2. - Seguridad.

Realizado por:
Leonor Martínez Zafrilla
1
1. - Introducción.
2. - Seguridad.
3. - Hackers, Crackers, Virus, Troyanos y Robo de la
Identidad.
4. - El Correo Electrónico.
5. - El Usuario.
6. - Seguridad en los Servidores de Red.
7. - Métodos empleados.
7.1. – Copias de Seguridad (Backup).
7.2. – Sistemas RAID.
7.3. – Cifrado.
7.4. – PKI.
8. - Soluciones.
8.1. – Cortafuegos.
8.2. – IPSec.
8.3. – VPN.
8.4. – Antivirus.
9. - A tener en cuenta.
10. – Referencias y Bibliografía.
2
1. - Introducción.
Todos queremos tener, si no la máxima seguridad, por lo
menos un cierto nivel de ésta que nos permita confiar en que nuestro
ordenador no será atacado por personas no deseables y no obtendrán
información que para nosotros es de máximo interés y, por tanto,
queremos que sea confidencial.
También queremos tener un nivel de seguridad para que
nuestras máquinas no queden incapacitadas y no podamos trabajar
con ellas.
Pero hay que tener en cuenta que la posibilidad de que se
realice un ataque está siempre presente.
Hay dos tipos de ataques:
1. - Ataques internos que pueden ser debidos a
usuarios malintencionados o no, o debidos a virus.
2. - Ataques externos provocados por los hackers o
por los crackers.
Internet es inseguro y por ello es necesaria la seguridad. Es
inseguro por varias razones:
1. – Falta de educación en lo que se refiere a las
medidas o pasos que hay que seguir para que el
sistema sea seguro. Parece que sólo las personas
relacionadas con la informática, dejando fuera a
los usuarios ‘normales’, tienen conciencia de que
la seguridad es necesaria. También hace referencia
3
a los casos en los que los servidores son
administrados por personas que tienen un nivel
bajo de educación sobre la seguridad de éstos.
2. – El diseño de Internet que está basado en la
arquitectura cliente /servidor. El cracker accede al
servidor y lo rompe.
3. – Naturaleza humana. Las personas creen que los
temas de seguridad en Internet es cosa de los
expertos.
4. – La tecnología. Los crackers emplean alta
tecnología que les permite romper un sistema más
fácilmente y de forma más rápida.
2. - Seguridad.
2.1. - Definiciones.
Seguridad de la Red: Es la necesidad de tener una
comunicación segura. Aquí entra la criptografía matemática para
poder construir protocolos que garanticen esa seguridad.
Sistema de Seguridad: Es un conjunto de
elementos que permiten al usuario realizar ciertas operaciones en
función del nivel de responsabilidad que le ha sido asignado. Este
nivel de responsabilidad depende del puesto que ocupe el usuario del
sistema. El sistema ha de tratar de reducir los puntos por donde se
puede producir un ataque y los que no se puedan eliminar tienen que
ser controlados para evitar el ataque.
4
2.2. - ¿Dónde se puede aplicar la seguridad?
La seguridad se puede aplicar a:
-
Industria y Comercio.
Sistemas Distribuidos.
Redes.
Bases de Datos.
Integridad.
Control de Acceso.
Verificar Seguridad.
Virus.
Protocolos.
Autenticación.
Detección de Intrusos.
2.3. - Objetivos de la Seguridad.
- Confidencialidad: Los datos no pueden ser
accedidos ni interpretados por usuarios no autorizados.
- Integridad: Los datos no pueden ser
modificados, borrados, etc. y si lo han sido hay que detectarlo.
- Autentificación: Es confirmar que los datos
recibidos son de quien dice ser. Se trata de que un individuo no finja
ser otro, es decir, que quede asegurada la identidad de quien envía
los datos.
- No repudio: Quien ha enviado los datos
no puede negar que los ha enviado.
5
- Disponibilidad: Que los datos estén siempre
disponibles y evitar que se pierdan o queden bloqueados.
2.4. - ¿Por qué es necesaria?
La seguridad es necesaria para evitar que los
intrusos puedan obtener información sobre las personas o sobre las
empresas para poder utilizarla a favor suyo y en perjuicio de los
demás.
Es necesaria para evitar la suplantación de una
persona y que se la culpe a ésta de la fechoría hecha por el intruso
que ha sustituido a esa persona.
Es necesaria para poder evitar que un fallo en el
sistema producido por un usuario perjudique al resto de usuarios o
para evitar que el usuario emplee Internet para perder el tiempo en
horas de trabajo.
La seguridad es necesaria para evitar el robo de
los passwords, la alteración o robo de ficheros, la introducción de
virus o troyanos y para evitar que nuestro ordenador sea utilizado
para realizar un ataque a otro.
3. - Hackers, Crackers, Virus, Troyanos y Robo de
la identidad.
