Redes privadas virtuales

Implementación de Redes Privadas Virtuales (VPN) utilizando el protocolo IPSec Curso de Especialista Universitario en Seguridad Informática y Servicios Electrónicos. Trabajo final.

Vicente José Aguilar Roselló Ricardo Domínguez Jover Ignacio Sánchez Medina Septiembre de 2002

"Un sistema se vuelve inseguro simplemente con el mero hecho de encenderlo. El único sistema totalmente seguro seríauno que estuviese apagado, desconectado de cualquier red, metido dentro de una caja fuerte de titanio, rodeado de gas y vigilado por unos guardias armados insobornables. Aún así yo no apostaría mi vida por él " Gene Spafford, experto en seguridad

1. Introducción

En la actualidad, las organizaciones son cada vez más dependientes de sus redes informáticas y un problema que las afecte, pormínimo que sea, puede llegar a comprometer la continuidad de las operaciones. La falta de medidas de seguridad en las redes es un problema que está en crecimiento. Cada vez es mayor el número de atacantes y cada vez están más organizados, por lo que van adquiriendo día a día habilidades más especializadas que les permiten obtener mayores beneficios. Tampoco deben subestimarse las fallas de seguridadprovenientes del interior mismo de la organización. La propia complejidad de la red es una dificultad para la detección y corrección de los múltiples y variados problemas de seguridad que van apareciendo. En medio de esta variedad, han ido aumentando las acciones poco respetuosas de la privacidad y de la propiedad de recursos y sistemas. “Hackers”, “crakers”, entre otros, han hecho aparición en elvocabulario ordinario de los usuarios y de los administradores de las redes. Además de las técnicas y herramientas criptográficas, es importante recalcar que un componente muy importante para la protección de los sistemas consiste en la atención y vigilancia continua y sistemática por parte de los responsables de la red. A la hora de plantearse en qué elementos del sistema se deben de ubicar losservicios de seguridad podrían distinguirse dos tendencias principales: Protección de los sistemas de transferencia o transporte. En este caso, el administrador de un servicio asume la responsabilidad de garantizar la transferencia segura al usuario final de la información de forma lo más transparente posible. Ejemplos de este tipo de planteamientos serían el establecimiento de un nivel detransporte seguro, de un servicio de mensajería con MTAs (Mail Transport Agents) seguras, o la instalación de un firewall, que defiende el acceso a una parte protegida de una red. Aplicaciones seguras extremo a extremo. Si pensamos, por ejemplo, en el correo electrónico, consistiría en construir un mensaje en el cual el contenido ha sido asegurado mediante un procedimiento de encapsulado previo al envío.De esta forma, el mensaje puede atravesar sistemas heterogéneos y poco fiables sin por ello perder la validez de los servicios de seguridad provistos. Aunque el acto de asegurar el mensaje cae bajo la responsabilidad del usuario final, es razonable pensar que dicho usuario deberá usar una herramienta amigable proporcionada por el responsable de seguridad de su organización. Esta misma operatoria,puede usarse para abordar el problema de la seguridad en otras aplicaciones tales como videoconferencia, acceso a bases de datos, etc. En ambos casos, un problema de capital importancia es la gestión de passwords. Este problema es inherente al uso de la criptografía y debe estar resuelto antes de que el usuario esté en condiciones de enviar un solo bit seguro. Otro no menos importante es el nivelde implicación de los usuarios con respecto a la seguridad de los datos que están manejando, que en la mayoría de los casos suele ser nulo. Aunque en nuestro trabajo nos vamos a centrar en la seguridad en redes de comunicaciones, a

continuación destacamos las principales áreas que un sistema de seguridad completo debería contemplar: Seguridad física. Es la que tiene que ver con la...