El documento describe varios protocolos y métodos de autenticación utilizados en redes inalámbricas, incluyendo PKI, EAP, WPA/WPA2, y tipos de certificados digitales. Explica cómo funcionan PKI, EAP y los diferentes métodos EAP como LEAP, EAP-TLS, EAP-TTLS, PEAP y EAP-FAST para proporcionar autenticación segura en redes inalámbricas. También compara brevemente las ventajas y desventajas de estos métodos.

1. EAP, PKI Y WPA/WPA2
Santiago Ruiz Rodríguez
Gestión de Redes de Datos

2. PKI
• La PKI o (Public Key Infrastructure) es la tecnología tras los certificados digitales. Al igual que
un permiso de conducir o un pasaporte, un certificado digital demuestra su identidad y le
otorga ciertos permisos. Un certificado digital permite que su propietario cifre, firme y
autentique. Por tanto, PKI es la tecnología que le permite cifrar datos, firmar documentos y
autenticarse mediante certificados.
• PKI no es una entidad única, sino que abarca los componentes del sistema tecnológico
como lo es: Software, personas, políticas y procedimientos necesarios para crear, administrar,
almacenar, distribuir y revocar certificados digitales

3. ARQUITECTURA
Los componentes más habituales de una infraestructura de clave pública son:
• La autoridad de certificación: Es la encargada de emitir y revocar certificados. Es la
entidad de confianza que da legitimidad a la relación de una clave pública con la
identidad de un usuario o servicio.
• La autoridad de registro: Es la responsable de verificar el enlace entre los certificados
(concretamente, entre la clave pública del certificado) y la identidad de sus titulares.
• Los repositorios: Son las estructuras encargadas de almacenar la información relativa a
la PKI. Los dos repositorios más importantes son el repositorio de certificados y el
repositorio de listas de revocación de certificados.

4. ARQUITECTURA
• La autoridad de validación: Es la encargada de comprobar la validez de los certificados
digitales.
• La autoridad de sellado de tiempo: Es la encargada de firmar documentos con la finalidad de
probar que existían antes de un determinado instante de tiempo.
• Software y políticas: PKI aglutina a todos los productos de software que se destinan para el
uso de los certificados digitales. Así como también a las políticas de seguridad y de
comunicación que están definidas para este aspecto.

5. COMO FUNCIONA PKI
Un usuario solicita un certificado con su clave
pública a una autoridad de registro (AR). Ésta
confirma la identidad del usuario a la autoridad de
certificación (AC), que a su vez emite el certificado. El
usuario puede entonces firmar digitalmente un
contrato utilizando su nuevo certificado. A
continuación, la parte contratante comprueba su
identidad ante una autoridad de validación (VA) que,
a su vez, recibe información sobre los certificados
emitidos por la autoridad de certificación.

6. TIPOS DE CERTIFICADOS
• Certificado personal: Que acredita la identidad del titular.
• Certificado de pertenencia a empresa: Que además de la identidad del titular acredita su
vinculación con la entidad para la que trabaja
• Certificado de representante: Que además de la pertenencia a empresa acredita también los
poderes de representación que el titular tiene sobre la misma.
• Certificado de atributo: El cual permite identificar una cualidad, estado o situación. Este tipo
de certificado va asociado al certificado personal. (p.ej. Médico, Director, Casado, Apoderado
de..., etc.).
• Certificado de servidor seguro: Utilizado en los servidores web que quieren proteger ante
terceros el intercambio de información con los usuarios.
• Certificado de firma de código: Para garantizar la autoría y la no modificación del código de
aplicaciones informáticas.

7. PARA QUE SIRVE PKI
• PKI se encarga de garantizar la protección y seguridad de todos los mensajes, su integridad,
autenticación y el no repudio viéndose reflejado en los siguientes usos:
• Garantiza el certificado único: PKI garantiza que no habrá más de una llave pública por
persona. Si se detecta el intento de creación de otra, cuando ya se tiene una, esto se
reconoce y se invalida la ejecución del proceso.
• Validar el certificado: La infraestructura de clave pública PKI se encarga, mediante el
protocolo OCSP, de verificar que el certificado emitido no sea revocado, o que esté caduco.
• Firma Electrónica: Mediante los documentos oficiales y datos biométricos se crea el
certificado que, a su vez, es realizado bajo el esquema de PKI para garantizar y proteger la
información que se contiene en él.
• Cifrado: Se utilizan en el caso de los correos electrónicos o de la mensajería instantánea, de
forma que el usuario que recibe los datos es el único que puede descifrarlos.

