como las grandes empresas dependen enormemente de su infraestructura informática, uno de los elementos clave que constituye la espina dorsal del negocio es sin duda la red de datos.
Buen rendimiento , disponibilidad permanente de la red y seguridad en la transmisión de datos son ingredientes fundamentales para el correcto funcionamiento operativo de la empresa, el servicio de red es tan sensible que con el más mínimo problema se pueden evidenciar efectos dañinos para el negocio como: pérdida de productividad, descontento en clientes, pérdidas en ventas, entre otros, estos factores obligan al administrador de red a mantener un nivel de gestión acorde a las necesidades de la empresa.
“El orden y la confidencialidad de cada puesto de trabajo o proyecto
requieren un sistema que garantice que cada persona tenga acceso a sus datos y aplicaciones, evitando que otros usuarios puedan ser perjudicados por el uso indebido al sistema o por la falta de una intención recta”
(McGraw-Hill: 2005)
2 base a su perfil en la empresa, el diseño del mecanismo aplicado busca enfatizar la seguridad en la red en las capas 2,3,4 del modelo OSI así como también garantizar la estabilidad a través de la regulación en el uso del ancho de banda en cada uno de los segmentos en la red.
El Problema (Capítulo I), se traducen las ideas preliminares a un planteamiento del problema, identificando y analizando causas, consecuencias, justificación, delimitación y evaluación.
El Marco Teórico (Capitulo II) se muestra conceptos a utilizar en la elaboración del proyecto, el marco legal, preguntas a contestarse y la orientación metodológica del trabajo de investigación.
La Metodología (Capitulo III), se describe el tipo de investigación que se realizó, se muestra la Operacionalización de las variables, así como los procedimientos empleados para la recolección, procesamiento y análisis de la información.
3 Conclusiones y Recomendaciones (Capítulo V), se realiza el análisis del desarrollo del proyecto de tesis y en base a esto se sugieren una serie de recomendaciones.
4
CAPÍTULO I:
EL PROBLEMA
PLANTEAMIENTO DEL PROBLEMA
Ubicación del problema en un contexto
El avance de la tecnología hasta el momento ha permitido incorporar como herramientas de apoyo al trabajo múltiples dispositivos de información, teléfonos inteligentes, computadoras portátiles, tabletas, entre otros, que ofrecen comodidades tales como la movilidad, facilitando así el desempeño laboral en nuestros días.
La tendencia actual en el desarrollo de las redes empresariales apunta a las conocidas como “Redes Sin Frontera” o “Borderless Network”, las cuales se basan en una infraestructura de hardware y software donde los componentes se unen conformando sistemas de red que abarcan toda la organización.
5 A pesar del desarrollo de las Redes Sin Fronteras, su uso está prácticamente limitado a las grandes empresas trasnacionales, por su alto costo.
De lo revisado en las encuestas realizadas a las empresas que forman parte de la muestra, se pudo observar que otra parte del problema en la optimización del uso y acceso a las redes de las PYME, consiste en el poco conocimiento sobre la existencia de herramientas de Software Libre (también conocido como Open Source) que permiten estructurar y administrar una plataforma de comunicaciones robusta y confiable. Esta constituye una vía económicamente más conveniente para la implementación de las redes sin fronteras en la Pequeña y Mediana Empresa.
Situación conflicto nudos críticos
En las empresas a diario surgen nuevos requerimientos vinculados con el otorgamiento o modificación de permisos a los usuarios de las redes corporativas. Dichos permisos de acceso pueden involucrar tanto a usuarios internos (gerentes, dependientes empresariales) como externos (clientes, proveedores, consultores, visitantes) e inclusive a recursos de red como servidores, impresoras y aplicativos ubicados en la Red de Acceso Local (LAN por sus siglas en inglés) o en la Zona Desmilitarizada (DMZ por sus siglas en inglés).
El otorgamiento o modificación de estos permisos implica una serie de aspectos que deben tomar en consideración los administradores de red:
Configuraciones recurrentes a nivel de conmutadores: Consiste en la
6 Configuraciones recurrentes a nivel de cortafuegos (firewall): Consiste en la creación de reglas de navegación y accesos LAN.
Actualización recurrente de documentación estructural y operativa de red: Consiste en el asentamiento de las modificaciones realizadas en la bitácora de la red, ya sea de manera gráfica o mediante la generación de las trazas o registros automáticos o manuales a manera de historial.
Carga operativa para múltiples recursos involucrados en áreas distintas: Consiste en la notificación e involucramiento de personal responsable de diversas áreas de la empresa que autorizan el acceso de los permisos a la red mencionada.
Causas y consecuencias del problema
La falta de asignación de recursos económicos destinados para la adquisición de herramientas o equipamiento tecnológico de seguridad, forma parte de la cultura del sector PYME, inhibiendo así la iniciativa de los responsables de las áreas de Tecnología de Información (TI) y ocasionando el aplazamiento, muchas veces por tiempo indefinido, de los proyectos en torno al aseguramiento y control de accesos a las redes, lo que deriva en una falta de control sobre los recursos tanto a nivel de Redes de Acceso Local (LAN) como a nivel mundial (WAN).
Otra de las causas de la falta de control sobre el acceso y uso de los recursos de red es el poco dominio por parte de los administradores de redes de las herramientas de software libre que abaratan los precios de las soluciones para
7 soluciones propietarias que muchas veces adoptan las empresas con tal de garantizar los elementos básicos de optimización, escalabilidad, disponibilidad y seguridad de las redes empresariales.
