Logica

Diseño de arquitectura segura para redes inalámbricas
Alfredo Reino [areino@forbes-sinclair.com] La tecnología de redes inalámbricas basada en el estándar IEEE 802.11 tiene unos beneficios incuestionables en el mundo empresarial. Algunos de estos beneficios son la flexibilidad, movilidad, reducción de costes de infraestructura de red, integración con dispositivos móviles y PDAs, y mejorescalabilidad de la red.

Riesgos
Sin embargo esta tecnología lleva aparejada una serie de riesgos que afectan directamente a la confidencialidad, integridad y disponibilidad de los activos e información empresarial. Estos riesgos de Seguridad de la Información se resumen en los siguientes: • Intercepción y escucha del tráfico en tránsito, que afecta a la confidencialidad de los datos. Permite alatacante espiar el tráfico de red, capturar contraseñas, leer correo electrónico y conversaciones realizadas a través de la red, y obtener información útil sobre la organización interna y la infraestructura de sistemas para preparar un ataque. Acceso no controlado a la red interna corporativa. Esto puede ser utilizado por el atacante para acceder a sistemas internos normalmente no accesibles desde elexterior. Si las contramedidas contra riesgos de seguridad habituales están desplegadas en el perímetro de la red, como suele ser habitual, una vez dentro, el atacante tiene vía libre a todos los sistemas de la red interna. Un intruso puede usar una red inalámbrica con poca o nula seguridad para acceder de forma gratuita a Internet a través de la red de la empresa. Mientras esto parece enapariencia inocuo, y los activos de información de la organización no se ven afectados, es una actividad que supone un uso no aceptado de recursos de la empresa por personal no autorizado. Además afecta a la calidad y disponibilidad del servicio de red de los usuarios legítimos, y puede suponer un problema legal para la organización si el intruso utiliza el acceso a Internet de la empresa para realizaracciones ilegales (hacking) o acceso a contenido de Internet inapropiado (por ejemplo, pornografía infantil). Denegación de servicio (DoS). Los servicios de red inalámbrica 802.11 son vulnerables a diferentes ataques de denegación de servicio (por ejemplo, generación de tráfico aleatorio excesivo, generación de puntos de acceso falsos, etc.) Un atacante podría instalar un punto de acceso inalámbricode forma que se confunda con los puntos de acceso legítimos, provocando que un número de usuarios se conecte al del atacante. El atacante reenviaría el tráfico a los puntos de acceso legítimos. De esta forma se implementaría un ataque man-in-the-middle de modo que todo el

•

•

•

•

•

tráfico de red de los usuarios afectados sea monitorizado, almacenado y potencialmente alteradopor el atacante. Un visitante a la empresa podría conectarse a la red con su portátil, de forma inadvertida o conscientemente, sirviendo como punto de entrada de virus, gusanos y troyanos.

Existen multitud de formas de mitigar algunos de estos riesgos, tales como usar cifrado WEP (Wired Equivalent Privacy), control de acceso por dirección física MAC, uso de VPN (Virtual Private Networks) y el usode soluciones propietarias no soportadas por todos los fabricantes.

Cifrado y autenticación
Todos estos riesgos comentados (exceptuando algunos aspectos de Denegación de Servicio para los que hay difícil solución cuando el ataque se realiza contra la “capa física” de radiofrecuencia) se solucionan mediante tecnologías de cifrado y de autenticación. Para implementar autenticación se configuranlos puntos de acceso IEEE 802.11 de forma que utilicen el estándar IEEE 802.1x y servidores RADIUS para identificar, autenticar y autorizar a los usuarios y dispositivos mediante políticas de acceso centralizadas. El estándar IEEE 802.1x es un estándar de autenticación para gestión de redes que permite autenticar al usuario o máquina contra un servicio RADIUS, LDAP o cualquier otro sistema de...