8. VENTAJAS DE PKI
• Escalabilidad y Amoldamiento: La PKI ofrece una gran escalabilidad. Puede ser usada
en volúmenes realmente grandes, como también se utiliza para la distribución de
certificados en pequeña escala.
• Incremento de la satisfacción: La optimización de procesos internos y externos de la
empresa, que se obtiene con la infraestructura de clave pública o PKI, aumenta la
satisfacción de los empleados, proveedores y clientes.
• Optimización de procesos: En las empresas existen multitud de procesos en todas las
áreas (financiera, ventas, marketing, legal, laboral, etc.) que se pueden optimizar con la
tecnología PKI ya que reduce costes y tiempos de ejecución.

9. DESVENTAJAS
• Implementación costosa: Es costoso porque crear una infraestructura requiere de Hardware
especializado para la creación de las llaves, de los cifrados y de todo el reconocimiento y
autorización de los certificados
• Los estándares todavía están en desarrollo: Los estándares todavía están en fase de
desarrollo provocando confusión a la hora de determinar por donde empezar

10. EAP
• El Protocolo de autenticación extensible (EAP) es un marco de arquitectura que proporciona
extensibilidad para los métodos de autenticación para tecnologías de acceso a red
protegidas que se usan habitualmente, como el acceso inalámbrico basado en IEEE 802.1X, el
acceso cableado basado en IEEE 802.1X y las conexiones de protocolo de punto a punto
(PPP), como redes privadas virtuales (VPN).
• EAP no es un método de autenticación, sino un marco en el cliente de acceso y en el servidor
de autenticación que permite a los proveedores de servicios de red desarrollar e instalar
fácilmente nuevos métodos de autenticación conocidos como métodos EAP.
• EAP se utiliza en redes cifradas para proporcionar una forma segura de enviar información de
identificación para proporcionar autenticación de red. Es compatible con varios métodos de
autenticación, incluidos tarjetas simbólicas, tarjetas inteligentes, certificados, contraseñas de
un solo uso y cifrado de clave pública.

11. COMO FUNCIÓN EAP
• EAP utiliza el estándar 802.1x como mecanismo de autenticación a través de una red de área local
o una LAN inalámbrica (WLAN). Hay tres componentes principales de la autenticación 802.1X:
• el dispositivo inalámbrico del usuario;
• el punto de acceso inalámbrico (AP) o autenticador; y
• la base de datos de autenticación o el servidor de autenticación.
• 802.1X es un protocolo de acceso a puertos para proteger redes mediante autenticación.

12. COMO FUNCIONA EAP
• EAP transfiere información de autenticación entre el usuario y la base de datos o servidor del
autenticador.
• El proceso de EAP funciona de la siguiente manera:
• Un usuario solicita conexión a una red inalámbrica a través de un AP, una estación que
transmite y recibe datos, a veces conocida como transceptor.
• El AP solicita datos de identificación del usuario y transmite esos datos a un servidor de
autenticación.
• El servidor de autenticación solicita al AP una prueba de la validez de la información de
identificación.
• El AP obtiene la verificación del usuario y la envía de vuelta al servidor de autenticación.
• El usuario está conectado a la red según lo solicitado.

14. CLAVE WEP
• Una clave WEP es un código de seguridad para dispositivos habilitados para WiFi. Las claves
WEP permiten que los dispositivos de una red intercambien mensajes cifrados entre sí
mientras impiden que los extraños los descodifiquen y lean fácilmente.
• Las claves WEP son una secuencia de caracteres tomados de los números del 0 al 9 y las
letras de la A a la F. Por ejemplo, una clave WEP podría ser F45HI00WR3.
• Las claves WEP perdieron el favor del público cuando la gente comenzó a darse cuenta de
que son fáciles de descifrar, lo que deja su red potencialmente abierta a los piratas
informáticos.

