UNIDAD 4 SEGURIDAD EN TELECOMUNICACIONES E INTERNET

UNIDAD 4 SEGURIDAD EN TELECOMUNICACIONES E INTERNET
4.1 GENERALIDADES DE TELECOMUNICACIONES Y
VULNERABILIDADES EN TCP/IP



Equipos y topologías de red
Modems, repetidores, switch, hubs, bridges, routers, gateways, LAN (bus, ring,
star), MAN, WAN, Interconnected networks (enlaces dedicados, enlaces virtuales,
tunneling, firewalls, Internet)
Medios de transmission
- Twisted pair, baseband & broadband coaxial cable, fibra óptica, radio
transmission, microwave transmission, cellular radio, satellite.
- Bandwidth, delay, cost, installation and maintenance.
Protocolos
- X.25, X.75 (orientado a conexión)
- IP, SLIP, PPP, TCP/UDP, SNA/SDLC/DIC, ISDN, CHAP, PAP, ARP, ICMP,
Frame delay, (conexión y no conexión) Modelo ISO/OSI
- IEEE estándar 802 para LAN´s y MAN´s
(ethernet.3, token ring.5, MAN.6)
SEGURIDAD EN REDES Y TELECOMUNICACIONES
Aspectos generales






Proteger host y los servicios que se proporcionan en la red.
Autenticación (passw) y autenticación mutua (emisor y receptor)
Control de acceso a los recursos
Confidencialidad, Integridad y Disponibilidad
Medidas de encripción para aumentar CIA (confidentiality, integrity and
availability)
Responsabilidad (quién, cuándo, cómo, dónde, periodicidad)
¿Quién es el responsable?




IP
Empleados
Hackers (curiosos, vándalos y criminales)
Operadores de teléfono
Criminales de cómputo profesionales
La parte fundamental de los servicios ofrecidos por Internet consiste en el sistema de
entrega de paquetes. Este servicio está definido como:



No confiable
Mejor esfuerzo
Sin conexión
El protocolo que define los mecanismos de entrega poco confiable y sin conexión se conoce
como Protocolo Internet (IP).
TCP (Transmisión Control Protocol)
Es un protocolo de transporte de propósito general, puede ser usado sobre cualquier sistema
de entrega de paquetes, no necesariamente sobre IP. TCP no supone características de la red
subyacente.
TCP/IP
Suite de protocolos de comunicaciones para redes de tipo abierto utilizados en un modelo
de 4 capas desarrollado por la Advanced Research Projects Agency del DoD y tomando
como referencia el modelo OSI.
4.2 INTERNET/EXTRANET/INTRANET
Dispositivos de conectividad en las comunicaciones





Repeaters. Amplificador para cuando se excede la máxima distancia física de
alcance de las señales.
Hubs. Permite enlazar entre segmentos de conexión de una red.
Bridges. Enlaza y direcciona o filtra de un segmento a otro de la red los datos,
además sirve para balancear la sobrecarga en los segmentos de la red.
Multiplexores. Une varias señales para ocupar el mismo canal de transmisión.
Routers. Conecta dos o más redes separadas lógicamente
Arquitectura Internet
Los procesos tienen puertos: la combinación de un puerto ID y el IP destino (address) del
host es un Socket: las conexiones son un set de socket´s.
Algunos ejemplos son: puertos TELNET, FTP, TCP, UDP.
Protocol Relationship Tables son los diferentes servicios que dan los protocolos y en que
puertos se realizan.
Características de Internet







