Protocolos de seguidad WIRELESS

Seguridad.

Este punto es fundamental, ya que las redes inalámbricas usan ondas de radio y son más susceptibles de ser interceptadas, es decir, no brindan la protección y privacidad de un cable, por lo que se hace casi indispensable proveer de mecanismos de seguridad a nivel de enlace que garanticen la integridad y confiabilidad de los datos, en definitiva se busca asegurar que la información transmitida entre los puntos de acceso y los clientes no sea revelada a personas no autorizadas. En este punto, también se tratarán los mecanismos de autenticación y control de acceso, como medida de seguridad diseñada para establecer la validez de una transmisión.

A continuación se explica brevemente en que consisten los principales mecanismos que intentan o ayudan a garantizar la privacidad, integridad y confidencialidad de la transmisión, ellos son WEP, WPA, filtrado MAC y 802.1x [WEB09].

Mecanismo de seguridad WEP (Wired Equivalent Privacy) obsoleto

La confidencialidad en redes inalámbricas ha sido asociada tradicionalmente con el término WEP, que forma parte del estándar IEEE 802.11 original, de 1999. Su propósito fue brindar un nivel de seguridad comparable al de las redes alambradas tradicionales.

Se trata de un mecanismo basado en el algoritmo de cifrado RC4, y que utiliza el algoritmo de chequeo de integridad CRC (Chequeo de Redundancia Cíclica). Un mal diseño del protocolo provoco que al poco tiempo de ser publicado quedara obsoleto. Actualmente existen varios ataques y programas para quebrar el WEP tales como Airsnort, Wepcrack, Kismac o Aircrack. Algunos de los ataques se basan en la limitación numérica de los vectores de inicialización del algoritmo de cifrado RC4, o la presencia de la llamada “debilidad IV” en un datagrama. Este mecanismo no es recomendado para garantizar la seguridad de una red.

WPA y WPA2

En 2003 se propone el Acceso Protegido a redes WiFi o WPA y luego queda certificado como parte del estándar IEEE 802.11i, con el nombre de WPA2 en 2004.

WPA y WPA2 pueden trabajar con y sin un servidor de distribución de llaves. Si no se usa un servidor de llaves, todas las estaciones de la red usan una llave de tipo PSK (Pre-Shared-Key), en caso contrario se usa habitualmente un servidor IEEE 802.1x.

La versión certificada de WPA incluye dos cambios principales que aumentan considerablemente la seguridad, se reemplaza el algoritmo Michael por un código de autenticación conocido como el protocolo CCMP (Counter-Mode/CBC-Mac) considerado criptográficamente seguro y se reemplaza el algoritmo RC4 por el AES (Advanced Encryption Standard) o Rijndael. WPA2 bien configurado, es actualmente el mecanismo más seguro en que se puede confiar.

Filtrado MAC

Es un mecanismo que realizan los puntos de acceso que permite únicamente acceder a la red a aquellos dispositivos cuya dirección física MAC sea una de las especificadas. El mecanismo se puede utilizar como control adicional; pero es fácilmente vulnerable aplicando un clonado de la MAC a suplantar.

Detener la difusión de la SSID como medida de seguridad

Se pueden configurar los puntos de accesos para que no difundan periódicamente las llamadas Tramas Baliza o Beacon Frames, con la información del SSID. Evitar esta publicación implica que los clientes de la red inalámbrica necesitan saber de manera previa que SSID deben asociar con un punto de acceso; pero no impedirá que una persona interesada encuentre la SSID de la red mediante captura de tráfico. Este sistema debe considerarse tan solo como una precaución adicional más que una medida de seguridad.

Protocolo 802.11x

Este protocolo ofrece un marco para autentificar y controlar el acceso a los puntos de accesos. Sirve como soporte para implementaciones de seguridad sobre servidores de autentificación. El funcionamiento se puede ver en la Figura 9 y es básicamente el siguiente, el cliente envía una petición al servidor de autentificación a través del AP, quien comprueba el certificado o el nombre de usuario y contraseña utilizando esquemas de autentificación como EAP encargados de la negociación. Si es aceptado, el servidor autorizará el acceso al sistema y el AP permite el acceso asignando los recursos de red.

Lista de control de acceso

Una lista de control de acceso o ACL (del inglés, access control list) es un concepto de seguridad informática usado para fomentar la separación de privilegios. Es una forma de determinar los permisos de acceso apropiados a un determinado objeto, dependiendo de ciertos aspectos del proceso que hace el pedido.