El diseño incompleto o impreciso de los niveles de acceso para los diferentes grupos de usuarios que harán uso de la red en base a perfiles predefinidos constituye otra de las causas principales en el poco control del acceso y uso de los recursos de la red; una consecuencia frecuente es el hecho de que uno o varios usuarios que forman parte de la red de datos tienen visibilidad y libre acceso a todos los elementos de esta; otra consecuencia importante en este aspecto resulta que muchas veces dos o más usuarios de la misma red, con niveles diferentes de privilegios compiten en iguales condiciones por el acceso a recursos de red como suele ser el ancho de banda.
8 Delimitación del problema
El problema tratado en este trabajo se circunscribe al campo de la informática, especialmente en el área de la administración de redes, orientado específicamente a los aspectos relacionados con la configuración y administración de herramientas de software para garantizar los temas del uso eficiente de los recursos tecnológicos disponibles en la red.
Formulación del problema
¿Mediante la elaboración de un diseño de redes adecuado y la utilización de herramientas de gestion de redes, podremos obtener un uso eficiente de los recursos tecnológicos en las Pymes?
Evaluación del problema
En este caso el problema está delimitado pues se ajusta a la población conformada por la Pequeña y Mediana Empresa (PYME), específicamente en el ámbito relacionado con las herramientas de software para la administración de las redes y el uso eficiente de los recursos tecnológicos disponibles.
9 todos los recursos de la misma; igualmente dos usuarios con privilegios distintos pueden compartir a partes iguales el ancho de banda disponible emparejando los tiempos de acceso a la red de ambos, teniendo uno de ellos derecho a mayores privilegios; otra de las manifestaciones del problema es la posibilidad de que usuarios externos a la organización tengan acceso a recursos de uso limitado al personal de las PYME.
Es relevante el hecho de que los resultados de la presente investigación contribuirán en el mejoramiento de la administración de los recursos tecnológicos disponibles en las redes de datos de estas organizaciones. A través de la generalización de los resultados se podrán lograr mejoras en los indicadores de eficiencia en el uso de los recursos de red tales como el ancho de banda.
10 tecnológicos en las redes, debido esencialmente a los constantes cambios que se producen en las tecnologías.
El problema escogido para la realización de este trabajo sin dudas pertenece a la práctica social del contexto educativo, por lo que puede ser calificado de contextual. La solución pertenece al amplio grupo de temas incluidos dentro de la formación de los ingenieros en sistemas computacionales, debido principalmente al amplio y difundido uso de las redes de comunicación e información, la variada gama y campos de aplicación de los dispositivos tecnológicos de comunicaciones y la utilidad de las aplicaciones de programas informáticos para la configuración y administración de redes y recursos.
La solución del problema planteado resulta factible debido a que no se requieren grandes recursos financieros y tampoco se requiere de un tiempo excesivo; en primer lugar la adquisición, instalación y configuración de las herramientas a utilizar para la investigación (herramientas de software libre), se encuentran disponibles en internet sin costo adicional; en segundo lugar la experiencia previa del investigador en el uso y manejo de herramientas para configuración y administración de redes será sin dudas un elemento importante en el aprovechamiento significativo del tiempo previsto para la investigación debido a su familiarización con este tipo de herramientas.
11 trabajo se identifican los productos esperados siguientes: esquema de red genérico para las PYME, configuración del protocolo para el acceso a la red LAN de usuarios internos y externos, configuración de los perfiles de usuarios para definir los privilegios de acceso y uso de recursos de red y configuración de los equipos de comunicación para la asignación dinámica del ancho de banda para la navegación en Internet. Las soluciones resultantes del presente trabajo de investigación constituyen alternativas para empresas de moderados ingresos debido a que son libres de costo, adicionalmente por ser herramientas desarrolladas por grupos de la comunidad internacional de software libre evitan a sus consumidores convertirse en dependientes de las grandes corporaciones de software que hoy globalizan sus soluciones a nivel internacional.
OBJETIVOS DE LA INVESTIGACIÓN
OBJETIVO GENERAL
12 OBJETIVOS ESPECÍFICOS
Componer un esquema de acceso a redes LAN genérico, tanto para usuarios Corporativos como para usuarios externos.
Componer un esquema de seguridades en las capas 3 y 4 del modelo OSI.
Definir restricciones en el uso de los recursos tecnológicos mediante la aplicación de herramientas de gestion de redes.
ALCANCES DEL PROBLEMA
El presente trabajo se centra en proporcionar un mecanismo de gestión de acceso a la red corporativa de Pequeñas y Medianas Empresas para utilizar los recursos que se proveen, de forma eficiente, según los privilegios que posean los usuarios. Para ello se ejecutará el proyecto de acuerdo a las actividades y tareas que permitirán el cumplimiento de los objetivos específicos y que se describen a continuación:
Análisis de infraestructuras de red LAN tipo PYME
13 Estudio, selección e implementación del protocolo de acceso a la red.
Se analizarán diferentes protocolos a nivel estructural, sus funciones, ventajas, desventajas y los posibles escenarios de implementación; seleccionando uno de ellos para utilizarlo en el esquema de red LAN genérico diseñado para las PYME. Luego de la selección del protocolo se procederá a la implementación del mismo.
Diseño de perfiles de acceso para los distintos tipos de usuarios
Para complementar esta tarea se analizarán los roles de los usuarios en la red LAN, posteriormente se crearán plantillas en las que se clasificarán dichos usuarios y se asignarán a las respectivas redes virtuales (VLANs). Cada una de las VLANs tendrá restricciones de acceso a los recursos, ya sea de servidores como de otros usuarios en otras VLANs. Las restricciones de acceso se definirán a nivel de capas de red, teniendo en cuenta medidas de seguridad ampliamente utilizadas en el mundo de las comunicaciones.