Red de redes
Topología mundial (malla)
Broadcast packet-switched
Peer connected (interconexión entre capas)
Conexión de "cualquiera" con "cualquiera" (no restricción)
Interoperatibilidad en incremento
Autoridad NO centralizada
Seguridad en Internet
El fenómeno de la extensión de la Internet ha adquirido una velocidad tan rápida y unas
proporciones, que el panorama actual y muchos de los efectos que se dan en su seno
resultan sorprendentes y difícilmente imaginables hace sólo una década.
Inicialmente Internet nace como una serie de redes que promueven el intercambio de
información entre investigadores que colaboran en proyectos conjuntos o comparten
resultados usando los recursos de la red. En esta etapa inicial, la información circulaba
libremente y no existía una preocupación por la privacidad de los datos ni por ninguna otra
problemática de seguridad. Estaba totalmente desaconsejado usarla para el envío de
documentos sensibles o clasificados que pudieran manejar los usuarios, situación esta muy
común, pues hay que recordar que la Internet nace como un contrato del Departamento de
Defensa Americano -año 1968- para conectar entre sí tanto las Universidades como los
Centros de Investigación que colaboran de una manera u otra con las Fuerzas Armadas
Norteamericanas.
Los protocolos de Internet fueron diseñados de una forma deliberada para que fueran
simples y sencillos. El poco esfuerzo necesario para su desarrollo y verificación jugó
eficazmente a favor de su implantación generalizada, pero tanto las aplicaciones como los
niveles de transporte carecían de mecanismos de seguridad que no tardaron en ser echados
en falta.
Más recientemente, la conexión a Internet del mundo empresarial se ha producido a un
ritmo vertiginoso muy superior a la difusión de ninguna otra tecnología anteriormente
ideada. Ello ha significado que esta red de redes se haya convertido en "la red" por
excelencia. Esto es, el medio más popular de interconexión de recursos informáticos y
embrión de las anunciadas autopistas de la información.
Se ha incrementado la variedad y cantidad de usuarios que usan la red para fines tan
diversos como el aprendizaje, la docencia, la investigación, la búsqueda de socios o
mercados, la cooperación altruista, la práctica política o, simplemente, el juego. En medio
de esta variedad han ido aumentando las acciones poco respetuosas con la privacidad y con
la propiedad de recursos y sistemas. Hackers, frackers, crakers... y demás familias han
hecho aparición en el vocabulario ordinario de los usuarios y de los administradores de las
redes.
La propia complejidad de la red es una dificultad para la detección y corrección de los
múltiples y variados problemas de seguridad que van apareciendo. Además de las técnicas
y herramientas criptográficas antes citadas, es importante recalcar que una componente
muy importante para la protección de los sistemas consiste en la atención y vigilancia
continua y sistemática por parte de los gestores de la red. Como ejemplo, en la tabla más
abajo se recoge una lista exhaustiva de problemas detectados, extraída del libro: "Firewalls
and Internet Security. (...)".
LISTA DE PELIGROS MÁS COMUNES EN SISTEMAS CONECTADOS
A INTERNET
Fuente:"Firewalls and Internet Security. Repelling the Wily Hacker"
De todos los problemas, el mayor son los fallos en el sistema de
1.
passwords
2
Los sistemas basados en la autenticación de las direcciones se pueden
atacar usando números consecutivos.
3
Es fácil interceptar paquetes UDP.
4
Los paquetes ICMP pueden interrumpir todas las comunicaciones entre
dos nodos.
5
Los mensajes ICMP Redirect pueden corromper la tabla de rutas.
6
El encaminamiento estático de IP puede comprometer la autenticación
basada en las direcciones.
7
Es fácil generar mensajes RIP falsos.
8
El árbol inverso del DNS se puede usar para conocer nombres de
máquinas
9
Un atacante puede corromper voluntariamente la caché de su DNS para
evitar responder peticiones inversas.
10
Las direcciones de vuelta de un correo electrónico no son fiables.
11
El programa sendmail es un peligro en sí mismo.
12
No se deben ejecutar a ciegas mensajes MIME.
13
Es fácil interceptar sesiones Telnet.
14
Se pueden atacar protocolos de autenticación modificando el NTP.
15
Finger da habitualmente demasiada información sobre los usuarios.
16
No debe confiarse en el nombre de la máquina que aparece en un RPC.
17
Se puede conseguir que el encargado de asignar puertos IP ejecute RPC en
beneficio de quien le llama.
18
Se puede conseguir, en muchísimos casos, que NIS entregue el fichero de
passwords al exterior.
19
A veces es fácil conectar máquinas no autorizadas a un servidor NIS.
20
Es difícil revocar derechos de acceso en NFS.
21
Si está mal configurado, el TFTP puede revelar el /etc/passwd.
22
No debe permitirse al ftp escribir en su directorio raíz.
23
No debe ponerse un fichero de passwords en el área de ftp.
24
A veces se abusa de FSP, y se acaba dando acceso a ficheros a quien no se
debe dar.
25
El formato de información de WWW debe interpretarse cuidadosamente.
26
Los servidores WWW deben tener cuidado con los punteros de ficheros.
27
Se puede usar ftp para crear información de control del gopher.
A la hora de plantearse en que elementos del sistema se deben de ubicar los servicios de
seguridad podrían distinguirse dos tendencias principales:


Protección de los sistemas de transferencia o transporte. En este caso, el
administrador de un servicio, asume la responsabilidad de garantizar la transferencia
segura de la información de forma bastante transparente al usuario final. Ejemplos
de este tipo de planteamientos serían el establecimiento de un nivel de transporte
seguro, de un servicio de mensajería con MTAs seguras, o la instalación de un
cortafuego, (firewall), que defiende el acceso a una parte protegida de una red.
Aplicaciones seguras extremo a extremo. Si pensamos por ejemplo en correo
electrónico consistiría en construir un mensaje en el cual en contenido ha sido
asegurado mediante un procedimiento de encapsulado previo al envío, de forma que
este mensaje puede atravesar sistemas heterogéneos y poco fiables sin por ello
perder la validez de los servicios de seguridad provistos. Aunque el acto de
securizar el mensaje cae bajo la responsabilidad del usuario final, es razonable
pensar que dicho usuario deberá usar una herramienta amigable proporcionada por
el responsable de seguridad de su organización. Este mismo planteamiento, se
puede usar para abordar el problema de la seguridad en otras aplicaciones tales
como videoconferencia, acceso a bases de datos, etc.
En ambos casos, un problema de capital importancia es la gestión de claves. Este problema
es inherente al uso de la criptografía y debe estar resuelto antes de que el usuario esté en
condiciones de enviar un solo bit seguro. En el caso de las claves secretas el problema
mayor consiste en mantener su privacidad durante su distribución, en caso de que sea
inevitable su envío de un punto a otro. En el caso de clave pública, los problemas tienen
que ver con la garantía de que pertenecen a su titular y la confianza en su vigencia (que no
haya caducado o sido revocada).
Una manera de abordar esta gestión de claves está basada en el uso de los Certificados de
Clave Pública y Autoridades de Certificación. El problema de la vigencia de la clave se
resuelve con la generación de Listas de Certifados Revocados (CRLs) por parte de las CAs.
4.3 REDES VIRTUALES PRIVADAS
Una Red Virtual Privada (VPN - Virtual Private Network) es aquella red privada construida
sobre una red pública. Las razones que empujan el mercado en ese sentido son,
fundamentalmente de costes: resulta mucho más barato interconectar delegaciones
utilizando una infraestructura pública que desplegar una red físicamente privada. En el otro
extremo, por supuesto, es necesario exigir ciertos criterios de privacidad y seguridad, por lo
que normalmente debemos recurrir al uso de la criptografía.
En general existen dos tipos de redes privadas virtuales:
Enlaces Cliente-Red:
En estos enlaces se encapsula, típicamente, PPP (Point-to-Point Protocol). Las tramas del
cliente se encapsulan en PPP, y el PPP resultante se encapsula para crear el VPN. Se
emplean, entre otras muchas cosas, para:




Acceso seguro de un cliente a la red.
Clientes móviles (para independizarlos de la topología física).
Puntos de acceso remoto. Por ejemplo, un "pool" de módems en otra ciudad, o
clientes nuestros entrando por otro ISP.
Rutado de tramas no utilizables en Internet. Por ejemplo, tramas NetBEUI, IPX,
SNA o DECNET.
Enlaces Red-Red:
En estos casos se está encapsulando el tráfico de una red local, por lo que nos ahorramos el
paso PPP anterior. Las tramas de la LAN se encapsulan directamente para crear el VPN. Se
utiliza para:



Fundir dos redes locales a través de Internet, para que parezcan una sola.
Establecer canales con privacidad, autenticidad y control de integridad, entre dos
redes independientes.
Rutado de tramas no utilizables en Internet. Por ejemplo, tramas NetBEUI, IPX,
SNA o DECNET.
La gran ventaja de este sistema es que simplemente con un acceso local a Internet (desde
cualquier pais) y una correcta configuración se podrían conectar a nuestro servidor de NT,
2000 o XP server a un coste muy bajo utilizando modem y a coste 0 si tenemos una tarifa
plana.
Pongamos por ejemplo una conexión en España entre 2 delegaciones, la de Barcelona y la
de Madrid. Con una punto a punto sobre RDSI pagaríamos 64000 pts./mes por 64 kbps de
ancho de banda. Sólo por unir las dos delegaciones, las conexiones a Internet serían aparte,
además la llamada es de un punto a otro (no es bidireccional).Crear una VPN es
relativamente fácil pero hay que tener en cuenta una serie de observaciones como si
tenemos un router ADSL para acceso corporativo, o si tenemos un modem conectado a un
pc y sobre todo el sistema operativo del servidor y de los clientes.
Dado que la configuración que está teniendo mas fuerza es la de tener un router para que de
acceso a Internet a todos los ordenadores de la red, nos centraremos en esta.
Evidentemente toda la teoría e implementación de VPNs también funciona sobre routers
RDSI con acceso a Internet, los agujeros a crear en el router son los mismos.
En primer lugar tenemos que crear dos agujeros en unos puertos de estos routers, esto es
necesario ya que las redes privadas virtuales generan peticiones de entrada y salida sobre
los puertos y además le tenemos que decir al router a que ordenador local tiene que
redireccionar estas peticiones. El router al conectarse a Internet recibe una IP del proveedor
de acceso, en cambio a nivel local tiene un IP reservada para redes locales, por lo que el
router tiene que saber a que ordenador local tiene que reenviar los paquetes que lleguen con
una petición a los puertos
4.4 SEGURIDAD EN CAPAS RED Y TRANSPORTE
SEGURIDAD A NIVEL RED
Seguridad en IP
IP carece de mecanismos para proveer autenticación, integridad y confidencialidad; IP
busca adoptar los principios establecidos por OSI (7498-2) para construir su arquitectura de
seguridad.
Un poco de historia.....





El DoD de USA propone IPSO (Ip Security Options) para Ipv4
SwIPe para Ipv4
TUBA (TCP and UDP with Bigger Addresses) propuesto para Ipng.
SIPP (Simple Internet Protocol Plus), propuesto para Ipng y retenido como base de
este protocolo
Ipv6, también conocido como Ipng
Encapsulado en capa 4 y capa 3
TCP-H
DATOS
TLSP (Capa 4)
IP-H
KEY-ID
DATOS
ENCRPTADOS
NLSP (Capa 3)
IP-H
KEY-ID
IP-H
DATOS
DATOS
ENCRIPTADOS
SEGURIDAD A NIVEL TRANSPORTE
SSL (Secure Sockets Layer)
Es una propuesta de estándar para encriptado y autenticación en el Web; es un esquema de
encriptado de bajo nivel usado para encriptar transacciones en protocolos de nivel
aplicación como http. FTP, etc.
Con SSL puede autentificarse un servidor con respecto a su cliente y viceversa.
Características:



Se basa en un esquema de llave pública para el intercambio de llaves de sesión.
Las llaves de sesión son usadas para encriptar las transacciones sobre http
Cada transacción usa una llave de sesión. Esto dificulta al "cracker" el comprometer
toda una sesión.
Objetivos de SSL:
1. Seguridad criptográfica. Se sugiere el uso de SSL para establecer conexiones seguras
entre dos partes.
2. Interoperabilidad. Programadores independienvtes deben poder desarrollar aplicaciones
basadas en SSL, que intercambien parámetros criptográficos sin tener conocimiento de los
códigos de los programas de cada uno.
3. Extensibilidad. SSL provee un marco donde pueden incorporarse métods criptográficos
según se necesite. Esto evita el problema de estar creando nuevos protocolos, así como
nuevas librerías de seguridad.
4. Eficiencia Relativa. Puesto que las operaciones criptográficas demandan demasiado
CPU, el protocolo SSL incorpora un esquema opcional de "caching", que reduce el número
de conexiones que deben establecerse desde inicio. Además se ha tomado en cuenta el
reducir en lo posible la actividad de la red.
Protocolo SSL
El estándar de IETF "Transport Layer Security" (TLS) se basa en SSL; requiere un
transporte confiable, provee seguridad en el canal.
Se ubica:
APLICACION
SSL
TCP/IP
Existen dos subprotocolos:


