Seguridad

Informática

Unidad 1
Ingeniería en Sistemas Computacionales

Docente: Ing. Lázaro Arcos Castillo

“Introducción a la Seguridad
Informática”

Alumno: Tomas Miguel Paredes Vera

Balancan Tabasco a 03 de
1.1 El valor de la información
El nuevo escenario socio-económico ha conllevado infinitos cambios, pero quizás el
mayor se sitúa en la información, en los datos. El crecimiento de la información
durante la última década ha sido exponencial y así seguirá siendo en el futuro. Esto
indica la obligatoriedad de disponer no ya de unos eficaces sistemas de
almacenamiento sino de establecer una estrategia concreta que marque pautas
perfectamente definidas sobre la gestión de esa información. No se trata de
almacenar, sino de gestionar. Es algo crucial. No hay que olvidar, que son muchos
los valores que definen a una compañía, pero por encima de todos está la
información.
La información y, esto es algo asumido por todos– es el valor más preciado de
cualquier empresa. De su correcta gestión depende la viabilidad de la propia
empresa u organización. Cierto es que la complejidad tecnológica es importante,
pero también lo es el que la mayoría de empresas comprometidas con este
segmento de almacenamiento son capaces de gestionar esa complejidad
haciéndola prácticamente invisible para el usuario, y además, permitir la generación
de eficiencias en la empresa. Es lo que ya se define como almacenamiento
inteligente, un concepto que articula la criticidad de los datos en base a una
jerarquía concreta y específica según las necesidades de las empresas.

1.2 Definición y tipos de Seguridad informática

La Seguridad Informática se refiere a las características y condiciones de sistemas
de procesamiento de datos y su almacenamiento, para garantizar su
confidencialidad, integridad y disponibilidad. Considerar aspectos de seguridad
significa a) conocer el peligro, b) clasificarlo y c) protegerse de los impactos o
daños de la mejor manera posible. Esto significa que solamente cuando estamos
conscientes de las potenciales amenazas, agresores y sus intenciones dañinas
(directas o indirectas) en contra de nosotros, podemos tomar medidas de protección
adecuadas, para que no se pierda o dañe nuestros recursos valiosos.
Seguridad Física
La Seguridad Física consiste en la aplicación de
barreras físicas y procedimientos de control, como
medidas de prevención para que no le ocurra nada
al ordenador, la seguridad física es uno de los
aspectos más olvidados a la hora del diseño de un
sistema informático.

Por Ejemplo: Incendios, inundaciones, terremotos, instalación eléctrica, entre otros.

Seguridad Lógica
Nuestro sistema no sólo puede verse afectado
de manera física, sino también contra la
Información almacenada, El activo más
importante que se posee es la información, y
por lo tanto deben existir técnicas, más allá de
la seguridad física, que la aseguren.

Por Ejemplo: Control de acceso, autenticación, encriptación, firewalls, antivirus (en

caso de Usar Windows).

1.3 Objetivos de la seguridad informática

La seguridad informática debe establecer normas que minimicen los riesgos a la

información o infraestructura informática. Estas normas incluyen horarios de
funcionamiento, restricciones a ciertos lugares, autorizaciones, denegaciones,
perfiles de usuario, planes de emergencia, protocolos y todo lo necesario que
permita un buen nivel de seguridad informática minimizando el impacto en el
desempeño de los trabajadores y de la organización en general y como principal
contribuyente al uso de programas realizados por programadores.

La seguridad informática está concebida para proteger los activos informáticos,

entre los que se encuentran los siguientes:

 La infraestructura computacional: Es una parte fundamental para el

almacenamiento y gestión de la información, así como para el funcionamiento
mismo de la organización. La función de la seguridad informática en esta área
es velar que los equipos funcionen adecuadamente y anticiparse en caso de
fallas, robos, incendios, boicot, desastres naturales, fallas en el suministro
eléctrico y cualquier otro factor que atente contra la infraestructura informática.

 Los usuarios: Son las personas que utilizan la estructura tecnológica, zona de
comunicaciones y que gestionan la información. Debe protegerse el sistema en
general para que el uso por parte de ellos no pueda poner en entredicho la
seguridad de la información y tampoco que la información que manejan o
almacenan sea vulnerable.
 La información: es el principal activo. Utiliza y reside en la infraestructura
computacional y es utilizada por los usuarios.

