PDF de programación - Seguridad inalámbricas

Seguridad Inalámbricas

Materiales de entrenamiento para instructores de

redes inalámbricas

version 1.4 by Carlo @ 2011-03-18

Metas

son los más importantes

‣ Entender cuáles aspectos de la seguridad de redes WiFi
‣ Iniciarse en lo que es el cifrado, cómo opera y de qué
‣ Entender porqué la distribución de claves es un
‣ Ser capaz de determinar cuál es la mejor configuración

manera resuelve algunos problemas de seguridad

problema

de seguridad para su sistema inalámbrico

2

Porqué la seguridad inalámbrica es un

problema

‣ La conexión inalámbrica es un medio compartido
‣ Los atacantes son relativamente anónimos
‣ El usuario final a menudo no conoce los riesgos
‣ La denegación de servicio es muy simple
‣ Los ataque maliciosos automáticos son cada vez
más complejos
‣ Hay herramientas sofisticados disponibles
gratuitamente que permiten atacar las redes

3

Los ataques pueden venir de muy lejos

Con una antena directiva, un atacante puede entrar a su red desde una distancia considerable, lo que
hace más difícil detectarlo.

4

5

5
5

En esta fotografía, la red inalámbrica “bajo ataque” está aproximadamente a
10 km de distancia.

Los ataques pueden ser completamente

indetectables

6

Escucha pasiva,Los radios pueden ser configurados para monitorizar todo el
tráfico de red. Puesto que el atacante no transmite ningún paquete, el
espionaje de este tipo es imposible de detectar.

¿Quién crea los problemas de seguridad?

apescar redes desprotegidas)

‣ Usuarios desprevenidos
‣ War drivers (individuo dedicados
‣ Fisgones (individuales o corporativos)
‣ Computadores con virus
‣ AP “piratas”
‣ Usuarios malintencionados

Eavesdropper del inglés puede traducirse como fisgón o espía.

7

Un usuario
desprevenido puede
accidentalmente escoger
la red equivocada sin
siquiera notarlo.
Puede revelar sin querer
información privada
(claves, direcciones de
correo electrónico, visitas
a páginas web, sin
percatarse de que pasa
algo malo)

8

Este cliente inalámbrico puede ver 18 redes, seis de las cuales no usan
cifrado. Sin el cifrado, es muy fácil que los usuarios usen accidentalmente la
red equivocada lo que presenta una posibilidad de filtración de datos

War Games (1983), protagonizada por Matthew Broderick,

John Wood, and Ally Sheedy

9

War Games (Juegos de Guerra) es una película clásica que ayudó a definir el
concepto de “hacker” para el público general, en 1983.
Matthew Broderick hizo el papel de chico-cerebrito que usó su computador
para marcar miles de números telefónicos al azar, anotando aquellos que
respondieron con un tono de MODEM de computador. El proceso de
encontrar computadores a través de números telefónicos se conoció desde
entonces como “ guerra de discado”.
En 2001, Pete Shipley de San Francisco, automatizó el proceso de manejar un
automóvil con una laptop WiFi, registrando AP y correlacionando los datos
con la ubicación GPS. Ël acuñó el término “war driving” haciendo referencia al
clásico film del hacker.

Mapa de war driving en WiGLE.net

10

10

WiGLE.net ha registrado la ubicación de más de 16 millones de hotspots WiFi
(redes WiFi accesibles) alrededor del mundo. Los datos fueron recolectados
completamente a través del esfuerzo de entusiastas de las redes
inalámbricas.

AP “piratas”

Un AP puede ser instalado incorrectamente por usuarios
legítimos. Alguien puede desear mejor cobertura inalámbrica en su
oficina, o puede encontrar las restricciones de seguridad de la red
inalámbrica corporativa demasiado difíciles de acatar.
Al instalar un AP de consumidor sin permiso, los usuarios pueden
exponer la red completa a ataques desde adentro.

Además, los espías que intentan captar datos o dañar la red
pueden intencionalmente instalar un AP en su red, proporcionando
una “puerta trasera” efectiva.

La palabra “rogue” del inglés puede traducirse como pirata o forajido

11

Fisgones

Por medio de una herramienta de monitoreo pasivo (como
Kismet), un fisgón puede captar todos los datos de la red desde
una gran distancia sin que su presencia se note siquiera

12

La aplicación de monitoreo Etherpeg es un paquete monitor que muestra un
“collage” de gráficas que se envían sin cifrado a través del mundo. Es una
especie de “navegador Web invertido” que muestra lo que está pasando en la
pantalla de todos los demás usuarios.

Usuarios maliciosos

El Supremo alemán culpa a la dueña de una conexión de las
descargas realizadas por desconocidos
La mujer estaba de vacaciones cuando alguien empleó su
red.- El tribunal considera que el acceso no estaba
suficientemente protegido

EL PAÍS - Barcelona - 12/05/2010

 

  El Tribunal Supremo alemán ha culpado de un delito de omisión a la dueña
de una conexión a Internet desprotegida, que un desconocido empleó para
descargar música. La descarga de archivos protegidos, punible en Alemania, se
produjo mientras la propietaria de la línea de Internet se encontraba de
vacaciones, informa Efe. El tribunal ha determinado que el código de acceso a
la red de la propietaria fue insuficiente para proteger la línea, para lo que
habría sido necesaria una contraseña personalizada.