SSL record protocol. Define los formatos de los mensajes empleados en SSL.
Existen dos formatos principales: Record Header Format y Record Data Format
(donde se encapsulan los datos a enviar)
SSL handshake protocol. Autentifica al servidor para el cliente, permite al cliente y
servidor seleccionar algoritmos criptográficos que sean soportados por ambos,
opcionalmente autentifica al cliente para el servidor, usa criptografía de llave
pública para generar secretos compartidos y establece una conexión SSL encriptada.
4.5 PROTOCOLOS DE SEGURIDAD A NIVEL APLICACION
SET (Secure Electronic Transactions)
SET hace seguras las transacciones en línea mediante el uso de certificados digitales; con
SET se puede verificar que tanto clientes como vendedores están autorizados para realizar o
aceptar un pago electrónico, fue desarrollado por Visa y Master Card.
NIVEL
D1
NIVEL
C1
ANÁLSIS DE LOS NIVELES DE SEGURIDAD
El nivel D1 es la forma más elemental de seguridad disponible. Este
estándar parte de la base que asegura, que todo el sistema no es confiable.
No hay protección disponible para el hardware, el sistema operativo se
compromete con facilidad, y no hay autenticidad con respecto a los
usuarios y sus derecho, para tener acceso a la información que se
encuentra en la computadora. Este nivel de seguridad, se refiere por lo
general a los sistemas operativos como MS-DOS, MS-Windows y System
7.x de Apple Macintosh.
El nivel C1 tiene dos subniveles de seguridad C1 y C2. El nivel C1, o
sistema de protección de seguridad discrecional, describe la seguridad
disponible en un sistema típico UNIX. Existe algún nivel de protección
para el hardware, puesto que no puede comprometerse tan fácil, aunque
todavía es posible.
Los usuarios deberán identificarse así mismos con el sistema por medio de
un nombre de usuario y una contraseña. Esta combinación se utiliza para
determinar que derechos de acceso a los programas e información tiene
cada usuario. Estos derechos de acceso son permisos para archivos y
directorios. Estos controles de acceso discrecional, habilitan al dueño del
archivo o directorios, o al administrador del sistema, a evitar que algunas
personas tengan acceso a los programas i información de otras personas.
Sin embargo, la cuenta de administración del sistema no está restringida a
realizar cualquier actividad.
En consecuencia, un administrador del sistema sin escrúpulos, puede
comprometer con facilidad la seguridad del sistema sin que nadie se
entere.
El nivel C2, fue diseñado para ayudar a solucionar tales hechos. Juntos
con las características de C1, el nivel C2 incluye características de
seguridad adicional, que crean un medio de acceso controlado. Este medio
tiene la capacidad de reforzar las restricciones a los usuarios en la
ejecución de algunos comandos o el acceso a algunos archivos, basados no
solo en permisos si no en niveles de autorización. Además la seguridad de
este nivel requiere auditorias del sistema.
NIVEL
C2
Esto incluye a la creación de un registro de auditoria para cada evento que
ocurre en el sistema. La auditoria se utiliza para mantener los registros de
todos los eventos relacionados con la seguridad, como aquellas
actividades practicadas por el administrador del sistema. La auditoria
requiere de autenticación adicional. La desventaja es que requiere un
procesador adicional y recursos de discos del subsistema.
Con el uso de las autorizaciones adicionales, no deben confundirse con los
permisos SGID Y SUID, que se pueden aplicar a un programa, en cambio,
estas son autorizaciones específicas que permiten al usuario ejecutar
comandos específicos o tener acceso a las tablas de acceso restringido.
NIVEL
B1
En nivel B de seguridad tiene tres niveles. El B1, o protección de
seguridad etiquetada, es el primer nivel que soporta seguridad multinivel,
como la secreta y la ultrasecreta. Este nivel parte del principio de que un
objeto bajo control de acceso obligatorio, no puede aceptar cambios en los
permisos hechos por el dueño del archivo.
NIVEL
B2
El nivel B2, conocido como protección estructurada, requiere que se
etiquete cada objeto, los dispositivos como discos duros, cintas,
terminales, etc. podrán tener asignado un nivel sencillo o múltiple de
seguridad. Este es el primer nivel que empieza a referirse al problema de
un objeto a un nivel más elevado de seguridad en comunicación con otro
objeto a un nivel interior.
NIVEL
B3
El nivel B3, o el nivel de demonios de seguridad, refuerza a los demonios
con la instalación de hardware. Por ejemplo, el hardware de
administración de memoria se usa para proteger el dominio de seguridad
de acceso no autorizado, o la modificación de objetos en diferentes
dominios de seguridad. Este nivel requiere que la terminal del usuario
conecte al sistema, por medio de una ruta de acceso segura.
NIVEL
A
El nivel A, o nivel de diseño verificado, es hasta el momento el nivel más
elevado de seguridad validado por el libro naranja. Incluye un proceso
exhaustivo de diseño, control y verificación. Para lograr este nivel de
seguridad, todos los componentes de los niveles inferiores deben incluirse,
el diseño requiere ser verificado en forma matemática, además es
necesario realizar un análisis de los canales encubiertos y de la
distribución confiable.
4.6 ATAQUES DE REDES Y MEDIDAS PREVENTIVAS
Desgraciadamente, el incremento en el uso de Internet también incluye a individuos con
falta de honestidad y sin ética profesional (crackers) que en un momento dado pueden
comprometer la integridad y la privacidad de la información.Unís proveía las fuentes de
programas que lo componen. Esto permitía recopilar versiones modificadas de dichos
programas, pudiendo introducirse con ello caballos de troya o virus. Internet provee muchas
formas de conectar dos sistemas entre sí, algunas de éstas conexiones pueden ser no
deseadas. Dada la gran facilidad de interconexión brindada, es necesario contar con una
administración de seguridad rigurosa.
Clasificación de los ataques:
1. Ataques activos. En un ataque activo, el intruso interfiere con el tráfico legítimo que
fluye a través de la red interactuando de manera engañosa con el protocolo de
comunicación
2. Ataque Pasivo. Un ataque pasivo es aquel en el cual el intruso monitorea el tráfico de la
red para capturar contraseñas u otra información para su uso posterior.
Sniffers:Este programa puede colocarse en una pc en una LAN o en un gateway, por donde
pasan los paquetes. El sniffer va leyendo los mensajes que pasan por estos dispositivos y
graba la información en un archivo. En los primeros mensajes de una conexión se
encuentran los passwords, normalmente sin cifrar.
Snooping:Es la técnica de bajar los archivos desde un sistema al sistema hacker.
Spoofing:Consiste en entrar a un sistema haciéndose pasar por un usuario autorizado. Una
vez dentro del sistema, el atacante puede servirse de éste como plataforma para introducirse
en otro y así sucesivamente.Flooding o Jamming:Consiste en inundar un equipo con tanta
cantidad de mensajes que éste se colapsa. No le queda espacio libre en la memoria o en el
disco. El ataque tipo floofing más conocido es el SYN attack.
ARP(Hades Resolution Protocol)Permite obtener la dirección física de una máquina a
partir de su dirección IP.
Protocolo ICMP (Internet Control Message Protocol)Permite a ruteadores y servidores
reportar errores o información de control sobre la red; reporta errores como: expiración de
TTL, congestión, dirección IP destino no alcanzable, etc; viaja encapsulado en el área de
datos de un datagrama IP.
Mensajes ICMP más comunes
Tipo
Descripción
0
Echo replay
3
Destination Unreachable
4
Source Quench
5
Redirect (cambio de ruta)
8
Echo Request
11
Time Exceded for 2
Datagram
12
Parameter Problem on a
Datagram
13
Timestamp Request
14
Timestamp Replay
Mensaje ICMP Cambio de RutaUtilizado por un ruteador para indicarle a una máquina en
su segmento que utilice una nueva ruta para determinados destinos.
Discusión Ataques ARP e ICMP


El ataque ARP es considerado como un ataque trivial.
El ataque ICMP es considerado como un ataque difícil de implementar.
Requisito observado: la dirección IP fuente del datagrama sobre el cual viaja el mensaje
ICMP, debe ser igual a la dirección IP de cualquier ruteador en la tabla de ruteo de la
máquina víctima.
Mecanismos de protección. Se recomienda la utilización del sistema arpwatch
desarrollado por el Laboratorio Lawrence Berkeley; además de monitoreo continuo del
tráfico de la red para detectar inconsistencias en las parejas (dir IP, dir física) de los
paquetes.
Smurfing.

Ataque pasivo que afecta, principalmente a la disponibilidad de los equipos.

