UNIDAD 4 SEGURIDAD EN TELECOMUNICACIONES E INTERNET

OBJETIVOS PARTICULARES DE LA UNIDAD

Al trmino de la unidad, el alumno:
Explicar la importancia de tener un esquema de seguridad en la
infraestructura de redes y telecomunicaciones.
Identificar los aspectos que deben de ser sujetos de seguridad.
Describir algunas de las tecnologas de seguridad implicada en este
tema de actualidad.

4.1 GENERALIDADES DE TELECOMUNICACIONES Y VULNERABILIDADES

EN TCP/IP

Equipos y topologas de red

Modems, repetidores, switch, hubs, bridges, routers, gateways, LAN (bus,
ring, star), MAN, WAN, Interconnected networks (enlaces dedicados,
enlaces virtuales, tunneling, firewalls,
Internet)

Medios de transmission
- Twisted pair, baseband & broadband coaxial cable, fibra ptica, radio
transmission, microwave transmission, cellular radio, satellite.
- Bandwidth, delay, cost, installation and maintenance.

Protocolos
- X.25, X.75 (orientado a conexin)
- IP, SLIP, PPP, TCP/UDP, SNA/SDLC/DIC, ISDN, CHAP, PAP, ARP,
ICMP, Frame delay, (conexin y no conexin)
Modelo ISO/OSI
- IEEE estndar 802 para LANs y MANs
(ethernet.3, token ring.5, MAN.6)

Seguridad en redes y telecomunicaciones

Aspectos generales

Proteger host y los servicios que se proporcionan en la red.

Autenticacin (passw) y autenticacin mutua (emisor y receptor)
Control de acceso a los recursos
Confidencialidad, Integridad y Disponibilidad
Medidas de encripcin para aumentar CIA (confidentiality, integrity and
availability)

Responsabilidad (quin, cundo, cmo, dnde, periodicidad)

Quin es el responsable?

Empleados
Hackers (curiosos, vndalos y criminales)
Operadores de telfono
Criminales de cmputo profesionales

IP
La parte fundamental de los servicios ofrecidos por Internet consiste en el sistema
de entrega de paquetes. Este servicio est definido como:
-No confiable
-Mejor esfuerzo
-Sin conexin
El protocolo que define los mecanismos de entrega poco confiable y sin conexin
se conoce como Protocolo Internet (IP).
TCP (Transmisin Control Protocol)
Es un protocolo de transporte de propsito general, puede ser usado sobre
cualquier sistema de entrega de paquetes, no necesariamente sobre IP. TCP no
supone caractersticas de la red subyacente.
TCP/IP
Suite de protocolos de comunicaciones para redes de tipo abierto utilizados en un
modelo de 4 capas desarrollado por la Advanced Research Projects Agency del
DoD y tomando como referencia el modelo OSI.

4.2 INTERNET/EXTRANET/INTRANET
Dispositivos de conectividad en las comunicaciones

Repeaters. Amplificador para cuando se excede la mxima distancia fsica

de alcance de las seales.
Hubs. Permite enlazar entre segmentos de conexin de una red.

Bridges. Enlaza y direcciona o filtra de un segmento a otro de la red los

datos, adems sirve para balancear la sobrecarga en los segmentos de la
red.
Multiplexores. Une varias seales para ocupar el mismo canal de
transmisin.
Routers. Conecta dos o ms redes separadas lgicamente

Arquitectura Internet
Los procesos tienen puertos: la combinacin de un puerto ID y el IP destino
(address) del host es un Socket: las conexiones son un set de sockets.
Algunos ejemplos son: puertos TELNET, FTP, TCP, UDP.
Protocol Relationship Tables son los diferentes servicios que dan los protocolos y
en que puertos se realizan.
Caractersticas de Internet

Red de redes
Topologa mundial (malla)
Broadcast packet-switched
Peer connected (interconexin entre capas)
Conexin de cualquiera con cualquiera (no restriccin)
Interoperatibilidad en incremento
Autoridad NO centralizada

SEGURIDAD EN INTERNET.
El fenmeno de la extensin de la Internet ha adquirido una velocidad tan rpida y
unas proporciones, que el panorama actual y muchos de los efectos que se dan
en su seno resultan sorprendentes y difcilmente imaginables hace slo una
dcada.
Inicialmente Internet nace como una serie de redes que promueven el intercambio
de informacin entre investigadores que colaboran en proyectos conjuntos o
comparten resultados usando los recursos de la red. En esta etapa inicial, la
informacin circulaba libremente y no exista una preocupacin por la privacidad
de los datos ni por ninguna otra problemtica de seguridad. Estaba totalmente
desaconsejado usarla para el envo de documentos sensibles o clasificados que
pudieran manejar los usuarios, situacin esta muy comn, pues hay que recordar
que la Internet nace como un contrato del Departamento de Defensa Americano
-ao 1968- para conectar entre s tanto las Universidades como los Centros de