3.1. – Hackers
Un hacker es aquella persona que trabaja con
ordenadores para manipular la tecnología y la información. Es
aquella persona que trata entrar en los ordenadores de diversas
6
maneras sin tener autorización y, por tanto, están realizando un acto
ilegal.
Los hackers son programadores. Tienen un
conocimiento de los lenguajes de programación y de los sistemas
operativos.
Los hackers emplean los mensajes ICMP para
examinar las redes o para redireccionar tráfico.
Los hackers intentan conseguir que los usuarios
digan sus passwords, esto es lo que ellos llaman Ingeniería Social.
Los hackers realizan programas que
automáticamente chequean la seguridad de la red de máquinas
remotas para descubrir los puntos más vulnerables y poder entrar en
ellas y así romper la seguridad de éstas.
3.2. – Crackers
El cracker es aquella persona que se dedica a
romper los esquemas de protección y de encriptación.
El cracker intenta romper la integridad del sistema
de seguridad de una máquina remota. No tienen autorizado el acceso
y destruyen información muy importante, es decir, se dedican a
realizar acciones malvadas.
A diferencia de los hackers, los crackers no
implementan programas para chequear la seguridad de la red, si no
que los piden o los roban.
7
Los crackers pueden romper un sistema para
lucrarse, es decir, porque es contratado por una empresa para romper
el sistema de seguridad de otra y a cambio recibe un dinero.
3.3. – Virus
Un virus es una parte de código o un programa
que se replica en otros programas.
Los virus se suelen propagar a través de ficheros
ejecutables y por medio de componentes de Office de Microsoft
como Word y Excel con macros. De manera que un virus entrará en
nuestro ordenador si ejecutamos un programa que lo contenga o si
tenemos deshabilitada la alerta contra macro virus y abrimos un
fichero de Office que contiene el virus.
Los virus tienen un ciclo de vida y pueden estar
en el ordenador y activarse, por ejemplo, en una determinada fecha.
Pero cuando se activan pueden destruir
información e infectar a ficheros que haya en el disco duro.
Los virus pueden cambiar y ser cada vez más
potentes y perjudiciales.
3.4. – Troyanos
Los troyanos se basan en el Caballo de Troya que
utilizaron los griegos para atacar la ciudad desde dentro. Luego los
troyanos son programas que intentan atacar a los ordenadores desde
dentro.
Son programas que permiten a los intrusos acceder
a ordenadores remotos que están conectados a Internet.
8
Los troyanos se propagan mediante los ficheros
ejecutables.
3.5. – Robo de la identidad
Como se ha dicho anteriormente los intrusos que
atacan los ordenadores, sean hackers o crackers pueden obtener
información sobre las personas y eso implica el hurto.
Esa información la pueden utilizar para obtener,
por ejemplo, tarjetas de crédito que vayan a nombre de la persona
cuya identidad ha sido robada.
4. - El Correo Electrónico.
El correo viaja por la red y puede ser leído por cualquier
persona, de modo que para tener la seguridad de que nuestro correo
sólo será leído por el destinatario lo mejor es recurrir a técnicas
criptográficas.
Utilizando estas técnicas el mensaje viajará cifrado y
solamente el destinatario podrá leerlo. Estamos consiguiendo uno de
los objetivos de la seguridad que es la confidencialidad, es decir, la
información será conocida o leída sólo por el usuario autorizado.
Otros objetivos de la seguridad como la autentificación, la
integridad o el no repudio se pueden conseguir con la firma digital
que sustituye a la firma que ponemos, por ejemplo, al escribir una
carta a mano. Pero en este caso es necesario que haya alguien que
certifique que esa firma digital corresponde a la persona que
realmente firma, es decir, es necesario un notario.
9
4.1. – Sistemas de seguridad o protocolos.
En este apartado vamos a comentar algunos
protocolos, certificados o sistemas que se utilizan para poder
garantizar o tener un nivel de seguridad en el correo electrónico.
4.1.1. – SSL (Secure Sockets Layer)
Es un protocolo creado por la empresa
Netscape que puede utilizarse para el correo electrónico y para
cualquier intercambio de información que se lleve a cabo a través de
Internet.
Fue estandarizado por el IETF bajo el
nombre de TLS (Transport Layer Security).
Proporciona tres características:
1. - Firma digital.
2. - Integridad.
3. - Encriptación.
Puede servir para cualquier aplicación que
emplee TCP/IP ya que sustituye los sockets del sistema operativo y
éstos son los que hacen de interfaz entre el protocolo TCP/IP y las
aplicaciones.
En SSL se utilizan certificados X509v3 para
transmitir las claves públicas.
SSL se divide en dos subcapas o protocolos
que son el Protocolo Handshake y el Protocolo de Registro.
El primero se dedica a seleccionar los
parámetros de la conexión y de la sesión, a autentificar tanto al
usuario como al servidor y establece la conexión segura.