Las ACL permiten controlar el flujo del tráfico en equipos de redes, tales como enrutadores y conmutadores. Su principal objetivo es filtrar tráfico, permitiendo o denegando el tráfico de red de acuerdo a alguna condición. Sin embargo, también tienen usos adicionales, como por ejemplo, distinguir "tráfico interesante" (tráfico suficientemente importante como para activar o mantener una conexión) en RDSI.

El motivo por el que suele gestionarse en una clase o sistema separado y no en cada una de las partes que pretenden asociarse a permisos es por seguir las reglas SOLID, en este caso la S (Principio de responsabilidad única), lo cual te permite incluso escalar mejor. Se asemejaría a un sistema de control de accesos físico típico de un edificio, donde esa parte está centralizada en un lugar. Este lugar solo necesita saber dos cosas: Quien eres (por ejemplo un ID de una tarjeta, tu id de usuario) y que quieres hacer. El te responde si tienes permiso de hacerlo o no. Con este enfoque este mismo sistema no solo puede ser utilizado para acceder a lugares si no para cualquier cosa que necesite separarse de personas que pueden y no pueden hacer cosas, por ejemplo: acceder a una página o sección, publicar un comentario, hacer una amistad, enviar un correo,... En redes informáticas, ACL se refiere a una lista de reglas que detallan puertos de servicio o nombres de dominios (de redes) que están disponibles en un terminal u otro dispositivo de capa de red, cada uno de ellos con una lista de terminales y/o redes que tienen permiso para usar el servicio. Tanto servidores individuales como enrutadores pueden tener ACL de redes. Las listas de control de acceso pueden configurarse generalmente para controlar tráfico entrante y saliente y en este contexto son similares a un cortafuegos.

SKA (Shared Key Authentication): Este método utiliza una clave compartida entre el Punto de Acceso y el cliente. El cliente envía un Authentication Request, el Punto de Acceso responde con un Authentication Challenge. El cliente a su vez, responde con un Authentication Response (cifrado) y finalmente el Punto de Acceso responde con Authentication Result. Es dentro del SKA donde se pueden utilizar los diferentes sistemas de cifrados existente para redes Wireless.

- OSA vs SKA. OSA (Open System Authentication), cualquier interlocutor es válido para establecer una comunicación con el AP. SKA (Shared Key Authentication) es el método mediante el cual ambos dispositivos disponen de la misma clave de encriptación, entonces, el dispositivo TR pide al AP autenticarse. El AP le envía una trama al TR, que si éste a su vez devuelve correctamente codificada, le permite establecer comunicación.       

CNAC(Closed Network Access Control)

.Utiliza el SSID como contraseña

.Solo permite el acceso a aquellas estaciones cliente que conozcan el nombre de la red

Ventajas de las redes inalámbricas con respecto a las redes que utilizan cables (redes cableadas):

* No existen cables físicos: por lo tanto no hay cables que se enreden, ni que entorpezcan la transitabilidad o que molesten estéticamente.

* La instalación de redes inalámbricas suele ser más económica.

* Su instalación también es más sencilla.

* Permiten gran alcance; las redes hogareñas inalámbricas suelen tener hasta 100 metros desde la base transmisora.

* Permite la conexión de gran cantidad de dispositivos móviles. En las redes cableadas mientras más dispositivos haya, más complicado el entramado de cables.

* Posibilidad de conectar nodos a grandes distancias sin cableado, en el caso de las redes inalámbricas corporativas.

* Permiten más libertad en el movimiento de los nodos conectados, algo que puede convertirse en un verdadero problema en las redes cableadas.

* Permite crear una red en áreas complicadas donde, por ejemplo, resulta dificultoso o muy cara conectar cables.

* Permite ampliar una red cableada en caso de redes mixtas (mezclas de inalámbricas con cableadas)


- Desventajas de las redes inalámbricas.

* Todavía no hay estudios concluyentes sobre el grado de peligrosidad de las radiaciones electromagnéticas utilizadas en las redes inalámbricas. De todas maneras la mayoría de los estudios apuntan a que son inocuas.

* Son algo más inseguras que las redes cableadas, por eso los organismos de defensa e inteligencia gubernamentales utilizan redes con cables dentro de sus edificios.

* El ancho de banda de las redes inalámbricas es menor que las cableadas; en otra palabras, la velocidad alcanzada por las redes cableadas es mayor.

* Las redes inalámbricas son un poco más inestables que las redes cableadas, pueden verse afectada por otras ondas electromagnéticas o aparatos electrónicos cercanos.

* La señal inalámbrica puede verse afectada e incluso interrumpida por objetos, árboles, paredes, espejos, etc.