Integración de Servidor de acceso a la red con equipos de comunicación.
14 Optimizar el uso de Ancho de banda para navegación en Internet de usuarios externos.
Esta actividad se logrará a través de la configuración de los equipos de comunicación para la asignación dinámica del ancho de banda para la navegación en Internet; para ello se implementará el módulo de catalogación de tráfico o traffic shaping, el cual intentará controlar el tráfico en la red, para así lograr parámetros óptimos de rendimiento, baja latencia, y/o ancho de banda determinado. La catalogación de tráfico es una práctica utilizada por diversos Proveedores de Servicios de Internet (ISP por sus siglas en inglés) para no sobrepasar sus capacidades de servicio; propone conceptos de clasificación, colas, imposición de políticas, administración de congestión, calidad de servicio (QoS) y regulación.
Diseñar DMZ para Accesos a internet de usuarios externos y reglas puntuales de accesos a recursos LAN.
15 Creación de túneles que permitan extender el uso de la red LAN a través de internet.
Para lograr el diseño de un mecanismo de acceso a la red LAN a través de internet para usuarios de la empresa se implementará el módulo VPN que cumplirá la función de crear un canal de comunicación seguro que le permita a un usuario ubicado en internet acceder a los recursos de la red interna que el perfil de acceso asociado a su cuenta de usuario le permita.
Justificación e importancia de la investigación
En la actualidad las grandes corporaciones han ampliado sus diseños y esquemas de redes con el fin de proporcionar a sus usuarios el acceso a estas mediante el uso de dispositivos móviles; ya sea dentro de las instalaciones de la empresa o más allá de sus límites a través de internet. Por su parte las PYMES tienen poco acceso a estas soluciones debido a su alto costo; sin embargo existen alternativas más económicas tanto para equipamiento como para herramientas de software que abaratan la implementación de soluciones similares que permiten el uso eficiente de los recursos de red disponibles.
A través del desarrollo de este trabajo se pone a disposición de los administradores de red de la Pequeña y Mediana Empresa una vía práctica para implementar una solución que permita a los usuarios de este tipo de organizaciones el acceso flexible a los recursos de red LAN, de forma segura y optimizando el ancho de banda.
Utilidad práctica de la investigación
16 de seguridad integral a nivel LAN; el diseño de una zona desmilitarizada (DMZ) de alta disponibilidad a través de la implementación de firewall para accesos a internet de usuarios externos y un mecanismo de acceso a la red LAN a través de internet para usuarios de la empresa. En otras palabras la realización de esta investigación pondrá en manos de los administradores de red de las PYMES herramientas para diseñar y configurar el acceso y uso de los recursos disponibles en la red.
Beneficios
Los principales beneficiarios con la realización del presente trabajo son en primer lugar los administradores de red de la Pequeña y Mediana Empresa que podrán implementar y poner en práctica herramientas dentro de las redes de sus organizaciones, que les permitan tener el control sobre el uso de los recursos de la red y administrarlos eficientemente; en segundo lugar los usuarios de la red, internos y externos, que tendrán acceso flexible y seguro a los recursos de red disponibles en la organización y en tercer lugar los directivos de las PYMES que podrán garantizar una infraestructura robusta a un menor costo.
17
CAPÍTULO II:
MARCO TEÓRICO
ANTECEDENTES DEL ESTUDIO
La seguridad en las redes de información, las herramientas de software para la administración de las redes y la búsqueda de formas que permitan el uso eficiente de los recursos tecnológicos disponibles en las PYMES no son un tema nuevo de investigación. Los principales antecedentes de estos temas datan del propio surgimiento de las redes cuando en 1958 la compañía BELL crea el primer módem que permitía transmitir datos binarios sobre una línea telefónica simple (Pagani, 2008). En 1972 se produce el nacimiento del Inter Networking Working Group, organización encargada de administrar Internet. Luego en 1982 se publica la definición del protocolo TCP/IP y a solo 10 años en 1992 existía ya un millón de computadoras conectadas a la World Wide Web luego de su anuncio público tan solo un año antes (Zator, 2002).
Aparejada al desarrollo de las redes ha devenido su seguridad, teniendo en cuenta que desde 1988 se produjo el primer ataque a la infraestructura computacional de Internet con la propagación del gusano Morris (Zator, 2002).
18 debido al amplio uso de las redes hoy en día. No es de conocimiento del autor de este trabajo la existencia de trabajos anteriores que profundicen en el impacto de una adecuada configuración de las herramientas de administración de redes y su seguridad, para el uso eficiente de los recursos de red disponibles en las PYMES del Ecuador. Es por eso que a este tema en concreto se vuelca este trabajo.
FUNDAMENTACIÓN TEÓRICA
Introducción
El presente trabajo pretende ser una alternativa de solución ante el escaso control de acceso de usuarios a las redes de datos públicas (Internet) desde el interior de redes privadas; orientada fundamentalmente a controlar los servicios de red a los que pueden acceder los usuarios y registrar cuándo y por cuanto tiempo los utilizan; dirigida especialmente al personal técnico que tiene la responsabilidad de administrar las redes en el sector de las Pequeñas y Medianas Empresas (PYMEs).
19 Seguridad en Redes de Información
Uno de los principales retos de los administradores de redes de información es lograr la seguridad en ellas. La seguridad en las redes se refiere a mantener bajo protección los recursos y la información con que se cuenta en la red, a través de procedimientos, basados en una política de seguridad, tales que permitan el control de lo actuado (Spafford, 2000).
