Instituto Tecnolgico de

comitancillo
Materia: Seguridad Informtica
Profesor: Lic. Isidro Lpez Ruiz
UNIDAD: 4
Tema:
Seguridad En
Redes
Alumno: Ana Aquino Hernndez
Carrera: Ing. Informtica
Grupo: 5 B
Fecha de entrega: 24 de Noviembre
del 2014

INDICE:
4.1. Aspectos de seguridad en las comunicaciones.
4.2. Debilidades de los protocolos TCP/IP.
4.2.1. Transmisin de paquetes y promiscuidad.
4.2.2. Redes locales (VLAN) y amplias (VPN).
4.2.3. Domicilios IP.
4.2.4. Vigilancia de paquetes.
4.3. Estndares para la seguridad en redes.
4.4. Vulnerabilidad de los protocolos inalmbricos WEP, WPA, WPA2.
BIBLIOGRAFIA:

4.1. ASPECTOS DE SEGURIDAD EN LAS COMUNICACIONES.

Evidentemente, el problema de la seguridad en los sistemas de datos e
informacin ha sido una preocupacin desde los orgenes de estos sistemas.
De hecho, si atendemos al propio origen de los sistemas informticos,
encontramos que parte de sus races modernas se encuentran en la necesidad de
desencintar mensajes en tiempos de preguerra y guerra entre las potencias de la
poca, rondando los aos 40 del siglo XX.
El Collosus, construido por Turing con la ayuda de Von Neuman, fue el primer
ordenador operativo cuyo cometido era vulnerar los mensajes encriptados por la
famosa mquina Enigma con la que los alemanes codificaban sus mensajes de
guerra.
Sin embargo, apartando estas escenas romnticas de pelcula, el problema de la
seguridad en los sistemas de computacin se limitan a controlar el acceso a las
personas a los sistemas as como a garantizar que stas no divulguen sus claves
de acceso, hasta bien entrada la dcada de los 80.
El primer virus informtico surge casi como un juego de estudiantes. En el ao
1982, Rich Skrenta, con tan slo 15 aos de edad, crea Elk Cloner, un pequeo
programa que se copia en las unidades de disquete sin permiso de los usuarios y
a travs de su insercin en los diferentes equipos por los que va pasando. Su
efecto es igualmente romntico, pues el fin de Skrenta es distribuir un pequeo
poema indicando que haba infectado el ordenador.
Paralelamente, es en esa poca cuando se empieza a hablar de cdigos autor
replicantes, siendo en 1983 cuando se introduce por primera vez el trmino virus
informtico, de la mano de Fred Cohen.
Mientras los primeros virus suponan simplemente un reto para sus diseadores,
que se jactaban de haber vulnerado los sistemas a los que pretendan infectar, el
tiempo, la generalizacin de Internet, el uso de sta como plataforma de negocio y
en definitiva, el hecho de que de una manera u otra todos los ordenadores del

mundo estn conectados entre s, ha propiciado una escalada de cdigos

maliciosos, cada vez ms destructivos capaces de generar prdidas econmicas
millonarias, vulnerar los sistemas de seguridad de un pas, e incluso llegando a
acuarse el trmino de cber terrorismo, para definir determinados ataques a
sistemas de informacin.
Por suerte, como decamos al principio, los sistemas informticos escolares no
tienen que ver con el mundo empresarial, que es el ms afectado por las
vulneraciones de la seguridad informtica, ni con sistemas sensibles, como los de
defensa, interior o sanidad.
Nuestro problema se reduce considerablemente a mantener equipos en
funcionamiento, listos para el uso y acceso a Internet, controlando los lugares a
los que accede el alumnado.
Riesgos en la seguridad de los equipos informticos
Aunque hoy en da es prcticamente imposible considerar a los equipos
informticos como entes aislados, si consideramos al ordenador como un
elemento individual hay slo tres elementos sobre los que tendremos que incidir
para evitar agujeros de seguridad:

Evitar accesos locales al equipo por parte de personas no deseadas.

Evitar la contaminacin del equipo por parte de elementos perniciosos que

puedan daar o ralentizar el funcionamiento del mismo, y que se
aprovechan fundamentalmente de los sistemas de almacenamiento
porttiles (llaves USB, tarjetas SD, discos duros porttiles) y/o de los
sistemas de comunicacin.

Evitar agujeros de seguridad mediante el mantenimiento actualizado del

equipo informtico, su sistema operativo y los programas que utilicemos.

En cuanto a lo de evitar los accesos locales, la mayora de los ataques se basan

en nuestra ingenuidad a la hora de afrontar los problemas de seguridad. Es la
llamada Ingeniera social.
Segn Kevin Mitnik, uno de los ingenieros sociales ms famosos de todos los
tiempos, la obtencin de informacin del usuario legtimo se basa en cuatro
principios bsicos:
1. Todos queremos ayudar.

2. El primer movimiento es siempre de confianza hacia el otro.

3. No nos gusta decir No.
4. A todos nos gusta que nos alaben.
Mediante este sistema es perfectamente posible obtener los datos de cualquier
persona, incluso datos vitales para su economa.
Un ejemplo claro de la aplicacin de este sistema es cuando se recibe una
llamada al hogar desde un centro comercial conocido indicndonos que tienen una
interesantsima oferta que ofrecernos. A lo largo de la conversacin y tras
habernos solicitado nuestro nombre, y nuestro DNI (segn dicen, para comprobar
nuestros datos), nos solicitan que para formalizar la oferta debemos darles el
nmero de cuenta en la que cargar el gasto.
El fraude es completo, les hemos dado todos nuestros datos vitales incluidos los
20 dgitos de nuestra cuenta bancaria a una persona a la que no hemos visto
siquiera la cara.
En las corporaciones empresariales es frecuente que alguien nos solicite en un
momento determinado nuestro usuario y contrasea de acceso, hacindose pasar
por miembro del equipo de soporte informtico y con el supuesto fin de acceder a
determinadas tareas de reparacin y mantenimiento de la mquina.
Tambin es frecuente encontrarnos con usuarios que ante la incomodidad de
cambiar las contraseas y/o recordarlas las dejan escritas en un post-it adherido a
la pantalla o con aquellas personas que utilizan como contrasea cosas sencillas
como 1234, o el nombre de alguno de sus hijos.
Este tipo de vulneracin de la seguridad tiene su correspondencia en el mundo de
Internet con el llamado Phishing, del que hablaremos un poco ms adelante.
La segunda de las posibles vulneraciones de seguridad se basa en la capacidad
de los sistemas extrables de ser contaminados mediante virus que se auto
replican no slo en la direccin del ordenador contaminado hacia el elemento
extrable (llave USB, por ejemplo), sino desde stos hacia los siguientes
ordenadores.
Todos los dispositivos de almacenamiento extrable tienen la capacidad de
ejecutar de manera autnoma pequeas aplicaciones. Esta facilidad que en sus
orgenes se implement para que al ser detectados por los sistemas operativos se

