Seguridad para la Red Inalámbrica  de un Campus Universitario
<ul><li>Redes Wi-Fi </li></ul><ul><ul><li>Problemas de seguridad </li></ul></ul><ul><li>Campus UTPL </li></ul><ul><ul><li>...
<ul><li>Wi – Fi (Wireless Fidelity) </li></ul><ul><li>802.11 a/b/g, 802.11 b representativo </li></ul>Redes Wi – Fi (1/2) ...
<ul><li>Problemas de Seguridad </li></ul><ul><li>Inexistencia de delimitación física de forma clara </li></ul><ul><li>Punt...
Campus UTPL (1/5) <ul><li>Situación Actual </li></ul><ul><li>Control de Acceso </li></ul><ul><li>Extensión de los Servicio...
Campus UTPL (2/5) <ul><li>Esquema Actual </li></ul>
Campus UTPL (3/5) <ul><li>Estadísticas de Uso </li></ul>
<ul><li>Esquema de Seguridad Actual </li></ul><ul><ul><li>Uso de servicio de autenticación poco robusto </li></ul></ul><ul...
www.sans.org Campus UTPL (5/5) <ul><li>Prácticas de Seguridad </li></ul>•  Establecer y reforzar la seguridad de las compu...
Requerimientos Funcionales Seguridad <ul><li>Ofrecer accesos a los servicios tecnológicos </li></ul><ul><li>Ofrecer servic...
Mecanismos de Seguridad(1/5) <ul><li>Evitar la difusión del SSID  (Service Set Identifier). </li></ul><ul><li>Establecer l...
<ul><li>Opera en el Nivel 2 , modelo OSI </li></ul><ul><li>Usa clave secreta estática para autenticación y protección de d...
<ul><li>Basado en el estándar 802.11i </li></ul><ul><li>Usa 802.1x como mecanismos de control de acceso </li></ul><ul><li>...
<ul><li>Estándar para realizar control de acceso a una red </li></ul><ul><li>Componentes: </li></ul><ul><ul><li>Suplicante...
<ul><li>Superan las limitaciones de WEP </li></ul><ul><li>Son atractivas para entorno inalámbricos </li></ul><ul><li>No es...
Flujo de  Autenticación Flujo de  Autorización Cliente de Acceso Inalámbrico Suplicante 802.1x Access Point (Autenticador ...
Flujo de  Autenticación Flujo de  Autorización Cliente de Acceso Inalámbrico Suplicante 802.1x Access Point (Autenticador ...
Flujo de  Autenticación Flujo de  Autorización Cliente de Acceso Inalámbrico Suplicante 802.1x Access Point (Autenticador ...
Flujo de  Autenticación Flujo de  Autorización Cliente de Acceso Inalámbrico Suplicante 802.1x Access Point (Autenticador ...
Usuario/Contraseña SSO:  UTPLWIFI-SEC Cliente (IP de la LAN correspondiente a perfil) Cliente (IP de la LAN correspondient...
<ul><li>Servidor Radius Freeradius ( www.freeradius.org  ) </li></ul><ul><ul><li>Módulo de Autenticación EAP </li></ul></u...
<ul><li>Un componente primordial de las mejores recomendaciones de seguridad actuales y futuras, por lo cual su adopción e...
<ul><li>[ 1] Sampalo Francisco, Despliegue de redes inalámbricas </li></ul><ul><li>seguras sin necesidad de usar VPN, 2004...
<ul><ul><li>María Paula Espinosa:  [email_address] </li></ul></ul><ul><ul><li>Carlos Loayza:  [email_address] </li></ul></...
Próxima SlideShare
Cargando en…5
×

Wi Fi Utpl

2.190 visualizaciones

Publicado el

Publicado en: Empresariales, Tecnología
0 comentarios
0 recomendaciones
Estadísticas
Notas
  • Sé el primero en comentar

  • Sé el primero en recomendar esto

Sin descargas
Visualizaciones
Visualizaciones totales
2.190
En SlideShare
0
De insertados
0
Número de insertados
18
Acciones
Compartido
0
Descargas
83
Comentarios
0
Recomendaciones
0
Insertados 0
No insertados

No hay notas en la diapositiva.