Expertos coinciden en que: “la seguridad de redes es lograr un nivel de seguridad que garantiza que el funcionamiento de todas las máquinas de una red sea óptimo y que todos los usuarios de estas máquinas posean los derechos que les han sido concedidos; evitar que personas no autorizadas intervengan en el sistema con fines malignos; evitar que los usuarios realicen operaciones involuntarias que puedan dañar el sistema; asegurar los datos mediante la previsión de fallas y garantizar que no se interrumpan los servicios” (Kioskea).
La Seguridad en redes tiene el objetivo de mantener el intercambio de información libre de riesgo y proteger los recursos informáticos de los usuarios y las organizaciones (Spafford, 2000).
Hoy en día el concepto de seguridad en la red va mucho más allá de protección del hardware involucrado sino de la información a la que se puede tener acceso a través de ellas; para mantener una red segura, es imprescindible tener total claridad en los niveles de riesgos y las medidas necesarias para mitigarlos.
20 por personas malintencionadas tratando de obtener algún beneficio, atención o simplemente dañar a alguien (Tanenbaum, 2003).
Es importante saber que la implementación de la seguridad en las redes es un proceso técnico - administrativo y requiere total comprensión y apoyo de la máxima dirección de las organizaciones para que las medidas que se tomen tengan el máximo peso posible (Spafford, 2000).
Ataques y vulnerabilidades
Múltiple bibliografía relacionada con la seguridad en redes informáticas clasifica en tres, las generaciones de ataques:
Primera generación: ataques físicos. Ataques que se centran en componentes electrónicos, como podrían ser los propios ordenadores, los cables o los dispositivos de red. Actualmente se conocen soluciones para estos ataques, utilizando protocolos distribuidos y de redundancia para conseguir una tolerancia a fallos aceptable.
Segunda generación: ataques sintácticos. Se trata de ataques contra la lógica operativa de los ordenadores y las redes, que quieren explotar vulnerabilidades existentes en el software, algoritmos de cifrado y en protocolos. Aunque no existen soluciones globales para contrarrestar de forma eficiente estos ataques, podemos encontrar soluciones cada vez más eficaces.
21 tipo de ataques pueden ir desde la colocación de información falsa en boletines informativos y correos electrónicos hasta la modificación del contenido de los datos en servicios de confianza, como por ejemplo, la manipulación de bases de datos con información pública, sistemas de información bursátil, sistemas de control de tráfico aéreo, etc (Jordi Herrera Joancomartí, Joaquín García Alfaro, Xavier Perramón Tornil, 2007).
Un ataque es una técnica empleada para explotar una vulnerabilidad. Una vulnerabilidad es una debilidad propia de las redes o los sistemas, causada por un error en el diseño, configuración o implementación de estos y que puede ser explotada. Una amenaza por su parte es la posibilidad de que ocurra algún daño o molestia en el ambiente de las TICs. Se puede decir que una amenaza es toda posible interrupción de operación, integridad, disponibilidad de la red o sistema, pudiendo ser la misma de origen natural, por negligencia o por mala intención de alguien. Sin embargo una amenaza no tiene gran importancia si el sistema no es vulnerable a dicha amenaza (Pagani, 2008).
El ataque es la acción misma, pero previo a esta acción existió una amenaza, por lo que se considera a la amenaza como el paso previo a la ejecución de un ataque. Por tal razón lo importante será encontrar las posibles amenazas con el objetivo de identificar vulnerabilidades y prevenir posibles ataques.
22
Fisgar: es la acción de copiar información sin autorización del propietario
de la misma.
Suplantar: es enviar o generar mensajes haciéndose pasar por otro
individuo, es decir es el hecho de suplantar la identidad de un individuo y hacer uso de esta identidad falsificada para cometer alguna acción indebida.
Alterar mensajes: consiste en tomar un mensaje y alterarlo antes de
entregarlo a su destino.
Reenviar: consiste en capturar mensajes y reenviarlos más tarde, este
ataque puede ser efectivo aun con mensajes encriptados.
Denegación de servicio: es un incidente en el cual un usuario o una organización es privada de los servicios de un recurso que esperaba obtener. Normalmente, la pérdida de servicio se corresponde con la imposibilidad de obtener un determinado servicio de red como, por ejemplo, el acceso a una página web. Imposibilidad de acceder a un recurso o servicio por parte de un usuario legítimo. Es decir, la apropiación exclusiva de un recurso o servicio con la intención de evitar cualquier acceso a terceras partes (Jordi Herrera Joancomartí, Joaquín García Alfaro, Xavier Perramón Tornil, 2007).
Amenazas combinadas: consiste en la integración de herramientas
23 de identificar y explotar las vulnerabilidades de los sistemas operativos o aplicaciones para dañar los recursos informáticos incluida la información.
Por otra parte la Seguridad en las redes puede ser vulnerable desde el interior de las organizaciones o fuera de estas. Las amenazas pueden clasificarse de acuerdo a su origen en internas y externas y de acuerdo a su naturaleza en humanas o naturales (Pagani, 2008).
Las amenazas internas pueden ser más serias que las externas porque los
Servicios Proveedores de Internet (IPS por sus siglas en inglés) y los Cortafuegos o Firewalls son mecanismos no efectivos ante amenazas internas debido a que los usuarios conocen la red, su arquitectura y funcionamiento y tienen cierto nivel de acceso a ella.
En cuanto a las amenazas externas, son aquellas que se originan fuera de la red. Al no tener información certera de la arquitectura y esquema de seguridad de la red objetivo, el atacante tiene que realizar determinadas acciones para determinar la manera de atacarla. La ventaja que se tiene en este caso es que los administradores de red pueden prevenir una buena parte de los ataques externos.