1.4 Posibles Riesgos

CONCENTRACION DE PROCESAMIENTO DE APLICACIONES MÁS GRANDES
Y DE MAYOR COMPLEJIDAD
Una de las causas más importantes del incremento en los riesgos informáticos
probablemente sea el aumento en la cantidad de aplicaciones o usos que se le da
a las computadoras y la consecuente concentración de información y tecnología de
software para el procesamiento de datos.
Además, la tendencia creciente hacia la incorporación de sistemas informáticos más
complejos, dan lugar a una nueva etapa en la ingeniería del software, la era del
"FATWARE". Estos robustos programas involucran procesamiento en línea, en
tiempo real y sistemas operativos de redes distribuidas, en conjunción con el uso
frecuente de bases de datos relacionales, las cuales están compuestas por gran
cantidad de voluminosos archivos con estructuras y esquemas de relación
altamente sofisticados, y, en consecuencia, conlleva a que su administración se
gestione por medio de un sistema también complejo, el DBMS (Data Base
Management System), constituyendo de esta forma un problema adicional al del
FATWARE. El uso de tales sistemas administradores está cada vez más difundido
y gran cantidad de información confidencial se almacena de este modo, por ejemplo,
en oficinas de crédito, dependencias gubernamentales, administradoras de fondos
de jubilaciones y pensiones, cuentas bancarias, etc. por mencionar algunas.
En contraste con una organización que usa un archivo manual donde la información
se diversifica a través de toda la institución, otra, que usa ampliamente las
computadoras, cuenta con la información y los programas concentrados en las
manos de pocas personas. Como consecuencia de ello, la institución computarizada
corre el riesgo de sufrir lo que en la jerga de seguridad informática suele
denominarse "Amnesia Corporativa" debido a algún desastre ocurrido en las
computadoras, y de quedar expuesta a una suspensión prolongada del
procesamiento y por ende el mal funcionar de la compañía generándose una
situación de caos para la misma y en todos los niveles de la organización.
La mayor conciencia de este riesgo y algunos desastres publicitados ampliamente
generan mayor preocupación por la seguridad para las compañías con sistemas
informáticos.
2. DEPENDENCIA EN EL PERSONAL CLAVE
Además del peligro que encierra algún desastre en los sistemas informáticos,
existen otras situaciones potencialmente riesgosas de las cuales la más importante
es, quizá, la dependencia hacia individuos clave. Si bien es cierto que la situación
existe en todas las funciones de una compañía, la relativa novedad de la experiencia
con computadoras y la brecha respecto a la comunicación entre los técnicos
expertos y la gerencia, además de otras áreas usuarias, crea problemas específicos
y de considerable magnitud.
La dependencia en individuos clave, algunos de los cuales poseen un alto nivel de
desempeño técnico, con frecuencia pone a la compañía en manos de relativamente
pocas personas, siendo que éstas por lo general son externos a la organización y
bregarán por realizar "SU NEGOCIO" en primera instancia.
Los productos de software, especialmente en estos últimos años, se vuelven cada
vez más complejos, por lo que una persona que disponga de conocimientos técnicos
de programación y/o del equipo y de "falsos contactos" o debilidades del sistema,
se encuentra invariablemente en una posición de control única. Este tipo de
conocimiento ha conducido a situaciones donde las empresas se han visto
expuestas al chantaje, la extorsión, mal uso y fraudes en la explotación de los
sistemas informáticos.
La amenaza no solo se restringe al abuso del tipo descrito aquí. Este personal
especializado con frecuencia posee el conocimiento único y no registrado de las
modificaciones o el funcionamiento de las aplicaciones. La supervisión y el control
de su trabajo resulta difícil como lo es el conocimiento de lo que si funcionaría sin
contar con las habilidades del especialista.
3. DESAPARICION DE LOS CONTROLES TRADICIONALES
La importancia de las habilidades técnicas se fortalece con la desaparición de los
controles tradicionales y de las auditorías en muchas instalaciones.
La amplia brecha en la comunicación entre el personal técnico, los gerentes de línea
y el personal externo, como los auditores antes mencionados, suele causar
dificultades para formular las implicaciones prácticas de este desarrollo en los
términos convencionales.
La brecha en la comunicación también se extiende a otros expertos como el
personal de seguridad. Los gerentes de seguridad rara vez son expertos en
computación, por lo que afrontan dificultades al aplicar sus evaluaciones ya
establecidas sobre seguridad y riesgo a la actividad de las computadoras.
Muchas de las nuevas y extensas aplicaciones omiten las auditorías tradicionales y
los controles impresos por razones de volumen. Las aplicaciones contienen
verificadores automáticos que aseguran la integridad de la información que se
procesa. Este gran cambio en el criterio sobre el control de los empleados y las
brechas respecto a la comunicación, crean situaciones de seguridad totalmente
diferentes.
4. HUELGAS, TERRORISMO E INESTABILIDAD SOCIAL
El nivel actual de riesgo en computación se debe revisar también dentro del contexto
de inestabilidad social en muchas partes del mundo. Ha habido ataques físicos a
diversas instalaciones, sin embargo algunas veces se trata de la incursión de
personal interno y no de agitadores. Este tipo insidioso de riesgo es, en potencia, la
fuente de más alto perjuicio para la institución. Este riesgo, solo, genera una amplia
posibilidad de nuevas amenazas ante las cuales hay que responder.
Los ataques internos por parte del personal de una institución pueden tomar la forma
de huelga; ésta, aunque no sea violenta, puede ser tan perjudicial como el ataque
físico. Las huelgas han sucedido en grandes instalaciones que operan en línea en
diferentes partes del mundo y por tanto en nuestro país también.
5. MAYOR CONCIENCIA DE LOS PROVEEDORES
Hasta hace pocos años este tema no constituía motivo de gran preocupación para
los proveedores, pero la conciencia acerca de la exposición a los riesgos los ha
obligado a destinar presupuestos considerables para la investigación acerca de la
seguridad. Como resultado, se dispone de un mayor número de publicaciones de
alta calidad para los usuarios, lo que permite mejorar la estructura y el enfoque para
la seguridad de las computadoras; asimismo, ha intensificado el interés por reducir
en forma progresiva el riesgo causado por un desastre en las computadoras.
Por último, la investigación y el apoyo por parte de los proveedores se han
incrementado en el área de la seguridad.
En efecto, las principales áreas en que habitualmente ha incursionado la seguridad
en los centros de cómputos han sido:
Seguridad física o edilicia.
Control de accesos.
Protección de los datos.
Seguridad en las redes.
1.5 Técnicas de aseguramiento del sistema

El activo más importante que se posee es la información y, por lo tanto, deben existir
técnicas que la aseguren, más allá de la seguridad física que se establezca sobre
los equipos en los cuales se almacena. Estas técnicas las brinda la seguridad lógica
que consiste en la aplicación de barreras y procedimientos que resguardan el
acceso a los datos y solo permiten acceder a ellos a las personas autorizadas para
hacerlo.