Investigacin que colaboran de una manera u otra con las Fuerzas Armadas
Norteamericanas.
Los protocolos de Internet fueron diseados de una forma deliberada para que
fueran simples y sencillos. El poco esfuerzo necesario para su desarrollo y
verificacin jug eficazmente a favor de su implantacin generalizada, pero tanto
las aplicaciones como los niveles de transporte carecan de mecanismos de
seguridad que no tardaron en ser echados en falta.
Ms recientemente, la conexin a Internet del mundo empresarial se ha producido
a un ritmo vertiginoso muy superior a la difusin de ninguna otra tecnologa
anteriormente ideada. Ello ha significado que esta red de redes se haya convertido
en "la red" por excelencia. Esto es, el medio ms popular de interconexin de
recursos informticos y embrin de las anunciadas autopistas de la informacin.
Se ha incrementado la variedad y cantidad de usuarios que usan la red para fines
tan diversos como el aprendizaje, la docencia, la investigacin, la bsqueda de
socios o mercados, la cooperacin altruista, la prctica poltica o, simplemente, el
juego. En medio de esta variedad han ido aumentando las acciones poco
respetuosas con la privacidad y con la propiedad de recursos y sistemas. Hackers,
frackers, crakers... y dems familias han hecho aparicin en el vocabulario
ordinario de los usuarios y de los administradores de las redes.
La propia complejidad de la red es una dificultad para la deteccin y correccin de
los mltiples y variados problemas de seguridad que van apareciendo. Adems de
las tcnicas y herramientas criptogrficas antes citadas, es importante recalcar
que una componente muy importante para la proteccin de los sistemas consiste
en la atencin y vigilancia continua y sistemtica por parte de los gestores de la
red. Como ejemplo, en la tabla ms abajo se recoge una lista exhaustiva de
problemas detectados, extrada del libro: "Firewalls and Internet Security. (...)".
LISTA DE PELIGROS MS COMUNES EN SISTEMAS CONECTADOS A INTERNET

Fuente:"Firewalls and Internet Security. Repelling the Wily Hacker"

1.-

De todos los problemas, el mayor son los fallos en el sistema de passwords.

2.-

Los sistemas basados en la autenticacin de las direcciones se pueden

atacar
usando nmeros consecutivos.

3.-

Es fcil interceptar paquetes UDP.

4.-

Los paquetes ICMP pueden interrumpir todas las comunicaciones entre dos
nodos.

5.-

Los mensajes ICMP Redirect pueden corromper la tabla de rutas.

6.-

El encaminamiento esttico de IP puede comprometer la autenticacin basada

en las direcciones.

7.-

Es fcil generar mensajes RIP falsos.

8.-

El rbol inverso del DNS se puede usar para conocer nombres de mquinas.

9.-

Un atacante puede corromper voluntariamente la cach de su DNS para evitar

responder
peticiones inversas.

10.- Las direcciones de vuelta de un correo electrnico no son fiables.

11.- El programa sendmail es un peligro en s mismo.
12.- No se deben ejecutar a ciegas mensajes MIME.
13.- Es fcil interceptar sesiones Telnet.
14.- Se pueden atacar protocolos de autenticacin modificando el NTP.
15.- Finger da habitualmente demasiada informacin sobre los usuarios.
16.- No debe confiarse en el nombre de la mquina que aparece en un RPC.
17.-

Se puede conseguir que el encargado de asignar puertos IP ejecute RPC en

beneficio de quien le llama.

18.-

Se puede conseguir, en muchsimos casos, que NIS entregue el fichero de

passwords al exterior.

19.- A veces es fcil conectar mquinas no autorizadas a un servidor NIS.

20.- Es difcil revocar derechos de acceso en NFS.
21.- Si est mal configurado, el TFTP puede revelar el /etc/passwd.
22.- No debe permitirse al ftp escribir en su directorio raz.
23.- No debe ponerse un fichero de passwords en el rea de ftp.
24.-

A veces se abusa de FSP, y se acaba dando acceso a ficheros a quien no se

debe dar.

25.- El formato de informacin de WWW debe interpretarse cuidadosamente.

26.- Los servidores WWW deben tener cuidado con los punteros de ficheros.
27.- Se puede usar ftp para crear informacin de control del gopher.
28.-

Un servidor WWW puede verse comprometido por un script interrogativo

pobremente escrito.

29.- El MBone se puede usar para atravesar algunos tipos de cortafuego.

30.-

Desde cualquier sitio de la Internet se puede intentar la conexin a una

estacin X11 (X-Server).

31.- No se debe confiar en los nmeros de puerto facilitados remotamente.

32.- Es casi imposible hacer un filtro seguro que deje pasar la mayora del UDP.
33.- Se puede construir un tnel encima de cualquier transporte.
34.-

Un cortafuego no previene contra niveles superiores de aquellos en los que

acta.

35.- Las X11 son muy peligrosas incluso a travs de una pasarela.
Las herramientas de monitorizacin de red son muy peligrosas si alguien
36.- accede
ilegtimamente a la mquina en que residen.
37.- Es peligroso hacer peticiones de finger a mquinas no fiables.
38.-

Se debe de tener cuidado con ficheros en reas pblicas cuyos nombres

contengan caracteres especiales.

39.- Los caza-passwords actan silenciosamente.

40.- Hay muchas maneras de conseguir copiar el /etc/password
41.-

Registrando completamente los intentos fallidos de conexin, se capturan

passwords.

Un administrador puede ser considerado responsable -si se demuestra

42.- conocimiento
o negligencia- de las actividades de quien se introduce en sus mquinas.

A la hora de plantearse en que elementos del sistema se deben de ubicar los

servicios de seguridad podran distinguirse dos tendencias principales:

Proteccin de los sistemas de transferencia o transporte. En este caso,

el administrador de un servicio, asume la responsabilidad de garantizar la
transferencia segura de la informacin de forma bastante transparente al
usuario final. Ejemplos de este tipo de planteamientos seran el
establecimiento de un nivel de transporte seguro, de un servicio de
mensajera con MTAs seguras, o la instalacin de un cortafuego, (firewall),
que defiende el acceso a una parte protegida de una red.

Aplicaciones seguras extremo a extremo. Si pensamos por ejemplo en

correo electrnico consistira en construir un mensaje en el cual en
contenido ha sido asegurado mediante un procedimiento de encapsulado
previo al envo, de forma que este mensaje puede atravesar sistemas
heterogneos y poco fiables sin por ello perder la validez de los servicios de
seguridad provistos. Aunque el acto de securizar el mensaje cae bajo la
responsabilidad del usuario final, es razonable pensar que dicho usuario
deber usar una herramienta amigable proporcionada por el responsable de
seguridad de su organizacin. Este mismo planteamiento, se puede usar
para abordar el problema de la seguridad en otras aplicaciones tales como
videoconferencia, acceso a bases de datos, etc.

