Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 La pila TCP/IP Amenazas

Antes de explicar las amenazas mas comunes al conjunto de elementos de los encabezados IP y TCP de un datagrama IP es necesario hacer una precisin recordatoria que nos permita volver a traer al tema de esta documento el contenido de la estructura de un datagrama IP. Recordemos primero la estructura del datagrama IP V4 en la Fig. 1 a continuacin

32 Long. Del encabez. tipo de datos Max. #r de saltos por atravesar protocol de la capa ve head type of servic . lengt fragment 16-bit identifier flgs offset uppe time Internet r to 32 bit source IP 32 bit destination IP Options (if

Long. Total del Fragmentaci n Desaparece

datos (longitud variable, Tipicamente un segmento TCP o UDP

Ej. Registro de La ruta tomada, Especificacin de Enrutadores a tomar

FIGURA 1 Formato del Datagrama de IP

Campo VERS (4 bits) HLEN Longitud Total Identificador Flags Offset Opciones

Descripcin Versin del IP del datagrama Longitud del Encabezado Mide, en Bytes la longitud del datagrama Identifica los paquetes fragmentados para su reensamble Indica si el paquete est fragmentado o no Indica la ubicacin del paquete en uno fragmentado Informacin usada par administracin, longitud variable

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 1

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 Ajusta las opciones a 32 bits Relleno

Para el TCP tenemos el siguiente formato para su encabezado del segmento el cual se encapsula en el datagrama IP

4 8 PUERTO DE

1 2 PUERTO DE

NMERO DE SECUENCIA NMERO DE RECONOCIMIENTO HLE RESERVAD

CODE BITS

OPCIONES (SI HAY) DATO DATO

Figura 2 Formato del segmento TCP

VENTAN APUNTADOR DE RELLEN

Adicionalmente el formato TCP tambin es utilizado para trabajar los diferentes tipos de ataques principalmente en el uso malintencionado de caracterstica como el ping, el re enrutamiento y otros. Ataques y vulnerabilidades sobre el stack TCP/IP Denegacin del servicio Presenciamos actualmente un gran crecimiento de ataques del tipo DoS (Denial of Service), o sea Negacin de Servicio. El DoS consiste en enviar una cantidad de mensajes, a un blanco determinado, en una rata superior a la cantidad que este pueda soportar. Este tipo de ataque se hizo ms conocido cuando algunos crackers (?) usaron el mtodo para derrumbar sitios de gran porte como los de Yahoo y eBay, en febrero del 2000. En la prctica, el programa ms usado para realizar este trabajo sucio es el "ping", disponible en todas las distribuciones de Unix, Linux y en las versiones actuales de Windows. Como vimos en el artculo anterior (NT: En esencia, el comando ping sera usado para verificar que una determinada computadora "estuviera viva", o sea, con una conexin activa a la red. El ping enva una pequea cantidad de bytes (paquetes de 32 bytes), para comunicarse con otra computadora. Si la misma est activa, devolver un mensaje avisando que los paquetes Autor: Ingeniero Jaime Hernando Rubio Rincn pgina 2

fueron

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 recibidos con

xito.

Vea este ejemplo de aplicacin del ping en Windows:

Fig 3: Ping normal Hasta aqu todo bien, el programa es muy til. Haciendo un anlisis, podemos ver que el host www.uol.com.br est funcionando correctamente. Fueron enviados 4 paquetes de 32 bytes, y todos ellos retornaron informando que el host est activo. Lo que los crackers hacen, es especificar el tamao de los paquetes que sern enviados, y adicionar una instruccin para que esos paquetes sean enviados continuamente. Vea este otro ejemplo, solo que ahora con instrucciones maliciosas:

Fig 3 Ping cargado Ciertamente, si usted intenta realizar este procedimiento en solitario, va a notar que nada grave acontecer con su "blanco". Es exactamente en este punto que entran los famosos troyanos. Los troyanos son distribuidos en varias

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 3

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 computadoras por la red, y estos programas, a una determinada hora (preestablecida o controlada por el cracker), ejecutan el comando ping, ya programado para enviar en forma constante, una cantidad grande de paquetes al mismo blanco (cmo fue visto en el segundo ejemplo). . Considerando un troyano distribuido en cerca de 400 computadoras, todos ejecutando el programa ping, cada uno enviando paquetes de 1,600 bytes, sera lo correspondiente a recibir 625 Kb cada uno o dos segundos por un tiempo indefinido. . Con certeza este proceso ira a causar una sobrecarga de datos que no sera asimilada por la capa TCP, causando la extincin temporaria del servicio, y dejando inactiva a aquella computadora. Esto causa perjuicios significativos tanto en empresas de pequeo como de mucho trfico. Imagine un sitio de ventas en lnea que quedara fuera del aire durante 2 o 3 das, el dao sera espantoso . Usted se puede estar preguntando: "y que puedo hacer yo para prevenir este tipo de ataque?". Bien, en verdad la respuesta no es tan sencilla como la pregunta. Digamos que usted tiene dos opciones. Una es esperar una accin de las autoridades competentes, la otra, ms viable, es aumentar la seguridad de su servidor o computador personal. No es que las autoridades se vean completamente impotentes, sino que es extremadamente trabajoso dar con el verdadero autor del ataque, considerando que varias computadoras fueron involucradas en el proceso, sin estar conscientes (en este caso debido a la accin de troyanos propagados por la red). El esquema de rastreo (traceroute de los paquetes), y el estudio de los logs (NT: registros cronolgicos), podra demorar muchos das, tal vez meses, y si el cracker es muy experimentado, ser prcticamente imposible llegar a l. Spoofing o enmascaramiento Los delincuentes han empleado mucho tiempo la tctica de enmascarar su verdadera identidad, El IP engaar es uno de los formularios ms comunes de camuflaje en lnea. En el enmascaramiento IP , un indicviduo gana el acceso desautorizado a una computadora o una red hacindole creen a la red que tienen una direccin IP de origen en el mismo espacio de direcciones de la red objeto del ataque El concepto de enmascaramiento IP engaar, se discuti inicialmente en los crculos acadmicos en los 1980. Mientras era principalmente terico hasta que Robert Morris cuyo hijo escribi al primer Worm de Internet, descubri una debilidad de seguridad en el protocolo de TCP conocido como la prediccin de la sucesin. Stephen Bellovin discuti el problema en profundidad en los Problemas de Seguridad en el TCP/IP la Coleccin Protocolar. Otro ataque infame, el da de Navidad creado por Kevin Mitnick a la mquina de Tsutomu Shimomura, ( su principal perseguidor) empleaba el enmascaramiento IP y una sucesin de tcnicas de prediccin TCP, utilizando su filosofa de mquina de estados finitos.. Para entender completamente cmo estos ataques tienen lugar, debemos examinar la estructura del TCP/IP . Un entender bsico de estos ttulos e intercambios de la red es crucial al proceso. El protocolo de Internet (IP) es un protocolo de la red que opera a capa 3 (la red) del modelo de OSI. Es un modelo del connectionless, mientras significando que no hay informacin con respecto a estado de la transaccin que se usa para dirigir los paquetes en una red. No hay ningn mtodo adicionalmente, en el lugar asegurar que un paquete se entrega propiamente al destino.

