Riesgos y amenazas en las redes inalmbricas

El mantenimiento de software o manutencin de software es una de las actividades ms comunes en la ingeniera de software, es el proceso de mejora y optimizacin del software despus de su entrega al usuario final (es decir; revisin del programa), as como tambien correccion y prevencin de los defectos.

El mantenimiento de software es tambin una de las fases en el cliclo de vida de desarrollo del sistema (SDLC, sigla en ingls de system development life cycle), que se aplica al desarrollo de software. La fase de mantenimiento es la fase que viene despus del despliegue (implementacin) del software en el campo.

La fase de mantenimiento de software es una parte explcita del modelo en cascada del proceso de desarrollo de software el cual fue desarrollado durante el movimiento de programacion estructurada en computadores. El otro gran modelo, el desarrollo en espiral desarrollado durante el movimiento de ingeniera de software orientada a objeto no hace una mencin explcita de la fase de mantenimiento. Sin embargo, esta actividad es notable, considerando el hecho de que dos tercios del coste del tiempo de vida de un sistema de software involucran mantenimiento. Los componentes de software son la piedra angular de diferentes paradigmas de programacin. Esto ha generado la aparicin en el mercado de diferentes especificaciones que plantean la forma de construir, utilizar y distribuir componentes. Entre las ms extendidas se encuentran:

Estndares JavaBeans, servlest y Enterprise Java Beans de Oracle Open Services Gateway Initiative (OSGI) de OSGi Alliance

Paradigmas Los componentes de software son tiles en: Programacion Orientada a Componentes Programacion Orientada a Objetos Arquitectura Orientada a Servicios (SOA)

En la especificacin UML, un componente es una unidad modular con interfaces bien definidas, que es reemplazable dentro del contexto. As, un componente define su comportamiento en trminos de interfaces provedas y requerida; y dicho componente ser totalmente reemplazable por otro que cumpla con las interfaces declaradas.

UML no coloca ninguna restriccin respecto a la granularidad del componente, de esta forma un componente podr ser tan simple como un convertidor de moneda o tan complejo como un sistema de ayuda semntico.

UML no provee explcitamente reglas de consistencia entre los diferentes diagramas que Representen un sistema. Esto se debe principalmente a que se busca privilegiar la flexibilidad de uso, es decir, permitir la utilizacin del(los) diagrama(s) ms apropiado(s) para lograr la representacin que se desea.

No obstante lo anterior, la integracin de los modelos debe ser adecuadamente hecha con el fin de tener la consistencia necesaria a toda construccin de mltiples modelos. La literatura no es muy numerosa en lo que se refiere a la formalizacin de esta consistencia. Algunos autores han desarrollado algunos

esfuerzos principalmente enfocados en la verificacin de consistencia para herramientas de apoyo a la construccin de software, pero generalmente se centran en unos pocos modelos con gran detalle y, en particular, el DAct muchas veces no es considerado.

Sin el nimo de ser sistemtico en la definicin de reglas de consistencia (lo cual slo puede alcanzarse mediante la formalizacin matemtica de UML), se propone a continuacin un conjunto de reglas de integracin que dan un panorama amplio de cmo relacionar los diagramas

UML en el modelado orientado a objetos. Estas reglas son ms bien flexibles, para permitir el modelado de sistemas de informacin y de negocios y no slo de software, razn por la cual el DAct pasa a ser un modelo importante. Las redes inalmbricas Wi-Fi han posibilitado la sustitucin de los cables por ondas de radio. De este modo, se eliminan las ataduras y limitaciones de los dispositivos de conexin. Pero tambin permiten una mayor facilidad para que cualquiera tenga acceso a los datos que circulan por la red. Si con los cables un atacante deba obtener acceso fsico a un punto de acceso para poder realizar alguna accin, con las redes inalmbricas esta tarea se vuelve trivial. Al eliminarse el componente fsico que poda llegar a proteger los datos, stos quedan mucho ms expuestos. Por tanto, si se quiere hacer un uso responsable y seguro de esta tecnologa, el modelo de redes inalmbricas debe centrarse en el cifrado de los datos. A continuacin se exponen los riesgos a los qu estn expuestas estas redes y las recomendaciones generales para evitarlos. I Terminologa previa Existe una gran cantidad de terminologa acerca de las redes inalmbricas que no siempre es correctamente entendida. Se diferencia cada una de ellas con una breve descripcin. a. Estndar IEEE 802.11: define especficamente el uso de los dos niveles inferiores de la arquitectura OSI (capa fsica y de enlace de datos), detallando las normas de funcionamiento en una WLAN a esos niveles. Deben seguirlo todos los fabricantes de dispositivos que soporten esta tecnologa para que puedan entenderse entre ellos. Cuando se incorpora una variacin, se aade una letra. As IEEE 802.11n, por ejemplo, es de los ms usados. IEEE 802.11i llega a los 600