En ambos casos, un problema de capital importancia es la gestin de claves.

Este problema es inherente al uso de la criptografa y debe estar resuelto antes de
que el usuario est en condiciones de enviar un solo bit seguro. En el caso de las
claves secretas el problema mayor consiste en mantener su privacidad durante su
distribucin, en caso de que sea inevitable su envo de un punto a otro. En el caso
de clave pblica, los problemas tienen que ver con la garanta de que pertenecen
a su titular y la confianza en su vigencia (que no haya caducado o sido revocada).
Una manera de abordar esta gestin de claves est basada en el uso de los
Certificados de Clave Pblica y Autoridades de Certificacin. El problema de la
vigencia de la clave se resuelve con la generacin de Listas de Certifados
Revocados (CRLs) por parte de las CAs.

4.3 REDES VIRTUALES PRIVADAS

Una Red Virtual Privada (VPN - Virtual Private Network) es aquella red privada
construida sobre una red pblica. Las razones que empujan el mercado en ese
sentido son, fundamentalmente de costes: resulta mucho ms barato interconectar
delegaciones utilizando una infraestructura pblica que desplegar una red
fsicamente privada. En el otro extremo, por supuesto, es necesario exigir ciertos
criterios de privacidad y seguridad, por lo que normalmente debemos recurrir al
uso de la criptografa.
En general existen dos tipos de redes privadas virtuales:

Enlaces Cliente-Red:
En estos enlaces se encapsula, tpicamente, PPP (Point-to-Point Protocol).
Las tramas del cliente se encapsulan en PPP, y el PPP resultante se
encapsula para crear el VPN. Se emplean, entre otras muchas cosas, para:

Acceso seguro de un cliente a la red.

Clientes mviles (para independizarlos de la topologa fsica).

Puntos de acceso remoto. Por ejemplo, un "pool" de mdems en otra

ciudad, o clientes nuestros entrando por otro ISP.

Rutado de tramas no utilizables en Internet. Por ejemplo, tramas

NetBEUI, IPX, SNA o DECNET.

Enlaces Red-Red:
En estos casos se est encapsulando el trfico de una red local, por lo que
nos ahorramos el paso PPP anterior. Las tramas de la LAN se encapsulan
directamente para crear el VPN. Se utiliza para:
o

Fundir dos redes locales a travs de Internet, para que parezcan una
sola.

Establecer canales con privacidad, autenticidad y control de

integridad, entre dos redes independientes.

Rutado de tramas no utilizables en Internet. Por ejemplo, tramas

NetBEUI, IPX, SNA o DECNET.

La gran ventaja de este sistema es que simplemente con un acceso local a

Internet (desde cualquier pais) y una correcta configuracin se podran conectar a
nuestro servidor de NT, 2000 o XP server a un coste muy bajo utilizando modem y
a coste 0 si tenemos una tarifa plana.
Pongamos por ejemplo una conexin en Espaa entre 2 delegaciones, la de
Barcelona y la de Madrid. Con una punto a punto sobre RDSI pagaramos 64000
pts./mes por 64 kbps de ancho de banda. Slo por unir las dos delegaciones, las
conexiones a Internet seran aparte, adems la llamada es de un punto a otro (no
es bidireccional).
Crear una VPN es relativamente fcil pero hay que tener en cuenta una serie de
observaciones como si tenemos un router ADSL para acceso corporativo, o si
tenemos un modem conectado a un pc y sobre todo el sistema operativo del
servidor y de los clientes.

Dado que la configuracin que est teniendo mas fuerza es la de tener un router
para que de acceso a Internet a todos los ordenadores de la red, nos centraremos
en esta.
Evidentemente toda la teora e implementacin de VPNs tambin funciona sobre
routers RDSI con acceso a Internet, los agujeros a crear en el router son los
mismos.
En primer lugar tenemos que crear dos agujeros en unos puertos de estos routers,
esto es necesario ya que las redes privadas virtuales generan peticiones de
entrada y salida sobre los puertos y adems le tenemos que decir al router a que
ordenador local tiene que redireccionar estas peticiones. El router al conectarse a
Internet recibe una IP del proveedor de acceso, en cambio a nivel local tiene un IP
reservada para redes locales, por lo que el router tiene que saber a que ordenador
local tiene que reenviar los paquetes que lleguen con una peticin a los puertos

4.4 SEGURIDAD EN CAPAS DE RED Y TRANSPORTE

SEGURIDAD A NIVEL RED
Seguridad en IP
IP carece de mecanismos para proveer autenticacin, integridad y
confidencialidad; IP busca adoptar los principios establecidos por OSI (7498-2)
para construir su arquitectura de seguridad.
Un poco de historia.....

El DoD de USA propone IPSO (Ip Security Options) para Ipv4

SwIPe para Ipv4
TUBA (TCP and UDP with Bigger Addresses) propuesto para Ipng.
SIPP (Simple Internet Protocol Plus), propuesto para Ipng y retenido como
base de este protocolo
Ipv6, tambin conocido como Ipng

Encapsulado en capa 4 y capa 3

TCP-H
TLSP (Capa 4)
IP-H
KEY-ID

DATOS ENCRIPTADOS

IP-H
IP-H

KEY-ID

DATOS

DATOS

DATOS ENCRIPTADOS

NLSP (Capa 3)

SEGURIDAD A NIVEL TRANSPORTE

SSL (Secure Sockets Layer)
Es una propuesta de estndar para encriptado y autenticacin en el Web; es un
esquema de encriptado de bajo nivel usado para encriptar transacciones en
protocolos de nivel aplicacin como http. FTP, etc.
Con SSL puede autentificarse un servidor con respecto a su cliente y viceversa.
Caractersticas:
-

Se basa en un esquema de llave pblica para el intercambio de

llaves de sesin.
Las llaves de sesin son usadas para encriptar las transacciones
sobre http
Cada transaccin usa una llave de sesin. Esto dificulta al cracker
el comprometer toda una sesin.