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 4

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 Examinando el encabezado de IP, nosotros podemos ver que los primeros 12 bytes contienen a varios campos de informacin sobre el paquete. Los siguientes 8 bytes , sin embargo, contiene las direcciones IP de origen y destino. Usando una de varias herramientas, un asaltador puede modificar estas direcciones fcilmenteespecficamente el la direccin de la fuente el campo. Es importante notar que cada datagrama se enva independiente de todos los otros debido a la naturaleza sin estado de IP. Tenga presente este hecho cuando nosotros examinamos TCP en la prxima seccin. IP puede pensarse como si fuera una envoltura de la capa 4 (el transporte) que contiene el Protocolo de Mando de Transmisin (TCP). TCP usa un plan orientado d conexin-orientado. Esto significa que los participantes en una sesin de TCP deben construir una conexin primero - va el handshaking (SYN-SYN/ACK-ACK) . Esto la conversacin, asegura la fiabilidad de los datos, desde que el remitente recibe un OK del destinatario despus de cada intercambio del paquete. Como usted puede ver anteriormente, un encabezado de TCP es muy diferente del de IP. Nosotros nos preocupamos por los primeros 12 bytes del paquete de TCP que contiene puerto e informacin del sequencing. Como en un datagram de IP, pueden manipularse los paquetes de TCP usando software. La fuente y puertos del destino normalmente dependen de la aplicacin de la red en el uso (por ejemplo, HTTP va puerto 80). lo que es importante para nuestra comprensin de engaar en la sucesin y nmeros de reconocimiento. El datos contenido en estos campos asegura la entrega del paquete determinando si o no un paquete necesita ser note. El nmero de la sucesin es el nmero del primer byte en el paquete actual que es pertinente al arroyo de los datos. El nmero de reconocimiento, a su vez, contiene el valor del prximo nmero de la sucesin esperado en el arroyo. Esta relacin confirma, en ambos fines que los paquetes apropiados fueron recibidos. Es bastante diferente que IP, desde que el estado de la transaccin se supervisa estrechamente. Obviamente, es muy fcil de enmascarar una direccin de la fuente manipulando un encabezado de IP. Esta tcnica se usa por razones obvias y es empleado en algunos de los ataques discutidos debajo. Otra consecuencia, especfico a TCP, es la prediccin de nmero de sucesin que puede llevar a sabotear la sesin o puede organizar un ataque personificando. Hay unas variaciones en los tipos de ataques que con xito emplean el enmascaramiento IP. Aunque algunos son relativamente viejos, otros son muy pertinentes a las preocupaciones de seguridad actuales. Enmascaramiento Non-deslumbre Este tipo de tomas del ataque sucede cuando el asaltador est en el mismo subnet como la vctima. Pueden olfatearse la sucesin y nmeros de reconocimiento, eliminando la dificultad potencial de calcularlos con precisin. La amenaza ms grande de engaar en este caso sera los secuestros de sesin. Esto es cumplido adulterando el datastream de una conexin establecida, mientras restablecindolo entonces basaron en la sucesin correcta y el reconocimiento numera con la mquina del ataque. Usando esta tcnica, un asaltador podra desviar eficazmente cualquier autenticacin suplantando el lugar tomado para construir la conexin. El Enmascaramiento persiana

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 5

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 ste es un ataque ms sofisticado, porque la sucesin y nmeros de reconocimiento son inalcanzables. Para engaar esto, se envan varios paquetes a la mquina designado para probar los nmeros de la sucesin. Mientras no el caso hoy, las mquinas en el pasado usaron las tcnicas bsicas para los nmeros de la sucesin generadores. Era relativamente fcil de descubrir la frmula exacta estudiando paquetes y sesiones de TCP. Hoy, en la mayora del instrumento de OSs la generacin de nmero de sucesin es aleatoria, hacindolo difcil de predecirlos con precisin. Si, sin embargo, el nmero de la sucesin fue compuesto, podran enviarse los datos al blanco. Hace varios aos, muchas mquinas usaron la autenticacin Rlogin. UN propiamente el ataque podra agregar los datos requerido a un sistema (es decir una nueva cuenta del usuario), ciegamente, habilitando el acceso por el asaltador que estaba personificando a un administrador confiado.

