UNIDAD 4: SEGURIDAD EN REDES INALAMBRICAS

El mantenimiento de software o manutencin de software es una de las actividades ms comunes en la ingeniera de software, es el proceso de mejora y optimizacin del software despus de su entrega al usuario final (es decir; revisin del programa), as como tambien correccion y prevencin de los defectos.

El mantenimiento de software es tambin una de las fases en el cliclo de vida de desarrollo del sistema (SDLC, sigla en ingls de system development life cycle), que se aplica al desarrollo de software. La fase de mantenimiento es la fase que viene despus del despliegue (implementacin) del software en el campo.

La fase de mantenimiento de software es una parte explcita del modelo en cascada del proceso de desarrollo de software el cual fue desarrollado durante el movimiento de programacion estructuradaen computadores. El otro gran modelo, el desarrollo en espiral desarrollado durante el movimiento de ingeniera de software orientada a objeto no hace una mencin explcita de la fase de mantenimiento. Sin embargo, esta actividad es notable, considerando el hecho de que dos tercios del coste del tiempo de vida de un sistema de software involucran mantenimiento.

En un ambiente formal de desarrollo de software, la organizacin o equipo de desarrollo tendrn algn mecanismo para documentar y rastrear defectos y deficiencias. El Software tan igual como la mayora de otros productos, es tpicamente lanzado con un conjunto conocido de defectos y deficiencias. El software es lanzado con esos defectos conocidos porque la organizacin de desarrollo en las utilidades y el valor del software en un determinado nivel de calidad compensan el impacto de los defectos y deficiencias conocidas.

4.1. RIESGOS Y AMENAZAS EN LAS REDES INALAMBRICAS

Los componentes de software son la piedra angular de diferentes paradigmas de programacin. Esto ha generado la aparicin en el mercado de diferentes especificaciones que plantean la forma de construir, utilizar y distribuir componentes. Entre las ms extendidas se encuentran:

Estndares

JavaBeans, servlest y Enterprise Java Beans de Oracle Open Services Gateway Initiative (OSGI) de OSGi Alliance

Paradigmas Los componentes de software son tiles en:

Programacion Orientada a Componentes Programacion Orientada a Objetos Arquitectura Orientada a Servicios (SOA)

En la especificacin UML, un componente es una unidad modular con interfaces bien definidas, que es reemplazable dentro del contexto. As, un componente define su comportamiento en trminos de interfaces provedas y requerida; y dicho componente ser totalmente reemplazable por otro que cumpla con las interfaces declaradas.

UML no coloca ninguna restriccin respecto a la granularidad del componente, de esta forma un componente podr ser tan simple como un convertidor de moneda o tan complejo como un sistema de ayuda semntico.

UML no provee explcitamente reglas de consistencia entre los diferentes diagramas que Representen un sistema. Esto se debe principalmente a que se busca privilegiar la flexibilidad de uso, es decir, permitir la utilizacin del(los) diagrama(s) ms apropiado(s) para lograr la representacin que se desea.

No obstante lo anterior, la integracin de los modelos debe ser adecuadamente hecha con el fin de tener la consistencia necesaria a toda construccin de mltiples modelos. La literatura no es muy numerosa en lo que se refiere a la formalizacin de esta consistencia. Algunos autores han desarrollado algunos esfuerzos principalmente enfocados en la verificacin de consistencia para herramientas de apoyo a la construccin de software, pero generalmente se centran en unos pocos modelos con gran detalle y, en particular, el DAct muchas veces no es considerado.

Sin el nimo de ser sistemtico en la definicin de reglas de consistencia (lo cual slo puede alcanzarse mediante la formalizacin matemtica de UML), se propone a continuacin un conjunto de reglas de integracin que dan un panorama amplio de cmo relacionar los diagramas

UML en el modelado orientado a objetos. Estas reglas son ms bien flexibles, para permitir el modelado de sistemas de informacin y de negocios y no slo desoftware, razn por la cual el DAct pasa a ser un modelo importante.