lanzasen pginas de introduccin a los contenidos, o logos representativos de su

contenido que facilitasen la vida al usuario inexperto, se convierten al mismo
tiempo en una herramienta al servicio de los diseadores de virus que en ltimo
trmino buscan controlar nuestro equipo o dejarlo en estado no operativo.
La tercera de las posibles vulneraciones de los sistemas viene derivada de los
llamados agujeros de seguridad.
El mundo de la informtica avanza de una manera tan vertiginosa que los
productos resultantes se comercializan sin haberse probado su fiabilidad al 100%
en todas las ocasiones y circunstancias posibles. Esto provoca que ante
determinadas circunstancias, un mal funcionamiento de un programa, de un
sistema operativo o del navegador correspondiente, hace que el sistema se
bloquee facilitando que el intruso pueda acceder a nuestros datos, al contenido de
nuestro disco duro o a la instalacin de sus propios programas en nuestro equipo.
El submundo del fraude est en bsqueda permanente de estos agujeros para
aprovechar las vulneraciones y controlar as los equipos informticos,
convirtindoles en autnticos zombies al servicio de la ilegalidad y sin
conocimiento del usuario legtimo.
Las empresas desarrolladoras de los sistemas operativos y del software publican
de manera permanente parches que corrigen los defectos encontrados. Es
evidente que es necesaria una permanente actualizacin de los sistemas
informticos. Cuanto ms actualizado, menos riesgo de vulnerabilidad.
Riesgos de la navegacin por Internet
Como decamos al principio, no se conciben hoy en da los equipos informticos
como entes aislados, sino integrados en redes que a su vez estn todas
conectadas entre s.
Es ms, si bien el acceso a Internet se haca antes fundamentalmente va modem,
mediante lneas RTB o RDSI, actualmente, la mayora de las conexiones se
realizan mediante sistemas de conectividad de banda ancha, fundamentalmente
ADSL, que permanecen operativas de manera continuada en el tiempo, es decir,
no slo duran lo que lo hace la llamada, sino que estn permanentemente abiertas
en tanto en cuenta el router de conexin est enchufado a la red elctrica y a la
lnea telefnica.

Los riesgos a la seguridad en los sistemas informticos conectados a Internet se

pueden clasificar segn el objeto del ataque:

Robo de identidad

Virus, gusanos y troyanos

Spyware

Hackers y crackers

Phishing y estafas on line

Spam

Contenidos Web inapropiados

Los riesgos listados no tienen por qu aparecer de manera aislada, sino que en la
mayora de las ocasiones actan interrelacionados, de manera conjunta.
Hagamos una breve descripcin de cada una de las amenazas.
El robo de identidad

El robo de identidad en Internet tiene siempre un fin ilcito y puede actuar en la

bsqueda de diversos objetivos.
Desde su perspectiva ms inocua, busca conocer los patrones de navegacin del
internauta con el fin de conocer sus gustos e intereses y con ello generar
respuestas publicitarias con las que invadir al usuario en la bsqueda de que se
pueda hacer negocio con l. La tecnologa que subyace preferentemente es el uso
de cookies, pequeos archivos en los que el navegador almacena informacin del
usuario para guardarlo de una sesin a otra.
Cuando un usuario accede a una pgina de Internet, sta deja una cookie en su
sistema que empieza a llenarse con la huella de su actividad (por dnde ha
navegado, que datos ha proporcionado a la red, etc.). Cuando se vuelve a navegar
nuevamente por la pgina, se recoge la informacin de la cookie.
No todas las cookies son maliciosas. Algunos sitios Web precisan de ellas para
poder ofrecer sus servicios al usuario.
La relacin de usuarios y sus preferencias de navegacin constituyen en s mismo
un negocio lucrativo pues se venden a empresas dedicadas a la publicidad.
Desde una perspectiva algo ms agresiva, lo que se busca directamente es
capturar los datos de identificacin del usuario para posteriormente operar en su
nombre en acciones ilegales, o directamente, sustraerle su identidad (login, clave
de acceso) con el fin de directamente proceder a robarle en su banca electrnica o
realizar compras por Internet y cargrselas a su cuenta bancaria.
Virus, gusanos y troyanos
Los virus informticos tienen dos fines bsicos. Por un lado, infectar cuantos ms
equipos y ms rpido, mejor y por otro lado, provocar la prdida de informacin,
ralentizacin e incluso el deterioro de la mquina hasta dejarla no operativa.
Si bien los primeros virus informticos entraban ms en la categora de reto para
sus diseadores, con consecuencias prcticamente inocuas, hoy en da suponen
el origen de prdidas econmicas importantsimas a nivel mundial.
Si bien no hay estadsticas fiables al respecto, la consultora americana
especializada Computer Economics cifra las prdidas derivadas del malware
(virus, troyanos, gusanos, etc.) en cerca de 92.000 millones de euros en los
ltimos 10 aos, con base en los costes derivados de la prdida directa de

informacin, las paradas de sistemas y de las cantidades invertidas en la limpieza

de los sistemas informticos.
Los virus modifican el sistema operativo o los programas, que se infectan a
medida que se ejecutan en el sistema, camuflndose de diferentes maneras.
A diferencia de stos, los gusanos se replican a s mismos en una espiral de
crecimiento infinito que ampla los procesos ejecutados en la memoria de los
sistemas. Una caracterstica especfica de stos es que el sistema se va
ralentizando poco a poco hasta ser casi imposible su adecuado manejo.
Los troyanos no se comportan como un virus, sino que al igual que el caballo de
Troya de la mitologa griega, abre puertas para que los hackers puedan controlar
nuestro equipo informtico sin nuestro consentimiento, con dos fines bsicos:
conocer todo lo que hacemos para robarnos nuestras credenciales e identidad, y/o
operar directamente desde l para realizar operaciones fraudulentas sin nuestro
conocimiento.
La infeccin de troyanos suele venir acompaada de la instalacin de programas
aparentemente inocuos que se descargan gratuitamente desde Internet, o
mediante acciones asociadas a un correo electrnico y pgina Web en la que el
usuario lo activa sin querer al hacer clic en un determinado enlace o botn.
Spyware
El spyware es un pequeo programa que se introduce en el ordenador
normalmente por un virus o un troyano y que se dedica a recopilar la informacin
que el usuario contenga en su equipo y la procedente de su experiencia de
navegacin por Internet, intentando capturar identificaciones de usuarios y
contraseas, as como otros datos, ya explicados en el apartado robo de
identidad. El troyano enva estos datos a travs de Internet al ordenador del pirata
informtico, que recibir todos los datos sin necesidad de moverse de su sitio.
El sistema de spyware tambin es utilizado en ocasiones para la vigilancia de los
empleados en las grandes corporaciones con el fin de comprobar si sus
actividades con el ordenador de la empresa se adecan a las normas establecidas
en la correspondiente corporacin.
Hackers y crackers
Los hackers y los crackers son los individuos que estn detrs de los procesos de
vulneracin de la seguridad que estamos describiendo.