Wi Fi Utpl

  1. 1. Seguridad para la Red Inalámbrica de un Campus Universitario
  2. 2. <ul><li>Redes Wi-Fi </li></ul><ul><ul><li>Problemas de seguridad </li></ul></ul><ul><li>Campus UTPL </li></ul><ul><ul><li>Situación Actual </li></ul></ul><ul><ul><li>Problemas de Seguridad </li></ul></ul><ul><li>Requerimientos </li></ul><ul><li>Mecanismos de seguridad </li></ul><ul><li>802.1x </li></ul><ul><li>Implementación </li></ul>AGENDA
  3. 3. <ul><li>Wi – Fi (Wireless Fidelity) </li></ul><ul><li>802.11 a/b/g, 802.11 b representativo </li></ul>Redes Wi – Fi (1/2) ESTÁNDAR DESCRIPCIÓN 802.11 • Estándar WLAN original. • Soporta de 1 a 2 Mbps. 802.11a • Estándar WLAN de alta velocidad en la banda de los 5 GHz. • Soporta hasta 54 Mbps. 802.11b • Estándar WLAN para la banda de 2.4 GHz. • Soporta 11 Mbps 802.11e • Está dirigido a los requerimientos de calidad de servicio para todas las interfaces IEEE WLAN de radio. 802.11f • Define la comunicación entre puntos de acceso para facilitar redes WLAN de diferentes proveedores. 802.11g • Establece una técnica de modulación adicional para la banda de los 2.4 GHz. • Dirigido a proporcionar velocidades de hasta 54 Mbps. 802.11h • Define la administración del espectro de la banda de los 5 GHz para su uso en Europa y en Asia Pacífico. 802.11i • Dirigido a superar la vulnerabilidad actual en la seguridad para protocolos de autenticación y de codificación. El estándar abarca los protocolos 802.1X, TKIP (Protocolo de Llaves Integras –Seguras– Temporales), y AES (Estándar de Encriptación Avanzado). Es un estándar que aún está en proceso de desarrollo, pero parece que el futuro de las WLAN pasa por IEEE 802.11i
  4. 4. <ul><li>Problemas de Seguridad </li></ul><ul><li>Inexistencia de delimitación física de forma clara </li></ul><ul><li>Puntos de acceso en la red interna desprotegida: </li></ul><ul><li>vulnerando seguridad de la compañía </li></ul>Redes Wi-Fi (2/2) Man – In-The-Middle Wardriving y Warchalking
  5. 5. Campus UTPL (1/5) <ul><li>Situación Actual </li></ul><ul><li>Control de Acceso </li></ul><ul><li>Extensión de los Servicios Red LAN </li></ul><ul><li>Acceso Abierto: autenticación a través de un portal cautivo NoCat </li></ul><ul><li>Topología </li></ul><ul><li>Modo Infraestructura </li></ul><ul><li> 22AP’s </li></ul><ul><li>Vlan’s </li></ul>Uso <ul><li>Tecnología </li></ul><ul><li>802.11 g </li></ul><ul><li>Cisco Aironet 1200 </li></ul><ul><li>Roaming </li></ul><ul><li>Balanceo de Carga </li></ul><ul><li>Alimentación línea de comunicación </li></ul><ul><li>Más de 16 vlans </li></ul><ul><li>Calidad de Servicio </li></ul><ul><li>Seguridad: Encriptación, autentificación </li></ul>
  6. 6. Campus UTPL (2/5) <ul><li>Esquema Actual </li></ul>
  7. 7. Campus UTPL (3/5) <ul><li>Estadísticas de Uso </li></ul>
  8. 8. <ul><li>Esquema de Seguridad Actual </li></ul><ul><ul><li>Uso de servicio de autenticación poco robusto </li></ul></ul><ul><ul><li>Comunicación entre clientes y AP´s no cifrada </li></ul></ul><ul><ul><li>No se integra a los componentes de Gestión de la Red </li></ul></ul><ul><ul><li>No se definen roles de usuario </li></ul></ul><ul><ul><li>Sujeto a Ataques de Spoofing </li></ul></ul><ul><ul><li>No hay total manejo de datos cifrados </li></ul></ul><ul><ul><li>No adopción de buenas prácticas de seguridad </li></ul></ul>Campus UTPL (4/5)
  9. 9. www.sans.org Campus UTPL (5/5) <ul><li>Prácticas de Seguridad </li></ul>• Establecer y reforzar la seguridad de las computadoras laptop y crear un programa de concienciación sobre la importancia de la seguridad. Bajo • Garantizar la capacidad para administrar centralmente la instalación, actualizaciones y respuesta de un programa de seguridad. Bajo • Asegurarse de que toda la configuración de seguridad se mantenga y controle centralmente. Bajo • Implantar actualizaciones automáticas oportunamente. Bajo • Instalar una tecnología que pueda detectar y bloquear las amenazas conocidas y desconocidas. Medio • Obtener advertencias sobre las amenazas con antelación para que haya una mitigación más rápida. Bajo • Actualizar los sistemas operativos Medio • No permitir el acceso a carpetas y archivos compartidos sin la debida autorización en nuestros equipos de trabajo. Medio • Asignar contraseñas lo suficientemente fuertes y no compartirlas. Bajo • AAA, Autenticación, Autorización y Accounting o manejo de cuentas. Bajo