Mbps en capa fsica. 802.11i se defini especficamente para mejorar la seguridad. IEEE 802.11b, IEEE 802.11g e IEEE 802.11n son aceptados internacionalmente porque la banda de 2.4 GHz est disponible de forma casi universal. Estos estndares son conocidos luego por el gran pblico bajo nombres mucho ms asequibles como WPA o WPA2. b. Wi-Fi: es una marca perteneciente a la Wi-Fi Alliance (agrupacin de marcas comerciales como Nokia, Microsoft, Apple, Belkin, etc). Estas se encargan de certificar que los dispositivos cumplen el estndar IEEE 802.11 y que, por tanto, pueden operar con otros compatibles. Wi-Fi y su logo de ying y el yang, no son ms que una forma de la industria de certificar que el producto que lo posee, cumple el estndar. c. WEP: acrnimo de Wired Equivalent Privacy es el primer sistema de cifrado incluido en el estndar IEEE 802.11 como protocolo para redes inalmbricas que permite cifrar la informacin que se transmite. Proporciona un cifrado a nivel 2 del modelo OSI. Utiliza el algoritmo criptogrfico RC4 para cifrar y CRC-32 para la integridad. En el sistema WEP se pueden utilizar dos mtodos de autenticacin: Sistema abierto y clave compartida. El problema con WEP no est en RC4, sino en cmo lo implementa. WEP no crea bien el vector de iniciacin del algoritmo, y hace que los vectores sean predecibles para incrementar el vector de un paquete a otro. Adems existe un problema con el tamao de los vectores de iniciacin. Todo esto ha hecho que WEP se considere inseguro, y que existan numerosas herramientas capaces de averiguar en cuestin de minutos la clave con la que estn cifrados los datos. Para limitar estos ataques, se cre WEP+. d. WPA: WPA implementa la mayora del estndar IEEE 802.11i y fue creado por Wi-Fi Alliance para corregir WEP de forma transitoria. Se necesitaba algo que corrigiera WEP, pero que a su vez fuese compatible con el hardware del momento. Mientras se esperaba a que estuviese preparado y definido WPA2, la alianza cre un sistema intermedio. WPA fue diseado para utilizar un servidor de autenticacin (normalmente Radius), que distribuye claves diferentes a cada usuario. Tambin se puede utilizar en modo de clave pre-compartida (PSK, PreShared Key), menos seguro que con el servidor Radius. La informacin es cifrada utilizando el algoritmo RC4 (porque deba ser compatible con lo ya existente) pero mejorado y bien implementado. La clave es de 128 bits y el vector de inicializacin de 48 bits. Una de lasmejoras fundamentales sobre WEP es la implementacin del Protocolo de Integridad de Clave Temporal (TKIP o Temporal Key Integrity Protocol), que cambia claves dinmicamente a medida que el sistema es utilizado. Fue especficamente diseado, junto con un vector de inicializacin (IV) mucho ms grande, para evitar

los ataques ya conocidos contra WEP. Adicionalmente a la autenticacin y cifrado, WPA tambin mejora la integridad de la informacin. Con CRC era posible alterar la informacin y actualizar la CRC del mensaje sin conocer la clave WEP. WPA implementa un cdigo de integridad mejorado (MIC o Message Integrity Code), tambin conocido como Michael. Adems, WPA previene contra ataques de repeticin, puesto que incluye un contador de tramas. e. WPA2: es de nuevo, una certificacin, pero no obliga al dispositivo al uso de ninguna de tecnologas de cifrado especfica. Un dispositivo certificado WPA2 puede utilizar tanto el algoritmo de cifrado AES, (mucho ms seguro y robusto) como RC4 (y por tanto, el protocolo TKIP). Cuando un dispositivo que soporta WPA2 usa el algoritmo de cifrado AES, lo hace dentro del protocolo CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol) que es ms seguro que TKIP. En la mayora de dispositivos la denominacin es utilizada errneamente, y se habla de TKIP o AES, cuando en realidad se debera decir TKIP o CCMP. La confusin procede de que el protocolo CCMP utiliza el algoritmo de cifrado AES. Riesgos de seguridad

Existen muchos riesgos que surgen de no asegurar una red inalmbrica de manera adecuada: La intercepcin de datos es la prctica que consiste en escuchar las transmisiones de varios usuarios de una red inalmbrica. El crackeo es un intento de acceder a la red local o a Internet. La interferencia de transmisin significa enviar seales radiales para interferir con trfico. Los ataques de denegacin de servicio inutilizan la red al enviar solicitudes falsas.