Objetivos de SSL:
1. Seguridad criptogrfica. Se sugiere el uso de SSL para establecer
conexiones seguras entre dos partes.
2. Interoperabilidad. Programadores independienvtes deben poder desarrollar
aplicaciones basadas en SSL, que intercambien parmetros criptogrficos
sin tener conocimiento de los cdigos de los programas de cada uno.

3. Extensibilidad. SSL provee un marco donde pueden incorporarse mtods

criptogrficos segn se necesite. Esto evita el problema de estar creando
nuevos protocolos, as como nuevas libreras de seguridad.
4. Eficiencia Relativa. Puesto que las operaciones criptogrficas demandan
demasiado CPU, el protocolo SSL incorpora un esquema opcional de
caching, que reduce el nmero de conexiones que deben establecerse
desde inicio. Adems se ha tomado en cuenta el reducir en lo posible la
actividad de la red.
Protocolo SSL
El estndar de IETF Transport Layer Security (TLS) se basa en SSL; requiere un
transporte confiable, provee seguridad en el canal.
Se ubica:

APLICACIN
SSL
TCP/IP

Existen dos subprotocolos:

-

SSL record protocol. Define los formatos de los mensajes empleados

en SSL. Existen dos formatos principales: Record Header Format y
Record Data Format (donde se encapsulan los datos a enviar)

SSL handshake protocol. Autentifica al servidor para el cliente,

permite al cliente y servidor seleccionar algoritmos criptogrficos que
sean soportados por ambos, opcionalmente autentifica al cliente para
el servidor, usa criptografa de llave pblica para generar secretos
compartidos y establece una conexin SSL encriptada.

4.5 PROTOCOLOS DE SEGURIDAD A NIVEL APLICACIN

SET (Secure Electronic Transactions)
SET hace seguras las transacciones en lnea mediante el uso de certificados
digitales; con SET se puede verificar que tanto clientes como vendedores estn

autorizados para realizar o aceptar un pago electrnico, fue desarrollado por Visa
y Master Card.
ANLSIS DE LOS NIVELES DE SEGURIDAD
NIVEL D1
El nivel D1 es la forma ms elemental de seguridad disponible. Este
estndar parte de la base que asegura, que todo el sistema no es confiable. No
hay proteccin disponible para el hardware, el sistema operativo se compromete
con facilidad, y no hay autenticidad con respecto a los usuarios y sus derecho,
para tener acceso a la informacin que se encuentra en la computadora. Este
nivel de seguridad, se refiere por lo general a los sistemas operativos como MSDOS, MS-Windows y System 7.x de Apple Macintosh.
NIVEL C1
El nivel C1 tiene dos subniveles de seguridad C1 y C2. El nivel C1, o sistema de
proteccin de seguridad discrecional, describe la seguridad disponible en un
sistema tpico UNIX. Existe algn nivel de proteccin para el hardware, puesto
que no puede comprometerse tan fcil, aunque todava es posible.
Los usuarios debern identificarse as mismos con el sistema por medio de un
nombre de usuario y una contrasea. Esta combinacin se utiliza para determinar
que derechos de acceso a los programas e informacin tiene cada usuario. Estos
derechos de acceso son permisos para archivos y directorios. Estos controles de
acceso discrecional, habilitan al dueo del archivo o directorios, o al administrador
del sistema, a evitar que algunas personas tengan acceso a los programas i
informacin de otras personas. Sin embargo, la cuenta de administracin del
sistema no est restringida a realizar cualquier actividad.
En consecuencia, un administrador del sistema sin escrpulos, puede
comprometer con facilidad la seguridad del sistema sin que nadie se entere.
NIVEL C2
El nivel C2, fue diseado para ayudar a solucionar tales hechos. Juntos
con las caractersticas de C1, el nivel C2 incluye caractersticas de seguridad
adicional, que crean un medio de acceso controlado. Este medio tiene la
capacidad de reforzar las restricciones a los usuarios en la ejecucin de algunos
comandos o el acceso a algunos archivos, basados no solo en permisos si no en
niveles de autorizacin. Adems la seguridad de este nivel requiere auditorias del
sistema.
Esto incluye a la creacin de un registro de auditoria para cada evento que
ocurre en el sistema. La auditoria se utiliza para mantener los registros de todos
los eventos relacionados con la seguridad, como aquellas actividades practicadas
por el administrador del sistema. La auditoria requiere de autenticacin adicional.

