Aunque el estándar IEEE

Texto completo

(1)

A

unque el estándar IEEE802.11, aprobado en 1999, para las WLAN contiene varias ca-racterísticas de seguridad, tales co-mo los co-modos de autenticación del sistema abierto y de clave compar-tida, el Identificador del Juego de Servicios (SSID/Service Set Identi-fier) y el Equivalente a Privacidad Cableada (WEP/Wired Equivalent Privacy), no son suficientes para apli-caciones empresariales y se imple-menta WPA (Wi-Fi Protected Ac-cess) a la espera de la aparición comercial de productos compati-bles 802.11i que, desarrollado por el Grupo de Trabajo TGi del IEEE y aprobado a mediados de 2004, re-suelve definitivamente sus defi-ciencias al implementar AES (Ad-vanced Encryption Standard), un mecanismo extremadamente segu-ro apsegu-robado por el NIST, que viene a ocupara el papel de 3DES con cla-ves de 128, 192 o 256 bits, una solu-ción válida tanto para redes punto a punto (ad-hoc) como con punto

de acceso (AP), pero que consume mayores recursos.

Cada una de estas características provee diferentes grados de segu-ridad que serán expuestos a conti-nuación. También se aporta infor-mación de cómo las antenas se pueden utilizar para limitar y, en al-gunas circunstancias, darle forma a la propagación en el medio ina-lámbrico, contribuyendo así a me-jorar la seguridad.

A causa de estos problemas de seguridad, hay cierto recelo a des-plegar redes Wi-Fi, especialmente en vista de la vulnerabilidad de las claves WEP que se utilizan para en-criptar y desenen-criptar los datos trans-mitidos. En varios documentos y ar-tículos de investigación se han resaltado las vulnerabilidades po-tenciales de las claves WEP estáti-cas. Además, los hackers tienen ac-ceso en Internet a numerosas herramientas para descifrar claves WEP, que les permite monitorizar y analizar de forma pasiva paquetes

de datos y después utilizar esta in-formación para descifrar la clave.

PROPAGACIÓN DE RF

Antes de que se implemente cual-quier otra medida de seguridad es importante considerar las implica-ciones de la propagación de RF (Ra-dio Frecuencia) por los puntos de acceso (AP) en una red inalámbri-ca. Escogidas de una forma inteli-gente, la combinación adecuada de transmisor/antena puede ser una herramienta efectiva que ayudará a limitar el acceso a la red inalámbri-ca al área úniinalámbri-ca pretendida de co-bertura. Escogidas de forma poco inteligente, pueden extender la red más allá del área pretendida hacia puntos fuera de todo control.

Principalmente, las antenas se ca-racterizan por dos de sus paráme-tros: directividad y ganancia. Las antenas omnidireccionales tienen un área de cobertura de 360 grados, mientras que las antenas

direccio-Las redes Wi-Fi, en concreto las materializadas en las empresas y en los hot spots, están tomando un gran protagonismo por las innumerables ventajas que aportan, pero también tienen algunos inconvenientes, el mayor de los cuales -que presentan todas las redes inalámbricas, incluidas las celulares- es su escasa se-guridad (escuchas ilegales, acceso no autorizado, usurpación y suplantación de identidad, interferencias aleatorias, denegación de servicio, amenazas físicas, etc.), algo inherente a la utilización del aire como me-dio de transmisión ya que el canal aéreo tiene una posibilidad de acceso intrínsecamente más sencilla que el tradicional cable.

José Manuel Huidobro

(2)

nales limitan la cobertura a áreas mejor definidas. La ganancia de la antena típicamente se mide en dBi (dBi está definida en referencia a una antena teóricamente isotrópica con propagación perfectamente esféri-ca) y está definida como el incre-mento de la potencia que la antena agrega a la señal RF.

Debido a que los productos ac-tuales 802.11 hacen uso de la ban-da de uso común que no necesita li-cencia ISM (Industrial, Scientific, and Medical) de 2,4 GHz y 5 GHz, están sujetas a las reglas promulgadas por la FCC en 1994 para uso de espec-tro distribuido. Estas reglas especi-fican que cualquier antena vendida con un producto debe ser probada y aprobada por un laboratorio ho-mologado y. para evitar que los usua-rios utilicen de forma incorrecta o ilegal antenas con productos 802.11, también se requiere que cualquier AP (Punto de Acceso) capaz de lizar antenas removibles deberá uti-lizar conectores no estandarizados. En los Estados Unidos la FCC de-finió el máximo de PIRE (Potencia Efectiva Isotrópica Radiada) de una combinación transmisor/antena co-mo 36 dBm (4W), donde PIRE = po-tencia del transmisor + ganancia de la antena - pérdida del cable. En Es-paña, esta potencia, según la UN-85 de la CNAF, es de 20 dBm (100 mW), bastante menos.