10
El segundo se emplea para cifrar las capas
que hay por encima de él.
El modelo de capas quedaría de la siguiente
forma:
Aplicación
Handshake SSL
Registro SSL
TCP
IP
4.1.2. - S/MIME
(Secure / Multipurpose Internet Mail Extensions)
S/MIME es un protocolo que está
sustituyendo al PEM ( Privacy Enhanced E-mail ).
Fue creado para que los mensajes enviados
por correo electrónico en el formato MIME tuvieran una mayor
seguridad.
S/MIME utiliza técnicas criptográficas para
mantener la privacidad y la firma digital para asegurar la
autentificación.
11
4.1.3. - X.509
X.509 es el protocolo que se utiliza para
certificar las claves públicas.
Con X.509 los usuarios pueden intercambiar
datos de manera segura.
Fue creado por la UIT para servir al X.400 y
su origen se encuentra en el directorio X.500.
Se emplea para autentificar la información
en redes externas y en redes internas y en el correo electrónico.
Permite crear estructuras jerárquicas
anidando certificados.
Asegura la integridad, la privacidad y el no
repudio de los mensajes.
Los campos del X.509 son los siguientes y
se escriben en formato ASN.11 :
- Versión: La del protocolo X.509.
- Número de serie: Es un número asignado
por el CA y que identifica de manera única
el certificado.
- Algoritmo de la firma del certificado:
Identifica el algoritmo utilizado para firmar
el certificado.
- Autoridad de certificación (CA): Es el
nombre de la CA.
1
ASN.1 (Abstract Syntax Notation 1) Es un formato para describir estructuras de datos.
12
- Fecha de inicio: Fecha a partir de la cual es
válido el certificado.
- Fecha final: Fecha en la que termina la
validez del certificado.
- Usuario: Es el nombre del usuario.
- Clave pública: Es la clave del usuario.
- Identificador único del CA: Es el número
que identifica al CA. Es único en el mundo.
- Identificador único del usuario: Es el
número que identifica al usuario para todos
sus certificados.
- Extensiones: Si hay extensiones de la
información.
- Firma de la CA: Firma todos los campos
anteriores empleando, para ello, su clave
privada.
4.1.4. - SET (Secure Electronic Transaction)
Es un protocolo que se utiliza para llevar a
cabo transacciones de comercio electrónico de una manera segura.
Es un sistema multiplataforma.
Puede ser transportado en correo electrónico
(SMTP o MIME) en TCP y con HTTP en webs.
13
En el protocolo SET pueden intervenir: El
comprador, el vendedor, la entidad bancaria que proporciona la
tarjeta de crédito al comprador, la entidad bancaria donde el
vendedor tiene su cuenta y la pasarela de pagos que gestiona las
interacciones entre los bancos.
Los objetivos de seguridad que se
garantizan son el robo de la identidad, la confidencialidad y la firma
electrónica.
5. - El usuario.
El sistema de seguridad también ha de tener en cuenta
a los usuarios ya que, con o sin intención, pueden provocar algún
desastre más o menos importante, por ejemplo, introducir un virus
en el ordenador al copiar un programa contenido en un diskette.
Algunos sistemas operativos permiten definir un nivel de
usuario de manera que para acceder a determinadas aplicaciones es
necesario tener el nivel requerido o no se podrá acceder a dichas
aplicaciones.
Para evitar los problemas que pueda causar el usuario los
ficheros se pueden proteger para impedir que sean modificados o
borrados, por ejemplo, podemos hacer que un fichero sólo se pueda
leer y así impediremos que se pueda modificar.
Para asegurar el sistema de los problemas que pueda causar
el usuario se puede restringir el acceso a ciertos ficheros, a partes del
sistema operativo o a todo el sistema operativo.
14
Pero al igual que se le puede denegar el acceso a algunos
ficheros, el usuario puede tener una serie de derechos que le
permitirán acceder o poder modificar otros ficheros.
Cada usuario tendrá unas restricciones y unos derechos en
función del nivel que se la haya concedido, por ejemplo, en una
empresa.
También hay que tener en cuenta que el usuario tiene que
proteger su ordenador contra otros usuarios. Para poder asegurarse
que sólo accederá a su ordenador él mismo existen una serie de
mecanismos como, por ejemplo, utilizar un password que para
mayor seguridad deberá cambiar cada cierto tiempo. Pero esto tal
vez no sea suficiente para que el sistema sea seguro, entonces lo que
se suele o se puede emplear es el Challenge / Response que consiste
en generar cada vez un password único y distinto.
En el Challenge / Response el usuario pide acceso; el
servidor le envía un número aleatorio que el usuario tiene que
codificar utilizando como clave de encriptación su password; el
usuario envía el resultado y el servidor comprueba si es correcto.