Cada tipo de ataque y cada sistema requiere de un medio de protección o más (en
la mayoría de los casos es una combinación de varios de ellos)

A continuación se enumeran una serie de medidas que se consideran básicas para

asegurar un sistema tipo, si bien para necesidades específicas se requieren
medidas extraordinarias y de mayor profundidad:

 Utilizar técnicas de desarrollo que cumplan con los criterios de seguridad al uso
para todo el software que se implante en los sistemas, partiendo de estándares
y de personal suficientemente formado y concienciado con la seguridad.
 Implantar medidas de seguridad físicas: sistemas anti incendios, vigilancia de
los centros de proceso de datos, sistemas de protección contra inundaciones,
protecciones eléctricas contraapagones y sobretensiones, sistemas de control
de accesos, etc.
 Codificar la información: criptología, criptografía y criptociencia. Esto se debe
realizar en todos aquellos trayectos por los que circule la información que se
quiere proteger, no solo en aquellos más vulnerables. Por ejemplo, si los datos
de una base muy confidencial se han protegido con dos niveles de firewall, se
ha cifrado todo el trayecto entre los clientes y los servidores y entre los propios
servidores, se utilizan certificados y sin embargo se dejan sin cifrar las
impresiones enviadas a la impresora de red, tendríamos un punto de
vulnerabilidad.
 Contraseñas difíciles de averiguar que, por ejemplo, no puedan ser deducidas a
partir de los datos personales del individuo o por comparación con un diccionario,
y que se cambien con la suficiente periodicidad. Las contraseñas, además,
deben tener la suficiente complejidad como para que un atacante no pueda
 deducirla por medio de programas informáticos. El uso de certificados
digitales mejora la seguridad frente al simple uso de contraseñas.
 Vigilancia de red. Las redes transportan toda la información, por lo que además
de ser el medio habitual de acceso de los atacantes, también son un buen lugar
para obtener la información sin tener que acceder a las fuentes de la misma. Por
la red no solo circula la información de ficheros informáticos como tal, también
se transportan por ella: correo electrónico, conversaciones telefónica (VoIP),
mensajería instantánea, navegación Internet, lecturas y escrituras a bases de
datos, etc. Por todo ello, proteger la red es una de las principales tareas para
evitar robo de información. Existen medidas que abarcan desde la seguridad
física de los puntos de entrada hasta el control de equipos conectados, por
ejemplo 802.1x. En el caso de redes inalámbricas la posibilidad de vulnerar la
seguridad es mayor y deben adoptarse medidas adicionales.
 Redes perimetrales de seguridad, o DMZ, permiten generar reglas de acceso
fuertes entre los usuarios y servidores no públicos y los equipos publicados. De
esta forma, las reglas más débiles solo permiten el acceso a ciertos equipos y
nunca a los datos, que quedarán tras dos niveles de seguridad.
 Tecnologías repelentes o protectoras: cortafuegos, sistema de detección de
intrusos - antispyware, antivirus, llaves para protección de software, etc.
 Mantener los sistemas de información con las actualizaciones que más impacten
en la seguridad.
 Copias de seguridad e, incluso, sistemas de respaldo remoto que permiten
mantener la información en dos ubicaciones de forma asíncrona.
 Controlar el acceso a la información por medio de permisos centralizados y
mantenidos (tipo Active Directory, LDAP, listas de control de acceso, etc.). Los
medios para conseguirlo son:
 Restringir el acceso (de personas de la organización y de las que no lo son) a
los programas y archivos.

 Asegurar que los operadores puedan trabajar pero que no puedan

modificar los programas ni los archivos que no correspondan (sin una
supervisión minuciosa).
 Asegurar que se utilicen los datos, archivos y programas correctos
en/y/por el procedimiento elegido.
  Asegurar que la información transmitida sea la misma que reciba el
destinatario al cual se ha enviado y que no le llegue a otro. y que existan
sistemas y pasos de emergencia alternativos de transmisión entre
diferentes puntos.
 Organizar a cada uno de los empleados por jerarquía informática, con
claves distintas y permisos bien establecidos, en todos y cada uno de los
sistemas o aplicaciones empleadas.
 Actualizar constantemente las contraseñas de accesos a los sistemas de
cómputo, como se ha indicado más arriba, e incluso utilizando programa
que ayuden a los usuarios a la gestión de la gran cantidad de contraseñas
que tienen gestionar en los entornos actuales, conocidos habitualmente
como gestores de identidad.

 Redundancia y descentralización.
2.1 Definición de criptografía
La Criptología (del griego criptos= oculto y logos= tratado, ciencia) es la ciencia que
trata las escrituras ocultas, está comprendida por la Criptografía, el Criptoanálisis y
la Esteganografía.
Las raíces etimológicas de la palabra Criptografía son criptos (oculto), y graphos
(escritura). Una definición clásica de Criptografía es la siguiente:
Arte de escribir mensajes en clave secreta o enigmáticamente
Anteriormente la Criptografía era considerada como un arte pero en la actualidad
se considera una ciencia gracias a su relación con la estadística, la teoría de la
información, la teoría de los números y la teoría de la complejidad computacional.
La Criptografía es la ciencia que se encarga del estudio de técnicas para transformar
la información a una forma que no pueda entenderse a simple vista; sin embargo,
el objetivo de la Criptografía no es sólo mantener los datos secretos, sino también
protegerlos contra modificación y comprobar la fuente de los mismos.