Los hackers se dedican a la bsqueda de agujeros de seguridad con el fin de

explotarlos para acceder a sistemas aparentemente securizados. A diferencia de
los Crackers, que vulneran los sistemas para realizar acciones delictivas, los
Hackers, al menos en su origen, buscan ms bien el prestigio personal de ser
capaces de encontrar la manera de entrar en sistemas altamente protegidos.
Phishing y estafas on line
La variedad de mtodos para realizar fraudes en lnea, es tan amplia que sera
imposible describirla brevemente.
El phishing est ntimamente relacionado con la ingeniera social de la que
hablbamos algunos apartados anteriormente. Lo que se busca es que sea el
propio usuario el que proporcione sus datos de acceso y contrasea a
determinados servicios, normalmente de tipo bancario, con el fin de proceder
posteriormente a suplantar su identidad para hacer operaciones bancarias no
autorizadas con sus cuentas.
Suele comenzar con un correo electrnico en el que argumentando problemas de
seguridad u operaciones de mantenimiento del banco se nos solicita que volvamos
a confirmar nuestros datos de acceso y contrasea en una pgina que suplanta la
identidad de nuestra entidad bancaria, con lo que el robo de credenciales queda
efectuado.
Un mtodo ligeramente ms sofisticado combina acciones de troyanos sobre
nuestro fichero de Hosts, para llevarnos sin ser conscientes de ello a una pgina
Web que imita perfectamente la apariencia de la portada de nuestra entidad
bancaria en la que al querer entrar, sin ser conscientes de ello, proporcionamos
nuestros datos de acceso a los piratas informticos.
La estructura de navegacin por Internet se basa en la jerarqua de servidores de
nombres, lo que permite que al ingresar una direccin determinada, el equipo sepa
exactamente a qu equipo tiene que dirigirse para proporcionarnos la pgina Web
solicitada. Esta jerarqua comienza en un archivo del propio sistema operativo de
la mquina llamado Hosts, que normalmente contiene una nica lnea con el dato
127.0.0.1 localhost. Esto significa que si introducimos la direccin localhost en
el navegador, ste intentar recuperar la respuesta de nuestro propio equipo.
Si mediante algn troyano o virus alguien modificara nuestro archivo hosts, podra
incluir direcciones web que suplantasen a las originales, por ejemplo, haciendo
apuntar a la direccin de nuestro banco a otro ordenador diferente al mismo.
Como consecuencia, nosotros, intentando acudir a nuestro banco entraramos sin

darnos cuenta en el ordenador de un pirata informtico que procedera a robarnos

limpiamente nuestra identidad.

Spam
El Spam, tambin llamado correo basura, es como su nombre indica, correo no
deseado que recibimos en nuestro buzn.
La finalidad es doble: Por un lado, tiene un objeto meramente publicitario. Es como
el buzoneo del mundo real, en el que nos depositan cantidades ingentes de papel
de propaganda en nuestro buzn, pero en el mundo virtual. Normalmente va
asociado a la informacin que sobre nuestra experiencia de navegacin se ha
obtenido por alguno de los medios descritos anteriormente, de manera que la
publicidad que recibamos sea inicialmente de nuestro inters, aunque no siempre
es as. Actualmente est muy extendido el Spam referido a la venta de
medicamentos, viagra sobre todo.
Por otro lado, los correos de Spam suelen ser fuente de entrada de virus,
troyanos, e intentos de phishing, por lo que hay que tener especial cuidado con
ellos.
Contenidos Web inapropiados
Constituye uno de los mayores problemas con los que nos podemos encontrar en
el mundo escolar, y de acceso a Internet en el hogar de nuestros nios y jvenes.
El redireccionamiento de pginas Web o la aparicin espontnea de ventanas
(pop-ups) que nos conducen directamente a contenidos relacionados con el sexo
o el juego, desde pginas aparentemente inocuas es uno de los problemas ms
extendidos en la experiencia de navegacin por Internet actualmente.
Pero no solamente se focaliza el problema en este aspecto automatizado en el
que parece que los contenidos aparecen solos sin nuestro consentimiento, sino
que forma parte del componente puramente educativo que como actuales y
futuros internautas responsables debemos trabajar con los nios y jvenes para
evitar que accedan a contenidos de sexo, violentos, de apuestas, o perjudiciales
para la salud, como por ejemplo los sitios que fomentan la anorexia.

4.2. DEBILIDADES DE LOS PROTOCOLOS TCP/IP.

Durante la dcada de los 60, dentro del marco de la guerra fra, la Agencia de
Proyectos de Investigacin Avanzada del Departamento de Defensa de los
Estados Unidos (DARPA) se plante la posibilidad de que un ataque afectara a su
red de comunicaciones y financio equipos de investigacin en distintas
universidades con el objetivo de desarrollar una red de ordenadores con una
administracin totalmente distribuida.
Como resultado de la aplicacin de sus estudios en redes de conmutacin de
paquetes, se cre la denominada red ARPANET, de carcter experimental y
altamente tolerable a fallos.
Ms adelante, a mediados de los 70, la agencia empez a investigar en la
interconexin de distintas redes, y en 1974 estableci las bases de desarrollo de la
familia de protocolos que se utilizan en las redes que conocemos hoy en da como
redes TCP/IP.

La familia de protocolos TCP/IP se divide en las cuatro capas siguientes:

1) Capa de red. Normalmente esta formada por una red LAN* o WAN** (de
conexin punto a punto) homognea. Todos los equipos conectados a internet
implementan esta capa. Todo lo que se encuentra por debajo de la IP es la capa
de red fsica o, simplemente, capa de red.
2) Capa de internet (o capa de internetworking) .Da unidad a todos los
miembros de la red y, por lo tanto, es la capa que permite que todos se puedan
interconectar, independientemente de si se conectan mediante lnea telefnica o
mediante una red local Ethernet. La direccin y el encaminamiento son sus
principales funciones. Todos los equipos conectados a internet implementan esta
capa.

3) Capa de transporte. Da fiabilidad a la red. El control de flujo y de errores se

lleva a cabo principalmente dentro esta capa, que solo es implementada por
equipos usuarios de internet o por terminales de internet. Los dispositivos de
encaminamiento* (en caminadores) no la necesitan.
4) Capa de aplicacin. Engloba todo lo que hay por encima de la capa de
transporte. Es la capa en la que encontramos las aplicaciones que utilizan internet:
clientes y servidores de web, correo electrnico, FTP, etc. Solo es implementada
por los equipos usuarios de internet o por terminales de internet. Los dispositivos
de encaminamiento no la utilizan.
Como ya hemos comentado, solo los equipos terminales implementan todas las
capas. Los equipos intermedios nicamente implementan el nivel de red y el nivel
IP:

En cada una de las capas expuestas encontramos protocolos distintos. La

situacin relativa de cada protocolo en las diferentes capas se muestra en la
siguiente figura:

Como ya se ha adelantado, en cada capa del modelo TCP/IP pueden existir

distintas vulnerabilidades y un atacante puede explotar los protocolos asociados a
cada una de ellas.
Cada da se descubren nuevas deficiencias, la mayora de las cuales se hacen
pblicas por organismos internacionales, tratando de documentar, si es posible, la
forma de solucionar y contrarrestar los problemas.