  10. 10. Requerimientos Funcionales Seguridad <ul><li>Ofrecer accesos a los servicios tecnológicos </li></ul><ul><li>Ofrecer servicio de acceso a la Red Pública </li></ul><ul><li>Habilitar el acceso seguro a los recursos informáticos brindando movilidad dentro de las instalaciones </li></ul><ul><li>Permitir movilidad sin perder los privilegios de acuerdo a su rol </li></ul><ul><li>Evitar que la información transmitida pueda ser escuchada y capturada. </li></ul><ul><li>Evitar modificación de las transmisiones </li></ul><ul><li>Impedir el acceso de usuarios no autorizados </li></ul><ul><li>Manejar perfiles de usuario y distinción de privilegios </li></ul><ul><li>Utilizar sistemas actuales de autenticación </li></ul><ul><li>Solución homogénea </li></ul><ul><li>Mecanismo de seguridad que no afecte la disponibilidad de la red ni complique la gestión </li></ul>
  11. 11. Mecanismos de Seguridad(1/5) <ul><li>Evitar la difusión del SSID (Service Set Identifier). </li></ul><ul><li>Establecer listas de control de acceso por direcciones de MAC (Media Access Control) de los dispositivos que acceden a la red. </li></ul><ul><li>Utilizar cifrado en las conexiones inalámbricas. </li></ul><ul><li>Segmentar los puntos de acceso inalámbricos en zonas de seguridad administradas por un firewall. </li></ul><ul><li>Establecer redes privadas virtuales en las conexiones inalámbricas. </li></ul><ul><li>Combinar mecanismo de autenticación a la red y cifrado de datos </li></ul>
  12. 12. <ul><li>Opera en el Nivel 2 , modelo OSI </li></ul><ul><li>Usa clave secreta estática para autenticación y protección de datos </li></ul><ul><li>Se puede detectar el Vector de Inicialización usado para el cifrado </li></ul><ul><li>Susceptible a ataques para encontrar la llave de cifrado </li></ul><ul><li>Kismet, Aircrack y WepLab </li></ul>Mecanismos de Seguridad(2/5) Wired Equivalent Privacy (WEP)
  13. 13. <ul><li>Basado en el estándar 802.11i </li></ul><ul><li>Usa 802.1x como mecanismos de control de acceso </li></ul><ul><li>Utiliza el protocolo Temporal Key Integrity Protocol (TKIP) </li></ul><ul><li>Función de encriptación llamada Message Integrity Code (MIC) </li></ul><ul><li>Estándar en proceso de adopción </li></ul><ul><li>802.11i , se está ratificando </li></ul>Mecanismos de Seguridad(3/5) Wi-Fi Protected Access (WPA)
  14. 14. <ul><li>Estándar para realizar control de acceso a una red </li></ul><ul><li>Componentes: </li></ul><ul><ul><li>Suplicante </li></ul></ul><ul><ul><li>Autenticador o Punto de Acceso </li></ul></ul><ul><ul><li>Servidor de Autenticación: RADIUS (RFC 2865, RFC 2866, RFC 3580) </li></ul></ul><ul><li>1X hace referencia al uso de EAP </li></ul><ul><li>Costos asociados </li></ul><ul><li>Solución escalable </li></ul>Mecanismos de Seguridad(5/5) 802.1x
  15. 15. <ul><li>Superan las limitaciones de WEP </li></ul><ul><li>Son atractivas para entorno inalámbricos </li></ul><ul><li>No es transparente el usuario </li></ul><ul><li>Implica infraestructura adicional para soporte </li></ul><ul><li>No permiten autenticar dispositivos que acceden a la red </li></ul>Mecanismos de Seguridad(4/5) Virtual Private Network (VPN)
  16. 16. Flujo de Autenticación Flujo de Autorización Cliente de Acceso Inalámbrico Suplicante 802.1x Access Point (Autenticador 802.1x) Firewall SEGMENTO DE SERVIDORES Servidor RADIUS Autenticacion 802.1x Servidor de dominio de usuarios (LDAP) SEGMENTO DE ACCESO INALÁMBRICO 802.1x (1/5) Cliente de Tercero Cliente de Tercero Mac OS Cliente de Tercero Cliente de Tercero Linux Cliente de Tercero Cliente de Tercero Windows 9x Cliente de Tercero Cliente nativo Windows XP, 2000, Vista EAP-TTLS EAP-TLS Sistema Operativo