Bibliografia: http://eii.ucv.cl/pers/gbustos/PDF/IntegraUML.PDF

http://www.buenastareas.com/materias/implantaci%C3%B3n-e-integraci%C3%B3n-decasos-de-uso-y-componentes-de-software/0

http://www.essi.upc.edu/~franch/papers/libro-calidad-cap-10-jpc-xf-cq-10-versionpreliminar.pdf

hecho por Ismael ceron morales

4.2. MECANISMOS DE PROTECCIN EN LAS REDES INALMBRICAS

La seguridad es un aspecto que cobra especial relevancia cuando hablamos de redes inalmbricas. Para tener acceso a una red cableada es imprescindible una conexin fsica al cable de la red. Sin embargo, en una red inalmbrica desplegada en una oficina un tercero podra acceder a la red sin ni siquiera estar ubicado en las dependencias de la empresa, bastara con que estuviese en un lugar prximo donde le llegase la seal. Es ms, en el caso de un ataque pasivo, donde slo se escucha la informacin, ni siquiera se dejan huellas que posibiliten una identificacin posterior.

Existen 4 tipos de redes inalmbricas, la basada en tecnologa BlueTooth, la IrDa (Infrared Data Association), la HomeRF y la WECA (Wi-Fi). La primera de ellas no permite la transmisin de grandes cantidades de datos entre ordenadores de forma continua y la segunda tecnologa, estndar utilizado por los dispositivos de ondas infrarrojas, debe permitir la visin directa entre los dos elementos comunicantes. Las tecnologa HomeRF y Wi-Fi estn basados en las especificaciones 802.11 (Ethernet Inalmbrica) y son las que utilizan actualmente las tarjetas de red inalmbricas.

Una red inalmbrica tiene dos componentes principales: las estaciones (STA) y los puntos de acceso (AP). Pueden operar en dos modalidades: ad-hoc, en la que cada cliente (STA) se comunica directamente con los otros clientes de la red y en modalidad de infraestructura, donde las STA envan los paquetes a una estacin central, el punto de acceso. ste AP acta como si de un bridge Ethernet se tratara.

El cliente y el punto de acceso deben establecer una relacin antes de poder intercambiar datos. Esta relacin puede utilizar tres estados diferentes: 1. Sin autenticacin y disasociado

2. Con autenticacin y disasociado 3. Con autenticacin y asociado El intercambio de datos 'reales' slo es posible en el tercer estado. El AP transmite tramas con seales de gestin en periodos de tiempo regulares. Las STA reciben estas tramas e inician la autenticacin mediante el envo de una trama de autenticacin. Una vez realizada satisfactoriamente la autenticacin, la STA enva la trama asociada y el AP responde con otra trama asociada.

La utilizacin del aire como medio de transmisin de datos mediante la propagacin de ondas de radio ha proporcionado nuevos riesgos de seguridad. La salida de estas ondas de radio fuera del edificio donde est ubicada la red permite la exposicin de los datos a posibles intrusos que podran obtener informacin sensible a la empresa y a la seguridad informtica de la misma.

Varios son los riesgos derivables de este factor. Por ejemplo, se podra perpetrar un ataque por insercin, bien de un usuario no autorizado o por la ubicacin de un punto de acceso ilegal ms potente que capte las estaciones cliente en vez del punto de acceso legtimo, interceptando la red inalmbrica. Tambin sera posible crear interferencias y una ms que posible denegacin de servicio con solo introducir un dispositivo que emita ondas de radio a una frecuencia de 24GHz (frecuencia utilizada por las redes inalmbricas).

La posibilidad de comunicarnos entre estaciones cliente directamente, sin pasar por el punto de acceso permitira atacar directamente a una estacin cliente, generando problemas si esta estacin cliente ofrece servicios TCP/IP o comparte ficheros. Existe tambin la posibilidad de duplicar las direcciones IP o MAC de estaciones cliente legtimas.

Los puntos de acceso estn expuestos a un ataque de Fuerza bruta para averiguar los passwords, por lo que una configuracin incorrecta de los mismos facilitara la irrupcin en una red inalmbrica por parte de intrusos.

A pesar de los riesgos anteriormente expuestos, existen soluciones y mecanismos de seguridad para impedir que cualquiera con los materiales suficientes pueda introducirse en una red. Unos mecanismos son seguros, otros, como el protocolo WEP fcilmente rompibles por programas distribuidos gratuitamente por Internet.