Así el usuario demuestra que conoce el password, pero éste
no viaja por la red.2
Como último apunte indicar que hay que educar a los
usuarios porque tienen ( o tenemos) malas costumbres como decir el
password a un amigo, o apuntarlo por si se nos olvida. Estas son
cosas que disminuyen la seguridad.
2
Recordar el protocolo de autentificación CHAP que se menciona en el Tema 3 de los apuntes de Redes,
concretamente al hablar del protocolo a nivel de enlace en la Internet, el Point to Point Protocol.
15
6. - Seguridad en los Servidores de Red.
El sistema operativo de la red puede proteger el acceso a los
servidores, pero hay que contar con los administradores del sistema
o súper-usuarios que pueden acceder a cualquier fichero o a
cualquier parte del servidor ya que son quienes los gestionan.
Pero el que tengan esos privilegios por ser quienes son no
les da derecho a leer lo que nosotros podamos tener en nuestras
cuentas.
Para evitar esto y evitar que la información sea accedida, ya
no por el administrador del sistema sino por cualquier otra persona
no deseable, los sistemas de seguridad permiten cifrar y descifrar los
ficheros de un servidor de red.
De modo que el usuario sí puede leer sus ficheros, pero para
el administrador o el súper-usuario están codificados y son
ininteligibles.
El administrador puede manejar esos ficheros pero no
puede acceder a su contenido.
7. - Métodos empleados.
7.1. – Copias de Seguridad (Backup).
El backup consiste en hacer copias de la
16
información.
El método de backup sirve para evitar la pérdida de
la información debida, por ejemplo, a que haya sido eliminada por
accidente. Si la información se pierde, podrá ser recuperada gracias
a las copias guardadas.
El backup se suele hacer cada cierto tiempo de
manera que la información de la copia de seguridad no coincidirá
totalmente con la información actual, pero en caso de que se pierda
la información sólo habrá que actualizar esa parte de la información
que no coincide debido al periodo de tiempo entre copias de
seguridad.
7.2. – Sistemas RAID.
Un sistema RAID es una serie de discos que vistos
desde el punto de vista lógico son como si fuesen uno solo.
Los sistemas RAID tienen la misma finalidad que
los métodos de backup.
Son sistemas redundantes que aumentan el
rendimiento. La redundancia de estos sistemas se emplea para el
caso en el que uno de los discos falle.
Dependiendo de cómo se escriban o guarden los
datos podemos distinguir distintos niveles. Cada uno de estos niveles
tendrá un grado de seguridad y un grado de rendimiento. Por
ejemplo, el nivel 0 no tiene redundancia ni seguridad pero tiene un
gran rendimiento y el nivel 1 no tiene un gran rendimiento pero
aumenta la seguridad.
17
7.3. – Cifrado.
Cifrar la información es alterarla de tal manera
que no pueda ser interpretada por quien no tiene el algoritmo de
cifrado.
El cifrado consiste en convertir un texto en plano
en un texto cifrado. El texto plano se puede entender y el texto
cifrado solamente puede ser entendido por las personas que estén
autorizadas y serán las que tengan el algoritmo que les permita
descifrar el texto, es decir, obtener el texto original.
Para realizar el cifrado se emplean fórmulas
matemáticas muy complejas y una clave de cifrado.
Tanto para cifrar como para descifrar un texto se
utiliza una clave que solamente debe ser conocida por las personas
autorizadas.
Existen dos tipos de algoritmos para realizar el
cifrado y el descifrado:
1. - Simétricos: Emplean la misma clave
para cifrar que para descifrar. La clave es secreta y aseguran la
confidencialidad.
2. - Asimétricos3: Emplean una
clave distinta para cifrar que para descifrar. Proporcionan la
confidencialidad, la firma digital y la autentificación.
Algunos de los objetivos del cifrado son:
1. – Mantener la confidencialidad de los
datos.
2. – Crear circuitos cerrados de
3
Los algoritmos asimétricos también se llaman de clave pública. Una de las claves es pública y la otra es
privada.
18
información. Son un conjunto de
ordenadores que tienen el mismo
algoritmo de cifrado y la misma clave, de
manera que los datos que salen al exterior
no se entenderán en un ordenador del
exterior y viceversa.
3. – No repudio.
4. – Autenticidad.
5. – Privacidad, es decir, los datos sólo
pueden ser leídos por personas con
autorización.
6. – Integridad.
7.3.1. – Algoritmos
A continuación se explicarán algunos de los
algoritmos utilizados tanto simétricos como asimétricos.
 DES (Data Encryption Standard)
Es uno de los algoritmos más populares
y, hoy en día es el más fácil de romper.
Es un estándar de los EE.UU. (ANSI
X9.17) y de la ISO.
Es un algoritmo de cifrado simétrico y
que trabaja con bloques de 64 bits y con una clave de 56 bits.