A continuacin presentamos algunas de las vulnerabilidades ms comunes de las

distintas capas que veremos con ms detalle a lo largo de este mdulo:
1) Vulnerabilidades de la capa de red. Las vulnerabilidades de la capa de red
estn estrechamente ligadas al medio sobre el que se realiza la conexin. Esta
capa presenta problemas de control de acceso y de confidencialidad.
Son ejemplos de vulnerabilidades a este nivel los ataques a las lneas punto a
punto: desvo de los cables de conexin hacia otros sistemas, interceptacin
intrusiva de las comunicaciones (pinchar la lnea), escuchas no intrusivas en
medios de transmisin sin cables, etc.
2) Vulnerabilidades de la capa internet. En esta capa se puede realizar
cualquier ataque que afecte un datagrama IP. Se incluyen como ataques contra
esta capa las tcnicas de sniffing, la suplantacin de mensajes, la modificacin de
datos, los retrasos de mensajes y la denegacin de mensajes.
Cualquier atacante puede suplantar un paquete si indica que proviene de otro
sistema. La suplantacin de un mensaje se puede realizar, por ejemplo, dando una
respuesta a otro mensaje antes de que lo haga el suplantado.
En esta capa, la autenticacin de los paquetes se realiza a nivel de maquina (por
direccin IP) y no a nivel de usuario. Si un sistema suministra una direccin de
maquina errnea, el receptor no detectar a la suplantacin. Para conseguir su
objetivo, este tipo de ataques suele utilizar otras tcnicas, como la prediccin de
nmeros de secuencia TCP, el envenenamiento de tablas cache, etc.
Por otro lado, los paquetes se pueden manipular si se modifican sus datos y se
reconstruyen de forma adecuada los controles de las cabeceras. Si esto es
posible, el receptor ser incapaz de detectar el cambio.
3) Vulnerabilidades de la capa de transporte.
La capa de transporte transmite informacin TCP o UDP sobre datagramas IP. En
esta capa podamos encontrar problemas de autenticacin, de integridad y de
confidencialidad. Algunos de los ataques ms conocidos en esta capa son las
denegaciones de servicio debidas a protocolos de transporte.
En cuanto a los mecanismos de seguridad incorporados en el diseo del protocolo
de TCP (como las negociaciones involucradas en el establecimiento de una sesin
TCP), existe una serie de ataques que aprovechan ciertas deficiencias en su
diseo. Una de las vulnerabilidades ms graves contra estos mecanismos de
control puede comportar la posibilidad de interceptacin de sesiones TCP
establecidas, con el objetivo de secuestrarlas y dirigirlas a
Otros equipos con fines deshonestos.
Estos ataques de secuestro se aprovechan de la poca exigencia en el protocolo de
intercambio de TCP respecto a la autenticacin de los equipos involucrados en
una sesin. As, si un usuario hostil puede observar los intercambios de

informacin utilizados durante el inicio de la sesin y es capaz de interceptar con

xito una conexin en marcha con todos los parmetros de autenticacin
configurados adecuadamente, podr secuestrar la sesin.

4) Vulnerabilidades de la capa de aplicacin.

Como en el resto de niveles, la capa de aplicacin presenta varias deficiencias de
seguridad asociadas a sus protocolos. Debido al gran nmero de protocolos
definidos en esta capa, la cantidad de deficiencias presentes tambin ser
superior al resto de capas. Algunos ejemplos de deficiencias de seguridad a
Este nivel podran ser los siguientes:
Servicio de nombres de dominio. Normalmente, cuando un sistema solicita
conexin a un servicio, pide la direccin IP de un nombre de dominio y enva un
paquete UDP a un servidor DNS; entonces, este responde con la direccin IP del
dominio solicitado o una referencia que apunta a otro DNS que pueda suministrar
la direccin IP solicitada.
Un servidor DNS debe entregar la direccin IP correcta pero, adems, tambin
puede entregar un nombre de dominio dado una direccin IP u otro tipo de
informacin. En el fondo, un servidor de DNS es una base de datos accesible
desde internet. Por lo tanto, un atacante puede modificar la informacin que
suministra esta base de datos o acceder a informacin sensible almacenada en la
base de datos por error, pudiendo obtener informacin relativa a la topologa de la
red de una organizacin concreta (por ejemplo, la lista de los sistemas que tiene la
organizacin).
Telnet. Normalmente, el servicio Telnet autentica al usuario mediante la solicitud
del identificador de usuario y su contrasea, que se transmiten en claro por la red.
As, al igual que el resto de servicios de internet que no protegen los datos
mediante mecanismos de proteccin**, el protocolo de aplicacin Telnet hace
posible la captura de aplicacin sensible mediante el uso de tcnicas de sniffing.
Actualmente existen otros protocolos a nivel de aplicacin (como, por ejemplo,
SSH) para acceder a un servicio equivalente a Telnet pero de manera segura
(mediante autenticacin fuerte). Aun as, el hecho de cifrar el identificador del
usuario y la contrasea no impide que un atacante que las conozca acceda al
servicio.
File Transfer Protocolo. Al igual que Telnet, FTP es un protocolo que enva la
informacin en claro (tanto por el canal de datos como por el canal de comandos).

As pues, al enviar el identificador de usuario y la contrasea en claro por una red

potencialmente hostil, presenta las mismas deficiencias de seguridad que veamos
anteriormente con el protocolo Telnet.
Aparte de pensar en mecanismos de proteccin de informacin para solucionar el
problema, FTP permite la conexin annima a una zona restringida en la cual solo
se permite la descarga de archivos. De este modo, se restringen
considerablemente los posibles problemas de seguridad relacionados con la
captura de contraseas, sin limitar una de las funcionalidades ms interesantes
del servicio.
Hypertext Transfer Protocol. El protocolo HTTP es el responsable del servicio
World Wide Web. Una de sus vulnerabilidades ms conocidas procede de la
posibilidad de entrega de informacin por parte de los usuarios del servicio. Esta
entrega de informacin desde el cliente de HTTP es posible mediante la ejecucin
remota de cdigo en la parte del servidor.
La ejecucin de este cdigo por parte del servidor suele utilizarse para dar el
formato adecuado tanto a la informacin entregada por el usuario como a los
resultados devueltos (para que el navegador del cliente la pueda visualizar
correctamente). Si este cdigo que se ejecuta presenta deficiencias de
programacin, la seguridad del equipo en el que est funcionando el servidor se
podr poner en peligro*.
4.2.1. TRANSMISIN DE PAQUETES Y PROMISCUIDAD.
En las redes de ordenadores, la informacin se transmite en una serie de
paquetes con la direccin fsica(o direccin MAC) de quien lo enva y quien lo
tiene que recibir, de manera que cuando transmitimos un fichero, ste se divide en
varios paquetes con un tamao predeterminado y el receptor es el nico que
captura
los
paquetes
evaluando
si
llevan
su
direccin.
En el modo promiscuo, una mquina intermedia captura todos los paquetes, que
normalmente desechara, incluyendo los paquetes destinados a l mismo y al
resto de las mquinas. Resulta a destacar que las topologas y hardware que se
usen para comunicar las redes, influye en su funcionamiento, ya que las redes en
bus, redes en anillo, as como todas las redes que obliguen a que un paquete
circule por un medio compartido, al cual todos tienen acceso, los modos
promiscuos capturarn muchos ms paquetes que si estn en una red con
topologa en rbol. Para completar el modo, las mquinas en modo promiscuo
suelen simplemente copiar el paquete y luego volverlo a poner en la red para que
llegue a su destinatario real (en el caso de topologas que requieran de
retransmisin).