4.2.1 PRIVACIDAD EQUIVALENTE AL CABLEADO (WEP)

El protocolo WEP es un sistema de encriptacin estndar propuesto por el comit 802.11, implementada en la capa MAC y soportada por la mayora de vendedores de soluciones inalmbricas. En ningn caso es comparable con IPSec. WEP comprime y cifra los datos que se envan a travs de las ondas de radio.

Se trata del primer mecanismo implementado y fue diseado para ofrecer un cierto grado de privacidad, pero no puede equiparse (como a veces se hace) con protocolos de redes tales como IPSec. WEP comprime y cifra los datos que se envan a travs de las ondas de radio.WEP utiliza una clave secreta, utilizada para la encriptacin de los paquetes antes de su retransmisin.

El algoritmo utilizado para la encriptacin es RC4. Con WEP, la tarjeta de red encripta el cuerpo y el CRC de cada trama 802.11 antes de la transmisin utilizando el algoritmo de encriptacin RC4 proporcionado por RSA Security. La estacin receptora, sea un punto de acceso o una estacin cliente es la encargada de desencriptar la trama.

Como parte del proceso de encriptacin, WEP prepara una estructura denominada seed obtenida tras la concatenacin de la llave secreta proporcionada por el usuario de la estacin emisora con un vector de inicializacin (IV) de 24 bits generada aleatoriamente. La estacin cambia el IV para cada trama transmitida.

A continuacin, WEP utiliza el seed en un generador de nmeros pseudoaleatorio que produce una llave de longitud igual al payload (cuerpo ms CRC) de la trama ms un valor para chequear la integridad (ICV) de 32 bits de longitud. El ICV es un checksum que utiliza la estacin receptora para recalcularla y compararla con la enviada por la estacin emisora para determinar si los datos han sido manipulados durante su envo. Si la estacin receptora recalcula un ICV que no concuerda con el recibido en la trama, esta queda descartada e incluso puede rechazar al emisor de la misma.

WEP especifica una llave secreta compartida de 40 o 64 bits para encriptar y desencriptar, utilizando la encriptacin simtrica. Antes de que tome lugar la transmisin, WEP combina la llave con el payload/ICV a travs de un proceso XOR a nivel de bit que producir el texto cifrado. Incluyendo el IV sin encriptar sin los primeros bytes del cuerpo de la trama. La estacin receptora utiliza el IV proporcionado junto

con la llave del usuario de la estacin receptora para desencriptar la parte del payload del cuerpo de la trama.

Cuando se transmiten mensajes con el mismo encabezado, por ejemplo el FROM de un correo, el principio de cada payload encriptado ser el mismo si se utiliza la misma llave. Tras encriptar los datos, el principio de estas tramas ser el mismo, proporcionando un patrn que puede ayudar a los intrusos a romper el algoritmo de encriptacin. Esto se soluciona utilizando un IV diferente para cada trama.

La vulnerabilidad de WEP reside en la insuficiente longitud del Vector de Inicializacin (IV) y lo estticas que permanecen las llaves de cifrado, pudiendo no cambiar en mucho tiempo. Si utilizamos solamente 24 bits, WEP utilizar el mismo IV para paquetes diferentes, pudindose repetir a partir de un cierto tiempo de transmisin contina. Es a partir de entonces cuando un intruso puede, una vez recogido suficientes tramas, determinar incluso la llave compartida.

En cambio, 802.11 no proporciona ninguna funcin que soporte el intercambio de llaves entre estaciones. Como resultado, los administradores de sistemas y los usuarios utilizan las mismas llaves durante das o incluso meses. Algunos vendedores han desarrollado soluciones de llaves dinmicas distribuidas. A pesar de todo, WEP proporciona un mnimo de seguridad para pequeos negocios o instituciones educativas, si no est deshabilitada, como se encuentra por defecto en los distintos componentes inalmbricos.

Por defecto, WEP est deshabilitado.

WEP2 Es una modificacin del protocolo WEP realizada el ao 2001, como consecuencia de una serie de vulnerabilidades que se descubrieron. No obstante, todava hoy no existe ninguna implementacin completa de WEP2.

4.2.2 ACCESO WI-FI PROTEGIDO (WPA)

WPA (Wi-Fi Protected Access, acceso protegido Wi-Fi) es la respuesta de la asociacin de empresas Wi-Fi a la seguridad que demandan los usuarios y que WEP no puede proporcionar.