Mecanismos de proteccin en las redes inalmbricas La seguridad es un aspecto que cobra especial relevancia cuando hablamos de redes inalmbricas. Para tener acceso a una red cableada es imprescindible una conexin fsica al cable de la red. Sin embargo, en una red inalmbrica desplegada en una oficina un tercero podra acceder a la red sin ni siquiera estar ubicado en las dependencias de la empresa, bastara con que estuviese en un lugar prximo donde le llegase la seal. Es ms, en el caso de un ataque pasivo, donde slo se escucha la informacin, ni siquiera se dejan huellas que posibiliten una identificacin posterior. En los inicios de la tecnologa inalmbrica, los procedimientos y mecanismos de seguridad eran tan dbiles que poda ganarse acceso con relativa facilidad hacia redes WLAN de compaas desde la calle. Existe el trmino wardriving, que se refiere a la accin de recorrer una ciudad para buscar la existencia de redes inalmbricas y ganar acceso a ellas. En la actualidad, existen tcnicas ms sofisticadas y complejas, las cuales fortalecen los inconvenientes de los mecanismos WLAN y ayudan a mantener la confidencialidad y resistencia ante los ataques dirigidos hacia este tipo de redes. El estndar inalmbrico 802.11 original incorpora encriptacin y autenticacin WEP (Privacidad Equivalente a Cable). Sin embargo, en el 2001 se publicaron artculos que comunicaban las deficiencias que enfrentaba dicho mecanismo. Al interceptar y decodificar los datos transmitidos en el aire, y en cuestin de horas en una red WLAN con trfico intenso, la clave WEP puede ser deducida y se puede ganar acceso no autorizado. Esta situacin desencaden una serie de acciones por parte del IEEE y de la industria para mejorar la seguridad en las redes de tecnologa inalmbrica. La seguridad WLAN abarca dos elementos: el acceso a la red y la proteccin de los datos (autenticacin y encriptacin, respectivamente). Las violaciones a la seguridad de la red inalmbrica, generalmente, vienen de los puntos de acceso no autorizados, aqullos instalados sin el conocimiento de los administradores de la red, o que operan con las funcionalidades de proteccin deshabilitadas (que es la configuracin por omisin en los dispositivos inalmbricos).

Estos hoyos en la seguridad, pueden ser aprovechados por personal no autorizado (hackers), que en caso de que logren asociarse con el punto de acceso, ponen en riesgo no nicamente la infraestructura inalmbrica, sino tambin la red almbrica a la cual se conecta. La tabla siguiente contiene los mecanismos de seguridad usados en redes WLAN, as como las ventajas y desventajas de cada uno de ellos.

Existen 4 tipos de redes inalmbricas, la basada en tecnologa BlueTooth, la IrDa (Infrared Data Association), la HomeRF y la WECA (Wi-Fi). La primera de ellas no permite la transmisin de grandes cantidades de datos entre ordenadores de forma continua y la segunda tecnologa, estndar utilizado por los dispositivos de ondas infrarrojas, debe permitir la visin directa entre los dos elementos comunicantes. Las tecnologa HomeRF y Wi-Fi estn basados en las especificaciones 802.11 (Ethernet Inalmbrica) y son las que utilizan actualmente las tarjetas de red inalmbricas. Una red inalmbrica tiene dos componentes principales: las estaciones (STA) y los puntos de acceso (AP). Pueden operar en dos modalidades: ad-hoc, en la que cada cliente (STA) se comunica directamente con los otros clientes de la red y en modalidad de infraestructura, donde las STA envan los paquetes a una estacin central, el punto de acceso. ste AP acta como si de un bridge Ethernet se tratara.

El cliente y el punto de acceso deben establecer una relacin antes de poder intercambiar datos. Esta relacin puede utilizar tres estados diferentes:

1. Sin autenticacin y disasociado 2. Con autenticacin y disasociado 3. Con autenticacin y asociado

El intercambio de datos 'reales' slo es posible en el tercer estado. El AP transmite tramas con seales de gestin en periodos de tiempo regulares. Las STA reciben estas tramas e inician la autenticacin mediante el envo de una trama de autenticacin. Una vez realizada satisfactoriamente la autenticacin, la STA enva la trama asociada y el AP responde con otra trama asociada.

La utilizacin del aire como medio de transmisin de datos mediante la propagacin de ondas de radio ha proporcionado nuevos riesgos de seguridad. La salida de estas ondas de radio fuera del edificio donde est ubicada la red permite la exposicin de los datos a posibles intrusos que podran obtener informacin sensible a la empresa y a la seguridad informtica de la misma.