La desventaja es que requiere un procesador adicional y recursos de discos del

subsistema.
Con el uso de las autorizaciones adicionales, no deben confundirse con los
permisos SGID Y SUID, que se pueden aplicar a un programa, en cambio, estas
son autorizaciones especficas que permiten al usuario ejecutar comandos
especficos o tener acceso a las tablas de acceso restringido.
NIVEL B1
En nivel B de seguridad tiene tres niveles. El B1, o proteccin de seguridad
etiquetada, es el primer nivel que soporta seguridad multinivel, como la secreta y
la ultrasecreta. Este nivel parte del principio de que un objeto bajo control de
acceso obligatorio, no puede aceptar cambios en los permisos hechos por el
dueo del archivo.
NIVEL B2
El nivel B2, conocido como proteccin estructurada, requiere que se
etiquete cada objeto, los dispositivos como discos duros, cintas, terminales, etc.
podrn tener asignado un nivel sencillo o mltiple de seguridad. Este es el primer
nivel que empieza a referirse al problema de un objeto a un nivel ms elevado de
seguridad en comunicacin con otro objeto a un nivel interior.
NIVEL B3
El nivel B3, o el nivel de demonios de seguridad, refuerza a los demonios con
la instalacin de hardware. Por ejemplo, el hardware de administracin de
memoria se usa para proteger el dominio de seguridad de acceso no
autorizado, o la modificacin de objetos en diferentes dominios de seguridad.
Este nivel requiere que la terminal del usuario conecte al sistema, por medio
de una ruta de acceso segura.
NIVEL A
El nivel A, o nivel de diseo verificado, es hasta el momento el nivel ms
elevado de seguridad validado por el libro naranja. Incluye un proceso exhaustivo
de diseo, control y verificacin. Para lograr este nivel de seguridad, todos los
componentes de los niveles inferiores deben incluirse, el diseo requiere ser
verificado en forma matemtica, adems es necesario realizar un anlisis de los
canales encubiertos y de la distribucin confiable.

4.6 ATAQUES DE REDES Y MEDIDAS PREVENTIVAS

Desgraciadamente, el incremento en el uso de Internet tambin incluye a

individuos con falta de honestidad y sin tica profesional (crackers) que en un
momento dado pueden comprometer la integridad y la privacidad de la
informacin.
Uns provea las fuentes de programas que lo componen. Esto permita recopilar
versiones modificadas de dichos programas, pudiendo introducirse con ello
caballos de troya o virus. Internet provee muchas formas de conectar dos sistemas
entre s, algunas de stas conexiones pueden ser no deseadas. Dada la gran
facilidad de interconexin brindada, es necesario contar con una administracin de
seguridad rigurosa.
Clasificacin de los ataques:
1. Ataques activos
En un ataque activo, el intruso interfiere con el trfico legtimo que fluye a
travs de la red interactuando de manera engaosa con el protocolo de
comunicacin
2. Ataque Pasivo
Un ataque pasivo es aquel en el cual el intruso monitorea el trfico de la red
para capturar contraseas u otra informacin para su uso posterior.
Sniffers:
Este programa puede colocarse en una pc en una LAN o en un gateway, por
donde pasan los paquetes. El sniffer va leyendo los mensajes que pasan por estos
dispositivos y graba la informacin en un archivo. En los primeros mensajes de
una conexin se encuentran los passwords, normalmente sin cifrar.
Snooping:
Es la tcnica de bajar los archivos desde un sistema al sistema hacker.
Spoofing:
Consiste en entrar a un sistema hacindose pasar por un usuario autorizado. Una
vez dentro del sistema, el atacante puede servirse de ste como plataforma para
introducirse en otro y as sucesivamente.

Flooding o Jamming:

Consiste en inundar un equipo con tanta cantidad de mensajes que ste se

colapsa. No le queda espacio libre en la memoria o en el disco. El ataque tipo
floofing ms conocido es el SYN attack.
ARP(Hades Resolution Protocol)
Permite obtener la direccin fsica de una mquina a partir de su direccin IP.

Protocolo ICMP (Internet Control Message Protocol)

Permite a ruteadores y servidores reportar errores o informacin de control sobre
la red; reporta errores como: expiracin de TTL, congestin, direccin IP destino
no alcanzable, etc; viaja encapsulado en el rea de datos de un datagrama IP.

Mensajes ICMP ms comunes

Tipo
0
3
4
5
8
11
12
13
14

Descripcin
Echo replay
Destination Unreachable
Source Quench
Redirect (cambio de ruta)
Echo Request
Time Exceded for 2 Datagram
Parameter Problem on a Datagram
Timestamp Request
Timestamp Replay

Mensaje ICMP Cambio de Ruta

Utilizado por un ruteador para indicarle a una mquina en su segmento que utilice
una nueva ruta para determinados destinos.

Discusin Ataques ARP e ICMP

El ataque ARP es considerado como un ataque trivial.

El ataque ICMP es considerado como un ataque difcil de implementar.

Requisito observado: la direccin IP fuente del datagrama sobre el cual viaja el

mensaje ICMP, debe ser igual a la direccin IP de cualquier ruteador en la tabla de
ruteo de la mquina vctima.
Mecanismos de proteccin
Se recomienda la utilizacin del sistema arpwatch desarrollado por el Laboratorio
Lawrence Berkeley; adems de monitoreo continuo del trfico de la red para
detectar inconsistencias en las parejas (dir IP, dir fsica) de los paquetes.

Smurfing

Ataque pasivo que afecta, principalmente a la disponibilidad de los equipos.

Se lleva (ba) a cabo principalmente en ruteadores Cisco y probablemente
en otras marcas.

4.7 MONITORES DE REDES Y SNIFFERS

Qu es un Sniffer ? Qu es un analizador de protocolos ?
Un sniffer es un proceso que olfatea el trfico que se genera en la red a nivel de
enlace; de este modo puede leer toda la informacin que circule por el tramo
(segmento) de red en el que se encuentre. Por este mtodo se pueden capturar
claves de acceso, datos que se transmiten, numeros de secuencia, etc...
Un analizador de protocolos es un sniffer al que se le ha aadido funcionalidad
suficiente como para entender y traducir los protocolos que se estn hablando en
la red. Debe tener suficiente funcionalidad como para entender las tramas de nivel
de enlace, y los paquetes que transporten.
Truco: Normalmente la diferencia entre un sniffer y un analizador de protocolos, es
que el segundo est a la venta en las tiendas y no muestra claves de acceso.
Qu quiere decir que lee informacin a nivel de enlace ?
Quiere decir que el sniffer se dedica a leer TRAMAS de red, por lo que los datos
que obtendremos de l sern tramas que transporn paquetes (IP, IPX, etc...). En
estos paquetes se incluyen los datos de aplicacin (entre ellos claves de acceso).
Estos programas ponen al menos un interfaz de red (o tarjeta de red o NIC) en
_modo promiscuo_; es decir que al menos uno de los interfaces de red de la
mquina est programado para leer toda la informacin que transcurra por el
tramo de red al que est conectado, y no solamentelos paquetes con dirigidos a l.