Paquete
Se le llama paquete de red o paquete de datos a cada uno de los bloques en que
se divide, en el nivel de Red, la informacin a enviar. Por debajo del nivel de red
se habla de trama de red, aunque el concepto es anlogo.
En todo sistema de comunicaciones resulta interesante dividir la informacin a
enviar en bloques de un tamao mximo conocido. Esto simplifica el control de la
comunicacin, las comprobaciones de errores, la gestin de los equipos de
encaminamiento (routers), etc.
Datagrama
Un datagrama es un fragmento de paquete (anlogo a un telegrama) que es
enviado con la suficiente informacin para que la red pueda simplemente
encaminar el fragmento hacia el equipo terminal de datos receptor, de manera
independiente a los fragmentos restantes. Esto puede provocar una recomposicin
desordenada
o
incompleta
del
paquete
en
el
ETD
destino.
Los datagramas tambin son la agrupacin lgica de informacin que se enva
como una unidad de capa de red a travs de un medio de transmisin sin
establecer con anterioridad un circuito virtual.
Tiempo de bit
Para cada velocidad de medios diferente se requiere un perodo de tiempo
determinado para que un bit pueda colocarse y detectarse en el medio. Dicho
perodo de tiempo se denomina tiempo de bit.
Mac Addres
La direccin MAC (siglas en ingls de media access control; en espaol "control
de acceso al medio") es un identificador de 48 bits (6 bloques hexadecimales) que
corresponde de forma nica a una tarjeta o dispositivo de red. Se conoce tambin
como direccin fsica, y es nica para cada dispositivo.
Tipos de IP
Clase
A
En esta clase se reserva el primer grupo a la identificacin de la red, quedando los
tres siguientes para identificar los diferentes host. Los rangos de esta clase estn
comprendidos entre 1.0.0.0 y 127.255.255.255. Actualmente la ICANN asigna
redes de este grupo a gobiernos de todo el mundo, aunque hay algunas grandes
empresas que tienen asignadas IP's de esta clase.
Clase
B
En esta clase se reservan los dos primeros grupos a la identificacin de la red,
quedando los dos siguientes para identificar los diferentes host. Los rangos de

esta clase estn comprendidos entre 128.0.0.0 y 191.255.255.255. Actualmente la

ICANN asigna redes de este grupo a grandes y medianas empresas.
Clase
C
En esta clase se reservan los tres primeros grupos a la identificacin de la red,
quedando el ltimo para identificar los diferentes hosts. Los rangos de esta clase
estn comprendidos entre 192.0.0.0 y 223.255.255.255. Actualmente la ICANN
asigna redes de este grupo a aquellos que lo solicitan

4.2.2. REDES LOCALES (VLAN) Y AMPLIAS (VPN).

QUE SON LAS VLAN?
Una VLAN (acrnimo de Virtual LAN) es una subred IP separada de manera
lgica, las VLAN permiten que redes IP y subredes mltiples existan en la misma
red conmutada, son tiles para reducir el tamao del broadcast y ayudan en la
administracin de la red separando segmentos lgicos de
Una red de rea local (como departamentos para una empresa, oficina,
universidades, etc.) que no deberan intercambiar datos usando la red local

CARACTERISTICAS DE UNA VLAN:

La caracterstica principal de una red de rea local es que los dispositivos que la
conforman comparten los recursos del medio fsico, es decir, el ancho de banda
proporcionado por el mismo.

Cuando utilizamos un concentrador o hub dentro de una red, sta se puede ver
como una red de distribucin hidrulica, donde las estaciones de trabajo
conectadas a la misma toman cierta cantidad de agua, y mientras ms mquinas
existan en esa LAN, menor ser la cantidad de lquido que podrn utilizar. A este
segmento de tubera se le puede llamar tambin dominio de colisiones.

COMO SE CONFIGURA UNA VLAN?

Ciscoredes# configure terminal
Ciscoredes(config)# vlan vlan-id
Ciscoredes(config-vlan)# name nombre-de-vlan
Ciscoredes(config-vlan)# exit
Vlan .- comando para asignar las VLAN
Valn-id.- Numero de vlan que se crear que va de un rango normal de 1-1005
(los ID 1002-1005 se reservan para Token Ring y FDDI).
Name.- comando para especificar el nombre de la VLAN
Nombre-de-vlan.- Nombre asignado a la VLAN, sino se asigna ningn nombre,
dicho nombre ser rellenado con ceros, por ejemplo para la VLAN 20 sera
VLAN0020.
Asignar puertos a la VLAN
Ciscoredes# configure terminal
Ciscoredes(config)# interface interface-id
Ciscoredes(config-vlan)# switchport mode access
Ciscoredes(config-vlan)# switchport access vlan vlan-id
Ciscoredes(config-vlan)# end
Dnde:

Interface .- Comando para entrar al modo de configuracin de interfaz.

Interface-id.- Tipo de puerto a configurar por ejemplo fastethernet 0/0

Switchport mode access .- Define el modo de asociacin de la VLAN para el

puerto

Switchport access vlan .- Comandos para asignar un puerto a la vlan.

Vlan-id.- Numero de vlan a la cual se asignar el puerto.

QUE SON LAS VPN?

VPN o "Virtual Prvate Network" es una tecnologa de red que permite una
extensin de la red local sobre una red pblica o no controlada, como por ejemplo
Internet.
El ejemplo ms comn es la posibilidad de conectar dos o ms sucursales de una
empresa utilizando como vnculo Internet; tambin permitir a los miembros del
equipo de soporte tcnico la conexin desde su casa al centro de cmputos, o que
un usuario pueda acceder a su equipo hogareo desde un sitio remoto, como por
ejemplo un hotel. Todo esto utilizando la infraestructura de Internet.
Para hacerlo posible de manera segura es necesario proveer los medios para
garantizar la autenticacin, integridad y confidencialidad de toda la comunicacin.

Autenticacin y Autorizacin: Quin est del otro lado? Usuario/equipo y

qu nivel de acceso debe tener.
Integridad: La garanta de que los datos enviados no han sido alterados.
Confidencialidad: Dado que los datos viajan a travs de un medio hostil como
Internet, los mismos son susceptibles de interceptacin: por eso es fundamental el
cifrado de los datos. De este modo, la informacin no debe poder ser interpretada
por nadie ms que los destinatarios de la misma.

CARACTERISTICAS DE LA VPN:

Una VPN proporciona conectividad en distancias potencialmente grandes. En este

aspecto, VPN es una forma de red WAN. Las VPN permiten compartir archivos,
video conferencias y servicios de red similares. Las VPN generalmente no
proporcionan ninguna funcionalidad que no sea ya ofrecida por otras alternativas,
pero una VPN implementa esos servicios con mayor eficiencia y economa en la
mayora de los casos...
Una caracterstica importante de una VPN es su capacidad de trabajar tanto sobre
redes privadas como en pblicas como la Internet. Utilizando un mtodo llamado
"tunneling", una VPN puede usar la misma infraestructura de hardware de las
conexiones de Internet o Intranet existentes. Las tecnologas VPN incluyen varios
mecanismos de seguridad para proteger las conexiones virtuales privadas.

COMO SE CONFIGURA UNA VPN?