Analizando este tema desde otra perspectiva, las amenazas de naturaleza humana pueden provenir de personal interno (miembros de la organización), personal externo o terroristas.
24 preparación del personal, por inexistencia de normas básicas de seguridad o intencionalmente. A este tipo de amenazas se suele prestar menor atención, debido a que no es una práctica común verificar continuamente a todos los empleados de una organización.
Otros posibles ataques pueden ser ejecutados por ex-empleados, personal que abandonó la empresa en malos términos o fueron despedidos y pueden convertirse en este tipo de amenaza. Se trata de personas que tienen resentimiento con la empresa y que tienen conocimiento suficiente para ejecutar un ataque, pueden dejar puertas traseras abiertas, o pueden intentar realizar un ataque de bomba lógica.
Los ataques terroristas son aquellos ocasionados por individuos u organizaciones que buscan a toda costa realizar un daño en la integridad de los sistemas o de los datos. Este tipo de ataques puede estar motivados por el ego o la curiosidad, pueden ser delincuentes profesionales con fines de lucro, terroristas en la búsqueda de la destrucción o la extorsión, agentes militares motivados por intereses nacionales, espías industriales que intentan robar o modificar la información de su competencia con fines de lucro, entre otros (Pagani, 2008).
25 Estudios realizados con anterioridad han demostrado que el 50% de los problemas de seguridad en las redes se producen por errores de los propios empleados, un 15% por empleados deshonestos, otro 15% por descuido de los empleados y un 20% por personal ajeno a la organización (intrusos) y por la integridad física de las instalaciones, esto demuestra que el 80% de las dificultades son creadas por personal interno a las organizaciones (Spafford, 2000).
Esta situación generalmente se presenta debido a los esquemas ineficientes de seguridad con los que cuentan la mayoría de las compañías (especialmente las PYMES) y al poco conocimiento que existe relacionado con la planeación de un esquema de seguridad eficiente que proteja los recursos informáticos de las actuales amenazas a la seguridad de las redes. El resultado es la violación de los sistemas, provocando la pérdida o modificación de los datos sensibles de la organización, lo que puede representar cuantiosos daños económicos a las empresas.
26 un Plan de Contingencias que indique que y como hacer ante cada una de estas situaciones (Aguirre, 2005).
Aspectos básicos de la seguridad de la información
“La información representa los datos transformados de forma significativa para la persona que los recibe, es decir tiene un valor real o percibido para sus decisiones y sus acciones” (G.B. Davis, M.H. Olson, J. Ajenstat, J.L. Peaucelle, 1985).
Dentro de los recursos más importantes de las organizaciones está justamente la información y en la era de las Tecnologías de la Información y el Conocimiento, el amplio uso de las redes de comunicaciones permite el manejo de grandes volúmenes de información, sin importar las distancias; por ejemplo el intercambio de información relevante entre la oficina central de una empresa y una sucursal de esta fuera del territorio nacional. Es por esto que proteger la información que transita por las redes es uno de los objetivos principales de los administradores en la actualidad.
27 El objetivo de la confidencialidad, es permitir que la información sea únicamente vista por las personas a quienes está destinada, es decir se refiere a la privacidad de la información. Consiste en proteger la información contra la lectura no autorizada explícitamente. Incluye no sólo la protección de la información en su totalidad, sino también las piezas individuales que pueden ser utilizadas para inferir otros elementos de información confidencial. Es aquí donde juega un papel muy importante la encriptación de los datos. En la actualidad la tecnología de encriptación ha avanzado notablemente, y varios estudios de este tema expresan que los resultados más relevantes se mantienen de forma secreta (Spafford, 2000).
La integridad hace referencia a la habilidad de proteger la información, los datos o las transmisiones de alteraciones no autorizadas (malintencionadas), no controladas (errores) o accidentales. Asegurar la consistencia de la información y que atributos como el tiempo y la totalidad de la información sean consistentes con los requerimientos. Cuando se trabaja con una red se debe comprobar que los datos no fueron modificados durante su transferencia. Un ejemplo de mecanismos empleados para este propósito son los algoritmos de HASH (Spafford, 2000).
28 de uno de estos elementos del sistema el respaldo redundante solucione el problema lo más rápido posible (Spafford, 2000).
Para lograr la mantención de estos tres aspectos básicos de la seguridad de la información en las redes se deben tener en cuenta desde el propio diseño de las mismas, lo que no excluye que se puedan ir perfeccionando en el tiempo. Como otros aspectos significativos en la seguridad de la información se pueden mencionar la Autenticación y el No Repudio.
Autenticación, Autorización y Contabilidad de usuarios (AAA)
En términos de Seguridad Informática las siglas AAA comúnmente significan Autenticación, Autorización y Contabilidad. El término se refiere a una arquitectura de sistemas de seguridad para los sistemas distribuidos, que permite controlar qué usuarios pueden acceder a los servicios y la cantidad de los recursos que han utilizado. Autenticación, Autorización y Contabilidad son tres importantes aspectos usados en la construcción de arquitecturas de redes de manera tal que ayude a los operadores de red y sus usuarios a protegerse de fraudes, ataques, administración inadecuada de recursos y pérdidas de información (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
El uso de AAA provee los siguientes beneficios: incremento de flexibilidad y control en la configuración de acceso, escalabilidad, métodos de autorización estandarizados y múltiples sistemas de respaldo (backup).
29
Autenticación.