Varios son los riesgos derivables de este factor. Por ejemplo, se podra perpetrar un ataque por insercin, bien de un usuario no autorizado o por la ubicacin de un punto de acceso ilegal ms potente que capte las estaciones cliente en vez del punto de acceso legtimo, interceptando la red inalmbrica. Tambin sera posible crear interferencias y una ms que posible denegacin de servicio con solo introducir un dispositivo que emita ondas de radio a una frecuencia de 24GHz (frecuencia utilizada por las redes inalmbricas).

La posibilidad de comunicarnos entre estaciones cliente directamente, sin pasar por el punto de acceso permitira atacar directamente a una estacin cliente, generando problemas si esta estacin cliente ofrece servicios TCP/IP o comparte ficheros. Existe tambin la posibilidad de duplicar las direcciones IP o MAC de estaciones cliente legtimas.

Los puntos de acceso estn expuestos a un ataque de Fuerza bruta para averiguar los passwords, por lo que una configuracin incorrecta de los mismos facilitara la irrupcin en una red inalmbrica por parte de intrusos.

A pesar de los riesgos anteriormente expuestos, existen soluciones y mecanismos de seguridad para impedir que cualquiera con los materiales suficientes pueda introducirse en una red. Unos mecanismos son seguros, otros, como el protocolo WEP fcilmente rompibles por programas distribuidos gratuitamente por Internet.

Mecanismos de seguridad para redes WLAN

Mecanismo de seguridad

Descripcin

Utiliza tres mecanismos para proteger las redes WLAN: - SSID (Identificador de Servicio): es una contrasea simple que identifica la WLAN. Los clientes deben tener configurado el SSID correcto para accesar a la red inalmbrica. El uso del SSID como mtodo nico de control de acceso a la infraestructura es peligroso, porque tpicamente no est bien asegurado; comnmente el punto de acceso est configurado para distribuir este parmetro en su seal gua (beacon). - Filtrado con direccin MAC (Control de Acceso al Medio): restringe el acceso a computadoras cuya direccin MAC de su adaptador est presente en una lista creada para cada punto de acceso en la WLAN. Este esquema de seguridad se rompe cuando se comparte o se extrava el adaptador inalmbrico. - WEP (Privacidad Equivalente a Cable): es un esquema de encriptacin que protege los flujos de datos entre clientes y puntos de acceso como se especifica en el estndar 802.11. Aunque el soporte para WEP es opcional, la certificacin WiFi exige WEP con llaves de 40 bits. El estndar recomienda dos esquemas para definir las llaves WEP. En el primer esquema, un conjunto de hasta cuatro llaves establecidas es compartido por todas las estaciones (clientes y puntos de acceso). El problema con estas llaves es que cuando se distribuyen ampliamente, la seguridad se ve comprometida. En el segundo esquema cada cliente establece una relacin de llaves con otra estacin. Este mtodo ofrece una alternativa ms segura, porque menos estaciones tienen las llaves, pero la distribucin de las mismas se dificulta con el incremento en el nmero de estaciones.

Especificacin original 802.11

802.1X

Para contrarrestar los defectos de la seguridad WEP, el IEEE cre el estndar 802.1X. Se trata de un mecanismo de seguridad diseado para proporcionar acceso controlado entre dispositivos inalmbricos clientes, puntos de acceso y servidores. Emplea llaves dinmicas en lugar de llaves

estticas usadas en la autenticacin WEP, y requiere de un protocolo de autenticacin para reconocimiento mutuo. Es necesario un servidor que proporcione servicios de autenticacin remota de usuarios entrantes (RADIUS, Servicio Remoto de Autenticacin de Usuarios Entrantes). Contiene los beneficios de encriptacin del protocolo de integridad de llave temporal (TKIP, Protocolo de Llaves Integras Seguras Temporales). TKIP fue construido tomando como base el estndar WEP, adems est diseado y analizado con detalle por importantes criptgrafos para reforzar la proteccin ofrecida en las redes WLAN. Tambin emplea 802.1X como mtodo de autenticacin en conjunto, con uno de los protocolos EAP estndar disponibles. EAP (Protocolo de Autenticacin Extensible) es un protocolo punto a punto que soporta mltiples mtodos de autenticacin. Debido a que la tecnologa WLAN se basa en transmisin sobre ondas de radio, con cobertura en reas que pueden ser ambientes pblicos o privados, se han tomado en cuenta importantes consideraciones acerca de la seguridad en la red; las actividades estn dirigidas por la especificacin de seguridad WPA (Acceso de Proteccin Wi-Fi) desarrollada por el IEEE en conjunto con la alianza Wi-Fi. Esta especificacin proporciona una mayor encriptacin de datos para corregir las vulnerabilidades de seguridad WEP, adems de aadir autenticacin de usuarios que no se haban contemplado.

WPA (Wi-Fi Protected Access)