El inconveniente que tiene es que la clave
es corta por lo que ha sido sustituido por el AES(Advanced
Encryption Standard).
19
TDES ( Triple DES)
Es un algoritmo simétrico.
El estándar ANSI X9.52 describe como
funciona este algoritmo simétrico.
Es más seguro que el DES porque utiliza
una clave mayor y ejecuta 3 veces el algoritmo. La clave es de 128
bits, de los cuales 16 son de paridad.
Las 3 ejecuciones del algoritmo se hacen
de la siguiente forma:
1. - Se cifran los datos utilizando el
algoritmo DES y una clave de 64 bits.
2. - Se descifran utilizando el DES
inverso y una clave de 64 bits distinta a la aplicada al DES.
3. - Se cifran los datos empleando el DES
y la clave de 64 bits utilizada en el paso 1.
Es uno de los más utilizados para proteger
las transacciones realizadas por la industria financiera.
AES (Advanced Encryption Standard)
Es un estándar de cifrado de los EE.UU.
que sustituye al DES.
Emplea claves de 128 bits, 192 bits ó 256
bits y trabaja con bloques como el DES.
Diseñado para ser efectivo tanto en
hardware como en software.
20
IDEA (International Data Encryption
Algorithm)
Algoritmo simétrico que trabaja con
bloques de 64 bits y con una clave de 128 bits.
Es más robusto que el DES porque su
clave es mayor y todavía no ha sido roto.
Es utilizado por el PGP ( Pretty Good
Privacy).
Blowfish
Es un algoritmo simétrico que emplea
claves de tamaño variable, pudiendo llegar a los 448 bits.
Trabaja con bloques de texto de 64 bits.
Diffie-Hellman
Es un algoritmo asimétrico que se utiliza
para intercambiar claves y que se basa en el problema del logaritmo
discreto.
Los mensajes cifrados son demasiado
largos y la clave es muy pequeña.
Se suele utilizar en el algoritmo de El
Gamal.
en el protocolo SSL.4
RC4
Es un algoritmo simétrico que se utiliza
Las claves son de longitud variable.
RSA (Rivest, Shamir y Adleman)
Es un algoritmo asimétrico o de clave
pública. Fue creado por Ron Rivest, Adi Shamir y Leonard
Adleman en 1978.
4
Ver punto 4.1.1.
21
Como claves públicas utiliza dos números
elegidos de manera aleatoria. Éstos son dos números grandes y
primos.
Su seguridad se basa en que para
romperlo hay que realizar la descomposición en factores primos del
producto n = p * q (donde p y q son los números primos elegidos de
manera aleatoria).
Utilizado para el intercambio de claves.
DSA (Digital Signature Algorithm)
Es un algoritmo asimétrico que se
emplea para la firma digital pero no para intercambiar claves.
Está basado en el logaritmo discreto.
Es un estándar de EE.UU. (ANSI 9.30).
DSS (Digital Signature Standard)
Es un estándar utilizado para la firma
digital que emplea el algoritmo asimétrico DSA y una función hash
SHA.
Las claves son de 1024 bits.
La función hash SHA fue creada en 1994
y trabaja con bloques de 160 bits. Se utiliza para comprimir datos,
no para cifrarlos.
7.4. – PKI (Public Key Infraestructure).
Aunque la PKI se basa en el cifrado de clave
pública lo he puesto en un punto aparte porque su uso es muy
importante en Intranet como en Extranet.
Es tan importante porque proporciona:
1. – No repudio.
22
2. – Confidencialidad.
3. – Autentificación de usuarios.
4. – Integridad.
En la infraestructura de clave pública las claves
son creadas de manera aleatoria.
Se utiliza para el intercambio de claves y en los
protocolos SSL, SSH, PGP, S/MIME e IPSec.
Los elementos que forman parte de una PKI son
los siguientes:
1. – Autoridad de Certificación (CA): Es
quien crea el certificado, lo firma,
verifica la identidad de quienes lo
solicitan y publica las listas de
revocación.
2. – Autoridad de Registro (RA): Verifica la
identidad de los solicitantes y libera de
esa tarea al CA.
3. – Lista de Revocación del Certificado
(CRL): Se utiliza, por ejemplo, cuando la
clave privada se ha hecho pública.
4. – Certificado: Es donde se almacena la
clave. El certificado contiene más
información.5
5
El resto de información que contiene un certificado se puede ver en el apartado 4.1.3.
23
8. - Soluciones.
En este apartado vamos a ver algunas de las medidas que se
toman para evitar el acceso de intrusos a una red privada o para
solucionar algunos de los problemas que hemos visto en apartados
anteriores.
Estas soluciones suelen combinarse con alguno de los
métodos vistos en el apartado anterior para obtener un mayor nivel
de seguridad.
8.1. – Cortafuegos.