2.1.1 Tipos de cifrado

2.1.1.1 Cifrado por sustitución
En criptografía, el cifrado por sustitución es un método de cifrado por el que
unidades de texto plano son sustituidas con texto cifrado siguiendo un sistema
regular; las "unidades" pueden ser una sola letra (el caso más común), pares de
letras, tríos de letras, mezclas de lo anterior, entre otros. El receptor descifra el texto
realizando la sustitución inversa.
Los cifrados por sustitución son comparables a los cifrados por transposición. En un
cifrado por transposición, las unidades del texto plano son cambiadas usando una
ordenación diferente y normalmente bastante compleja, pero las unidades en sí
mismas no son modificadas. Por el contrario, en un cifrado por sustitución, las
unidades del texto plano mantienen el mismo orden, lo que hace es sustituir las
propias unidades del texto plano.
2.1.1.2 Cifrado por transposición
un cifrado por transposición es un tipo de cifrado en el que unidades de texto plano
se cambian de posición siguiendo un esquema bien definido; las 'unidades de texto'
pueden ser de una sola letra (el caso más común), pares de letras, tríos de letras,
mezclas de lo anterior,... Es decir, hay una permutación de 'unidades de texto'. Este
tipo de cifradores eran muy usados en la criptografía clásica y por tanto, al tener
que hacer los cálculo por medios muy básicos, normalmente el algoritmo se basaba
en un diseño geométrico o en el uso de artilugios mecánicos (Ej escítala). Este tipo
de algoritmos son de clave simétrica porque es necesario que tanto el que cifra
como el que descifra sepan la misma clave para realizar su función. La clave puede
es intrínseca en el propio método de cifrado/descifrado de forma que algoritmo y
clave son un conjunto indivisible.
2.3 Criptosistemas de Cifrado en Flujo
La utilización de códigos secretos se ha ampliado considerablemente con el uso
masivo de las comunicaciones digitales. La criptografía se ha convertido en objeto
de estudio para matemáticos, informáticos, especialistas en estadística o ingenieros
de telecomunicaciones. Dentro de la ciencia de la Criptografía moderna podemos
distinguir entre los criptosistemas de clave privada y los de clave pública y los
primeros, a su vez, se pueden clasificar en sistemas de cifrado en flujo y cifrado en
bloque. Nos centraremos hoy en los criptosistemas de cifrado en flujo o versión
moderna de los antiguos cifrados por sustitución.

2.3.1 Cifradores con clave continua de un solo uso.

Una clave continua de un solo uso como su nombre indica sólo se usa una vez.

En caso de que sea interceptada y haya sido usada, ya no funcionará.

Normalmente se generan mediante un algoritmo y no se recurre a la introducción

de datos por parte del usuario.
Cifrador de flujo básico.
Siguiendo la propuesta hecha por Vernam en 1917, los cifradores de flujo (sistemas
con clave secreta) usarán:
-Un algoritmo de cifra basado en la función XOR.
-Una secuencia cifrante binaria y pseudoaleatoria denominada S y que se obtiene
a partir una clave secreta K compartida por emisor y receptor, y un algoritmo
generador determinístico.
-El mismo algoritmo para el descifrado (XOR)
Ejemplo
A) Rachas de Digitos en una Secuencia.
Autocorrelación fuera de fase AC(k)
Autocorrelación AC(k) fuera de fase de una secuencia S de período T desplazada k
bits a la izquierda:

AC(k) = (A - F) / T
Características de la secuencia cifrante S para una clave binaria segura.
1Periodo:
La clave deberá ser tanto o más larga que el mensaje. En la práctica se usará una
semilla K de unos 120 a 250 bits en cada extremo del sistema para generar períodos
superiores a 10.

2.3.2 Postulados de Golomb para secuencias cifrantes.

Los postulados de Golomb son condiciones necesarias pero no suficientes para
que secuencias pseudoaleatorias parezcan aleatorias. Fueron enunciados por el
ingeniero y matemático estadounidense Solomon W. Golomb.

Sea una secuencia de período , los postulados plantean que:

En el ciclo de , la cantidad de elementos '1' difiere de la cantidad de elementos
'0' como máximo en 1.

En el ciclo , las diversas rachas son de longitud , esto es: Al menos la mitad
de las rachas tienen longitud 1, al menos la cuarta parte, longitud 2, al menos un
octavo longitud 3, etc. Además para cada una de esas rachas hay la misma cantidad
de huecos y de bloques.
La función de autocorrelación tiene sólo 2 valores racionales:

(si )y donde para

Son herramienta que ayudan a determinar la calidad y seguridad de una secuencia
en términos de aleatoriedad (primero y seguno postulados) y su
impredecibilidad(tercer postulador).

Una pequeña definición

En 1967 Golomb, formulo tres postulados que en una secuencia finita debe
satisfacer para denominarse secuencia pseudoaleatoria o PN (Pseudo Noise).
Estos postulados pueden resumirse de la siguiente manera, en cada periodo de la
secuencia considerada:

G1: El número de 1 tiene que ser aproximadamente igual al número de 0. Es decir,

el número de 1 en cada periodo debe diferir del número de 0 por no más que 1.

G2: La probabilidad de ocurrencia, aproximada por su frecuencia relativa, de cada

k-grama (muestras de n dígitos consecutivos) debe ser muy cercana a :
G3: La función de auto correlación, AC(K), fuera de fase es constante para todo
valor de K. Para que una secuencia satisfaga este postulado, la función de auto
correlación debe ser bivaluada. Una secuencia que cumpla estos tres postulados
se denomina secuencia pseudoaleatoria, PN y disfruta de todas las propiedades de
una secuencia binaria con distribución uniforme.

2.3.3 Estructuras generadoras de secuencias cifrantes.

Generador de congruencia lineal.

Un generador de congruencia lineal ( LCG ) es un algoritmo que produce una

secuencia de números pseudo-aleatorios calculados con una discontinua ecuación
lineal por tramos . El método representa una de las más antiguas y más conocidas
número de generadores pseudoaleatorios algoritmos. La teoría detrás de ellos es
relativamente fácil de entender, y se implementa fácilmente y rápido, sobre todo en
el hardware que puede proporcionar la aritmética módulo de almacenamiento de
bits truncamiento.