Figura 4 E: enmascaramiento IP o spoofing Ataque del hombre En el Medio Ambos tipos de engaos son formas de una violacin de seguridad comn, conocida como un hombre en el medio (MITM). En estos ataques, un hacker malvolo intercepta una comunicacin legtima entre dos individuos amistosos. El malvolo entonces controla el flujo de comunicacin y puede eliminar o puede alterar la informacin enviada por uno de los participantes originales sin el conocimiento del remitente original o el destinatario. De esta manera, un asaltador puede engaar a una vctima en descubrir la informacin confidencial por enmascaramiento o la identidad del remitente original en que probablemente es confiado por el destinatario. El enmascaramiento IP es actualmente uno de los ataques ms difciles de defender en el temao de ataques de servicio, o DOS.. Ms bien, ellos desean inundar a la vctima con los tantos paquetes como sea posible en una

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 6

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 cantidad corta de tiempo. Para prolongar la efectividad del ataque, ellos engaan la fuente IP se dirige para hacer el trazado y deteniendo el DOS tan difcil como posible. Defendindose contra el IP Spoofing Hay unas precauciones que pueden tomarse para limitar la amenaza, como: Filtros en los routers de entrada Simplemente se cheque a la entrada la direccin de origen de todo paquete IP y aquellos que la tengan igual simplemente se eliminan. Usted necesitar construir una ACL (la lista de control de acceso) que bloquea los paquetes IP que cumplan la condicin. Encriptacin y Autenticacin - Llevando a cabo encriptacin y autenticacin reducirn tambin las amenazas de enmascaramiento. Ambas caractersticas esta por defecto incluidas en Ipv6 lo que eliminar o disminuir el riesgo.

Ataque Destino inalcanzable Un Mensaje ICMP Destination Unreachable es generado por un enrutador para informar a quien enva un datagrama IP que el host de destino no esta al alcance del router, a menos que el datagrama tenga una direccin de destino multicast. La razones La ruta que conduce al segmento de red de destino no existe en la tabla de enrutamiento Conexin fsica no existente El protocolo o puerto inactivo Tamao del datagrama muy grande pero el flag de fragmentacin esta OFF. Mediante software especializado un equipo puede comenzar a enviar indiscriminadamente este tipo de mesnaje a los enviadotes de datagramas IP. Si este equipo es un router de Internet o de una es especialmente problemtico para esta red. Re direccionamiento de mensajes Consistes en un mensaje que le indica a un host que debe redirigir sus mensajes que tengan como destino una ruta dada, lo cual envenena la ruta, generalmente el host donde se hizo la redireccin no existe o si existe no puede llegar a esa ruta, Utiliza el protocolo ICMP como herramienta de destrucci+on Ataques Tormentas de Broadcast Se utilizan para sobrecargar las redes.Se basan en el mecanismo de resolucin de direcciones MAC-IP. Se genera un paquete falso buscando una direccin IP inexistente. Se combate monitoreando la red buscando comportamiento anmalos de carga. Ataques de saboteo de la sesin TCP

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 7

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 Se ejecutan por SW que viola o simula cualquiera de las banderas o flags del establecimiento y manejo de sesin del TCP Bandera URG Significado El campo urgent point es vlido ACK El campo acknowledgement es vlido PSH El segmento debe ser rechazado RST Resetea la conexin SYN Sincroniza los nmeros de sequencia FIN Fin de la conexin Fig 4 Los flan de TCP

Figura 6: La sesin TCP La defensa Toda la defensa del protocolo y sus debilidades naturales y de origen esta basado en el uso de 2 tcnicas primigenias y de aplicaciones sacadas del uso de esas tcnicas. Ellas son SSL Secure Socket Layer e IP SEC

Secure Socket Layer

SSL es un protocolo de autenticacin y encriptacin que hace uso de la interfaz entre la aplicacin y sus socket cuando se estn construyendo los segmentos paquetes TCP/IP. SSL es una especificacin propietaria de Netscape puesta en dominio publico para la definicin de canales seguros sobre TCP, el protocolo de transporte punto a punto de Internet. El objetivo inicial era la realizacin de conexiones

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 8

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 seguras a servidores www que permitiera, por ejemplo, enviar nmeros de tarjetas de crdito a travs de un formulario manteniendo la confidencialidad y autenticando al propietario de la tarjeta y a servidor receptor.. El protocolo SSL se compone de dos capas, y su funcionamiento es el siguiente: La capa de mas bajo nivel (el SSL Record Protocol), se encarga de encapsular los protocolos de nivel mas alto. La segunda, SSL Handshake protocol, se encarga de la negociacin de los algoritmos de encriptacin, as como la autentificacin entre el cliente y el servidor. Durante la conexin inicial, el cliente adjunta informacin sobre los sistemas criptogrficos que dispone, siendo el primero de la lista el que prefiere utilizar. El servidor responder con un identificador de conexin, su clave certificada e informacin sobre los sistemas criptogrficos que soporta. El cliente elegir un sistema criptogrfico, verificara la clave publica del servidor. Aqui es donde se genera una clave encriptada con la clave publica del servidor. Este es uno de los pilares de la seguridad SSL, ya que en el caso en que alguien consiguiera desencriptar la informacin, que ya de por si es muy difcil, solo conseguira "reventar" esa conexin, ya que una posterior conexin entre el mismo cliente y el mismo servidor tendr una clave criptogrfica diferente.

Una vez finalizado este proceso, se cede el control a los protocolos de nivel de aplicacin. SSL permanece por debajo encriptando todo el flujo de informacin de las transacciones que con las claves que se han generado durante la negociacin. Es decir, se encargara de asegurar: La integridad: La garanta de que los mensajes que enviamos o recibimos no han sido modificados. La confidencialidad: Nadie sin autorizacin puede leer la informacin transmitida, y garantiza que efectivamente la recibe quien debe recibirla.

El protocolo Secure Sockets Layer ( SSL ) utiliza una combinacin de cifrado de clave pblica y claves simtricas. El cifrado Symmetric-key es mucho ms rpido que cifrado de clave pblica; sin embargo, el cifrado de clave pblica proporciona tcnicas mejores de autenticacin. Siempre una sesin SSL comienza con un intercambio de mensajes denominados la negociacin de protocolos SSL. La negociacin de protocolos permite al servidor autenticarlo al cliente utilizando tcnicas de clave pblica y a continuacin, permite al cliente y al servidor que cooperen en la creacin de claves simtricas utilizadas para cifrado rpido, el descifrado y deteccin de manipulacin durante la sesin siguiente. Tambin la negociacin de protocolos permite al cliente opcionalmente autenticarlo al servidor. En detalle los pasos implicados en la negociacin de protocolos SSL son los siguientes ( nota que el uso de los conjuntos de cifrado que aparecen en Conjuntos de Cifrado con Intercambio de claves de RSA se supone en los pasos siguientes : Triple DES, RC4, RC2, DAR ): 1. El cliente enva al servidor el nmero de versin SSL del cliente, configuraciones de cifrado, datos especficos y otra informacin que se necesita que el servidor se comunique con el cliente que utiliza SSL. 2. El servidor enva al cliente el nmero de versin SSL del servidor, configuraciones de cifrado, datos especficos y otra informacin que el cliente se debe comunicar con el servidor sobre SSL. Tambin el servidor enva su propio certificado y si el cliente solicita un recurso de servidor que requiere autenticacin de clientes, el servidor solicita el certificado del cliente.