Autenticación se refiere al proceso en el que se autentica la identidad de una entidad; típicamente se realiza proporcionando evidencias de una identidad digital específica, utilizando un identificador y las credenciales correspondientes (Madjid Nakhjiri, Mahsa Nakhjiri, 2005). Ejemplos de tipos de credenciales son las contraseñas, certificados digitales, firmas digitales, números de teléfono, entre otros.
En una red de confianza, la autenticación es un modo de asegurar que los usuarios son quienes dicen ser y que el usuario que intenta realizar funciones en un sistema es quien tiene la autorización para hacerlas. La autenticación es la forma en que un usuario se identifica antes de poder acceder a la red y los servicios que esta ofrece; es un intento de verificación de la identidad digital del remitente de una comunicación como puede ser una petición para conectarse (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
Autorización.
30 restricciones, por ejemplo: tiempo de las restricciones en días, restricciones de localización física, restricciones contra el acceso múltiple por la misma entidad o usuario, entre otras. Un ejemplo típico de autorización en la vida cotidiana de un equipo lo constituye la concesión de acceso de lectura a un archivo específico para el usuario autenticado (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
La autorización provee el método de control de acceso remoto, incluyendo autorización total o autorización individualizada para cada servicio, lista de cuentas y perfil por usuario, soporte para grupos de usuarios, y soporte para protocolos IP, IPX, ARA y TELNET (Spafford, 2000).
En la arquitectura AAA la autorización trabaja agrupando cierto conjunto de atributos que describen lo que el usuario está habilitado a usar o acceder. Estos atributos son comparados con la información contenida en una base de datos de un usuario determinado y el resultado se devuelve a AAA para determinar las capacidades reales de los usuarios y las restricciones. La base de datos se puede localizar de forma local en el servidor de acceso o Router o puede ser alojada de forma remota en un servidor de seguridad (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
Contabilización.
31 acuerdo al consumo de los servicios, entre otros. Permite realizar el seguimiento de los usuarios que tienen acceso a los servicios, así como la cantidad de recursos de red que
están consumiendo. La Contabilización puede además grabar eventos tales como la autenticación y errores de autorización, e incluye la funcionalidad de auditoría, que permite verificar la exactitud de los procedimientos llevados a cabo sobre la base de los datos contables (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
El término contabilización en tiempo real se refiere a la información de contabilidad que se entrega simultáneamente con el consumo de los recursos. Contabilización por lotes se refiere a la información contable que se guarda hasta que se entrega en un momento posterior. La información típica que se recoge en la contabilización incluye lo siguiente: la identidad del usuario u otra entidad, la naturaleza del servicio de entrega, el momento de inicio y finalización del servicio y la existencia de un estado de reportar.
Definición y configuración de Autenticación y Autorización:
32 utilice cualquiera de los métodos de autenticación definidos. Existe una excepción: la lista Método por Defecto (denominada "default"). La lista Método por Defecto se aplica automáticamente a todas las interfaces si ninguna otra Lista de Métodos está definida. Una Lista de Métodos definida por el administrador reemplaza automáticamente la lista Método por Defecto (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
El sistema utiliza el primer método de la lista para autenticar a los usuarios y si este método no responde selecciona el método de autenticación siguiente en la Lista de Métodos. Este proceso continúa hasta que haya una comunicación exitosa con uno de los métodos de autenticación de la lista o hasta que la Lista de Métodos de Autenticación se haya agotado; en este último caso se produce un fallo de autenticación en el sistema (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
Configurar AAA es relativamente simple después de comprender el proceso básico. Los pasos que debe seguir un administrador de red para configurar la seguridad en un servidor de acceso o enrutador usando AAA se enumeran a continuación (Madjid Nakhjiri, Mahsa Nakhjiri, 2005):
1. Habilitar la función AAA utilizando el comando de configuración global: AAA New Model.
33 3. Definir las Listas de Métodos para la autenticación mediante el uso
de un comando de autenticación AAA.
4. Aplicar el método de listas para una interfaz específica o una línea, si es necesario.
5. Configurar la autorización con el comando: Autorización AAA.
6. Configurar la contabilidad mediante el comando Contabilidad AAA.
Existen dos protocolos de red particularmente populares que proporcionan la funcionalidad AAA: el protocolo RADIUS y su homólogo DIÁMETRO (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
Métodos de Autenticación.
Dentro del contexto de transmisión de datos y sistemas de comunicación electrónicos existen varios métodos de autenticación. Por su importancia, diversidad y amplio uso, este trabajo le dedica un acápite especial.
34 Dentro de los métodos de autenticación más mencionados y conocidos se pueden mencionar los siguientes:
Autenticación basada en contraseñas (passwords)
Autenticación mediante muestras (tokens)
Firmas digitales
Certificados digitales
Simple ingreso (Single Sign-On)
Protocolo de autenticación por contraseña (PAP)
Protocolo de autenticación por reto (CHAP)
Sistemas biométricos
Los métodos empleados para la verificación de la identidad pueden emplear “elementos” que el usuario conoce, algo que el usuario posee o algo que el usuario es. El empleo de la combinación de varios métodos de verificación dará un nivel de seguridad mayor, haciendo al sistema menos vulnerable, más no infalible (Jordi Herrera Joancomartí, Joaquín García Alfaro, Xavier Perramón Tornil, 2007).