Un cortafuegos es un dispositivo que permite a
una empresa o a un usuario normal protegerse contra intrusos y
evitar que sus trabajadores utilicen de manera inapropiada Internet.
Se colocan entre la red privada y la red externa.
Los cortafuegos tienen una serie de filtros que
permiten controlar el tráfico entre la red de la empresa e Internet.
Pueden emplearse para proteger el acceso general
dentro de una empresa o para asegurar la información confidencial
que pasa por las redes públicas.
Sólo dejan pasar lo que es necesariamente
imprescindible. Protegen a la red de los intrusos pero no garantizan
una total seguridad en el sistema.
Si un usuario quiere instalar un cortafuegos, éste
debe de ser barato y fácil de instalar.
24
8.1.1. – Características.
1. – Filtrar todas las cabeceras de los
paquetes.
2. – Alarmas.
3. – Prevención de paquetes.
4. – Prevención de direcciones spoofing.
5. – Reglas dinámicas.
6. – Contadores.
7. – Timeouts.
8. – Ocultar los puertos de los ordenadores
para hacerlos invisibles.
9. – Debe rastrear todas las posibles
amenazas.
8.1.2. – Tipos de cortafuegos.
Los cortafuegos se pueden dividir en varios
grupos:
1. – De filtración de paquetes: Trabajan
a nivel de red y los paquetes son filtrados en función de su tipo, su
dirección de origen, su dirección de destino y la información de
acceso en el paquete.
Se consume poca CPU y disminuye el
tiempo de espera en la red porque analizan poca información.
El problema se encuentra en si se utiliza
DHCP( asignación dinámica de direcciones IP) ya que la única
manera de identificación del trabajador es la dirección IP que se ha
asignado a su puesto de trabajo. Esto no ocurre con el siguiente
grupo.
25
2. – Servidores por poderes (proxy): Son
cortafuegos a nivel de aplicación. Es un cliente que actúa como
servidor. Monitorizan y controlan el tráfico de salida. Disminuyen
los requisitos de ancho de banda. Pueden automatizar el proceso de
conexión ya que manejan las comunicaciones y pueden registrar lo
que el trabajador hace. Pueden autentificar antes de realizar la
conexión hacia al exterior. Pueden registrar con quien se ha
conectado.
Proporcionan más seguridad que el filtrado
de paquetes.
3. – NAT: Se dice que proporciona
características de cortafuegos porque aísla los hosts o nodos
terminales de Internet. Es mejor que el filtrado de paquetes pero no
es mejor que los servidores proxy. En la práctica suelen fallar. La
solución es ser más estrictos con el tráfico DNS.
8.1.3. – Configuración.
Hay distintas maneras de implementar un
cortafuegos.
8.1.3.1. – Dial-up (Marcado Manual).
Utilizar un servicio telefónico. Puede
emplear una tercera tarjeta para proporcionar filtrado DMZ (zona
desmilitarizada).
Esto proporciona un control sobre
Internet y separa su red de la del exterior.
26
__________
_/\__/\_
|
|
_______________
|
|
| Firewall | (LAN) |
|
/ Internet \----| System |--(HUB)--| Workstation/s |
\_ _ _ _/
|__________|
|_______________|
\/ \/ \/
|
(DMZ)
(HUB)
8.1.3.2. – Router.
Si existe un router entre la red privada e
Internet, en éste se pueden configurar una serie de filtros.
Si el router es del proveedor, no se
pueden tener los controles que deseamos.
___________
__________
_/\__/\_
| Router |
|
|
_______________
|
|
|
or
| (DMZ) | Firewall | (LAN) |
|
/ Internet \----|Cable Mdm|--(HUB)--| System |--(HUB)--| Workstation/s |
\_ _ _ _/
|_________|
|
|__________|
|_______________|
\/ \/ \/
|
(Outside)
(Server)
8.1.3.3. – Servidor Proxy.
Para controlar y vigilar a los
trabajadores. El servidor proxy se puede poner en la LAN. El
cortafuegos tendrá una serie de reglas o filtros que harán que
solamente el servidor proxy conecte con Internet.
__________
_/\__/\_
|
|
_______________
|
|
| Firewall | (LAN) |
|
/ Internet \----| System |--(HUB)--| Workstation/s |
\_ _ _ _/
|__________|
|
|_______________|
\/ \/ \/
|
______________
|
|
|
+----| Proxy Server |
|______________|
27
El servidor proxy también puede situarse
en el propio cortafuegos.
__________
| Proxy / |
_______________
|
|
| Firewall | (LAN) |
|
/ Internet \----| System |--(HUB)--| Workstation/s |
\_ _ _ _/
|__________|
|_______________|
\/ \/ \/
_/\__/\_
8.1.3.4. – Redundante.
Se utilizan técnicas redundantes, tanto en
los cortafuegos como en los routers. Empleando técnicas RoundRound-Robin el DNS puede dar acceso a varios servidores. Se
controla cada conexión.