El generador se define por la relación de recurrencia:

son enteros constantes que especifican el generador. Si c = 0, el generador es a

menudo llamado un generador de congruencia multiplicativo (MCG), o Lehmer RNG .
Si c ≠ 0, el método se llama un generador de congruencia mixta.
NLFSR (No-Lineal Feedback Shift Register).
Un es un componente común en los modernos sistemas de cifrado de flujo ,
especialmente en RFIDy tarjetas inteligentes aplicaciones. NLFSRs son conocidos
por ser más resistente a los ataques que criptoanalíticos Registros Feedback Shift
lineales ( LFSRs ). Se sabe cómo generar un n -bit NLFSR longitud máxima de 2 n ,
generando una secuencia de Brujin, mediante la extensión de un LFSR de longitud
máxima con n etapas; , pero la construcción de otros NLFSRs grandes con largos
períodos garantizados sigue siendo una problema abierto. El uso de métodos de
fuerza bruta, una lista de máximo período de n -bit NLFSRs para n <25 se ha hecho ,
así como para n = 25 y n = 27.

LFSR (linear feedback shift register).

Que se traduce como: registro de desplazamiento con retroalimentación lineal. Es
un registro de desplazamiento en el cual la entrada es un bit proveniente de aplicar
una función de transformación lineal a un estado anterior.
El valor inicial se denomina semilla y, como la forma de operar el registro es
determinista, la secuencia de valores producidos está completamente determinada
por el estado actual o el estado anterior. La secuencia tiene un periodo de repetición,
es decir que la secuencia vuelve a generarse y se repite indefinidamente. Cuando
el periodo de repetición es máximo, ese LFSR tiene interés

2.3.4 Cifrados en flujo con registros de desplazamiento.

En este post vamos a ver una descripción muy básica de lo que son los registros de
desplazamiento con realimentación lineal (LFSR por su nombre en inglés, Linear
Feedback Shift Register). Además, veremos los principales modos de uso de este
tipo de registros para realizar cifrados de flujo. Todo ello sin entrar en detalles
matemáticos, para los que os refiero a documentos como el Handbook of Applied
Cryptography o esta referencia sobre LFSR.
Registros de desplazamiento
Un registro de desplazamiento es básicamente una construcción con varias celdas
de memoria conectadas entre sí, donde cada celdas almacena un bit.Así, el valor
de todas estas celdas conforman el estado del registro. Cuando se cambia el estado
del registro (generalmente al ritmo de un reloj), el nuevo estado del registro se forma
simplemente desplazando los bits de cada celda a la celda de su derecha. Así, el
bit de más a la derecha sale del registro, y un nuevo bit entra en la celda de más a
la izquierda.
En esta figura podemos ver una implementación de registro de desplazamiento de
4 bits:

Registro de
Desplazamiento
Podemos ver que hay una entrada de datos ( Data In ), 4 puntos donde leer el
estado actual del registro (Q1-Q4) y una entrada de reloj que se encarga de
governar el registro, indicando en qué momento se debe pasar de un estado al
siguiente.
Registros de desplazamiento con realimentación lineal (LFSRs)
Bien, una vez sabemos qué son los registros de desplazamiento es muy sencillo
entender cómo funciona un LFSR. Simplemente, tomamos el registro anterior y
hacemos que la entrada sea una función lineal de las distintas celdas. Puesto que
hay un bucle que alimenta el registro en base a su estado anterior,
tenemos realimentación. Además, como esto se hace con una función lineal,
tenemos realimentación lineal, lo cual explica el nombre de estas

construcciones .

LFSR
2.4 Criptosistemas de Clave Pública

2.4.1 Introducción a la cifra con clave pública.

El principio del cifrado asimétrico (también conocido como cifrado con clave pública)
apareció en 1976, con la publicación de un trabajo sobre criptografía por Whitfield
Diffie y Martin Hellman.
En un criptosistema asimétrico (o criptosistema de clave pública), las claves se dan
en pares:
Una clave pública para el cifrado;
Una clave secreta para el descifrado.
En un sistema de cifrado con clave pública, los usuarios eligen una clave aleatoria
que sólo ellos conocen (ésta es la clave privada). A partir de esta clave,
automáticamente se deduce un algoritmo (la clave pública). Los usuarios
intercambian esta clave pública mediante un canal no seguro.
Cuando un usuario desea enviar un mensaje a otro usuario, sólo debe cifrar el
mensaje que desea enviar utilizando la clave pública del receptor (que puede
encontrar, por ejemplo, en un servidor de claves como un directorio LDAP). El
receptor podrá descifrar el mensaje con su clave privada (que sólo él conoce).