Se lleva (ba) a cabo principalmente en ruteadores Cisco y probablemente en otras
marcas.
4.7 MONITORES DE REDES Y SNIFFERS
¿ Qué es un Sniffer ? ¿ Qué es un analizador de protocolos ?
Un sniffer es un proceso que olfatea el tráfico que se genera en la red a nivel de enlace; de
este modo puede leer toda la información que circule por el tramo (segmento) de red en el
que se encuentre. Por este método se pueden capturar claves de acceso, datos que se
transmiten, numeros de secuencia, etc...
Un analizador de protocolos es un sniffer al que se le ha añadido funcionalidad suficiente
como para entender y traducir los protocolos que se están hablando en la red. Debe tener
suficiente funcionalidad como para entender las tramas de nivel de enlace, y los paquetes
que transporten.
Truco: Normalmente la diferencia entre un sniffer y un analizador de protocolos, es que el
segundo está a la venta en las tiendas y no muestra claves de acceso.
¿ Qué quiere decir que lee información a nivel de enlace ?
Quiere decir que el sniffer se dedica a leer TRAMAS de red, por lo que los datos que
obtendremos de él serán tramas que transporán paquetes (IP, IPX, etc...). En estos paquetes
se incluyen los datos de aplicación (entre ellos claves de acceso).
Estos programas ponen al menos un interfaz de red (o tarjeta de red o NIC) en _modo
promiscuo_; es decir que al menos uno de los interfaces de red de la máquina está
programado para leer toda la información que transcurra por el tramo de red al que esté
conectado, y no solamentelos paquetes con dirigidos a él.
Tengo una red con topologia en estrella, ¿ Soy vulnerable ?
Muy probablemente Sí. Cualquier tipo de red basada en BUS o ANILLO lógicos es
vulnerable. Aunque los cables se envíen a un concentrador (hub) haciendo que la topología
física sea de estrella, si la topología lógica de la red es en bus o en anillo las tramas podrán
escucharse desde cualquier host conectado al concentrador.
En general, IEEE 802.3 (ethernet), 802.4 (token bus), 802.5 (token ring), Ethernet 2, etc..
suelen ser vulnerables con la siguiente salvedad: algunos concentradores de nueva
generación aíslan el tráfico entre hosts conectados a una misma red; por lo que en estas
redes la utilización de sniffers es poco menos que inútil (excepto en ciertos casos donde la
carga de la red obliga al concentrador a unir varios buses lógicos en uno físico - - -- esta
salvedad puede no cumplirse dependiendo del concentrador utilizado).
Quiero dar acceso a mi red vía modem. ¿ Pueden leer la información que circula por
mi red ejecutando un sniffer al otro lado de la línea ?
Depende de cómo se configure la conexión.
En este caso tendrás que engañar al router para que crea que las direcciones que se asignan
para acceso telefónico pertenecen a tu misma red. Si tienes (un poco de) cuidado al
configurar la máquina que controla estos hosts remotos no deberías tener ningún problema,
ya que las tramas que se enviarán a estas máquinas serán únicamente aquellas que les
corresponda recibir.
Casi siempre los proveedores de acceso a internet (Como Infovía en España, Infosel en
México o similares) interponen entre tu red y el usuario remoto una serie de mecanismos
(routers y conexiones punto a punto) que hacen inefectivo el uso un Sniffer en la máquina
remota.
¿ Cómo puedo saber si hay alguien corriendo un sniffer en mi red ?
Esto es más difícil de lo que parece.
La forma más común de saber si un interfaz de red está en modo promiscuo consiste en
ejecutar (en máquinas UNIX) el programa ifconfig de la siguiente forma:
$ifconfig -a [ Muestra el estado de las placas de red. La salida sería similar a esto ]
eth0 Link Encap: 10Mbps Ethernet HWaddr: xx:xx:xx:xx:xx:xx
inet addr: a.b.c.d Bcast: a.b.c.f Mask: m.m.m.m
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
RX packets: 0 errors:0 dropped:0 overruns:0
TX packets:0 errors:0 dropped:0 overruns:0
Interrupt:15 Base Address:0x300
El problema de esta solución es que se necesita tener acceso root a todas las máquinas que
deben comprobarse (otra opción sería hacer un crontab que compruebe el estado cada cierto
tiempo, sin embargo un cracker con acceso al sistema puede ver los trabajos en cron y
deshabilitar esta verificación).
4.8 COMUNICACIONES DE VOZ SEGURAS
El 90% de las escuchas se realiza en las proximidades de la fuente que se desea monitorear,
directamente sobre los cables telefónicos de la red de acceso, con un costo extremadamente
bajo y una instalación muy simple. El 9% de los casos se hace con aparatos de control
directamente en la central pública , pero esta operación requiere de elevados conocimientos
y técnicos especializados. Solo el 1% de las intercepciones se realizan en el lugar de destino
de la comunicación (esta técnica es muy rara pues requiere filtrados y costos muy
elevados).
Puede ser que usted no esté solo en la línea telefónica! El espionaje industrial, fraude
financiero, rivalidades comerciales, asuntos de seguridad nacional y aun las investigaciones
sobre asuntos personales ocurren todos los días. La porción más vulnerable de la red
telefónica es el lazo local de abonado, el cual lo conecta con la red pública. El lazo local
está compuesto por dos alambres de cobre, de modo tal que la "pinchadura" de la línea es
técnicamente muy simple. Como contraste, una vez que la señal llega a la Red Pública de
Telefonía Conmutada, la intercepción requiere de experiencia técnica y una inversión
mucho más importante. Sin una completa protección usted es muy vulnerable a las
intercepciones y escuchas telefónicas.
Para solucionar este tipo de probremas usted podría instalar una unidad de encriptación en
cada teléfono... Las soluciones actuales están limitadas a tecnologías de encriptación puntoa-punto. Esto significa que solo se podrá tener una comunicación segura cuando se instalen
dispositivos similares en ambos extremos de la línea. Aun así, usted no puede realmente
pretender tener unidades de encriptación dispersas entre todos sus posibles interlocutores
telefónicos o de fax, por lo que esa no es una solución muy práctica.
Existen en el mercado diversos productos que ofrecen una solución un ejemplo de esto es
RedSegura le brinda protección aún si su contraparte no tiene ningún tipo de dispositivo de
protección instalado. Fue diseñada para proteger las comunicaciones de voz y fax cursadas
a través de líneas analógicas de la red telefónica pública, utilizando un elevado nivel de
criptografía. Crea un canal seguro entre el Terminal RedSegura (TRS) y la Central
RedSegura (CRS) ubicada en la red pública