Esencialmente, esto significa que si la potencia del transmisor au-menta, la ganancia de la antena de-be disminuir para permanecer por debajo del máximo legal de 36 dBm. Por ejemplo, un transmisor del 100 mW equivale a 20 dBm y éste trans-misor combinado con una antena de 16 dBi produce un total de 36 dBm, que es el límite legal. Para

in-crementar la ganancia de la antena, estaríamos legalmente obligados a reducir la potencia del transmisor. En la práctica, la mayor parte de las combinaciones transmisor/antena que se venden juntas están por de-bajo del máximo permitido de 36 dBm. En todos los casos, el usuario deberá asegurarse de que esto es así.

Las implicaciones de todo esto son que las combinaciones del po-der del transmisor/ganancia de la antena están estrictamente regula-das y limitan el área que legalmen-te puede ser cubierta por un solo AP. Cuando se está diseñando una WLAN, es importante llevar a cabo un reconocimiento a fondo del lu-gar y considerar los patrones de pro-pagación RF de las antenas que se vayan a usar y la potencia efectiva de la combinación transmisor/an-tena. También, como la banda ISM está esencialmente abierta para ser usada por cualquier persona sin ne-cesidad de licencia, es importante considerar la posibilidad de la de-negación de servicio (Denial Of Ser-vice) de otras fuentes benignas.

DEFENSA EN ENTORNOS INALÁMBRICOS

Lo mismo que en otras redes, la seguridad para las redes WLAN se concentra en el control y la priva-cidad de los accesos: un control de accesos fuerte impide a los usuarios no autorizados comunicarse a tra-vés de los AP (Access Points), que son los puntos finales que en la red Ethernet conectan a los clientes WLAN con la red. Por otra parte, la privacidad garantiza que sólo los usuarios a los que van destinados los datos transmitidos los com-prendan. Así, la privacidad de los datos transmitidos sólo queda pro-tegida cuando los datos son en-criptados con una clave que sólo puede ser utilizada por el receptor al que están destinados esos datos. Por tanto, en cuanto a seguridad, las redes Wi-Fi incorporan dos ser-vicios: de autenticación y

priva-cidad.

Autenticación: Los sistemas ba-sados en 802.11 pueden operar co-mo sistemas abiertos (inseguros),

BIT 152 AGO.-SEP. 2005 96

(3)

de forma que cualquier cliente ina-lámbrico (estación móvil con su ID) puede asociarse a un punto de ac-ceso si la configuración lo permite, o como sistemas cerrados, que re-quieren autenticación por clave com-partida. También, existen listas de control de acceso basadas en la di-rección MAC (Media Access Con-trol) exclusivas de los clientes, dis-poniendo los AP de una lista con todos los autorizados para rechazar a los que no lo están. Si se utiliza au-tenticación WEP, el punto de acce-so queda configurado con una cla-ve, de manera que sólo los clientes que intenten asociarse usándola pue-dan hacerlo.

Privacidad: Por defecto los da-tos se envían sin utilizar ningún ci-frado. Si se utiliza la opción WEP, los datos se encriptan (cifran) antes de ser enviados mediante el algo-ritmo RC4 (se genera un flujo de cla-ves al cual se le aplica un OR exclu-sivo con el texto en claro para lograr el texto cifrado), con claves de 64 bits (débil) o 128 bits (fuerte) com-partidas estáticas. Para realizar el cifrado se emplea la misma clave que se usa para la autenticación WEP. También se pueden utilizar otros mecanismos más potentes, entre los que se encuentra WPA o AES.

SSID (SERVICE SET IDENTIFIER)

El estándar Wi-Fi define un me-canismo por el cual se puede limi-tar el acceso: el SSID, que es un nom-bre de red que identifica el área cubierta por uno o más AP. Así, una estación inalámbrica que desee aso-ciarse a un AP puede escuchar y es-cogerle basándose en su SSID, que se transmite periódicamente.