Explicaremos el procedimiento para configurar una VPN en Windows (R) XP, tanto en
modo cliente como en modo servidor.
VPN (Virtual Private Network) significa literalmente Red Privada Virtual. Bsicamente
consiste en realizar una conexin a una red externa creando un tnel a travs de
internet, permitiendo la creacin de una red privada dentro de una red pblica.
A continuacin, reproducimos parte de la explicacin contenida en la ayuda de
windows xp sobre VPN, por ser bastante ilustrativa:

La VPN utiliza el Protocolo de tnel punto a punto (PPTP, Point-to-Point Tunneling

Protocol) o el Protocolo de tnel de nivel dos (L2TP,Layer Two Tunneling Protocol),
mediante los cuales se puede tener acceso de forma segura a los recursos de una
red al conectar con un servidor de acceso remoto a travs de Internet u otra red.
El uso de redes privadas y pblicas para crear una conexin de red se denomina
red privada virtual, Virtual Private Network).

Un usuario que ya est conectado a Internet utiliza una conexin VPN para marcar el
nmero del servidor de acceso remoto. Entre los ejemplos de este tipo de usuarios
se incluyen las personas cuyos equipos estn conectados a una red de rea local,
los usuarios de cables de conexin directa o los suscriptores de servicios como
ADSL, en los que la conectividad IP se establece inmediatamente despus de que
el usuario inicie el equipo. El controlador PPTP o L2TP establece un tnel a travs
de Internet y conecta con el servidor de acceso remoto habilitado para PPTP o
L2TP. Despus de la autenticacin, el usuario puede tener acceso a la red
corporativa con total funcionalidad.
4.2.3. DOMICILIOS IP.
Qu es una direccin IP?
Los equipos comunican a travs de Internet mediante el protocolo IP (Protocolo de
Internet). Este protocolo utiliza direcciones numricas denominadas direcciones IP
compuestas por cuatro nmeros enteros (4 bytes) entre 0 y 255, y escritos en el
formato xxx.xxx.xxx.xxx. Por ejemplo, 194.153.205.26es una direccin IP en
formato
tcnico.
Los equipos de una red utilizan estas direcciones para comunicarse, de manera
que cada equipo de la red tiene una direccin IP exclusiva.
El organismo a cargo de asignar direcciones pblicas de IP, es decir, direcciones
IP para los equipos conectados directamente a la red pblica de Internet, es el
ICANN (Internet Corporation for Assigned Names and Numbers) que remplaza el
IANA
desde
1998
(Internet
Assigned
Numbers
Agency).
Cmo descifrar una direccin IP
Una direccin IP es una direccin de 32 bits, escrita generalmente con el formato
de 4 nmeros enteros separados por puntos. Una direccin IP tiene dos partes
diferenciadas:

 los nmeros de la izquierda indican la red y se les denomina netID (identificador

de
red).
los nmeros de la derecha indican los equipos dentro de esta red y se les
denomina
host-ID(identificador
de
host).

Veamos

el

siguiente

Observe
la
194.28.12.0.
siguientes

ejemplo:

red, a la izquierda
Contiene
los
equipos:
194.28.12.1

194.28.12.4

Observe la red de la derecha 178.12.0.0. Incluye los siguientes equipos:

178.12.77.1

178.12.77.6

En el caso anterior, las redes se escriben 194.28.12 y 178.12.77, y cada equipo

dentro
de
la
red
se
numera
de
forma
incremental.
Tomemos una red escrita 58.0.0.0. Los equipos de esta red podran tener
direcciones IP que van desde58.0.0.1 a 58.255.255.254. Por lo tanto, se trata de
asignar los nmeros de forma que haya una estructura en la jerarqua de los
equipos
y
los
servidores.
Cuanto menor sea el nmero de bits reservados en la red, mayor ser el nmero
de
equipos
que
puede
contener.
De hecho, una red escrita 102.0.0.0 puede contener equipos cuyas direcciones IP
varan entre 102.0.0.1 y 102.255.255.254 (256*256*256-2=16.777.214
posibilidades), mientras que una red escrita 194.24 puede contener solamente
equipos con direcciones IP entre 194.26.0.1 y 194.26.255.254 (256*256-2=65.534
posibilidades); sta es el concepto de clases de direcciones IP.

Direcciones especiales

Cuando se cancela el identificador de host, es decir, cuando los bits reservados

para los equipos de la red se reemplazan por ceros (por ejemplo, 194.28.12.0), se
obtiene lo que se llama direccin de red. Esta direccin no se puede asignar a
ninguno
de
los
equipos
de
la
red.
Cuando se cancela el identificador de red, es decir, cuando los bits reservados
para la red se reemplazan por ceros, se obtiene una direccin del equipo. Esta
direccin representa el equipo especificado por el identificador de host y que se
encuentra
en
la
red
actual.

Cuando todos los bits del identificador de host estn en 1, la direccin que se
obtiene es la denominada direccin de difusin. Es una direccin especfica que
permite enviar un mensaje a todos los equipos de la red especificados por el
netID.
A la inversa, cuando todos los bits del identificador de red estn en 1, la direccin
que
se
obtiene
se
denomina
direccin
de
multidifusin.
Por ltimo, la direccin 127.0.0.1 se denomina direccin de bucle de retorno
porque
indica
el
host
local.
Direcciones IP reservadas
Es habitual que en una empresa u organizacin un solo equipo tenga conexin a
Internet y los otros equipos de la red acceden a Internet a travs de aqul (por lo
general,
nos
referimos
a
un
proxy
o
pasarela).
En ese caso, solo el equipo conectado a la red necesita reservar una direccin de
IP con el ICANN. Sin embargo, los otros equipos necesitarn una direccin IP para
comunicarse
entre
ellos.
Por lo tanto, el ICANN ha reservado una cantidad de direcciones de cada clase
para habilitar la asignacin de direcciones IP a los equipos de una red local
conectada a Internet, sin riesgo de crear conflictos de direcciones IP en la red de
redes.
Estas
direcciones
son
las
siguientes:
Direcciones IP privadas de clase A: 10.0.0.1 a 10.255.255.254; hacen posible
la creacin de grandes redes privadas que incluyen miles de equipos.

 Direcciones IP privadas de clase B: 172.16.0.1 a 172.31.255.254; hacen

posible
la
creacin
de
redes
privadas
de
tamao
medio.
Direcciones IP privadas de clase C: 192.168.0.1 a 192.168.0.254; para
establecer pequeas redes privadas.