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 9

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 3. El cliente utiliza la informacin enviada por el servidor para autenticar el servidor (vea autenticacin para obtener detalles). Si no se puede autenticar el servidor, se advierte el usuario del problema y se informa a no poderse establecer una conexin cifrada y autenticada. Si el servidor se puede autenticar correctamente, el cliente contina con pasar 4 el cliente. 4. Utilizando todos los datos hasta aqui generados en la negociacin de protocolos, el cliente (con la cooperacin del servidor segn el cifrado que se utiliza) crea el previo el secreto para la sesin lo cifra con el clave pblica (obtenido del certificado enviado en paso 2 del servidor) del servidor y enva al servidor entonces el secreto previo cifrado. 5. Si el servidor ha solicitado autenticacin de clientes (un paso opcional en la negociacin de protocolos), tambin el cliente firma otra parte de datos que son nicos y conocidos por el cliente y por el servidor a esta negociacin de protocolos. En este caso el cliente enva los datos firmados y el certificado de propio cliente al servidor junto con el secreto previo cifrado. 6. Si el servidor ha solicitado autenticacin de clientes, el servidor intenta autenticar el cliente (vea Autenticacin de clientes para obtener detalles). Si no se puede autenticar el cliente, la sesin termina. Si el cliente se puede autenticar correctamente, el servidor utiliza su clave privada para descifrar el secreto previo el servidor realiza una serie de pasos (que tambin realiza el cliente para iniciarse del mismo secreto previo) genera el secreto maestro. 7. Para detectar cualquier cambio de los datos entre el tiempo entre el que se envi y la vez, y el cliente utiliza el secreto maestro el servidor para generar las claves de sesin que son las claves simtricas utilizadas para comprobar su integridad, para cifrar y descifrar informacin intercambiada durante la sesin SSL y el servidor (es decir, se recibe a travs de la conexin SSL). 8. El cliente enva un mensaje al servidor que informa a ello que se cifrarn mensajes futuros del cliente con la clave de sesin. A continuacin, enva un mensaje (cifrado) diferente para indicar que se termina de la parte de cliente de la negociacin de protocolos. 9. El servidor enva un mensaje al cliente que informa a ello que se cifrarn mensajes futuros del servidor con la clave de sesin. A continuacin, enva un mensaje (cifrado) diferente para indicar que se termina de la parte de servidor de la negociacin de protocolos. 10. La negociacin de protocolos SSL ya es terminada y la sesin comienza. El cliente y el servidor utilizan las claves de sesin para validar su integridad, para cifrar y descifrar los datos que envan a otros y. 11. Esto es la condicin de funcionamiento normal del canal seguro. En cualquier momento debido a estmulo (intervencin de automatizacin o de usuario) interno o externo, cualquier lado puede renegociar la conexin que se lo repite el proceso. Figura 7: Estableciendo la sesin en SSL IPSEC Mediante la Seguridad del protocolo de Internet (IPSec), se puede ofrecer privacidad, integridad, autenticidad y proteccin contra reproduccin para el trfico de red en las siguientes situaciones:

Seguridad extremo a extremo de cliente a servidor, servidor a servidor y cliente a cliente mediante el modo de transporte IPSec. Acceso remoto seguro desde el cliente a la puerta de enlace a travs de Internet mediante el Protocolo de tnel de capa 2 (L2TP) protegido por IPSec.

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 10

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 IPSec proporciona conexiones seguras entre puertas de enlace a travs de redes de rea extensa (WAN) externas o conexiones de Internet que utilizan tneles L2TP/IPSec o el modo de tnel IPSec puro. El modo de tnel IPSec no est diseado para acceso remoto a redes privadas virtuales (VPN). El sistema operativo Windows 2000 Server simplifica la implantacin y la administracin de la seguridad de red mediante la Seguridad IP de Windows 2000, una robusta implementacin de la Seguridad del protocolo de Internet (IPSec). Diseado por el Internet Engineering Task Force (IETF) como la arquitectura de seguridad del protocolo Internet (IP), IPSec define los formatos de paquetes IP y la infraestructura relacionada para proporcionar una eficaz autenticacin de principio a fin, integridad, proteccin contra reproduccin y, opcionalmente, confidencialidad para el trfico de red. Tambin se incluye un servicio a peticin de negociacin y administracin de seguridad mediante el Internet Key Exchange (IKE, Intercambio de claves de Internet) RFC 2409, definido por el IETF. IPSec y los servicios relacionados en Windows 2000 se han desarrollado conjuntamente entre Microsoft y Cisco Systems, Inc. La seguridad IP de Windows 2000 se basa en la arquitectura IETF IPSec al integrarse con los dominios de Windows 2000 y los servicios Active DirectoryTM. Active Directory ofrece funciones de red basadas en directivas y habilitadas para directorios mediante Directiva de grupo, para proporcionar asignacin y distribucin de directivas IPSec a los miembros de un dominio Windows 2000. La implementacin del IKE proporciona tres mtodos de autenticacin basados en estndares del IETF para establecer la confianza entre sistemas:

Autenticacin Kerberos v5.proporcionada por la infraestructura de dominio basada en Windows 2000, que se utiliza para distribuir comunicaciones seguras entre equipos en un dominio o en dominios de confianza. Firmas de clave pblica o privada que utilizan certificados, compatibles con algunos sistemas de certificados como los de Microsoft, Entrust, Verisign y Netscape. Contraseas, llamadas claves de autenticacin compartidas previamente, que se utilizan estrictamente para establecer relaciones de confianza entre equipos, no para proteccin de los paquetes de datos de las aplicaciones.