_/\__/\_
_/\__/\_
|
|
|
|
/ ISP #1 \______
(WAN)_____/ Partners \
\_ _ _ _/
|
(HUB)
\_ _ _ _/
\/ \/ \/
|
___|____
\/ \/ \/
__|___
|_______ |
_/\__/\_
|_____ |
|Firewall||
______
|
|
|
|| (DMZ) | System || (LAN) |
|
/ ISP #2 \--|Router||--(HUB)--| (VPN) ||--(HUB)--| WS/s |
\_ _ _ _/ |______|
|
|________|
|
|______|
\/ \/ \/
|
|
|
______
|
(Outside) (Shared)
|
|
|
------ |
(Server)
(Server)
+----|Proxy |
| WS/s | |
|______|
| VPN |-+
|______|
28
8.1.4. – Implementación.
Existen distintas formas de implementar un
cortafuegos en la red.
8.1.4.1. – Un router.
En el router se ponen una serie de filtros
pero si éstos son muy complejos la carga de proceso del router
aumenta y esto se ve en una merma del rendimiento.
El nivel de seguridad no es muy alto
porque los usuarios siguen conectados a nivel de red con la red
externa.
8.1.4.2. – Un ordenador con dos conexiones
a dos redes.
El ordenador o host está conectado a la
red interna y a la externa. El cliente está en el cortafuegos y tiene
acceso a las dos redes. El cortafuegos será el único ordenador de la
red interna que sepa cosas sobre el exterior.
Este host va a actuar como un servidor
proxy y se le llama host bastión. El nivel de seguridad es mayor que
en el caso anterior pero si un hacker instala un programa sniffer en
él, podrá obtener tráfico de la red interna.
Si alguien quiere descargar ficheros de la
red externa, éstos se bajan al cortafuegos y luego, según las reglas o
filtros establecidos, se baja al lugar de trabajo.
29
8.1.4.3. – Un ordenador y dos routers.
El ordenador está conectado a ambos
routers, uno de ellos a la red de la empresa y el otro a la red externa.
El ordenador o host actúa como servidor
proxy.
A la red que está formada por los tres
elementos se la llama zona desmilitarizada o zona DMZ.
El nivel de seguridad es mucho mayor
que en los dos casos anteriores porque si un hacker pone un
programa sniffer en el host, no podrá obtener datos confidenciales
de la empresa porque el host no está conectado directamente con la
red interna.
8.2. – IPSec.
Consiste en extender la seguridad a IP y, de
esta manera, reducir las amenazas a la seguridad.
Se utiliza para los datos que viajan a través de
túneles entre VPN’s.
Utiliza el cifrado y la infraestructura de clave
pública (PKI). El cifrado se realiza a nivel de red y cifra IP, y las
cabeceras de UDP y TCP.
8.2.1. – Elementos.
1. – Autentication Header(AH): Indica si el
paquete ha sido modificado durante el
viaje de origen a destino, es decir,
garantiza la integridad.
30
2. – ESP (Encapsulating Security Payload):
Evita que se pueda acceder a los datos, es
decir, asegura la confidencialidad. Tanto
la información como la cabecera de
transporte viaja cifrada hasta el destino.
3. – ISAKMP (Internet Security Association
and Key Management Protocol):
Protocolos para el intercambio seguro de
claves.
8.2.2. – Modos de configuración.
Existen dos modos de configurar IPSec.
1. – Modo túnel: El cifrado se realiza en los
routers que acceden a los hosts, pero los
datos en la red local no están cifrados. Es
la mejor solución para realizar VPN’s
porque no hay que modificar las
configuraciones de los equipos. La
seguridad no es tan grande como en el
siguiente caso.
2. – Modo transporte: El cifrado se hace
entre el host origen y el destino. Es más
seguro que el modo túnel, pero todos los
hosts tienen que tener configurado IPSec.
Hay productos certificados de IPSec, pero estos
productos han de ser interoperables con otros productos también
certificados.
31
8.3. – VPN (Virtual Private Network).
Una VPN es la creación de redes privadas
utilizando para ello las redes públicas. Para la transmisión de los
datos se crean túneles entre ambas redes por lo que la información
viaja encapsulada y, a veces, también cifrada.
De esta manera un trabajador de una empresa
podrá acceder a la red local de ésta de manera remota utilizando los
servicios de la red pública.
Una VPN tiene una serie de ventajas:
1. - Al conectarse a una red pública no se
utilizan los enlaces punto a punto.
2. - Se evitan las llamadas interprovinciales
ya que los accesos remotos se pueden
hacer a través de cualquier proveedor.
3. - En la oficina central sólo se necesita el
equipo necesario para la conexión a
Internet.
4. - El cliente VPN puede acceder a los
datos de la red privada.