4.2.4. VIGILANCIA DE PAQUETES.

Ya hemos visto que la vigilancia en el trabajo por medio de nuestro ordenador es
posible, y hay varias formas de hacerlo. De las varias maneras que se puede
hacer, puede que una de las ms populares sea con un sniffer de red. Los
administradores de red han estado usando sniffer de red durante aos para
monitorizar sus redes y realizar diagnsticos y pruebas para detectar problemas
en la red. Bsicamente, un sniffer de red es un programa que puede ver toda la
informacin pasando por una red a la cual est conectado. Segn los flujos de
datos van y vienen por la red, el programa hace una vigilancia de ello, o captura
los paquetes que atraviesan los dispositivos de red. Como ya hemos comentado
en otros artculos, un paquete es una parte de un mensaje que ha sido partido
para poder ir de un sitio a otro. Normalmente, un ordenador solo hace caso de
paquetes con direcciones destinadas a el, e ignora el resto del trfico de la red.
Sin embargo, cuando un sniffer de red es configurado en un equipo u ordenador,
el interfaz de red es puesto en modo promiscuo para el sniffer. Esto significa que
est vigilando todo lo que atraviesa ese interfaz. La cantidad de trfico depende
mucho en la localizacin del ordenador en la red. Un sistema cliente en una parte
aislada de la red, solo ver un pequeo segmento del trfico de red, mientras que el
servidor de dominio principal ve prcticamente todo. Un sniffer de red puede ser
configurado en dos modos: Filtrado (captura todos los paquetes) y no filtrado
(captura solo aquellos paquetes contendiendo elementos de datos especficos).
Los paquetes que contienen datos que se filtran, son copiados al disco duro segn
pasan. Estas copias pueden ser analizadas con tranquilidad despus para
encontrar
una
informacin
especfica.
Cuando te conectas a Internet, te ests uniendo a una red mantenida por un
proveedor de servicios de Internet o ISP. La red de este proveedor comunica con

redes mantenidas por otras ISPs para formar la estructura de la red. Un sniffer de
red localizado en uno de los servidores de tu ISP podra potencialmente ser capaz
de monitorizar todas las actividades online, que podran ser las pginas Web que
se visitan, que es lo que se busca en un sitio concreto, a quin se envan email,
que contienen el email, lo que nos descargamos, con servicios se utilizan, y
muchas cosas ms. De esta informacin, una compaa puede determinar cuanto
tiempo un empleado est online haciendo cosas que no tienen nada que ver con el
trabajo que desarrolla. Los sniffer de red son solo una de las herramientas
utilizadas para monitorizar la actividad de los ordenadores de empresa.

El software de monitorizacin de ordenador trabaja de forma diferente que un

sniffer de red. Lo que hacen realmente es seguir cada accin que se hace en un
ordenador. Cada vez que se realiza una actividad por pequea que sea en el
ordenador, ya sea teclear una palabra en el teclado o abrir una nueva aplicacin,
se transmite una seal. Estas seales pueden ser interceptadas por el programa
de monitorizacin, el cual puede ser instalado en el ordenador a un nivel de
sistema operativo. La persona que recibe las seales interceptadas puede ver
cada uno de los caracteres interceptados y puede replicar lo que el usuario est
viendo en su monitor. Estos programas pueden ser instalados de dos maneras:

Fsicamente Alguien se siente en el ordenador e instala el software.

Remotamente Un usuario abre un archivo aadido a un correo o enviado de otro
modo. El archivo, el cual contiene un programa que el usuario quiere instalar,
puede contener tambin el programa de monitorizacin. Esto es llamado troyano
un
programa
deseado
y
contiene
un
programa
no
deseado.
Los programas de monitorizacin tiene la habilidad de registrar cada tecla que

pulsamos. Cuando ests tecleando, una seal es enviada del teclado a la

aplicacin con la que ests trabajando. Esta seal puede ser interceptada y
reenviada a la persona que instal el programa de monitorizacin o registrarlo en
un fichero de texto y enviarlo despus. Esta informacin puede ser enviada a un
administrador de red, pero tambin es un mtodo popular entre piratas
informticos. Normalmente los hackers usan este tipo de programas para obtener
contraseas, y al registrar todo lo que se teclea, puede ser peligroso para el
usuario ya que intercepta nmeros de tarjeta y otra informacin privada.
Los programas de monitorizacin pueden leer correos y ver cualquier programa
que est abierto en la pantalla. Captura la imagen en la pantalla del ordenador al
interceptar seales que estn siendo transmitidas a la tarjeta de video del
ordenador. Estas imgenes son luego enviadas por la red al administrador de red.
Algunos de estos programas tienen incluso sistemas de alerta cuando un
usuario visita un sitio Web especfico o escribe un correo con texto inapropiado, el
administrador es avisado de estas acciones. Sin embargo, no es necesario
tampoco instalar un software como este para hacer un seguimiento del usuario.
Hay un sistema ya instalado en el ordenador que dice lo que ha estado haciendo
el
usuario..
Tu ordenador est lleno de registros o logs que proveen de evidencias de lo que
has estado haciendo. A travs de estos registros, un administrado de red puede
determinar que sitios Web se han visitado., a quin se han enviado emails o de
quin se ha recibido. Por lo tanto, si te descargas archivos de msica MP3, hay
muchas probabilidades de que haya un registro que muestre esta actividad. En
muchos casos, esta informacin puede ser localizada incluso despus de haber
borrado lo que crees que son las evidencias borrar un correo o un archivo no
borra las pruebas. Hay algunos sitios donde se puede encontrar estos registros:
En el propio sistema operativo.
En los navegadores de Internet.
En las propias aplicaciones que usamos.
En los registros de los programas de correos.
Si el disco duro de un empleado de una compaa y el ordenador de un
administrado r de red estn conectados, este ltimo puede ver los logs
remotamente. Lo nico que tiene que hacer es acceder al disco duro remotamente
y verificar los registros. Si el ordenador no se apaga, lo puede hacer antes de que
el empleado llegue por la maana y se vaya por la tarde.

4.3. ESTNDARES PARA LA SEGURIDAD EN REDES.

En lo que respecta a estndares de seguridad la Universidad Nacional de

Colombia y esCERT Universidad Politcnica Catalunya (2.005) exponen que
existen varios estndares internacionales relacionados con seguridad informtica
que se consideran importantes en la actualidad o que deben ser referenciados por
su importancia histrica. En este sentido, estn clasificados en seis (6) clases de
estndares como son: para la administracin de seguridad de la informacin, para
evaluacin de seguridad en sistemas, para desarrollo de aplicaciones, para
servicios financieros, para riesgos y para autenticacin.

Para la administracin de seguridad de la informacin:

La Internet Engineering Task Force (IETF) elabor el RFC2196 Site

Security Handbook, que ofrece una gua prctica para quienes intentan
asegurar servicios e informacin.

El estndar britnico BS 7799 es un estndar aceptado ampliamente que

ha sido utilizado como base para elaborar otros estndares de seguridad de la
informacin, incluyendo el ISO 17799 y el ISO 27001. Fue desarrollado por el
British Standards Institute.

La Agencia Federal Para Seguridad en Informacin en Alemania ha

generado el IT Baseline Protection Manual. Este documento presenta un
conjunto de mtricas de seguridad recomendadas o safeguards, como se
denominan en el manual, para sistemas IT tpicos.

La Organizacin para la cooperacin y el desarrollo econmicos en ingles

(OECD) creo las Guidelines for the Security of Information Systems.
Directrices de la OCDE para la seguridad de sistemas y redes de informacin.

Estndares para evaluacin de seguridad en sistemas:

La International Organization for Standardization (ISO) ha elaborado el

estndar IS 15408. Este estndar, The Common Criteria for Information
Technology Security Evaluation v2.1 (ISO IS 15408) es una mezcla mejorada
de ITSEC, el Canadian criteria, y el US Federal Criteria.

La Serie Arco Iris Rainbow Series- ( Orange Book ) (EE.UU.) Una

importante serie de documentos es la Rainbow Series, que delinea varios
estndares de seguridad desarrollados en los Estados Unidos.