Una vez que los equipos del mismo nivel se han autenticado mutuamente, generan claves de cifrado en volumen con el fin de cifrar los paquetes de datos de las aplicaciones. Ambos equipos conocen estas claves, de manera que los datos se encuentran muy bien protegidos contra modificaciones o interpretaciones por parte de atacantes que pudieran actuar en la red. Cada equipo del mismo nivel utiliza IKE para negociar el tipo y la intensidad de las claves que se utilizarn, as como el tipo de seguridad con el que se proteger el trfico de aplicaciones. Las claves se actualizan automticamente, segn la configuracin de la directiva IPSec, de forma que proporcionen una proteccin constante bajo el control del administrador. Escenarios para utilizar IPSec de extremo a extremo La Seguridad del protocolo de Internet (IPSec) en Windows 2000 esta diseada para que la distribuyan los administradores de redes, de forma que los datos de aplicacin de los usuarios puedan protegerse de manera transparente. En todos los casos, la utilizacin de la autenticacin Kerberos y confianza de dominios es la eleccin ms sencilla para la distribucin. Los certificados o las claves previamente compartidas pueden utilizarse para dominios sin confianza o interoperabilidad con terceros. La Directiva de grupo puede utilizarse para ofrecer la configuracin de IPSec, conocida como una directiva IPSec, a varios clientes y servidores.

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 11

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 El proceso de IPSec En este tema se proporciona una introduccin a conceptos de IPSec que son fundamentales para comprender el proceso IPSec, incluida la configuracin de directivas IPSec y el protocolo Intercambio de claves de Internet (IKE, <i>Internet Key Exchange</i>). Adems, en este tema se describe el funcionamiento del procesamiento de trfico de red de IPSec, con dos equipos de intranet como ejemplo. Configuracin de la directiva IPSec En Windows 2000, Windows XP y la familia Windows Server 2003, IPSec se implementa principalmente como una herramienta administrativa que se puede utilizar para forzar directivas de seguridad en el trfico de red IP. Una directiva de seguridad es un conjunto de filtros de paquetes que definen el trfico de red tal como se reconoce en la capa IP. Una accin de filtrado define los requisitos de seguridad para el trfico de red. Se puede configurar una accin de filtrado para: Permitir, Bloquear o Negociar seguridad (negociar IPSec). Los filtros IPSec se insertan en la capa IP de la pila del protocolo de red TCP/IP del equipo para que puedan examinar (filtrar) todos los paquetes IP de entrada o salida. IPSec es transparente para las aplicaciones de usuario final y los servicios del sistema operativo, excepto por un breve retardo necesario para negociar una relacin de seguridad entre dos equipos. Un conjunto colectivo de opciones de seguridad IPSec se conoce como directiva IPSec. Windows 2000, Windows XP y la familia Windows Server 2003 proporcionan una interfaz grfica de usuario y varias herramientas de la lnea de comandos que se pueden utilizar para configurar una directiva IPSec y, despus, asignarla a un equipo. Para asegurar que la comunicacin IPSec se realiza con xito y que IPSec cumple los requisitos de seguridad de la organizacin, es necesario disear, configurar, coordinar y administrar cuidadosamente las directivas IPSec. En muchas organizaciones, un solo administrador puede ser el responsable de configurar y administrar directivas IPSec para muchos, si no todos, los equipos. Asociaciones de seguridad de Intercambio de claves de Internet (IKE) El protocolo IKE est diseado para establecer de manera segura una relacin de confianza entre dos equipos, negociar las opciones de seguridad y generar de manera dinmica material de claves criptogrficas secretas compartidas. La configuracin del acuerdo de seguridad asociado al material de claves se denomina asociacin de seguridad o SA. Estas claves proporcionarn autenticidad, integridad y, opcionalmente, cifrado de los paquetes IP que se envan mediante la asociacin de seguridad. IKE negocia dos tipos de asociaciones de seguridad: Una asociacin de seguridad de modo principal (la asociacin de seguridad IKE que se utiliza para proteger la propia negociacin IKE). Asociaciones de seguridad IPSec (las asociaciones de seguridad que se utilizan para proteger el trfico de la aplicacin). Se pueden configurar las opciones de directivas IPSec para ambos tipos de asociaciones de seguridad. El servicio IPSec interpreta una directiva IPSec y la ampla a los componentes que necesita para controlar la negociacin IKE. La directiva IPSec contiene una definicin de un filtro de paquetes. El filtro de paquetes se Autor: Ingeniero Jaime Hernando Rubio Rincn pgina 12

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 interpreta de dos formas: una utiliza slo la direccin y la informacin de identidad para permitir a IKE establecer una asociacin de seguridad de modo principal (la asociacin de seguridad IKE); la otra permite a IKE establecer las asociaciones de seguridad IPSec (tambin conocidas como asociaciones de seguridad de modo rpido). Procesamiento de trfico de red IPSec La ilustracin siguiente muestra el funcionamiento de IPSec en cuanto a los componentes de IPSec para dos equipos de una intranet.