El IEEE tiene casi terminados los trabajos de un nuevo estndar para reemplazar a WEP, que se publicarn en la norma IEEE 802.11i a mediados de 2004. Debido a la tardanza (WEP es de 1999 y las principales vulnerabilidades de seguridad se encontraron en 2001), Wi-Fi decidi, en colaboracin con el IEEE, tomar aquellas partes del futuro estndar que ya estaban suficientemente maduras y publicar as WPA. WPA es, por tanto, un subconjunto de lo que ser IEEE 802.11i. WPA (2003) se est ofreciendo en los dispositivos actuales.

WPA soluciona todas las debilidades conocidas de WEP y se considera suficientemente seguro. Puede ocurrir incluso que usuarios que utilizan WPA no vean necesidad de cambiar a IEEE 802.11i cuando est disponible.

Caractersticas de WPA Las principales caractersticas de WPA son la distribucin dinmica de claves, utilizacin ms robusta del vector de inicializacin (mejora de la confidencialidad) y nuevas tcnicas de integridad y autentificacin. WPA incluye las siguientes tecnologas:

IEEE 802.1X. Estndar del IEEE de 2001 para proporcionar un control de acceso en redes basadas en puertos. El concepto de puerto, en un principio pensado para las ramas de un switch, tambin se puede aplicar a las distintas conexiones de un punto de acceso con las estaciones. Las estaciones tratarn entonces de conectarse a un puerto del punto de acceso. El punto de acceso mantendr el puerto bloqueado hasta que el usuario se autentifique. Con este fin se utiliza el protocolo EAP y un servidor AAA (Authentication Authorization Accounting) como puede ser RADIUS (Remote Authentication Dial-In User Service). Si la autorizacin es positiva, entonces el punto de acceso abre el puerto. El servidor RADIUS puede contener polticas para ese usuario concreto que podra aplicar el punto de acceso (como priorizar ciertos trficos o descartar otros).

EAP. EAP, definido en la RFC 2284, es el protocolo de autentificacin extensible para llevar a cabo las tareas de autentificacin, autorizacin y contabilidad. EAP fue diseado originalmente para el protocolo PPP (Point-to-Point Protocol), aunque WPA lo utiliza entre la estacin y el servidor RADIUS. Esta forma de encapsulacin de EAP est definida en el estndar 802.1X bajo el nombre de EAPOL (EAP over LAN). TKIP (Temporal Key Integrity Protocol). Segn indica Wi-Fi, es el protocolo encargado de la generacin de la clave para cada trama.

MIC (Message Integrity Code) o Michael. Cdigo que verifica la integridad de los datos de las tramas. Mejoras de WPA respecto a WEP WPA soluciona la debilidad del vector de inicializacin (IV) de WEP mediante la inclusin de vectores del doble de longitud (48 bits) y especificando reglas de secuencia que los fabricantes deben implementar. Los 48 bits permiten generar 2 elevado a 48 combinaciones de claves diferentes, lo cual parece un nmero suficientemente elevado como para tener duplicados. El algoritmo utilizado por WPA sigue siendo RC4. La secuencia de los IV, conocida por ambos extremos de la comunicacin, se puede utilizar para evitar ataques de repeticin de tramas (replay).

Para la integridad de los mensajes (ICV), se ha eliminado el CRC-32 que se demostr inservible en WEP y se ha incluido un nuevo cdigo denominado MIC. Las claves ahora son generadas dinmicamente y distribuidas de forma automtica por lo que se evita tener que modificarlas manualmente en cada uno de los elementos de red cada cierto tiempo, como ocurra en WEP.

Para la autentificacin, se sustituye el mecanismo de autentificacin de secreto compartido de WEP as como la posibilidad de verificar las direcciones MAC de las estaciones por la terna 802.1X / EAP / RADIUS. Su inconveniente es que requiere de una mayor infraestructura: un servidor RADIUS funcionando en la red, aunque tambin podra utilizarse un punto de acceso con esta funcionalidad.

Modos de funcionamiento de WPA

WPA puede funcionar en dos modos:

Con servidor AAA, RADIUS normalmente. Este es el modo indicado para las empresas. Requiere un servidor configurado para desempear las tareas de autentificacin, autorizacin y contabilidad.