15. MÉTODOS EAP
• Existen unos 40 métodos EAP, Unos creados por fabricantes y otros abierto
estandarizados, hoy hablaremos de los mas utilizados:
• EAP-MD-5
• Es un tipo de autenticación EAP que proporciona compatibilidad EAP de nivel básico.
Normalmente, EAP-MD-5 no se recomienda para implementaciones de LAN Wi-Fi, ya que
puede permitir la derivación de la contraseña del usuario. Solo permite la autenticación
unidireccional: no existe autenticación mutua del cliente Wi-Fi y la red. Y, lo más importante,
no proporciona un medio para derivar claves de privacidad

16. LEAP
• Cisco LEAP es un tipo de autenticación 802.1X para LAN inalámbricas (WLAN) que admite
una fuerte autenticación mutua entre el cliente y un servidor RADIUS, con una contraseña de
inicio de sesión como secreto compartido. Proporciona claves de cifrado dinámicas por
usuario y por sesión. LEAP se basa en EAP.
• Cisco LEAP es un algoritmo basado en contraseña. Para minimizar la posibilidad de un
ataque de diccionario exitoso, use contraseñas seguras, que son difíciles de adivinar.
• La serie Cisco Aironet 1100 es el primer punto de acceso que utiliza el software Cisco IOS y
extiende la conectividad inteligente de extremo a extremo hasta el punto de acceso
inalámbrico.

17. COMUNICACIÓN LEAP

18. EAP-TLS
• (Seguridad de la capa de transporte) Proporciona autenticación mutua y basada en
certificados del cliente y la red. Se basa en certificados del lado del cliente y del lado del
servidor para realizar la autenticación y se puede utilizar para generar dinámicamente claves
WEP basadas en el usuario y en la sesión para proteger las comunicaciones posteriores entre
el cliente WLAN y el punto de acceso.
• Una desventaja de EAP-TLS es que los certificados deben administrarse tanto del lado del
cliente como del servidor. Para una instalación WLAN grande, esta podría ser una tarea muy
tediosa

19. COMUNICACIÓN EAP-TLS
Change Cipher Spec: Con
este mensaje el cliente
informa que sus mensajes
sucesivos estarán cifrados
con el cifrado simétrico
acordado.

20. EAP-TTLS
• (Seguridad de la capa de transporte por túnel) como una extensión de EAP-TLS. Este método
de seguridad proporciona autenticación mutua basada en certificados del cliente y la red a
través de un canal cifrado (o túnel), así como un medio para derivar claves WEP dinámicas
por usuario y sesión. A diferencia de EAP-TLS, EAP-TTLS solo requiere certificados de
servidor.

21. COMUNICACIÓN EAP-TTLS

22. PEAP
• (Protocolo protegido de autenticación ampliable) Se creó como una versión más segura de
LEAP. Al igual que EAP-TTLS, PEAP autentica a los clientes mediante certificados del lado del
servidor. Crea un túnel TLS desde el servidor hasta el cliente para que el cliente pueda
autenticarse a través de ese túnel cifrado.
• El servidor presenta un certificado digital para autenticarse con el solicitante. Este certificado
consta de datos en un formato estándar que identifica al propietario y está “firmado” o
validado por un tercero. El tercero es conocido como una autoridad de certificación (CA) y es
conocido y confiable tanto por el AS como por los solicitantes.

23. COMUNICACIÓN PEAP

24. EAP-FAST
• (Autenticación flexible mediante tunelización segura) EAP-FAST utiliza un túnel para
proporcionar autenticación mutua como PEAP y EAP-TTLS. EAP-FAST no hace que el servidor
se autentique con un certificado digital.
• En lugar de utilizar un certificado para lograr una autenticación mutua, EAP-FAST se
autentica mediante una PAC (credencial de acceso protegido) que el servidor de
autenticación puede administrar dinámicamente. La PAC se puede aprovisionar (distribuir
una vez) en el cliente de forma manual o automática. El aprovisionamiento manual se
entrega al cliente mediante un disco o un método de distribución de red segura. El
aprovisionamiento automático es una distribución en banda, por aire.

25. COMUNICACIÓN EAP-FAST

26. COMPARACIÓN

27. SERVIDORES DE
AUTENTIFICACIÓN EAP