Tengo una red con topologia en estrella, Soy vulnerable ?

Muy probablemente S. Cualquier tipo de red basada en BUS o ANILLO lgicos es
vulnerable. Aunque los cables se enven a un concentrador (hub) haciendo que la
topologa fsica sea de estrella, si la topologa lgica de la red es en bus o en anillo
las tramas podrn escucharse desde cualquier host conectado al concentrador.
En general, IEEE 802.3 (ethernet), 802.4 (token bus), 802.5 (token ring), Ethernet
2, etc.. suelen ser vulnerables con la siguiente salvedad: algunos concentradores
de nueva generacin aslan el trfico entre hosts conectados a una misma red; por
lo que en estas redes la utilizacin de sniffers es poco menos que intil (excepto
en ciertos casos donde la carga de la red obliga al concentrador a unir varios
buses lgicos en uno fsico - - -- esta salvedad puede no cumplirse dependiendo
del concentrador utilizado).

Quiero dar acceso a mi red va modem. Pueden leer la informacin que

circula por mi red ejecutando un sniffer al otro lado de la lnea ?
Depende de cmo se configure la conexin.
En este caso tendrs que engaar al router para que crea que las direcciones que
se asignan para acceso telefnico pertenecen a tu misma red. Si tienes (un poco
de) cuidado al configurar la mquina que controla estos hosts remotos no
deberas tener ningn problema, ya que las tramas que se enviarn a estas
mquinas sern nicamente aquellas que les corresponda recibir.
Casi siempre los proveedores de acceso a internet (Como Infova en Espaa,
Infosel en Mxico o similares) interponen entre tu red y el usuario remoto una serie
de mecanismos (routers y conexiones punto a punto) que hacen inefectivo el uso
un Sniffer en la mquina remota.
Cmo puedo saber si hay alguien corriendo un sniffer en mi red ?
Esto es ms difcil de lo que parece.
La forma ms comn de saber si un interfaz de red est en modo promiscuo
consiste en ejecutar (en mquinas UNIX) el programa ifconfig de la siguiente
forma:
$ifconfig a [ Muestra el estado de las placas de red. La salida sera similar a
esto ]
eth0

Link Encap: 10Mbps Ethernet HWaddr: xx:xx:xx:xx:xx:xx

inet addr: a.b.c.d Bcast: a.b.c.f Mask: m.m.m.m
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500

Metric:1
RX packets: 0 errors:0 dropped:0 overruns:0
TX packets:0 errors:0 dropped:0 overruns:0
Interrupt:15 Base Address:0x300
El problema de esta solucin es que se necesita tener acceso root a todas las
mquinas que deben comprobarse (otra opcin sera hacer un crontab que
compruebe el estado cada cierto tiempo, sin embargo un cracker con acceso al
sistema puede ver los trabajos en cron y deshabilitar esta verificacin).
Segn vIERJa <vIERJa@cyberdude.com>, corre el rumor de que algunas tarjetas
de red ethernet envan un broadcast al entrar en modo promiscuo; sin embargo
hasta el momento nadie ha podido confirmar este punto.
[Nota: No disponemos todava de informacin acerca de cmo detectar sniffers en
Windows NT y/o PPC. Cualquier aportacin al respecto sera de gran ayuda.]
Recursos
Algunos de los sniffers ms conocidos son:

sniffit: Difcil de encontrar verdad ? ;)

http://reptile.rug.ac.be/~coder/sniffit.html
tambin en http://www.iti.upv.es/seguridad/
tcpdump: UNIX
Este programa vuelca toda la informacin que entra o sale de la tarjeta de red.
Hay una versin disponible para SCO en
http://unix.hensa.ac.uk/ftp/mirrors/uunet/sco-archive/TLS/ (esta puede ser una
buena ocasin para comprobar la compatibilidad binaria con ejecutables de SCO).
esniff.c:
Publicado en Phrack #45
Esta es la madre de todos los sniffers. La mayora de los que se hicieron despus
han estado basados en este programa para SunOS (nota: necesita una mquina
con /dev/nit).
juggernault:
Publicado en Phrack Magazine #50
Ademas de actuar como sniffer, puede tomar conexiones suplantando a otros
hosts.
ethload.exe y ethdump.exe (DOS): ftp.cdrom.com ?
Se han utilizado especialmente para estadsticas de trfico en LAN (ethernet, por
supuesto ;). Problema: El DOS no permite multitarea; por lo que si no tenemos un
386 viejo sin otro uso, tendremos que inutilizar (temporalmente?) una mquina.
Prueba a buscarlos en:
http://oak.oakland.edu/pub/msdos/lan
http://ub4b.eunet.be/pub/ub4b/network/msdos
netXray (Windows 95/NT):
Producto comercial; sin embargo existen versiones de evaluacin por 30 das.
SessionWall:
Poderoso analizador de protocolos. Es tambin software comercial
Otros:
netzhack.exe [DOS]

4.8 COMUNICACIONES DE VOZ SEGURAS

El 90% de las escuchas se realiza en las proximidades de la fuente que se desea
monitorear, directamente sobre los cables telefnicos de la red de acceso, con un
costo extremadamente bajo y una instalacin muy simple. El 9% de los casos se
hace con aparatos de control directamente en la central pblica , pero esta
operacin requiere de elevados conocimientos y tcnicos especializados. Solo el