Una VPN también tiene inconvenientes:
1. – Son necesarios elementos de seguridad
para evitar accesos no autorizados.
2. – No se tienen los direccionamientos
adecuados para llevar a cabo las
conexiones.
3. – Necesidad de mecanismos de seguridad
para evitar la pérdida de datos.
32
4. – No se pueden tener los rangos de
direcciones válidas para unir los equipos.
5. – El cliente VPN tiene que encapsular los
paquetes y, a veces, cifrar los datos por lo
que gasta más CPU y su carga es mayor.
Otro elemento importante de la VPN es el servidor
de túneles que se encuentra en la red de la empresa y que se encarga
de crear el túnel entre el cliente VPN y él mismo. También realiza la
encapsulación / desencapsulación de los paquetes.
8.3.1. – Protocolos para la creación de VPN.
8.3.1.1. – PPTP (Point to Point
Tunneling Protocol).
Se utiliza para crear VPN’s sobre IP.
Trabaja a nivel de enlace y emplea una serie de protocolos para
poder crear las redes como GRE (Protocolo de encapsulación
genérico), PPP( Protocolo de conexión punto a punto), MSCHAP(Variante del protocolo CHAP) y MPPE (Protocolo de cifrado
punto a punto). Soporta solamente un túnel.
8.3.1.2. – L2TP (Layer 2 Tunneling
Protocol).
Se utiliza para realizar la
encapsulación. Soporta múltiples túneles. Soporta IP, ATM, Frame
Relay y X.25.
33
8.3.1.3. – IPSec6.
Se utiliza a nivel de red y se emplea
en modo túnel porque permite el cifrado de los datagramas. Permite
el uso de NAT (Network Address Translation).
8.3.1.4. – Criptografía.
Se suelen utilizar algunos de los
algoritmos vistos en apartados anteriores como IDEA, 3DES, RCA
o RSA.
8.4. – Antivirus.
Un antivirus es un programa que registra los
ficheros para encontrar algo (una firma) que indique que están
infectados por un virus. También detecta la presencia de troyanos.
Una vez que detecta los ficheros infectados los
limpia y elimina el virus.
9. - A tener en cuenta.
1. – Los cortafuegos sirven para defender los
ordenadores de los gusanos, troyanos, virus, etc.
2. – El cifrado será necesario cuando los datos sean
importantes y requieran privacidad.
3. – La existencia de virus, troyanos y el robo de la
identidad hacen necesario un nivel de seguridad.
6
Ver apartado anterior 8.2
34
4. – El software de los antivirus ha de ponerse al día una
vez por semana para poder reconocer los virus
nuevos.
5. – Las personas que tengan conexiones con cable o
módem DSL tienen que tener un cortafuegos.
6. – Si en un e-mail el remitente es desconocido, no abrir
el correo.
7. – El usuario que deba utilizar un password debe
cambiarlo cada cierto tiempo.
8. – El usuario no debe anotar el password.
9. – El usuario no debe decir a nadie su password para
acceder al sistema.
10. – Educar al usuario para que lleve a cabo los tres
puntos anteriores.
11. – Un sistema de seguridad, como mínimo, debe
poder configurarse en una sola máquina para todos los
usuarios y después llevarlo a los lugares de trabajo.
12. – Los ficheros AUTOEXEC.BAT y CONFIG.SYS
se emplean para poner en marcha sistemas de
protección de gran tamaño.
13. – Los dispositivos de entrada y salida de los
ordenadores son la principal causa de los problemas
de seguridad.
14. – No utilizar programas grabados en diskette sin
saber de donde provienen.
15. – Actualmente la PKI es la única manera de dar
confianza a los usuarios del comercio electrónico.
16. – El tener una dirección IP fija aumenta el riesgo de
intrusión de forma exponencial, pero si la conexión a
Internet es pequeña también podemos sufrir un
ataque.
17. – La creación de VPN’s soluciona el problema
debido al agotamiento de los rangos de las direcciones
IP.
35
18. – Hacer copias de seguridad (backup) cada cierto
tiempo.
19. – Utilizar los antivirus.
20. – La seguridad del sistema va a depender del punto
más débil del sistema por lo que los problemas de
seguridad no se deben tratar de manera aislada.
21. – Hay que registrar todo lo que ocurre en el
ordenador para poder analizarlo después y poder
detectar los posibles defectos del sistema de
seguridad.
10.- Referencias y Bibliografía.
- Apuntes de Ingeniería del Software 3.
- Apuntes de Arquitectura y Servicios de los
Sistemas Distribuidos.
- www.uv.es./ciuv/cas/vpn.html
- www.robertgraham.com/pubs/hackingdict.htm
- www.eurologic.es/conceptos.htm
- www.linuxdoc.org/HOWTO/FirewallHOWTO-html
- www.service.real.com/firewall/firewall.html
36