Este sistema se basa en una función que es fácil de calcular en una dirección
(llamada función trapdoor de único sentido) y que, matemáticamente, resulta muy
difícil de invertir sin la clave privada (llamada trapdoor).
Para ilustrarlo con un ejemplo, sería como si un usuario creara de forma aleatoria
una pequeña llave metálica (la clave privada) y luego produjera una gran cantidad
de candados (claves públicas) que guarda en un casillero al que puede acceder
cualquiera (el casillero sería el canal no seguro). Para enviarle un documento, cada
usuario puede usar un candado (abierto), cerrar con este candado una carpeta que
contiene el documento y enviar la carpeta al dueño de la clave pública (el dueño del
candado). Sólo el dueño podrá abrir la carpeta con su clave privada.
2.4.2 Protocolo de Diffie y Hellman para el intercambio de claves.
El protocolo criptográfico Diffie-Hellman,1 debido a Whitfield Diffie y Martin
Hellman (autores también del problema de Diffie-Hellman o DHP), es un protocolo
de establecimiento de claves entre partes que no han tenido contacto previo,
utilizando un canal inseguro, y de manera anónima (no autentificada).
Se emplea generalmente como medio para acordar claves simétricas que serán
empleadas para el cifrado de una sesión (establecer clave de sesión). Siendo no
autenticado, sin embargo, provee las bases para varios protocolos autenticados.
Su seguridad radica en la extrema dificultad (conjeturada, no demostrada) de
calcular logaritmos discretos en un cuerpo finito.
E l sistema se basa en la idea de que dos interlocutores pueden generar
conjuntamente una clave compartida sin que un intruso que esté escuchando las
comunicaciones pueda llegar a obtenerla.
Para ello cada interlocutor elige un número público y un número secreto. Usando
una fórmula matemática, que incluye la exponenciación, cada interlocutor hace una
serie de operaciones con los dos números públicos y el secreto. A continuación los
interlocutores se intercambian los resultados de forma pública. En teoría revertir
esta función es tan difícil como calcular un logaritmo discreto (Un millón de millones
de cuadrillones más costosa que la exponenciación usada para transformar los
números). Por eso se dice que este número es el resultado de aplicar una función
unidireccional al número secreto.
A continuación ambos interlocutores utilizan por separado una fórmula matemática
que combina los dos números transformados con su número secreto y al final los
dos llegan al mismo número resultado que será la clave compartida.

2.4.3 Cifradores de mochila de Merkle-Hellman.

Merkle-Hellman es un criptosistema asimétrico, esto significa que para la
comunicación, se necesitan dos llaves: una llave pública y una privada. Otra
diferencia con RSA, es que sirve sólo para cifrado, es decir, la llave pública es usada
sólo para cifrar (no para verificar firma) y la llave privada es usada sólo para descifrar
(no para firmar). De este modo, no se puede usar para tareas de autentificación por
firma electrónica.
El algoritmo de Merkle-Hellman está basado en el problema de la mochila de
decisión (un caso especial del problema de la mochila de optimización): dados una
secuencia de números y un número, determinar si existe un subconjunto de la
secuencia cuya suma dé dicho número. En general, es sabido que este problema
es de clase NP-completo. Sin embargo, si la secuencia de números es
supercreciente -- esto es, si cada elemento de la secuencia es mayor que la suma
de todos los anteriores -- el problema es "fácil", y es posible resolverlo en tiempo
polinómico con un simple algoritmo voraz.
En Merkle-Hellman, las claves están compuestas por secuencias. La clave pública
es una secuencia "difícil", y la clave privada es una "fácil", o secuencia de valores
supercrecientes, junto con dos números adicionales, un multiplicador y un módulo,
los cuales son usados para convertir la secuencia supercreciente en una secuencia
difícil. Estos mismos números son usados para transformar la suma de la
subsecuencia de la secuencia "difícil" en la suma de la subsecuencia de la
secuencia "fácil", la cual se puede solucionar en tiempo polinómico.

2.4.4 Cifrado RSA.

En criptografía, RSA (Rivest, Shamir y Adleman) es un sistema criptográfico de
clave pública desarrollado en 1977. Es el primer y más utilizado algoritmo de este
tipo y es válido tanto para cifrar como para firmar digitalmente.
La seguridad de este algoritmo radica en el problema de
la factorización de números enteros. Los mensajes enviados se representan
mediante números, y el funcionamiento se basa en el producto, conocido, de
dos números primosgrandes elegidos al azar y mantenidos en secreto. Actualmente
estos primos son del orden de , y se prevé que su tamaño crezca con el
aumento de la capacidad de cálculo de los ordenadores.
Como en todo sistema de clave pública, cada usuario posee dos claves de cifrado:
una pública y otra privada. Cuando se quiere enviar un mensaje, el emisor busca la
clave pública del receptor, cifra su mensaje con esa clave, y una vez que el mensaje
cifrado llega al receptor, este se ocupa de descifrarlo usando su clave privada.
Se cree que RSA será seguro mientras no se conozcan formas rápidas de
descomponer un número grande en producto de primos. La computación
cuántica podría proveer de una solución a este problema de factorización.

2.4.5 Cifrado ElGamal

El procedimiento de cifrado/descifrado ElGamal se refiere a un esquema de cifrado
basado en el problema matemático del logaritmo discreto. Es
un algoritmo de criptografía asimétrica basado en la idea de Diffie-Hellman y que
funciona de una forma parecida a este algoritmo discreto.
El algoritmo de ElGamal puede ser utilizado tanto para generar firmas
digitales como para cifrar o descifrar.
Fue descrito por Taher Elgamal en 19841 y se usa en software GNU Privacy Guard,
versiones recientes de PGP, y otros sistemas criptográficos. Este algoritmo no está
bajo ninguna patente lo que lo hace de uso libre.
La seguridad del algoritmo se basa en la suposición que la función utilizada es de un
sólo sentido debido a la dificultad de calcular un logaritmo discreto.
El procedimiento de cifrado (y descifrado) está basado en cálculos sobre un grupo
cíclico cualquiera lo que lleva a que la seguridad del mismo dependa de la
dificultad de calcular logaritmos discretos en .
Generación de la clave
Para generar la clave, Alicia escoge un número primo cualquiera tal
que tenga un factor primo grande (esto se pide para que el problema del
logaritmo discreto sea difícil2 ). Además elige dos números aleatorios (el
generador) y (que actuará como clave privada) tal que .

Alicia calcula el valor de . La clave pública será ,

mientras que el valor de lo mantendrá en secreto.
Cifrado
Supongamos que Bruno tiene un texto claro que quiere enviar cifrado a Alicia. Lo
primero por hacer es convertir este texto en un entero entre 1 y , obteniendo
un (esto no es parte del cifrado, sino que es una manera de codificar estándar,
conocida por todos). Luego Bruno escoge arbitrariamente un
número (que mantendrá secreto) para finalmente calcular:

El mensaje cifrado final corresponde a la tupla

 Este protocolo se basa en un principio encontrado en muchos protocolos de autenticación. Una
parte envía un nuero aleatorio a la otra, quien a continuación lo transforma en una forma especial
3.1.1 Claves secretas compartidas y después regresa al resultado. Tales protocolos se conocen como de desafio-respuesta.