1% de las intercepciones se realizan en el lugar de destino de la comunicacin

(esta tcnica es muy rara pues requiere filtrados y costos muy elevados).
Puede ser que usted no est solo en la lnea telefnica! El espionaje industrial,
fraude financiero, rivalidades comerciales, asuntos de seguridad nacional y aun las
investigaciones sobre asuntos personales ocurren todos los das. La porcin ms
vulnerable de la red telefnica es el lazo local de abonado, el cual lo conecta con
la red pblica. El lazo local est compuesto por dos alambres de cobre, de modo
tal que la "pinchadura" de la lnea es tcnicamente muy simple. Como contraste,
una vez que la seal llega a la Red Pblica de Telefona Conmutada, la
intercepcin requiere de experiencia tcnica y una inversin mucho ms
importante. Sin una completa proteccin usted es muy vulnerable a las
intercepciones y escuchas telefnicas.
Para solucionar este tipo de probremas usted podra instalar una unidad de
encriptacin en cada telfono... Las soluciones actuales estn limitadas a
tecnologas de encriptacin punto-a-punto. Esto significa que solo se podr tener
una comunicacin segura cuando se instalen dispositivos similares en ambos
extremos de la lnea. Aun as, usted no puede realmente pretender tener unidades
de encriptacin dispersas entre todos sus posibles interlocutores telefnicos o de
fax, por lo que esa no es una solucin muy prctica.
Existen en el mercado diversos productos que ofrecen una solucin un ejemplo de
esto es RedSegura le brinda proteccin an si su contraparte no tiene ningn tipo
de dispositivo de proteccin instalado.
Fue diseada para proteger las comunicaciones de voz y fax cursadas a travs de
lneas analgicas de la red telefnica pblica, utilizando un elevado nivel de
criptografa.
Crea un canal seguro entre el Terminal RedSegura (TRS) y la Central RedSegura
(CRS) ubicada en la red pblica
Llamadas salientes - Cuando el abonado realiza una llamada
saliente, el TRS disca automticamente el nmero del servidor ms
prximo y establece un canal seguro a travs del cual ser
establecida
la
comunicacin.
Llamadas entrantes - Cuando alguien desee establecer una llamada
segura con un abonado de Red Segura, deber llamarlo a su nmero
seguro especial, el cual enrutar la llamada al servidor y desde all
en forma codificada al abonado. Por lo tanto, y sin importar si quien
llama es o no abonado, la red de acceso est protegida en forma
permanente.
Utiliza una robusta y probada tecnologa de encriptacin de alto nivel. La
unidad de encriptacin transmite las claves pblicas con tecnologa
Elgamal, la que unida a la encriptacin con la tecnologa simtrica DES

ofrecen una proteccin de la informacin que est extremadamente en la

vanguardia de todo lo conocido.
4.9 SEGURIDAD EN E-MAIL
PEM (privacy enhanced mail) se define con reglas que contemplan la integridad,
autenticacin del origen del mensaje y soporta no repudiacin. Par la
confidencialidad (opcional) requiere encripcin, jerarqua de certificacin y
servicios de directorio. Esto puede verse como una limitacin para su uso
extendido. PEM es un estndar de Internet, est diseado dentro de la
arquitectura SMTP, usa conceptos del X.400 de la ITU. No est ligada
necesariamente a ningn algoritmo de encripcin pero aplica en criptografa de
llave pblica, en particular firma digital.
Debido a que PEM es de uso reducido, PGP (Pret Good Privacy) ha crecido en
demanda. Ambos usan una combinacin de llave pblica y mtodo simtrico. Sin
embargo PGP, no requiere una autoridad certificadora, proporciona la
confidencialidad y firma digital slo con la encripcin del archivo. Usa IDEA, para
la encripcin de datos, RSA para encriptar la llave pblica y la firma digital
adems usa MDS para el compendio del mensaje en firma digital.
POLTICAS
Para asuntos formales de negocios y oficiales de la empresa
Para asuntos personales o complementarios (no crticos)
Control de acceso y confidencialidad de mensajes
Administracin y archivo de mensajes
LISTA DE USUARIOS
Uno a uno
De uno a un grupo de usuarios o una organizacin
Grupos de discusin (central mailing list server and broadcast to the other
participants). USENET groups.
PROTOCOLOS
SMTP (Simple Mail Transport Protocol). Acepta mensajes de otros sistemas
y los almacena.
POP (Post Office Protocol). Permite a un cliente en POP bajar el e-mail que
fue recibido en otro servidor de e-mail.
IMAP ( Internet Mail Access Protocol). Es ms conveniente que POP, pues
no requiere guardarse la sincrona entre las listas local y del server para la
lectura del e-mail
AMENAZAS

DANGEROUS ATTACHMENTS (por ejemplo: trojan executables, virus

infected files, dangerous macro)
IMPERSONATION
EAVESDROPPING
MAILBOMBING. Muchos Internet Service Provider (ISP) proporcionan
cuentas gratutitas que posteriormente pueden usarse para lanzar ataques.
SPAM

E-MAIL AFEGUARS. Polticas que deben definirse para el nivel de proteccin

deseado.
Prevencin a contenidos peligrosos
Prevencin a modificaciones o suplantaciones de usuarios
Prevencin a eavesdropping
MESSAGE HANDLING SYSTEM (MHS). De OSI es el estndar x.400 para e-mail,
proporciona seguridad protegiendo a los mensajes contra modificaciones y
divulgacin, adems autentifica la identidad de las partes. MSH contiene:
Modelo funcional
Estructura de mensaje
Reporte de liberacin
TACACS Y RADIUS
Son sistemas de autentificacin y control de acceso a una red va conexin
remota; permiten redireccionar el username y password hacia un servidor
centralizado. Este servidor decide el acceso de acuerdo a la base de datos del
producto o la tabla de passwords del Sistema Operativo que maneje.