Llamadas salientes - Cuando el abonado realiza una llamada saliente, el TRS disca
automáticamente el número del servidor más próximo y establece un canal seguro a
través del cual será establecida la comunicación.
Llamadas entrantes - Cuando alguien desee establecer una llamada segura con un
abonado de Red Segura, deberá llamarlo a su número seguro especial, el cual
enrutará la llamada al servidor y desde allí en forma codificada al abonado. Por lo
tanto, y sin importar si quien llama es o no abonado, la red de acceso está protegida
en forma permanente.
Utiliza una robusta y probada tecnología de encriptación de alto nivel. La unidad de
encriptación transmite las claves públicas con tecnología Elgamal, la que unida a la
encriptación con la tecnología simétrica DES ofrecen una protección de la información que
está extremadamente en la vanguardia de todo lo conocido
4.9 SEGURIDAD EN E-MAIL
PEM (privacy enhanced mail) se define con reglas que contemplan la integridad,
autenticación del origen del mensaje y soporta no repudiación. Par la confidencialidad
(opcional) requiere encripción, jerarquía de certificación y servicios de directorio. Esto
puede verse como una limitación para su uso extendido. PEM es un estándar de Internet,
está diseñado dentro de la arquitectura SMTP, usa conceptos del X.400 de la ITU. No está
ligada necesariamente a ningún algoritmo de encripción pero aplica en criptografía de llave
pública, en particular firma digital.
Debido a que PEM es de uso reducido, PGP (Pret Good Privacy) ha crecido en demanda.
Ambos usan una combinación de llave pública y método simétrico. Sin embargo PGP, no
requiere una autoridad certificadora, proporciona la confidencialidad y firma digital sólo
con la encripción del archivo. Usa IDEA, para la encripción de datos, RSA para encriptar la
llave pública y la "firma digital" además usa MDS para el compendio del mensaje en firma
digital.
POLÍTICAS




Para asuntos formales de negocios y oficiales de la empresa
Para asuntos personales o complementarios (no críticos)
Control de acceso y confidencialidad de mensajes
Administración y archivo de mensajes
LISTA DE USUARIOS



Uno a uno
De uno a un grupo de usuarios o una organización
Grupos de discusión (central mailing list server and broadcast to the other
participants). USENET groups.
PROTOCOLOS



SMTP (Simple Mail Transport Protocol). Acepta mensajes de otros sistemas y los
almacena.
POP (Post Office Protocol). Permite a un cliente en POP bajar el e-mail que fue
recibido en otro servidor de e-mail.
IMAP ( Internet Mail Access Protocol). Es más conveniente que POP, pues no
requiere guardarse la sincronía entre las listas local y del server para la lectura del email
AMENAZAS





DANGEROUS ATTACHMENTS (por ejemplo: trojan executables, virus infected
files, dangerous macro)
IMPERSONATION
EAVESDROPPING
MAILBOMBING. Muchos Internet Service Provider (ISP) proporcionan cuentas
gratutitas que posteriormente pueden usarse para lanzar ataques.
SPAM
E-MAIL AFEGUARS. Políticas que deben definirse para el nivel de protección
deseado.



Prevención a contenidos peligrosos
Prevención a modificaciones o suplantaciones de usuarios
Prevención a eavesdropping
MESSAGE HANDLING SYSTEM (MHS). De OSI es el estándar x.400 para e-mail,
proporciona seguridad protegiendo a los mensajes contra modificaciones y divulgación,
además autentifica la identidad de las partes. MSH contiene:



Modelo funcional
Estructura de mensaje
Reporte de liberación
TACACS Y RADIUS
Son sistemas de autentificación y control de acceso a una red vía conexión remota;
permiten redireccionar el "username" y "password" hacia un servidor centralizado. Este
servidor decide el acceso de acuerdo a la base de datos del producto o la tabla de passwords
del Sistema Operativo que maneje.
CORREO ELECTRÓNICO
El correo electrónico es el servicio de envío y recepción de mensajes entre los usuarios que
conforman una red de computadoras. Estos mensajes llegan a cualquier parte del mundo en
segundos, a lo sumo en minutos. Cada usuario tiene su propia dirección en la red,
típicamente en la forma "nombre@conexión".
El correo electrónico es uno de los servicios más importantes de su conexión al usar la red.
Una vez que usted se acostumbra a utilizar seriamente este medio de comunicación es muy
fácil depender de él. En unos meses decenas de amigos, familiares, colegas, etc., tendrán su
dirección electrónica al igual que usted la de ellos.
La importancia de este medio de comunicación está creciendo cada vez más en nuestros
días, hasta el punto que dentro de varios años, según los expertos, el correo electrónico será
el medio más utilizado después del teléfono para comunicarse con otras personas.
Existen diferentes paquetes soportados "oficialmente" por Redula con los cuales se puede
enviar y recibir mensajes.
Otra forma de utilizar el correo electrónico es bajo el ambiente WINDOWS, iniciando
previamente una sesión de TELNET ubicando el apuntador sobre el icono identificado con
TELNET (el cual no es estándar, sino que es creado), y luego pulsando con el ratón,
aparecerá otra pantalla donde debe escoger la opción CONNECT y elegir el servidor al cual
desea conectarse, luego debe introducir la identificación y clave respectiva y así podrá
probar cualquiera de los tres paquetes mencionados descritos. Igualmente bajo Windows se
encuentra el grupo de programas WINQVT/NET y el EUDORA, los cuales permiten
enviar, recibir correos y acceder a grupos de noticias en un entorno de ventanas y botones
gráficos bastante agradable y sencillo. Entre los editores usados en los programas de correo
electrónico figura el editor pico para el pine y el elm.
Esto es realmente el correo electrónico: Una herramienta que le permite enviar correo
seguro a cualquier persona en toda la Internet.
4.10 SEGURIDAD EN FAX
Existen diferentes tipos de productos en el mercado que proporcionan seguridad en la
transmisión de datos por fax, a continuación presento un ejemplo:
El CSD 3700 habilita la transmisión de alta seguridad y automática de mensajes de fax.
Una vez recibidos los mensajes, éstos pueden ser almacenados con seguridad en memoria
no volátil opcional hasta que los receptores autorizados entren su código de identificación
personal, PIN (Personal Identification Number). Compacto y fácil de usar, el CSD 3700
opera con cualquier máquina de fax del Grupo III.
Manejo de claves
Con cada clave negociada, se produce una nueva clave aleatoria en cada transmisión de fax.
Esta clave de sesión es única a las dos partes en comunicación. Ninguna otra unidad puede
generar esta clave.
El CSD 3700 apoya tanto las redes de fax abiertas como las cerradas. Las redes de fax
abiertas les permiten a dos personas cualquiera en el sistema CSD 3700 enviar faxes con
seguridad. No se requiere ninguna relación de claves previa. Las redes abiertas son ideales
para uso industrial donde un número siempre cambiante de compañías necesitan
comunicarse entre sí.
Las redes cerradas apoyan aplicaciones de gobierno y otras de alta seguridad donde
solamente a un número especificado de personas les es permitido enviar y recibir
información sensitiva. El CSD 3700 añade una clave de red (privada) al intercambio de
claves negotiada para formar una red cerrada. Solamente las máquinas con la misma clave
de red se pueden comunicar entre sí y cada unidad puede almacenar hasta 20 claves de red.
Envío con seguridad.
Modos de envío
Enviar en el modo de seguridad solamente.
Envío con
seguridad/Desvío para
simple.
Un usuario puede enviar un fax normal sin
seguridad.
Envío automático con
seguridad/Normal.
Automáticamente envía con seguridad a una
unidad receptora CSD 3700. Si no, envía en forma
normal.
Modos de recepción
Recepción con
seguridad.
Recibe en el modo seguro solamente.
Recepción automática
con seguridad/Normal.
Automáticamente recibe en el modo seguro si se
está comunicando con otro CSD 3700. Si no,
recibe normalmente.
Independientemente del modo de TX/RX, el CSD 3700 imprime un encabezamiento de
estado, indicando si está en Normal o Seguro en todos los mensajes de fax recibidos.
CSD 3710
El CSD 3710 tiene todo el poder de seguridad y de automatización del CSD 3700, pero con
otro nivel de protección - un Buzón de Correo Electrónico con Seguridad. El buzón
electrónico provee la seguridad interna eliminando el peligro de que mensajes de fax
confidenciales queden a la vista en la bandeja de salida de fax.
El que envia y el que recibe el mensaje de fax encriptado pueden hacer que el mensaje de
fax sea almacenado en forma encriptada en el buzón de la unidad receptora. Los mensajes
almacenados son dados (descifrados e impresos) solamente después de la entrada de un
Número de Identificación Personal válido, PIN (Personal Identification Number).
El CSD 3710 apoya hasta 50 buzones y 120 páginas de texto. También está disponible la
adición de memoria de alta capacidad. La memoria del buzón está protegida y es retenida
en caso de interrupción en la energía eléctrica.
Calidad
TCC está dedicada a productos y servicios de calidad. TCC está certificada por ISO 9001.
ISO 9001 otorgado por TUV es el estándar más riguroso para sistemas de calidad total en
diseño/desarrollo, producción, instalación y servicios