13

Consideraciones básicas de seguridad
‣ Seguridad Física: ¿Está bien protegido el equipo?
‣ Autenticación: ¿Con quién está realmente hablando?
‣ Privacidad: ¿Puede un tercero interceptar la

comunicación? ¿Cuántos datos recolecta Ud. sobre sus
usuarios?

‣ Anonimato: ¿Es deseable que los usuarios permanezcan
‣ Contabilidad: ¿Están algunos usuarios usando

anónimos?

demasiados recursos? ¿ Sabe Usted cuándo la red está
siendo atacada o está simplemente sobrecargada?

14

Problemas de
seguridad física

15

La foto de la izquierda muestra un “nido de ratas” de cableado, que mezcla
Ethernet, RF, cables de alimentación y otros cables en un enredo, lo que hace
fácil que alguien cause problemas con o sin intención.
A la derecha, un armario telefónico abierto, sin candado, al lado de una calle
en México.

Proteja su red inalámbrica

Estas son algunas medidas de seguridad para proteger a
los usuarios y a la red inalámbrica:

‣ Redes “cerradas”
‣ Filtrado MAC
‣ Portales cautivos
‣ Cifrado WEP
‣ Cifrado WPA
‣ Cifrado fuerte de extremo a extremo

(end-to-end)

16

Estos métodos se presentan en orden de protección y complejidad
crecientes.

Redes “cerradas”

Al esconder el SSID (es decir, no anunciarlo en balizas o
beacons), se puede evitar que la red sea mostrada en dispositivos
de rastreo de redes.
Ventajas:
‣Es una característica de seguridad estándar respaldada por casi
todos los tipos de AP.
‣Los usuarios indeseables difícilmente van a elegir por accidente
una red “cerrada” de una lista de redes.
Desventajas:
‣Los usuarios legítimos deben saber previamente el nombre de
la red.
‣Las redes “cerradas” son difíciles de encontrar en un site
survey, sin embargo, las herramientas de monitoreo pasivo las
encuentran fácilmente.

17

Filtrado MAC

Se puede aplicar filtrado de direcciones MAC en el AP para
controlar cuáles dispositivos pueden conectarse.
Ventajas:
‣Es una característica de seguridad estándar respaldada por
casi todos los tipos de AP.
‣Sólo aquellos dispositivos que tengan una dirección MAC
estipulada pueden conectarse a su red.
Desventajas:
‣Las tablas MAC son engorrosas de mantener.
‣Las direcciones MAC se transmiten sin cifrar (incluso si se
usa cifrado WEP), y se pueden copiar y re-usar con facilidad.

18

Las direcciones MAC pueden cambiarse en la mayoría de las tarjetas y
sistemas operativos.

Portales cautivos

Un portal cautivo es un mecanismo de autenticación útil para
cafés, hoteles, y otros ambientes donde se provea acceso a
usuarios eventuales.

Como usa un navegador web para autenticación, los portales
cautivos trabajan con casi cualquier laptop y sistema operativo.
Los portales cautivos se usan normalmente sobre redes abiertas
sin otros métodos de autenticación (como filtros WEP o MAC).

Puesto que no proporcionan cifrado fuerte, los portales cautivos
no son una buena elección para redes que necesitan restringir el
acceso sólo a usuarios confiables.

19

Portales cautivos

20

Portales cautivos populares

Los siguientes portales cautivos soportan páginas
iniciales (splash pages) básicas, autenticación con
RADIUS, contabilidad, tiques pre-pago, y muchas otras
características.

‣ Coova (http://coova.org/)
‣ Chillispot (http://www.chillispot.info/)
‣ WiFi Dog (http://www.wifidog.org/)
‣ m0n0wall (http://m0n0.ch/wall/)

21

Fisgoneo

Por medio de la escucha pasiva de datos en la red, los usuarios
maliciosos pueden colectar información valiosa.

Los fisgones pueden ver el tráfico no cifrado
de la red e inyectar paquetes, controlando
completamente la conexión de la víctima

22

El “hombre en el medio” (man-in-the-middle: MITM)

El “hombre en el medio” controla efectivamente todo lo que el
usuario está viendo, y puede grabar y manipular todo el tráfico.

Servidor

hombre en el medio

usuario

23

El cifrado ayuda

El cifrado puede ayudar a proteger el tráfico de los fisgones.
Algunos AP pueden tratar de aislar los dispositivos de los
clientes
Pero sin una infraestructura de clave pública (PKI), el cifrado
fuerte sólo no brinda protección completa ante este tipo de
ataques.

El túnel puede finalizar en
cualquier parte de Internet

Los fisgones pueden ver el tráfico
inalámbrico no cifrado

El tráfico inalámbrico se
protege con un túnel cifrado

24

Cifrado básico

‣ Cifrar información es relativamente fácil.
‣ La distribución de clave es difícil.
‣ La identificación única es un reto en conexión
inalámbrica
‣ El cifrado de clave pública resuelve algunos (pero no
todos) los problemas.
‣ El ataque por “hombre en el medio” todavía es posible
si se usa cifrado sin una infraestructura de clave
pública (PKI)
‣ Ninguna PKI es completamente segura

25

Fallos de PKI: 2001

http://amug.org/~glguerin/opinion/revocation.html

“A finales de Enero de 2001, VeriSign entregó por error dos cert