Figura 8: La inter relacin cliente servidor en IPSEC. Por simplificar, este ejemplo se refiere a una intranet en la que dos equipos tienen una directiva IPSec activa. 1. 2. 3. 4. Alicia, que utiliza una aplicacin de datos en el equipo A, enva un paquete IP de aplicacin a Benito, en el equipo B. El controlador IPSec del equipo A comprueba sus listas de filtros IP de salida y determina los paquetes que deben protegerse. Esta accin sirve para negociar la seguridad, de forma que el controlador IPSec notifique a IKE que inicie las negociaciones. El servicio IKE del equipo A completa una bsqueda de directivas, utilizando su propia direccin IP como origen y la direccin IP del equipo B como destino. La coincidencia del filtro de modo principal determina la configuracin de modo principal que el equipo A propone al equipo B. El equipo A enva el primer mensaje de IKE en modo principal mediante el puerto de origen UDP 500, puerto de destino 500. Los paquetes de IKE reciben un procesamiento especial por parte del controlador IPSec para omitir filtros. 5. El equipo B recibe un mensaje de modo principal de IKE que solicita negociacin segura. Utiliza la direccin IP de origen y la direccin IP de destino del paquete UDP para realizar una bsqueda de directivas en modo principal y determinar la configuracin de seguridad que se va a acordar. El equipo B tiene un archivo de modo principal que coincide, as que responde para iniciar la negociacin de la asociacin de seguridad de modo principal. 6. El equipo A y el equipo B negocian opciones, intercambian identidades, comprueban la confianza de dichas

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 13

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 identidades (autenticacin) y generan una clave principal compartida. Han establecido una asociacin de seguridad de modo principal de IKE. El equipo A y el equipo B deben confiar mutuamente entre s. 7. A continuacin, el equipo A realiza una bsqueda de directiva de modo rpido de IKE utilizando el filtro completo con el que el controlador de IPSec hizo coincidir el paquete de salida. El equipo A selecciona la configuracin de seguridad de modo rpido y la propone, y el filtro de modo rpido, al equipo B. El equipo B tambin realiza una bsqueda de directiva de modo rpido de IKE mediante la descripcin de filtro ofrecida por el equipo A. El equipo B selecciona las opciones de seguridad requeridas por su directiva y las compara con las ofrecidas por el equipo A. El equipo B acepta un conjunto de opciones y completa el resto de la negociacin de modo rpido de IKE para crear un par de asociaciones de seguridad de IPSec. 8. Una asociacin de seguridad de IPSec es para el trfico entrante y otra para el trfico saliente. Un ndice de parmetros de seguridad (SPI, <i>Security Parameter Index</i>) insertado en el encabezado IPSec de cada paquete enviado identifica las asociaciones de seguridad de IPSec. 9. El controlador de IPSec del equipo A utiliza la SA saliente para firmar los paquetes y, si es necesario, cifrarlos. Si el adaptador de red puede realizar una descarga de hardware de funciones criptogrficas de IPSec, el controlador IPSec da formato a los paquetes, pero no realiza las funciones criptogrficas de IPSec. 10. El controlador IPSec enva los paquetes al controlador del adaptador de red e indica si el adaptador debe realizar funciones criptogrficas de IPSec. El adaptador de red transmite los paquetes a la red. 11. El controlador del adaptador de red del equipo B recibe los paquetes cifrados de la red. El receptor de un paquete IPSec utiliza SPI para buscar la asociacin de seguridad de IPSec correspondiente, con las claves criptogrficas necesarias para comprobar y descifrar los paquetes. Si el adaptador de red puede descifrar los paquetes en hardware, comprueba si puede reconocer el ndice SPI. Si no puede descifrar los paquetes en hardware o no puede reconocer el ndice SPI, pasa los paquetes al controlador IPSec. 12. El controlador IPSec del equipo B utiliza el ndice SPI de la asociacin de seguridad de entrada para recuperar las claves necesarias para validar la autenticacin e integridad y, si es necesario, descifrar los paquetes. 13. El controlador IPSec convierte los paquetes de formato IPSec a formato de paquete IP estndar. Pasa los paquetes IP validados y descifrados al controlador TCP/IP, que, a su vez, los pasa a la aplicacin receptora del equipo B. 14. Las asociaciones de seguridad de IPSec siguen ofreciendo una proteccin transparente muy segura para el trfico de datos de la aplicacin. Asimismo, se actualizan automticamente a travs de una negociacin en modo rpido de IKE siempre que la aplicacin enve y reciba datos. Cuando la aplicacin deja de enviar y recibir datos, las asociaciones de seguridad de IPSec pasan a inactividad y se eliminan. 15. Normalmente, la asociacin de seguridad de modo principal de IKE no se elimina. De manera predeterminada, tiene una duracin de 8 horas. La duracin de la asociacin de seguridad de modo principal

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 14

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 puede configurarse para que dure desde 5 minutos hasta un mximo de 48 horas. Cuando se enve ms trfico, se negocia automticamente un nuevo modo rpido para crear dos nuevas asociaciones de seguridad de IPSec que protejan el trfico de la aplicacin. Este proceso es rpido, debido a que la asociacin de seguridad de modo principal ya existe. Si una asociacin de seguridad de modo principal caduca, se vuelve a negociar automticamente cuando sea necesario. Figura 9 : La sesin en IPSEC Todos los enrutadores o conmutadores del trayecto entre los equipos que se estn comunicando se limitan a reenviar los paquetes IP cifrados hacia su destino. Sin embargo, si hay un servidor de seguridad, un enrutador de seguridad o un servidor proxy en el trayecto, es posible que el trfico IPSec e IKE no se reenve. Estos dispositivos deben configurarse para permitir que los paquetes IPSec y de protocolo IKE pasen a travs de ellos. Si los paquetes IPSec no estn cifrados, el servidor de seguridad o el enrutador de seguridad an pueden inspeccionar los puertos TCP o UDP u otro contenido de los paquetes. Si se modifica el contenido de los paquetes despus de haber sido enviados, el equipo IPSec receptor detecta la modificacin y descarta los paquetes. No obstante, la implementacin de IPSec de la familia Windows Server 2003 proporciona compatibilidad con una nueva especificacin de Internet que permite modificar paquetes IPSec mediante un traductor de direcciones de red (NAT, <i>Network Address Translator</i>). Los paquetes de Carga de seguridad encapsuladora (ESP, <i>Encapsulating Security Payload</i>) de IPSec pueden pasar a travs de NAT que admitan trfico UDP. El protocolo IKE detecta automticamente la presencia de NAT y utiliza la encapsulacin ESP de Protocolo de datagramas de usuario (UDP-ESP, <i>User Datagram Protocol-ESP</i>) para permitir que el trfico IPSec pase a travs de NAT.