Esta distribución debe efectuarse previamente a la comunicación. Los requisitos específicos en

cuanto a seguridad de esta distribución dependerán de para qué y cómo van a ser utilizadas las
3.1.2 Centros de distribución de claves
claves.
3.1 Protocolos de
Autenticación
De manera creativa es también inventado el concepto de firma digital, que resuelve el problema de
autenticidad de una entidad. En la actualidad se cuenta con esquemas: de cifrado, de firma digital
3.1.3 Claves públicas y de intercambio de claves, entre sus principales usos.

En resumen el funcionamiento es el siguiente: el cliente se autentica a sí mismo contra el AS, así

3.1.4 Ejemplos de protocolos de demuestra al TGS que está autorizado para recibir un ticket deservicio (y lo recibe) y ya puede
autenticación demostrar al SS que ha sido aprobado para hacer uso del servicio kerberizado.

La firma digital es la transmisión de mensajes telemáticos, un método criptográfico· que

3.2.1 Firmas digitales de clave
simétrica
asegura su integridad así como la autenticidad del remitente. La firma digital de un
documento no es un password, es el resultado de aplicar cierto algoritmo matemático,
denominado función hash· , al contenido.
3.2 Firmas Digitales
Esta infraestructura tiene por objetivo permitir a alguien de ser autenticado en línea. La
Autoridad de Certificación debe verificar la identidad del solicitante, emitir el certificado
3.2.2 Firmas digitales de llave
pública y administrar la condición de ese certificado sobre el período de autorización.

Un cortafuegos o firewall no puede protegerse contra aquellos ataques que se efectúen

fuera de su punto de operación. El cortafuegos no puede protegerse de las amenazas a
3.3.1 Alcances y limitaciones que está sometido por traidores o usuarios inconscientes.

En todo cortafuegos existen tres componentes básicos para los cuales se ha de implementar los
3.3.2 Componentes mecanismos necesarios para hacer cumplir la política de seguridad: 1. El filtrado de paquetes. 2. El
3.3 Cortafuegos proxy de aplicación. 3. La monitorización y detección de actividad sospechosa.
(firewalls)
El filtrado de paquetes, además de utilizarse para reducir la carga de red, también se emplea para
3.3.3 Filtros de paquetes implementar distintas políticas de seguridad en una red. Respecto al objetivo principal de dichas
políticas de seguridad, es habitual el hecho de evitar el acceso no autorizado entre dos redes,
manteniendo los accesos autorizados.
3.3.4 Filtro de servicios
La forma más habitual de permitir o denegar cierto tipo de tráfico es abriendo y cerrando puertos.
Con abrir y cerrar queremos decir añadir reglas al cortafuegos que permitan que los paquetes
destinados a ciertos puertos puedan circular o no. Esto puede conseguirse de dos formas: una
permisiva y otra restrictiva.
4.1 Cortafuegos

Un cortafuego (firewall en inglés) es una parte de un sistema o una red que está
diseñada para bloquear el acceso no autorizado, permitiendo al mismo tiempo
autorizado.
Se trata de u n dispositivo o conjunto de dispositivos configurados para permitir,
limitar, cifrar, descifrar, el tráfico entre los diferentes ámbitos sobre la base de un
conjunto de normas y otros criterios.
Los cortafuegos pueden ser implementados en hardware o software, o una
combinación de ambos. Los cortafuegos se utilizan con frecuencia para evitar que
los usuarios de Internet no autorizados tengan acceso a redes privadas conectadas
a Internet, especialmente intranets. Todos los mensajes que entren o salgan de la
intranet pasan a través del cortafuego, que examina cada mensaje y bloquea
aquellos que no cumplen los criterios de seguridad especificados. También es
frecuente conectar al cortafuego a una tercera red, llamada Zona desmilitarizada o
DMZ, en la que se ubican los servidores de la organización que deben permanecer
accesibles desde la red exterior.
Un cortafuego correctamente configurado añade una protección necesaria a la red,
pero que en ningún caso debe considerarse suficiente. La seguridad informática
abarca más ámbitos y más niveles de trabajo y protección.
El término "firewall / fireblock" significaba originalmente una pared para confinar un
incendio o riesgo potencial de incendio en un edificio. Más adelante se usa para
referirse a las estructuras similares, como la hoja de metal que separa el
compartimiento del motor de un vehículo o una aeronave de la cabina. La tecnología
de los cortafuegos surgió a finales de 1980, cuando Internet era una tecnología
bastante nueva en cuanto a su uso global y la conectividad. Los predecesores de
los cortafuegos para la seguridad de la red fueron los routers utilizados a finales de
1980, que mantenían a las redes separadas unas de otras. La visión de Internet
como una comunidad relativamente pequeña de usuarios con máquinas
compatibles, que valoraba la predisposición para el intercambio y la colaboración,
terminó con una serie de importantes violaciones de seguridad de Internet que se
produjo a finales de los 80:
§ Clifford Stoll, que descubrió la forma de manipular el sistema de espionaje
alemán.