El SSID puede utilizarse como una medida de seguridad configu-rando el AP para que no lo trans-mita. En este modo, la estación ina-lámbrica que desee asociarse con un AP debe tener ya configurado el SSID para ser el mismo que el del AP. Si los SSID son diferentes, las tramas administrativas enviadas al AP desde el estación inalámbrica serán rechazadas porque contienen un SSID incorrecto y la asociación no se llevará a cabo. Una estación inalámbrica puede disponer de va-rios SSID, para conectarse a distin-tas redes, en diferentes localizacio-nes.

Desafortunadamente, debido a que las tramas de administración en las WLAN 802.11 siempre se enví-an de forma abierta, este modo de operación no provee seguridad ade-cuada. Un atacante fácilmente pue-de escuchar en el medio inalámbri-co buscándolas y descubrir el SSID del AP. Muchas organizaciones

con-fían en el SSID para obtener segu-ridad sin considerar sus limitacio-nes. Esto es, por lo menos parcial-mente, responsable de la facilidad con la que las WLAN pueden ser atacadas.

WEP (WIRED EQUIVALENT PRIVACY)

Cuando el IEEE comenzó el de-sarrollo del estándar 802.11 para re-des inalámbricas, era consciente de la vulnerabilidad de usar un medio de propagación radioeléctrico, por lo que incluyó un sencillo mecanis-mo para proteger la comunicación entre los dispositivos de los usua-rios y los puntos de acceso, al que denominó WEP, que con el paso del tiempo se ha demostrado fehacitemente que es insuficiente para en-tornos empresariales. WEP es el al-goritmo opcional de seguridad para dotar de protección a las redes ina-lámbricas, incluido en la primera versión del estándar IEEE 802.11, mantenido sin cambios en las nue-vas 802,11a, 802.11b y 802.11g.

El algoritmo WEP es esencial-mente el algoritmo criptográfico de cifrado de flujo RC4 de Data Secu-rity Inc., que es simétrico porque utiliza el mismo código para cifrar y para descifrar el texto plano que se intercambia entre la estación ina-lámbrica y el AP. El proceso para descifrarlo es el inverso y para pro-teger el mensaje frente a modifica-ciones no autorizadas, mientras es-tá en tránsito, se aplica el algoritmo de comprobación de integridad CRC-32 al texto plano, una especie de hue-lla digital, que no es del todo fiable. WEP utiliza claves estáticas, se-cretas, compuestas por 64 ó 128 bits

administrador de red

debe realizar la

tediosa y lenta tarea

de introducir las

mismas claves en

cada dispositivo

existente en la red

WLAN. Este tipo de

clave es poco segura

y obliga a cambiar

todas porque la de

un único usuario se

haya visto

comprometida”

(4)

-utilizando un vector de inicializa-ción (IV) fijo de 24 bits, generado de manera aleatoria- que define el ad-ministrador de red en el AP y en to-dos los clientes que se comunican con él. Es un sistema muy débil ya que la clave de cifrado se puede ob-tener monitorizando las tramas.

Cuando se utilizan claves WEP estáticas, el administrador de red debe realizar la tediosa y lenta ta-rea de introducir las mismas claves en cada dispositivo existente en la red WLAN. Este tipo de clave es po-co segura (el po-conocimiento de la de un usuario, porque la pierda, se la roben o sufra un ataque de hackers, implica el conocimiento de las de toda la organización, incluso sin que se sea consciente de ello) y obliga a cambiar todas porque la de un úni-co usuario se haya visto úni- compro-metida; por tal motivo se deberían utilizar claves dinámicas (rotación de claves), aunque el proceso de dis-tribución sea mucho más compli-cado, pues es la única manera de garantizar la fiabilidad del sistema a largo plazo.

Para solventar los agujeros de WEP, en junio de 2004, el IEEE apro-bó el estándar de seguridad 802.11i, que utiliza una forma de encripta-ción ampliamente aceptada, como es el potente AES para poder dis-frutar con tranquilidad de todas las ventajas que nos ofrecen las redes locales inalámbricas, aunque para implementar 802.11i, deberán rea-lizarse cambios al nivel de chip, lo que significa que los productos co-merciales actuales ni tienen ni, pro-bablemente, tendrán la capacidad necesaria para soportarla.

Interinamente, hasta la aproba-ción del 802.11i, se ha estado utili-zando WPA (Wi-Fi Protected Access)

que representa una mejora so-bre WEP pues-to que utiliza cla-ves dinámicas, de manera que hace práctica-mente casi in-vulnerables las redes inalám-bricas.