El Reino Unido elabor el Information Technology Security Evaluation

Criteria (ITSEC) a comienzos de los aos 90, y es otro estndar
histricamente importante. Fue elaborado, en algunos aspectos, basndose
en el Orange Book.
Estndares para desarrollo de aplicaciones:

El Software Engineering Institute lider el desarrollo del Capability

Maturity Model (CMM), que es un mtodo para garantizar madurez en
procesos.

Un derivado del CMM es el System Security Engineering Capability

Maturity Model (SSE-CMM). El SSE-CMM describe las caractersticas
esenciales del proceso de la ingeniera de la seguridad de una organizacin
que deben existir para asegurar la buena ingeniera de la seguridad.
Estndares para servicios financieros:

ISO 11131:1992 Banking and Related Financial Services; Sign-on

Authentication

ISO 13569:1997 Banking and Related Financial Services Information

Security Guidelines
Estndares para riesgo:

Acquisition Risk Management (EE.UU.) El Software Engineering Institute

tiene algunos documentos sobre Acquisition Risk Management.
Estndares para autenticacin:

ISO 11131:1992 Banking and Related Financial Services; Sign-on

Authentication

4.4. VULNERABILIDAD DE LOS PROTOCOLOS INALMBRICOS WEP, WPA,

WPA2.

1. Debilidades en 802.11i (WPA2)

El estndar 802.11i fue adoptado y recibi el nombre comercial WPA2 por parte de
la alianza Wi-Fi. El estndar IEEE 802.11i introdujo varios cambios fundamentales,
como la separacin de la autenticacin de usuario de la integridad y privacidad de
los mensajes, proporcionando una arquitectura robusta y escalable, que sirve
igualmente para las redes locales domsticas como para los grandes entornos de
red corporativos.
a. Vulnerabilidad contra la clave PSK
La vulnerabilidad ms prctica es el ataque contra la clave PSK de WPA/WPA2.
Como ya hemos dicho, la PSK proporciona una alternativa a la generacin de
802.1X PMK usando un servidor de autenticacin. Es una cadena de 256 bits o
una frase de 8 a 63 caracteres, usada para generar una cadena utilizando un
algoritmo conocido: PSK = PMK = PBKDF2(frase, SSID, SSID length, 4096, 256),
donde PBKDF2 es un mtodo utilizado en PKCS#5, 4096 es el nmero de hashes
y 256 la longitud del resultado. La PTK es derivada de la PMK utilizando el 4-Way
Handshake y toda la informacin utilizada para calcular su valor se transmite en
formato de texto.
La fuerza de PTK radica en el valor de PMK, que para PSK signifi ca exactamente
la solidez de la frase.
El segundo mensaje del 4-Way Handshake podra verse sometido a ataques de
diccionario o ataques offline de fuerza bruta.
El diseo del protocolo (4096 para cada intento de frase) significa que el mtodo
de la fuerza bruta es muy lento (unos centenares de frases por segundo con el
ltimo procesador simple). La PMK no puede ser pre-calculada (y guardada en
tablas) porque la frase de acceso est codificada adicionalmente segn la ESSID.
Una buena frase que no est en un diccionario (de unos 20 caracteres) debe ser
escogida para protegerse eficazmente de esta debilidad.

b. Vulnerabilidad de denegacin del servicio

La otra debilidad WPA es una posibilidad de Negacin del Servicio durante el 4Way Handshake. Debido a que el primer mensaje del 4-Way Handshake no est
autenticado, y cada cliente tiene que guardar cada primer mensaje hasta que
reciban un tercer mensaje vlido (firmado), dejando al cliente potencialmente
vulnerable ante el agotamiento de memoria. Haciendo un spoofing del primer
mensaje enviado por el punto de acceso, un atacante podra realizar un ataque
DoS (denegacin del servicio) sobre el cliente si es posible que existan varias
sesiones simultneas.

c. Vulnerabilidad en el Temporal Key Hash

La debilidad final conocida es la posibilidad terica de un ataque contra el
Temporal Key Hash de WPA, que implica una complejidad de ataque reducida (de
128 a 105) bajo ciertas circunstancias
WPA/WPA2 se ven sometidas a vulnerabilidades que afectan a otros mecanismos
estndar de 802.11i, como son los ataques con spoofing de mensajes 802.1X
(EAPoL Logoff, EAPoL Start, EAP Failure etc.),
Por ltimo, es importante destacar que el uso del protocolo WPA/WPA2 no tiene
proteccin alguna frente a ataques sobre las tecnologas en que se basan, como
puede ser la intercepcin de frecuencias de radio, Negacin del Servicio a travs
de violaciones de 802.11, de-autenticacin, de-asociacin, etc.

BIBLIOGRAFIA:
http://ocw.uoc.edu/computer-science-technology-and-multimedia/advancedaspects-of-network-security/advanced-aspects-of-networksecurity/P06_M2107_01769.pdf

http://www.sw-computacion.f2s.com/Linux/012.1Aspectos_avanzados_en_seguridad_en_redes_modulos.pdf
http://www.isa.uniovi.es/docencia/redes/Apuntes/tema8.pdf
http://www.galileo.it/crypto/teletrabajo/la_seguridad.html
http://www.sw-computacion.f2s.com/Linux/012.1Aspectos_avanzados_en_seguridad_en_redes_modulos.pdf
http://www.ati.es/spip.php?article2423
http://recursostic.educacion.es/observatorio/web/es/component/content/article/805monografico-seguridad-en-internet?start=2
http://www.galileo.it/crypto/teletrabajo/la_seguridad.html
http://seguridadredes-gp2551.blogspot.mx/2012/11/tema-3-transmision-depaquetes-y.html
http://www.buenastareas.com/ensayos/Transmision-De-Paquetes-yPromiscuidad/5800253.html
http://seguridadredes-gp2551.blogspot.mx/2012/11/tema-4.html
http://manejo-redes-leinad.blogspot.mx/2012/05/vlan-y-vpn.html
http://informatica-2551-si-exposicion.blogspot.mx/
http://gabrielmagana.net/2012/10/fundamentos-domicilios-ip-v4/
http://informatica-2551-si-exposicion.blogspot.mx/
http://www.monografias.com/trabajos38/seguridad-informatica/seguridadinformatica2.shtml
http://www.apc.org/es/blog/vigilancia-en-la-red-%C2%BFque-significa-monitoreary-d
http://download.rincondelvago.com/estandares-de-red-ieee
http://www.monografias.com/trabajos43/seguridad-redes/seguridad-redes.shtml
http://www.hsc.fr/ressources/articles/hakin9_wifi/hakin9_wifi_ES.pdf
http://es.slideshare.net/Analisisautentificacion/anlisis-de-vulnerabilidades-deprotocolos-de-proteccin-y-autenticacin-inalmbrico-para-el-acceso-seguro-a-redeswifi-15093586

https://www.google.com.mx/url?
sa=t&rct=j&q=&esrc=s&source=web&cd=4&cad=rja&uact=8&ved=0CDEQFjAD&ur
l=http%3A%2F%2Fpegasus.javeriana.edu.co%2F~edigital%2FDocs
%2F802.11%2FVulnerabilidades%2FVulnerabilidades
%2520v0.5.doc&ei=LYdyVIDpB8X_yQTZ7IHIBA&usg=AFQjCNEK_Ve7jOEdey7b0
5D2_YrZSajyVw&bvm=bv.80185997,d.aWw