Secure Shell Header

Finalmente hablemos del protocolo de servicio Secure Shell Header, el cual a la manera de Telnet permite el acceso s un shell remoto del sistema operativo, colocando el rea de memoria del shell a disposicin del cliente remoto. SSH (Secure SHell) es el nombre de un protocolo y del programa que lo implementa. Este protocolo sirve para acceder a mquinas remotas a travs de una red, de forma similar a como se hace con telnet. La diferencia principal es que SSH usa tcnicas de cifrado que hacen que la informacin que viaja por el medio de comunicacin vaya de manera no legible y ningna tercera persona pueda descubrir el usuario y contrasea de la conexin ni lo que se escribe durante toda la sesin; aunque es posible atacar este tipo de sistemas por medio de ataques de REPLAY y manipular as la informacin entre destinos. Al igual que telnet, slo permite conexiones tipo terminal de texto, aunque puede redirigir el trfico de X para poder ejecutar programas grficos si tenemos un Servidor X arrancado. Adems de la conexin a otras mquinas, SSH nos permite copiar datos de forma segura (tanto ficheros sueltos como simular sesiones FTP cifradas), gestionar claves RSA para no escribir claves al conectar a las mquinas y pasar los datos de cualquier otra aplicacin por un canal seguro de SSH (esto slo si tenemos acceso como administrador a ambas mquinas).

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 15

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 La primera versin del protocolo y el programa eran libres y los cre un sueco llamado Tatu Ylnen, pero su licencia fue cambiando y termin apareciendo la compaa `SSH Communications Security', que lo ofreca gratuitamente para uso domstico y acadmico, pero exiga el pago a otras empresas. En el ao 1997 (dos aos despus de que se creara la primera versin) se propuso como borrador en la IETF. A principios de 1999 se empez a escribir una versin que se convertira en la implementacin libre por excelencia, la de OpenBSD, llamada OpenSSH.

Manejo bsico de SSH

El protocolo ssh cuenta con dos versiones, la primera de ellas se mantiene por motivos de compatibilidad, pero se recomienda generalmente el uso de la segunda, por su mayor seguridad. OpenSSH es una implementacin, usable en sistemas linux, de cliente y servidor para estos protocolos, la versin disponible para Debian permite usar tanto ssh 1 como ssh 2. Tal como se describe en uno de los borradores de la especificacin temporal "SSH Protocol Architecture" (http://www.ietf.org/internet-drafts/draft-ietf-secsh-architecture-13.txt) ssh es un protocolo para iniciar sesiones en mquinas remotas que ofrece autenticacin, confidencialidad e integridad. Consta de tres componentes: Protocolo de transporte. Que normalmente opera sobre TCP/IP dando autenticidad, confidencialidad e integridad. Protocolo de autenticacin de usuario. Que autentica al usuario ante el servidor. Protocolo de conexin. Que hace mltiplex un canal encriptado en diversos canales lgicos.

Este protocolo requiere que los servidores tengan "llaves", las cuales son usadas por los clientes cada vez que se conectan a un servidor para verificar que no fue suplantado. Una llave es un nmero codificado y encriptado en un archivo. Para la encriptacin de llaves, OpenSSH ofrece los algoritmos RSA y DSA (de los cuales para la versin 2 recomendamos DSA). Para instalar un servidor OpenSSH, que le permita conectarse a su sistema de forma segura, instale el paquete ssh preferiblemente tomando la versin ms reciente del sitio de seguridad de Debian: http://security.debian.org o compile las fuentes ms recientes que puede obtener en http://www.openssh.org. Cuando instale se generarn un par de "llaves" para su computador, una pblica y una privada. Una vez instalado podr afinar la configuracin del servidor en el archivo /etc/ssh/sshd.conf que puede incluir lneas como las siguientes:

PermitRootLogin no RSAAuthentication yes PubkeyAuthentication yes RhostsAuthentication no hostsRSAAuthentication no HostbasedAuthentication no X11Forwarding yes

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 16

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 La ltima lnea permitir a los clientes que se conecten ejecutar aplicaciones de X-Window y transmitir la informacin grfica sobre la conexin segura. Un usuario tambin puede crear un par de llaves que le faciliten su autenticacin al emplear ssh o scp. Estos programas por defecto piden clave al usuario que se conecte a un servidor ssh. Si un usuario genera sus llaves pblica y privada, puede saltarse esta autenticacin pues se har de forma automtica con las llaves. Para lograrlo su llave pblica debe estar en el computador al cual se conecta (en ~/.ssh/authorized_keys) y su llave privada en el computador desde el cual se conecta (normalmente en ~/.ssh/id_dsa). La generacin de llaves puede hacerse con:

ssh-keygen -t dsa

que por defecto dejar su llave pblica en ~/.ssh/id_dsa.pub y su llave privada en ~/.ssh/id_dsa (que adems quedar protegida por una palabra clave que usted especifica). Como el nombre lo indica la llave privada no debe compartirla, por el contrario la llave pblica puede transmitirla y puede ser vista por cualquiera. En el computador en el que desee conectarse, agregue en el archivo ~/.ssh/authorized_keys (o ~/.ssh/authorized_keys2 si usa DSA y una versin de OpenSSH anterior a la 3.1), su llave pblica. Por ejemplo el usuario mario desde purpura.micolegio.edu.co puede configurar la entrada con autenticacin automtica a la cuenta pepe en amarillo.micolegio.edu.co con:

purpura> scp amarillo.micolegio.edu.co:/home/pepe/id_dsa_mario.pub purpura> ssh -l pepe amarillo.micolegio.edu.co ... amarillo> cat id_dsa_mario.pub >> ~/.ssh/authorized_keys

~/.ssh/id_dsa.pub

Cuando mario se intente conectar desde purpura, a la cuenta pepe en amarillo ya no tendr que dar la clave de pepe en ese computador sino la palabra clave con la que protegio su llave privada. Incluso esta palabra clave puede darse una sla vez, an cuando se realicen diversas conexiones con:

purpura> ssh-agent bash purpura> ssh-add mario

Tras lo cual mario teclear una vez la palabra clave de su llave privada, y despus en esa sesin de bash todo ingreso que haga a la cuenta pepe en amarillo, no solicitar clave alguna. Autor: Ingeniero Jaime Hernando Rubio Rincn pgina 17