CORREO ELECTRNICO
El correo electrnico es el servicio de envo y recepcin de mensajes entre los
usuarios que conforman una red de computadoras. Estos mensajes llegan a
cualquier parte del mundo en segundos, a lo sumo en minutos. Cada usuario tiene
su propia direccin en la red, tpicamente en la forma "nombre@conexin".
El correo electrnico es uno de los servicios ms importantes de su conexin al
usar la red.
Una vez que usted se acostumbra a utilizar seriamente este medio de
comunicacin es muy fcil depender de l. En unos meses decenas de amigos,
familiares, colegas, etc., tendrn su direccin electrnica al igual que usted la de
ellos.

La importancia de este medio de comunicacin est creciendo cada vez ms en

nuestros das, hasta el punto que dentro de varios aos, segn los expertos, el
correo electrnico ser el medio ms utilizado despus del telfono para
comunicarse con otras personas.
Existen diferentes paquetes soportados "oficialmente" por Redula con los cuales
se puede enviar y recibir mensajes.
Otra forma de utilizar el correo electrnico es bajo el ambiente WINDOWS,
iniciando previamente una sesin de TELNET ubicando el apuntador sobre el
icono identificado con TELNET (el cual no es estndar, sino que es creado), y
luego pulsando con el ratn, aparecer otra pantalla donde debe escoger la opcin
CONNECT y elegir el servidor al cual desea conectarse, luego debe introducir la
identificacin y clave respectiva y as podr probar cualquiera de los tres paquetes
mencionados descritos. Igualmente bajo Windows se encuentra el grupo de
programas WINQVT/NET y el EUDORA, los cuales permiten enviar, recibir correos
y acceder a grupos de noticias en un entorno de ventanas y botones grficos
bastante agradable y sencillo. Entre los editores usados en los programas de
correo electrnico figura el editor pico para el pine y el elm.
Esto es realmente el correo electrnico: Una herramienta que le permite enviar
correo seguro a cualquier persona en toda la Internet.
4.10 SEGURIDAD EN FAX
Existen diferentes tipos de productos en el mercado que proporcionan seguridad
en la transmisin de datos por fax, a continuacin presento un ejemplo:
El CSD 3700 habilita la transmisin de alta seguridad y automtica de mensajes
de fax. Una vez recibidos los mensajes, stos pueden ser almacenados con
seguridad en memoria no voltil opcional hasta que los receptores autorizados
entren su cdigo de identificacin personal, PIN (Personal Identification Number).
Compacto y fcil de usar, el CSD 3700 opera con cualquier mquina de fax del
Grupo III.
Manejo de claves
Con cada clave negociada, se produce una nueva clave aleatoria en cada
transmisin de fax. Esta clave de sesin es nica a las dos partes en
comunicacin. Ninguna otra unidad puede generar esta clave.
El CSD 3700 apoya tanto las redes de fax abiertas como las cerradas. Las redes
de fax abiertas les permiten a dos personas cualquiera en el sistema CSD 3700
enviar faxes con seguridad. No se requiere ninguna relacin de claves previa. Las
redes abiertas son ideales para uso industrial donde un nmero siempre
cambiante de compaas necesitan comunicarse entre s.

Las redes cerradas apoyan aplicaciones de gobierno y otras de alta seguridad

donde solamente a un nmero especificado de personas les es permitido enviar y
recibir informacin sensitiva. El CSD 3700 aade una clave de red (privada) al
intercambio de claves negotiada para formar una red cerrada. Solamente las
mquinas con la misma clave de red se pueden comunicar entre s y cada unidad
puede almacenar hasta 20 claves de red.
Modos de envo
Envo con seguridad. Enviar en el modo de seguridad solamente.
Envo con seguridad/Desvo para simple. Un usuario puede enviar un fax
normal sin seguridad.
Envo automtico con seguridad/Normal. Automticamente enva con seguridad
a una unidad receptora CSD 3700. Si no, enva en forma normal.
Modos de recepcin
Recepcin con seguridad. Recibe en el modo seguro solamente.
Recepcin automtica con seguridad/Normal. Automticamente recibe en el
modo seguro si se est comunicando con otro CSD 3700. Si no, recibe
normalmente.
Independientemente del modo de TX/RX, el CSD 3700 imprime un
encabezamiento de estado, indicando si est en Normal o Seguro en todos los
mensajes de fax recibidos.
CSD 3710
El CSD 3710 tiene todo el poder de seguridad y de automatizacin del CSD 3700,
pero con otro nivel de proteccin - un Buzn de Correo Electrnico con Seguridad.
El buzn electrnico provee la seguridad interna eliminando el peligro de que
mensajes de fax confidenciales queden a la vista en la bandeja de salida de fax.
El que envia y el que recibe el mensaje de fax encriptado pueden hacer que el
mensaje de fax sea almacenado en forma encriptada en el buzn de la unidad
receptora. Los mensajes almacenados son dados (descifrados e impresos)
solamente despus de la entrada de un Nmero de Identificacin Personal vlido,
PIN (Personal Identification Number).
El CSD 3710 apoya hasta 50 buzones y 120 pginas de texto. Tambin est
disponible la adicin de memoria de alta capacidad. La memoria del buzn est
protegida y es retenida en caso de interrupcin en la energa elctrica.

Calidad
TCC est dedicada a productos y servicios de calidad. TCC est certificada por
ISO 9001. ISO 9001 otorgado por TUV es el estndar ms riguroso para sistemas
de calidad total en diseo/desarrollo, produccin, instalacin y servicios.