35
Autenticación basada en contraseñas (passwords)
El modelo de autenticación más básico consiste en decidir si un usuario es quien dice ser basados únicamente en una prueba de conocimiento que a priori sólo ese usuario puede superar; esa prueba de conocimiento no es más que una contraseña que en principio es secreta. Este método es el más vulnerable a todo tipo de ataques, pero también el más económico, esto lo convierte en la técnica más utilizada en entornos que no precisan de una alta seguridad. En todos los esquemas de autenticación basados en contraseñas se cumple el mismo protocolo: las entidades (generalmente dos) que participan en la autenticación acuerdan una contraseña que deben mantener en secreto si desean que la autenticación sea fiable. Cuando una de las partes desea autenticarse ante otra se limita a mostrarle su conocimiento de esa clave común y si ésta es correcta se otorga el acceso a un recurso. Lo habitual es que existan roles preestablecidos, con una entidad activa que desea autenticarse y otra pasiva que admite o rechaza a la anterior (ejemplo: usuario y sistema) (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
36 forma de texto plano permitiría a un intruso con un sniffer apoderarse de dicha contraseña; entre otros ejemplos.
Los administradores de red emplean varios métodos para solucionar algunos de los inconvenientes descritos. En primer lugar la definición y aplicación de políticas de generación y administración de contraseñas, que permiten a las organizaciones orientar, preparar y obligar a los usuarios en elementos básicos de seguridad de redes. El oscurecimiento de contraseñas o Shadow Password; la idea básica de este mecanismo es impedir que los usuarios sin privilegios puedan leer el fichero donde se almacenan las claves cifradas. El envejecimiento de contraseñas (Password Aging); en este caso la idea principal es proteger las contraseñas de los usuarios dándoles un determinado periodo de vida: una contraseña sólo va a ser válida durante un cierto tiempo, pasado el cual expirará y el usuario deberá cambiarla. El uso de contraseñas de una sola vez (One Time Passwords) es un caso extremo del envejecimiento de contraseñas en el que se otorga un tiempo de vida mínimo a cada contraseña de forma que sirva solo para una conexión (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
Firmas digitales
37 garantizar la autoría e integridad de los documentos digitales, posibilitando que éstos gocen de una característica que únicamente era propia de los documentos en papel.
Las firmas digitales pueden también definirse como un conjunto de datos asociados a un mensaje digital que permite garantizar la identidad del firmante y la integridad del mensaje. Lo anterior no implica que asegure la confidencialidad del mensaje; un documento firmado digitalmente puede ser visualizado por otras personas, al igual que cuando se firma holográficamente (Stallings, 2000).
La firma digital es un instrumento con características técnicas y normativas; esto significa que existen procedimientos técnicos que permiten la creación y verificación de firmas digitales y existen documentos normativos que respaldan el valor legal que dichas firmas poseen.
La firma digital se aplica en aquellas áreas donde es importante poder verificar la autenticidad y la integridad de ciertos datos, por ejemplo documentos electrónicos o software, ya que proporciona una herramienta para detectar la falsificación y la manipulación del contenido.
Certificados digitales
38 Un Certificado Digital consta de una pareja de claves criptográficas, una pública y una privada, creadas con un algoritmo matemático, de forma que aquello que se cifra con una de las claves sólo se puede descifrar con su clave pareja (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
La Autoridad de Certificación se encarga de emitir los certificados para los titulares tras comprobar su identidad. En el certificado digital constarán los datos del propietario y las condiciones de vigencia del certificado. El certificado tiene tiempo de validez determinado, pero igual puede ser revocado por el propietario ante dificultades que puedan comprometer la clave privada. El titular del certificado debe mantener estrictamente segura la clave privada, ya que en caso de sustracción pudiera ser suplantada su identidad en la red. En este caso el titular debe revocar el certificado lo antes posible, de la misma manera en que se anula una tarjeta de crédito sustraída o extraviada (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
Una de las certificaciones más utilizadas en la actualidad en infraestructuras de clave pública (PKIs Public-Key Infrastructure) es el estándar internacional X.509 de la ITU-T (International Telecommunication Union- Telecommunication Standarization Sector). Así los certificados pueden ser leídos o escritos por cualquier aplicación que cumpla con el mencionado estándar (Aguirre, 2005).
Los campos básicos del certificado X.509 se listan a continuación:
39
Datos de validez del certificado: fecha de inicio, de vencimiento y validez actual.
Número de serie del certificado: nomenclador único que lo identifica.
Identidad de la autoridad certificadora: nombre de quien emite el certificado.
Llave pública del sujeto.
Firma digital de la autoridad certificadora
La autoridad certificadora emite certificados digitales que ratifican la información de las personas o entidades a quienes se les entrega el certificado, empleando una Infraestructura de Llave Pública (Aguirre, 2005).
La Infraestructura de llave pública (PKI) es la encargada de autentificar certificados digitales y Autoridades Certificadoras. Es una jerarquía de autoridades certificadoras, es decir, una autoridad raíz que certifica autoridades subordinadas. Las Autoridades subordinadas confían en la jerarquía, no necesariamente entre ellas, aunque se apunta a crear relaciones de confianza entre autoridades certificadoras de misma o diferente jerarquía (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
40 Los usos más comunes de los certificados digitales son: autentificar la identidad del usuario, de forma electrónica, ante terceros; firmar electrónicamente de forma que se garantice la integridad de los datos trasmitidos y su procedencia y cifrar datos para que sólo el destinatario del documento pueda acceder a su contenido.