Con clave inicial compartida (PSK). Este modo est orientado para usuarios domsticos o pequeas redes. No requiere un servidor AAA, sino que se utiliza una clave compartida en las estaciones y punto de acceso. Al contrario que en WEP, esta clave slo se utiliza como punto de inicio para la autentificacin, pero no para el cifrado de los datos.

WPA2 (IEEE 802.11i)

802.11i es el nuevo estndar del IEEE para proporcionar seguridad en redes WLAN. Se espera que est concluido todo el proceso de estandarizacin para mediados de 2004. Wi-Fi est haciendo una implementacin completa del estndar en la

especificacin WPA2. Sus especificaciones no son pblicas por lo que la cantidad de informacin disponible en estos momentos es realmente escasa.

WPA2 incluye el nuevo algoritmo de cifrado AES (Advanced Encryption Standard), desarrollado por el NIS. Se trata de un algoritmo de cifrado de bloque (RC4 es de flujo) con claves de 128 bits. Requerir un hardware potente para realizar sus algoritmos. Este aspecto es importante puesto que significa que dispositivos antiguos sin suficientes capacidades de proceso no podrn incorporar WPA2. Para el aseguramiento de la integridad y autenticidad de los mensajes, WPA2 utiliza CCMP (Counter-Mode / Cipher Block Chaining / Message Authentication Code Protocol) en lugar de los cdigos MIC.

Otra mejora respecto a WPA es que WPA2 incluir soporte no slo para el modo BSS sino tambin para el modo IBSS (redes ad-hoc).

4.2.3
Lista de Control de Acceso (Filtrado MAC)

La mayora de 802,11 (Wi-Fi), los puntos de acceso permiten al administrador de la red para entrar en una lista de MAC (Media Access Control) se ocupa de que se les permite comunicarse en la red. Esta funcionalidad, conocida como direccin MAC Filtrados permite al administrador de red para denegar el acceso a cualquier direccin MAC que no est especficamente permitido en la red. Esto exige que cada nuevo dispositivo de la red tiene su direccin MAC, entr en la base de datos como un dispositivo autorizado.

Por otra parte, ms 802,11 (Wi-Fi), tarjetas le permiten configurar la direccin MAC de la tarjeta en el software. Por lo tanto, si usted puede oler la direccin MAC de un nodo de red, es posible unirse a la red usando la direccin MAC de ese nodo.

Propsito de las ACL

Las ACL permiten un control del trfico de red, a nivel de los routers. Pueden ser parte de una solucin de seguridad (junton con otros componentes, como antivirus, anti-espas, firewall, proxy, etc.).

Puntos varios, que se deben recordar

Una ACL es una lista de una o ms instrucciones. Se asigna una lista a una o ms interfaces. Cada instruccin permite o rechaza trfico, usando uno o ms de los siguientes criterios: el origen del trfico; el destino del trfico; el protocolo usado.

El router analiza cada paquete, comparndolo con la ACL correspondiente. El router compara la ACL lnea por lnea. Si encuentra una coincidencia, toma la accin correspondiente (aceptar o rechazar), y ya no revisa los restantes renglones.

Es por eso que hay que listar los comandos desde los casos ms especficos, hasta los ms generales. Las excepciones tienen que estar antes de la regla general!

Si no encuentra una coincidencia en ninguno de los renglones, rechaza automticamente el trfico. Consideren que hay un "deny any" implcito, al final de cada ACL.

Cualquier lnea agregada a una ACL se agrega al final. Para cualquier otro tipo de modificacin, se tiene que borrar toda la lista y escribirla de nuevo. Se recomienda copiar al Bloc de Notas y editar all.

Las ACL estndar (1-99) slo permiten controlar en base a la direccin de origen. Las ACL extendidas (100-199) permiten controlar el trfico en base a la direccin de origen; la direccin de destino; y el protocolo utilizado.

Tambin podemos usar ACL nombradas en vez de usar un rango de nmeros. El darles un nombre facilita entender la configuracin (y por lo tanto, tambin facilita hacer correcciones). No tratar las listas nombradas en este resumen.

Si consideramos slo el trfico de tipo TCP/IP, para cada interface puede haber slo una ACL para trfico entrante, y una ACL para trfico saliente.

Sugerencia para el examen: Se deben conocer los rangos de nmeros de las ACL, incluso para protocolos que normalmente no nos interesan.