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6

Virtual Privated Networks

Es el uso de Tecnologas IPSEC y SSL combinadas para proteger el paque IP y el segemento TCP en su confidencialidad y autenticidad. Una RED se extiende sobre un rea geogrfica amplia, a veces un pas o un continente; contiene una coleccin de mquinas dedicadas a ejecutar programas de usuario ( aplicaciones ). En los ltimos aos las redes se han convertido en un factor crtico para cualquier organizacin. Cada vez en mayor medida, las redes transmiten informacin vital, por tanto dichas redes cumplen con atributos tales como seguridad, fiabilidad, alcance geogrfico y efectividad en costos. Se ha demostrado en la actualidad que las redes reducen en tiempo y dinero los gastos de las empresas, eso ha significado una gran ventaja para las organizaciones sobre todo las que cuentas con oficinas remotas a varios kilmetros de distancia, pero tambien es cierto que estas redes remotas han despertado la curiosidad de algunas personas que se dedican a atacar los servidores y las redes para obtener informacin confidencial. Por tal motivo la seguridad de las redes es de suma importancia, es por eso que escuchamos hablar tanto de los famosos firewalls y las VPN 2. Por qu una VPN? Cuando deseo enlazar mis oficinas centrales con alguna sucursal u oficina remota tengo tres opciones: Modem: Las desventajas es el costo de la llamada, ya que el costo de esta llamada sera por minuto conectado, ademas sera una llamada de larga distancia, a parte no contara con la calidad y velocidad adecuadas. Lnea Privada: Tendra que tender mi cable ya sea de cobre o fibra ptica de un punto a otro, en esta opcin el costo es muy elevado porque si por ejemplo necesito enlazar mi oficina central con una sucursal que se encuentra a 200 Kilmetros de distancia el costo sera por la renta mensual por Kilmetro. Sin importar el uso.VPN: Los costos son bajos porque solo realizo llamadas locales, ademas de tener la posibilidad de que mis datos viajen encriptados y seguros, con una buena calidad y velocidad. 3. Que es una VPN? Es una red privada que se extiende, mediante un proceso de encapsulacin y en su caso de encriptacin, de los paquetes de datos a distintos puntos remotos mediante el uso de unas . infraestructuras pblicas de transporte. Los paquetes de datos de la red privada viajan por medio de un "tnel" definido en la red pblica. (ver figura 10)

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 18

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6

Figura 10 Una VPN

Figura 11 En la figura anterior (figura 11) se muestra como viajan los datos a travs de una VPN ya que el servidor dedicado es del cual parten los datos, llegando a firewall que hace la funcin de una pared para engaar a los intrusos a la red, despues los datos llegan a nube de internet donde se genera un tnel dedicado nicamente para nuestros datos para que estos con una velocidad garantizada, con un ancho de banda tambin garantizado y lleguen a su vez al firewall remoto y terminen en el servidor remoto. Las VPN pueden enlazar mis oficinas corporativas con los socios, con usuarios mviles, con oficinas remotas mediante los protocolos como internet, IP, Ipsec, Frame Relay, ATM como lo muestra la figura siguiente.

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 19

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6

Figura 12 Tecnologa de tnel Las redes privadas virtuales crean un tnel o conducto de un sitio a otro para transferir datos a esto se le conoce como encapsulacin adems los paquetes van encriptados de forma que los datos son ilegibles para los extraos.

Figura 13 El servidor busca mediante un enrutador la direccin IP del cliente VPN y en la red de transito se envan los datos sin problemas. Requerimientos bsicos de una VPN Por lo general cuando se desea implantar una VPN hay que asegurarse que esta proporcione:

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 20

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6 Identificacin de usuario: La VPN debe ser capaz de verificar la identidad de los usuarios y restringir el acceso a la VPN a aquellos usuarios que no estn autorizados. As mismo, debe proporcionar registros estadsticos que muestren quien acceso, que informacin y cuando. Administracin de direcciones: La VPN debe establecer una direccin del cliente en la red privada y debe cerciorarse que las direcciones privadas se conserven as. Codificacin de datos: La VPN debe ser capaz de manejar los protocolos comunes que se utilizan en la red pblica. Estos incluyen el protocolo de internet(IP), el intercambio de paquete de internet(IPX) entre otros. Administracin de claves La VPN debe generar y renovar las claves de codificacin para el cliente y el servidor. Soporte a protocolos mltiples La VPN debe ser capaz de manejar los protocolos comunes que se utilizan en la red pblica. Estos incluyen el protocolo de internet(IP), el intercambio de paquete de internet(IPX) entre otros.

Herramientas de una VPN VPN Gateway: Software Firewall Router

Ventajas de una VPN Dentro de las ventajas ms significativas podremos mencionar la integridad, confidencialidad y seguridad de los datos. Reduccin de costos. Sencilla de usar. Sencilla instalacin del cliente en cualquier PC Windows. Control de Acceso basado en polticas de la organizacin Herramientas de diagnostico remoto. Los algoritmos de compresin optimizan el trfico del cliente. Evita el alto costo de las actualizaciones y mantenimiento a las PCs remotas.

Conclusin Las VPN representan una gran solucin para las empresas en cuanto a seguridad, confidencialidad e integridad de los datos y prcticamente se ha vuelto un tema importante en las organizaciones, debido a que reduce significativamente el costo de la transferencia de datos de un lugar a otro, el nico inconveniente que pudieran tener las VPN es que primero se deben establecer correctamente las polticas de seguridad y de acceso porque si esto no esta bien definido pueden existir consecuencias serias.

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 21

Escuela Colombiana de Ingeniera Julio Garavito SYPI Semestre II 2005 Notas del profesor Fascculo No 6

Figura 14

Autor: Ingeniero Jaime Hernando Rubio Rincn

pgina 22