El Certificado Digital es el único medio que permite garantizar técnica y legalmente la identidad de una persona en Internet. Se trata de un requisito indispensable para que las instituciones puedan ofrecer servicios seguros a través de Internet. Además el certificado digital al permitir la firma electrónica de documentos da la posibilidad al receptor de estos de tener la seguridad de que son originales y no han sido manipulados, por otra parte el autor o propietario de la firma electrónica no podrá negar la autoría de la misma. Adicionalmente al permitir el cifrado de las comunicaciones, utilizando la clave pública de un Certificado, solamente el destinatario de la información (titular del Certificado) podrá acceder al contenido. La principal ventaja de disponer de un certificado digital es el ahorro de tiempo y dinero al tener la posibilidad de poder realizar trámites administrativos en Internet, a cualquier hora y desde cualquier lugar (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
Protocolo de autenticación por contraseña (PAP)
41 validando a un usuario que accede a ciertos recursos (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
PAP es un protocolo de autenticación que requiere que los usuarios ingresen nombre de usuario y contraseña antes de tener acceso al sistema seguro, los mismos son enviados a través de la red a un servidor, donde se comparan con una base de datos que almacena nombres y contraseñas de los usuarios.
El protocolo PAP es un método sencillo empleado para confirmar la identidad de los participantes de una comunicación punto a punto, para lo cual emplea una negociación en dos sentidos, que es realizada en el establecimiento inicial del enlace.
PAP transmite contraseñas o passwords en ASCII sin cifrar, por lo que se considera inseguro. Su uso añade una vulnerabilidad al sistema debido a que las contraseñas se envían en forma de texto plano sin ninguna encriptación y esto facilita su robo y reproducción, por lo anterior este método se usa solo como último recurso cuando el servidor de acceso remoto no soporta un protocolo de autenticación más fuerte (Jordi Herrera Joancomartí, Joaquín García Alfaro, Xavier Perramón Tornil, 2007).
Protocolo de autenticación por reto (CHAP)
42 Este protocolo trabaja de la manera siguiente: en lugar de preguntar directamente por la contraseña, el servidor emite un valor generado aleatoriamente (desafío o reto) y espera que el usuario proporcione una respuesta al desafío enviado, en base a un secreto conocido. El usuario toma el desafío y utilizando la clave que comparte con el servidor y una función hash formula una respuesta. El servidor realiza el mismo cálculo y compara su resultado con el que recibió desde el cliente, si existe coincidencia entonces el usuario está autenticado. El mecanismo o función hash generalmente es un mensaje unidireccional como MD5. En cada comunicación se utiliza un único desafío o reto (Madjid Nakhjiri, Mahsa Nakhjiri, 2005).
Una ventaja que tiene este tipo de autenticación es que las contraseñas no pueden ser grabadas o robadas para ser empleadas en un acceso posterior, pues cambia constantemente el valor con el que se compara. Otra ventaja es que el secreto solo lo conocen los extremos y no se intercambia en el proceso de autenticación.
Un problema que puede presentar este método es que el secreto no se guarda en una base de datos encriptada lo que puede resultar en una vulnerabilidad.
Sistemas biométricos
43 Los sistemas biométricos pueden ser empleados como mecanismos de autenticación, ya que el ser humano posee características que lo hacen único, como las huellas dactilares, la voz, el rostro, iris del ojo, por lo cual se puede decir que cada individuo lleva su propia palabra clave, tarjeta o número PIN (Nebot, 2007).
A pesar de la enorme ventaja que estos métodos ofrecen, también presentan inconvenientes que deben tenerse en cuenta: la implementación de estas técnicas suele tener un coste muy alto. Para resolverlo se debe mejorar las prestaciones de los terminales que se utilicen, ya que son los encargados de procesar de modo adecuado lo datos recibidos. Esto requiere una fuerte inversión que no todas las empresas están dispuestas a llevar a cabo. Las técnicas no son absolutamente seguras, pudiendo producirse ciertos errores. Este problema se aborda a través de la investigación y mejora de las técnicas actuales, lo cual permitiría mejorar el nivel de certeza. Cuando estos condicionantes se satisfagan completamente, el uso de la memorización de información pasará a un segundo plano (Nebot, 2007).
Existen dos grandes clasificaciones para los sistemas biométricos, los del tipo fisiológico y los basados en comportamientos. Los primeros se pueden basar en una o varias características como las faciales, del iris, de retina, la geometría de la mano y las huellas digitales; los segundos en características de la voz, el ritmo de la escritura o la firma dinámica (Nebot, 2007).
44 dado que el éxito que están teniendo y a medida que se vaya confiando aún más en ellos (cucorent, 2013) y (Somini, 2013).
Algunas aplicaciones de biométricos actuales las encontramos en (Nebot, 2007):
La seguridad financiera: Cajeros automáticos, transferencias electrónicas, el reciente comercio electrónico.
El control de acceso de personas: Aeropuertos, zonas de seguridad de empresas, zonas de defensa gubernamentales.
El control demográfico: Inmigración, pasaportes, visados.
El sistema de votaciones: Máquinas automáticas de recogida de votos electorales.
Las telecomunicaciones: Telefonía móvil, control de acceso a sistemas de comunicaciones.
La Medicina: Historiales clínicos, registro de medicaciones a pacientes con enfermedades duraderas o terminales.
Comparación de los métodos de Autenticación estudiados
45 CUADRO N. 1
Comparación de las principales características de diferentes métodos de autenticación.
Elaboración: Manuel Delgado S. Fuente: Cesar Cepeda, Pablo Proaño (p. :23)
Del análisis del cuadro comparativo se puede deducir que no existe ningún método cien por ciento seguro, por lo que se recomienda emplear en implementaciones reales métodos de autenticación fuertes, es decir, que empleen una combinación de varios métodos de autenticación, lográndose de esta manera un nivel de seguridad adecuado para proteger los sistemas de comunicaciones, que dificulten el acceso a intrusos maliciosos.
