1. Seguridad de Aplicaciones Wireless
EXPO COMM Argentina 2002
Andres Gil - Gerente de Servicios de Seguridad Informática
Deloitte & Touche
1 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

2. Agenda
 Mundo Wireless
 Los Riesgos
 La Gestión de Seguridad en Plataformas
Wireless
Copyright 2002 Deloitte & Touche Argentina (Deloitte & Co. SRL) Prohibida su reproducción total o parcial sin el concentimiento
escrito deSeguridad en Aplicaciones Wireless – EXPOCOMM 2002
2 Deloitte& Co. SRL. Secure e-Business

3. http://www.
Mundo Wireless
3 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

4. La plataforma Wireless
 Las redes Wireless simplifican el acceso a la
información y facilitan la comunicación sin la
necesidad de tener montada una infraestructura
de red física
 Mejora la productividad y posibilita la reducción
de costos
 Ejemplos
 Acceso remoto (Conexión satelital, teléfonos celulares)
 Comunicación “on the go” (teléfonos celulares,
dispositivos PDAs y handhelds, laptops)
 Red LAN
4 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

5. Los estándares Wireless
WAN (Wide Area Network)
MAN (Metropolitan Area Network)
LAN(Local Area Network)
PAN
(Personal Area Network)
PAN LAN MAN WAN
802.11a,11b,11g 802.11 GSM, GPRS,
Estandares Bluetooth
HiperLAN2 MMDS, LMDS CDMA, 2.5-3G
Velocidad < 1Mbps 2 to 54+ Mbps 22+ Mbps 10 to 384Kbps
Alcance Corto Medio Medio-Largo Largo
SMB/ PDAs, Mobile
Peer-to-Peer Fixed, last mile
Aplicaciones Enterprise Phones, cellular
Device-to-Device access
networks access
5 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

6. El cambio de paradigma
Información Acceso Remoto
disponible
on-line
Internet
Acceso
Wireless
El nuevo
modelo
Extranets
 Redes LAN/WAN con  Redes con límites difusos
límites claramente  Los usuarios “Trusted” pueden
definidos acceder a la información tanto
 Existen usuarios desde el interior de la red como del
exterior
“Trusted” a quienes se
les da acceso a la red,
 Aumento de la necesidad de
asegurar la autenticación de
minimizando los usuarios y la red en si misma de los
accesos remotos ataques externos remotos
6 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

7. http://www.
Los riesgos
7 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

8. “Y que puede pasar???”
 El acceso al “medio” está liberado!!
 Los puntos de acceso Wireless pueden ser
fácilmente accedidos desde fuera de la
instalación física
 El tráfico de la red Wireless puede ser
inspeccionado y redireccionado
8 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

9. La situación de la Seguridad en Wireless
 La tecnología está en su “infancia”,
especialmente en lo que refiere a seguridad
 Los estándares existentes generalmente omiten
los aspectos de seguridad, con excepción de la
encriptación y la autenticación (no simpre)
 Software disponible para vulnerar la seguridad
wireless
 La mayoría de las instalaciones wireless están
inadecuadamente configuradas desde el punto
de vista de la seguridad
9 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

10. IEEE 802.11b - redes Wireless LAN
 Estándar publicado a fines de 1999
(complementa al 802.11)
 Opera en la banda de 2.4GHz
 Permite velocidades de hasta 11 Mbps
 Es el estándar más utilizado
10 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

11. Debilidades de Seguridad en redes 802.11b
 Sniffing y War Driving
 Dado que las redes usualmente son
configuradas por default es posible para
cualquier NIC (Network Interfase Card)
acceder a la red, incluso detrás de los
firewalls
 Definición de War Driving: dar vueltas
“sniffeando” en la búsqueda de redes
wireless inseguras
11 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

12. Debilidades de Seguridad en redes 802.11b. Cont.
 Ejemplos de Mapas de Puntos de Acceso a
redes 802.11b
Los Angeles
Londres
NYC
Universidad de Kansas
12 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

13. Debilidades de Seguridad en redes 802.11b. Cont.
 MAC Address
 Si bien se puede controlar el acceso mediante la autorización
a MAC addresses específicas, estas direcciones pueden ser
“spoofeadas”
 Wired Equivalent Privacy (WEP)
 Es el mecanismo estándar para asegurar confidencialidad en
redes wireless
 Es vulnerable a ataques pasivos por desencriptación de
tráfico en base a análisis estadístico, y ataques activos
mediante la introducción de tráfico desde estaciones de
trabajo no autorizadas
 Los usuarios de un punto de acceso determinado tienen una
misma clave de encriptación
 Los Headers de datos viajan desencriptados posibilitando ver
el contenido y destinatario de los datos
13 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

14. WAP - Mobile Wireless
 Es un HTTP/HTML
adaptado para Client
WAP
Web Server
dispositivos móviles WML Gateway
CGI
WML Encoder
with WML-Script
Scripts
WML Decks
WML- WSP/WTP HTTP etc.
 Consiste de una Script WMLScript
Compiler
arquitectura de red, un WTAI
protocolo, y un Etc.
Protocol Adapters Content
lenguaje de
programación
(Wireless Markup
Language - WML)
14 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

15. Debilidades de seguridad en WAP
 Debil manejo de la sesión de usuario
 Encodeo de la sesión en la URL
 Identificación del usuario basada en el WAP
Gateway
 Es posible atacar a un teléfono conectado,
“spoofear” una conexión de otro usuario, o
atacar directamente el gateway
15 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

16. http://www.
La Gestión de
Seguridad en
Plataformas Wireless
16 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

17. El ciclo continuo de la Seguridad Informática
Sustain Security
Assess Risks
• Seguimiento de Advisories y Patch
• Identificación de riesgos de
Management Process
seguridad potenciales
• Seguimiento de la evolucione de
• Evaluación de su impacto
estándares
Sustain Assess • Priorización de su tratamiento
• Re-evaluación a partir de los
Security Risks
resultados del monitoreo
Gestión de
Seguridad
Implement Controls Implement Design Design Security & Select
Controls Security & Tecnology
• Implementación elementos de Select
control y monitreo Tecnologies • Consideración de
alternativas disponibles que
• Implementación de se ajusten a la necesidad de
procedimientos de respusta a cobertura de riesgos
incidentes
• Diseño hecho con “security
in mind”
17 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

18. Lineamientos para la Gestión
 La seguridad es un proceso, no un producto o
herramienta
 Considerar las “4 Ps”: Procesos, Procedimientos, Productos
y Personas
 Es importante utilizar todas las posibilidades de
seguridad y estándares wireless disponibles, pero no
descansar totalmente en estas medidas
 Establecer un proceso de monitoreo de la seguridad
wireless en todos sus puntos
18 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

19. Lineamientos para la Gestión. Cont.
 Las redes wireless deben ser consideradas como
redes “untrusted” desde el punto de vista de
seguridad, utilizando VPNs en todos los casos en
que sea factible
 La seguridad de los clientes es importante
 Distributed Personal Firewalls
 Políticas y configuraciones de seguridad fuertes para
usuarios finales
 Control de robo de laptops
19 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business

20. Andres Gil
Gte. de Servicios de Seguridad
Informática de Deloitte & Touche
 E-mail : angil@deloitte.com.ar
 Teléfono: 4320-2779
20 Seguridad en Aplicaciones Wireless – EXPOCOMM 2002 Secure e-Business