  17. 17. Flujo de Autenticación Flujo de Autorización Cliente de Acceso Inalámbrico Suplicante 802.1x Access Point (Autenticador 802.1x) Firewall SEGMENTO DE SERVIDORES Servidor RADIUS Autenticacion 802.1x Servidor de dominio de usuarios (LDAP) SEGMENTO DE ACCESO INALÁMBRICO 802.1x (2/5) <ul><li>Compatibilidad con 802.11 y soporte de cifrado WPA </li></ul><ul><li>Capacidad de implementar el servicio de control de acceso 802.1x </li></ul><ul><li>Configuración del protocolo 802.1q para vlans. </li></ul>
  18. 18. Flujo de Autenticación Flujo de Autorización Cliente de Acceso Inalámbrico Suplicante 802.1x Access Point (Autenticador 802.1x) Firewall SEGMENTO DE SERVIDORES Servidor RADIUS Autenticacion 802.1x Servidor de dominio de usuarios (LDAP) SEGMENTO DE ACCESO INALÁMBRICO 802.1x (3/5) <ul><li>Compatibilidad con 802.1x </li></ul><ul><li>Soporte de diversos tipos de autenticación EAP (TLS, TTLS, PEAP) </li></ul><ul><li>Capacidad de registro (Accounting) </li></ul><ul><li>Soporte para el control de acceso en redes inalámbricas </li></ul><ul><li>Flexibilidad para validar a los suplicantes mediante varios métodos (Base de datos de usuarios local, directorio de usuarios LDAP, certificados, entre otros) </li></ul>
  19. 19. Flujo de Autenticación Flujo de Autorización Cliente de Acceso Inalámbrico Suplicante 802.1x Access Point (Autenticador 802.1x) Firewall SEGMENTO DE SERVIDORES Servidor RADIUS Autenticacion 802.1x Servidor de dominio de usuarios (LDAP) SEGMENTO DE ACCESO INALÁMBRICO 802.1x (4/5)
  20. 20. Usuario/Contraseña SSO: UTPLWIFI-SEC Cliente (IP de la LAN correspondiente a perfil) Cliente (IP de la LAN correspondiente a perfil) Usuario/Contraseña SSO: UTPLWIFI-SEC Access Point (Múltiples VLAN’s) Access Point (Múltiples VLAN’s) DHCP (Asignación de direcciones IP) Servidor RADIUS (AAA, Asignación Dinámica VLAN’s) Servidor LDAP (Usuarios y Grupos) 802.1x (5/5) 1 1 5 2 4 3
  21. 21. <ul><li>Servidor Radius Freeradius ( www.freeradius.org ) </li></ul><ul><ul><li>Módulo de Autenticación EAP </li></ul></ul><ul><ul><li>LDAP </li></ul></ul><ul><li>Access Point: activar 802.1x </li></ul><ul><li>Cliente o suplicante: </li></ul><ul><ul><li>Software de tercero: 802.1x y EAP-TTLS </li></ul></ul><ul><li>Políticas y Mejores Prácticas </li></ul>Implementación
  22. 22. <ul><li>Un componente primordial de las mejores recomendaciones de seguridad actuales y futuras, por lo cual su adopción es una práctica que no solo eleva el nivel de seguridad de las infraestructuras de acceso inalámbrico actuales, si no que prepara a las organizaciones para llegar a cumplir con los futuros estándares de seguridad para la tecnología inalámbrica. </li></ul>La implementación de 802.1x en entornos inalámbricos es: <ul><li>Una posibilidad real que las organizaciones pueden llevar a cabo con su infraestructura tecnológica actual, y que se adecuará, sin mayores impactos económicos o funcionales, a su crecimiento y modernización. A pesar de la existencias de nuevas técnicas y dispositivos innovadores con respecto a la administración de seguridad, se puedan usar viejas técnicas o soluciones para adaptarse a cada situación. Un caso particular el uso de soluciones Open Source es un punto fundamental, pues el trabajo y tiempo ya dedicado a estas tecnologías brinda cierto nivel de confianza y reduce en gran medida el costo de desarrollo. </li></ul>Conclusiones
  23. 23. <ul><li>[ 1] Sampalo Francisco, Despliegue de redes inalámbricas </li></ul><ul><li>seguras sin necesidad de usar VPN, 2004 </li></ul><ul><li>[2] Dennis Fisher. Study Exposes WLAN Security Risks. Marzo 12 de 2003. </li></ul><ul><li>[3] Warchalking. http:// www.warchalking.org </li></ul><ul><li>[4] Cisco Systems. Cisco Networking Academy Program CCNA. 2004.Cisco </li></ul><ul><li>[5] Hill, J. An Analysis of the RADIUS Authentication Protocol. 2001. InfoGard Laboratories. </li></ul>Referencias
  24. 24. <ul><ul><li>María Paula Espinosa: [email_address] </li></ul></ul><ul><ul><li>Carlos Loayza: [email_address] </li></ul></ul>Gracias por su atención

×