WPA (WI-FI

PROTECTED ACCESS)

WPA es un pre-estándar, anun-ciado en noviembre de 2002 y so-portado por la industria, en con-creto por la Wi-Fi Alliance, de 802.11i (compatible con él mediante actua-lización) que utiliza una encripta-ción mejorada mediante TKIP

(Tem-poral Key Integrity Protocol), lo

cual soluciona los problemas inhe-rentes a WEP, ampliando la longi-tud de la clave e incluyendo el uso de claves dinámicas para cada usua-rio, para cada sesión y para cada pa-quete enviado, además de añadir un eficaz mecanismo para la autenti-cación de los usuarios. A partir de la clave principal generada por EAP y conocida por los extremos, gene-ra un conjunto de claves que se em-plean en el cifrado.

Diseñado para funcionar sobre el hardware actual, solamente es ne-cesaria una actualización del soft-ware. Una vez implementado, pro-porciona a los usuarios de una WLAN un alto nivel de seguridad, garanti-zando que solo los usuarios autori-zados podrán tener acceso a los da-tos. La autenticación se consigue mediante 802.1X, un protocolo orien-tado a la autenticación de puertos,

para restringir el acceso a los servicios de una red hasta ser autenticado, que permite utilizar diversos métodos a través del pro-tocolo de autenticación extensible (EAP), del que existen variantes, como EAP-TLS, PEAP, LEAP (Cisco) y EAP-MD5. Po-sibilita la autenticación de los usuarios y la dis-tribución de claves. Además de todo lo ante-rior, se utiliza MIC (Message Inte-grity Check) o Michael, un meca-nismo que retoma el CRC empleado por WEP y le añade otra capa de ve-rificación que mejora la comproba-ción de la integridad de los paque-tes enviados.

También, el diseño WPA se ha re-alizado pensando en que se puede utilizar en dos entornos diferente: en las empresas (enterprise mode) y en el hogar (home mode).

Para las empresas y grandes cor-poraciones se utilizan sofisticados mecanismos de autenticación: 802.1X junto con un servidor AAA de red (por ejemplo RADIUS/Re-mote Authentication Dial-In User Service, o LDAP) que facilita el con-trol de acceso centralizado y la ges-tión) y distribución automatizada de claves especiales, llamadas “master keys”, a partir de las cuales se ge-neran automáticamente las claves de trabajo. Con este mecanismo es-tablecido, la necesidad de establecer una VPN (Virtual Private Network) no es necesaria, al menos por ra-zones exclusivas de seguridad.

Para las empresas que requieran una seguridad WLAN total, de ex-tremo-a-extremo, y no dispongan de WPA, ésta se puede garantizar

BIT 152 AGO.-SEP. 2005 98

(5)

utilizando una VPN, accedan sus usuarios desde la propia empresa, su hogar o desde un hot spot, ya que crean un camino seguro (túnel) so-bre un medio inseguro, como pue-de ser Internet. Aunque la mayoría de las empresas no necesitan im-plementar una WLAN con seguri-dad especial dentro de sus intra-nets, algunas pocas, como son las instituciones financieras, requieren amplias medidas de seguridad, y pueden tener necesidad de imple-mentar una solución especializada (propietaria), incluyendo firewalls, tunelado IPSec y autenticación re-forzada.

En el entorno del hogar o en pe-queñas empresas (SOHO y PYMES),

en donde no suelen existir servido-res ni se precisa llevar a cabo una compleja gestión de usuarios, WPA corre en un modo especial que per-mite la entrada de claves manual-mente. Este modo, llamado PSK (Pre-Shared Key) se ha diseñado pensando en el usuario residencial (sin servi-dor de autenticación), por lo que re-sulta muy sencillo de implementar; todo lo que éste necesita hacer es entrar la clave (también llamada clave maestra) en el punto de ac-ceso o router Wi-Fi y en cada uno de los PC que van a estar conec-tados a la WLAN, para que WPA en-tre en servicio y se ocupe de todo el proceso posterior. Esta PSK nunca se transmite por el aire ni se utiliza

para encriptar el flujo de datos, sino, simplemente, para ini-ciar el proceso de claves dinámicas TKIP, por lo que es mucho más se-guro que WEP. <<<

Figure

Actualización...

Referencias

Actualización...

Related subjects :