Universidad Nacional Autónoma de México
Dirección General de Servicios de Cómputo Académico
Año 7 Núm. 74, Publicación Mensual, 27 de Noviembre de 2008

ARTÍCULOS

 

Año 6, Número 61, Octubre de 2007

Seguridad en la Red Inalámbrica Universitaria, RIU
Eduardo Espina García

En la actualidad, la mayoría de usuarios de Internet implica un conglomerado de edades, religiones, ideologías políticas, y demás características que matizan tanto los intereses de los usuarios como sus actividades dentro de la red. Dichas actividades pueden perseguir, en alguna medida, intenciones políticas, económicas o lúdicas que afecten a otros usuarios o a la misma infraestructura de la red.

Asimismo, las comunicaciones, como las redes inalámbricas, presentan vulnerabilidades en su estructura, derivadas de su propia naturaleza, en tanto son susceptibles a interferencias electromagnéticas o superan los límites físicos establecidos en una red cableada, llegando a grandes distancias, entre otras propiedades.

Por tal motivo, desde que en la UNAM se planteó dotar al campus de Ciudad Universitaria de una red inalámbrica y extenderla a otras instalaciones de la misma institución, se hizo evidente la necesidad de considerar la seguridad de la Red UNAM, por lo que la Dirección de Telecomunicaciones y el Departamento de Seguridad en Cómputo (DSC/UNAM-CERT) de la DGSCA desarrollaron el proyecto y mecanismos para garantizar una operación eficiente y segura de la red.

Mapeo de redes inalámbricas

Como parte del análisis de riesgos que conlleva un proyecto de este estilo, se realizó un mapeo de redes inalámbricas, previo al despliegue de la RIU, con el objetivo de detectar las redes inalámbricas existentes en Ciudad Universitaria, ya sea porque sus puntos de acceso (APs) están instalados dentro del campus o en la periferia de éste (puntos de acceso personales o de otras organizaciones).

El mapeo de redes o wardriving (término utilizado por hackers para referirse a este tipo de mapeo de redes), se realizó en un vehículo, utilizando una laptop con el sistema operativo Linux, un dispositivo GPS y una antena externa omnidireccional.

Las redes detectadas en el mapeo, se muestran en la siguiente tabla:

Fecha del mapeo

31 marzo de 2005 16:32:31

Total de redes

278

Total de redes con cifrado (WEP/WPA)

75

Total de redes sin cifrado (WEP/WPA)

203

% de redes con cifrado (WEP/WPA)

26.9%

Total de clientes

920

Los resultados revelaron un significativo número de redes inalámbricas existentes (278) en el campus de Ciudad Universitaria. Es importante destacar que la saturación del medio de transmisión podría ocasionar un colapso de las comunicaciones inalámbricas bajo ciertas condiciones, razón por la cual se buscaron mecanismos que mitigaran este riesgo.

Mecanismos de seguridad de la RIU

Los mecanismos utilizados para mitigar los riesgos identificados en las etapas iniciales de concepción de la RIU fueron: creación de políticas, control de acceso, integridad y confidencialidad.

La creación de políticas de uso y monitoreo no eliminan las amenazas en las redes 802.11, pero ayudan a crear un ambiente proactivo (visualización de posibles contingencias) donde las herramientas, métodos y procedimientos están listos para disuadir a los atacantes y combatir efectivamente dichas amenazas.

Asimismo, para el control de acceso a la RIU, se implementó el estándar WPA con el protocolo de autenticación PEAP de 802.1x.

PEAP implementa seguridad de la capa de transporte (Transport Layer Security, TLS) en la negociación; a través de un certificado digital firmado por una autoridad se previene de un ataque de intercepción de información (Man in the middle attack, MiTM) donde un intruso capta la comunicación entre los participantes. Así, el usuario solamente requiere de un login y una contraseña como credenciales para acceder a la RIU con seguridad.

Por otra parte, se requirió contemplar la integridad para evitar un posible colapso de la infraestructura de la RIU por saturación del medio, ya que el switch central utiliza una asignación dinámica de frecuencias de operación, de esta forma, se busca constantemente el canal menos saturado para transmitir. Asimismo, dicho switch permite monitorear el estado de los APs conectados a la RIU, con lo cual se puede saber si un punto de acceso incluso está bajo ataque.

Además, la infraestructura de la RIU es compatible con las mejores prácticas definidas por ITIL (Information Technologies Infrastructure Library, para mayor referencia consultar el artículo “Administración de la seguridad en ITIL” publicado en el ejemplar No. 48 de Entér@te, Internet, Cómputo y Telecomunicaciones, abril de 2006, http://www.enterate.unam.mx/ejemplares1.htm); al igual de que es posible rastrear geográficamente, la ubicación de equipos que realicen ataques como propagación de código malicioso o negación de servicio.

Para determinar la disponibilidad de la red inalámbrica universitaria, dos aspectos son básicos: por un lado está la redundancia de enlaces, que implica contar con dos equipos en ubicaciones geográficas distintas, para disminuir la probabilidad de que ambos fallen; y por el otro está la autosanación, que funciona cuando alguno de los puntos de acceso deja de operar, así los APs cercanos aumentan su potencia de transmisión para cubrir el área sin servicio, lo cual se logra por medio de la administración centralizada del switch y de los algoritmos con los que cuenta para mitigar este riesgo.

Por último, para garantizar la confidencialidad de la información de los usuarios en la RIU, se contemplaron varios aspectos que funcionan en distintas capas del modelo OSI:

  • Aislamiento de usuarios. Para evitar la propagación de código malicioso, los usuarios no pueden establecer conexiones directas con otros usuarios en el mismo punto de acceso.
  • Se utiliza cifrado WPA TKIP que permite establecer un canal cifrado individual para cada usuario, por lo cual, incluso, un usuario autenticado no puede capturar información de otro usuario.
  • Para el transporte de la información del AP al switch central, se utilizan túneles con encapsulado genérico de ruteo (Generic Routing Encapsulation, GRE, http://lartc.org/howto/lartc.tunnel.gre.html) que transportan el tráfico sin modificar los encabezados de los protocolos superiores.

Algunas reflexiones

El hecho de haber considerado la seguridad de la RIU desde su diseño, tiene beneficios que se reflejan en el control de la infraestructura, así como la contención de daños en el caso de un incidente y un tiempo menor de respuesta.

De esta manera, se han considerado mecanismos como ITIL para mantener administrable la infraestructura de la RIU, pues se sabe que los cambios inevitablemente llegan.

Asimismo, dado se ha visto a lo largo de la historia de las redes y de la seguridad en cómputo, que los esquemas que un día se consideran seguros al día siguiente han sido vulnerados; por tal motivo, la arquitectura de la RIU no está pensada como un sistema invulnerable, sino un sistema capaz de actualizarse de forma eficiente para responder a las amenazas del día de mañana y así limitar el daño.

Para mayor información:

https://www.riu.unam.mx
http://www.cert.org.mx/
http://www.seguridad.unam.mx/eventos/admin-unam/admin-unam-riu.pdf
http://www.espina.info/papers/riu-titulacion-espina.pdf
http://en.wikipedia.org/wiki/Man_in_the_middle_attack

 

 

 

Inicio | Contacto |