§ Bill Cheswick, cuando en 1992 instaló una cárcel simple electrónica para observar
a un atacante.
§ En 1988, un empleado del Centro de Investigación Ames de la NASA, en California,
envió una nota por correo electrónico a sus colegas que decía:

"Estamos bajo el ataque de un virus de Internet! Ha llegado a Berkeley, UC San

Diego, Lawrence Livermore, Stanford y la NASA Ames."
§ El Gusano Morris, que se extendió a través de múltiples vulnerabilidades en las
máquinas de la época. Aunque no era malicioso, el gusano Morris fue el primer
ataque a gran escala sobre la seguridad en Internet; la red no esperaba ni estaba
preparada para hacer frente a su ataque.
Un firewall es un dispositivo que funciona como cortafuegos entre redes,
permitiendo o denegando las transmisiones de una red a la otra. Un uso típico es
situarlo entre una red local y la red Internet, como dispositivo de seguridad para
evitar que los intrusos puedan acceder a información confidencial.

Un firewall es simplemente un filtro que controla todas las comunicaciones que

pasan de una red a la otra y en función de lo que sean permite o deniega su paso.
Para permitir o denegar una comunicación el firewal examina el tipo de servicio al
que corresponde, como pueden ser el web, el correo o el IRC. Dependiendo del
servicio el firewall decide si lo permite o no. Además, el firewall examina si la
comunicación es entrante o saliente y dependiendo de su dirección puede permitirla
o no.
De este modo un firewall puede permitir desde una red local hacia Internet servicios
de web, correo y ftp, pero no a IRC que puede ser innecesario para nuestro trabajo.
También podemos configurar los accesos que se hagan desde Internet hacia la red
local y podemos denegarlos todos o permitir algunos servicios como el de la web,
(si es que poseemos un servidor web y queremos que accesible desde Internet).
Dependiendo del firewall que tengamos también podremos permitir algunos
accesos a la red local desde Internet si el usuario se ha autentificado como usuario
de la red local.
Un firewall puede ser un dispositivo software o hardware, es decir, un aparatito que
se conecta entre la red y el cable de la conexión a Internet, o bien un programa que
se instala en la máquina que tiene el modem que conecta con Internet. Incluso
podemos encontrar ordenadores computadores muy potentes y con softwares
específicos que lo único que hacen es monitorizar las comunicaciones entre redes.
Primera generación – cortafuegos de red: filtrado de paquetes
El primer documento publicado para la tecnología firewall data de 1988, cuando el
equipo de ingenieros Digital Equipment Corporation (DEC) desarrolló los sistemas
de filtro conocidos como cortafuegos de filtrado de paquetes. Este sistema, bastante
básico, fue la primera generación de lo que se convertiría en una característica más
técnica y evolucionada de la seguridad de Internet. En AT&T Bell, Bill Cheswick y
Steve Bellovin, continuaban sus investigaciones en el filtrado de paquetes y
desarrollaron un modelo de trabajo para su propia empresa, con base en su
arquitectura original de la primera generación.

El filtrado de paquetes actúa mediante la inspección de los paquetes (que

representan la unidad básica de transferencia de datos entre ordenadores en
Internet). Si un paquete coincide con el conjunto de reglas del filtro, el paquete se
reducirá (descarte silencioso) o será rechazado (desprendiéndose de él y enviando
una respuesta de error al emisor). Este tipo de filtrado de paquetes no presta
atención a si el paquete es parte de una secuencia existente de tráfico. En su lugar,
se filtra cada paquete basándose únicamente en la información contenida en el
paquete en sí (por lo general utiliza una combinación del emisor del paquete y la
dirección de destino, su protocolo, y, en el tráfico TCP y UDP, el número de puerto).
Los protocolos TCP y UDP comprenden la mayor parte de comunicación a través
de Internet, utilizando por convención puertos bien conocidos para determinados
tipos de tráfico, por lo que un filtro de paquetes puede distinguir entre ambos tipos
de tráfico (ya sean navegación web, impresión remota, envío y recepción de correo
electrónico, transferencia de archivos…); a menos que las máquinas a cada lado
del filtro de paquetes estén a la vez utilizando los mismos puertos no estándar.

El filtrado de paquetes llevado a cabo por un cortafuego actúa en las tres primeras
capas del modelo de referencia OSI, lo que significa que todo el trabajo lo realiza
entre la red y las capas físicas. Cuando el emisor origina un paquete y es filtrado
por el cortafuegos, éste último comprueba las reglas de filtrado de paquetes que
lleva configuradas, aceptando o rechazando el paquete en consecuencia. Cuando
el paquete pasa a través de cortafuegos, éste filtra el paquete mediante un protocolo
y un número de puerto base (GSS). Por ejemplo, si existe una norma en los
cortafuegos para bloquear el acceso telnet, bloqueará el protocolo IP para el número
de puerto 23.
Segunda generación – cortafuegos de estado
Durante 1989 y 1990, tres colegas de los laboratorios AT&T Bell, Dave Presetto,
Janardan Sharma, y Nigam Kshitij, desarrollaron la tercera generación de servidores
de seguridad. Esta tercera generación cortafuegos tiene en cuenta además la
colocación de cada paquete individual dentro de una serie de paquetes. Esta
tecnología se conoce generalmente como la inspección de estado de paquetes, ya
que mantiene registros de todas las conexiones que pasan por el cortafuegos,
siendo capaz de determinar si un paquete indica el inicio de una nueva conexión,
es parte de una conexión existente, o es un paquete erróneo. Este tipo de
cortafuegos pueden ayudar a prevenir ataques contra conexiones en curso o ciertos
ataques de denegación de servicio.
Tercera generación - cortafuegos de aplicación
Son aquellos que actúan sobre la capa de aplicación del modelo OSI. La clave de
un cortafuegos de aplicación es que puede entender ciertas aplicaciones y
protocolos (por ejemplo: protocolo de transferencia de ficheros, DNS o navegación
web), y permite detectar si un protocolo no deseado se coló a través de un puerto
no estándar o si se está abusando de un protocolo de forma perjudicial.

Un cortafuegos de aplicación es mucho más seguro y fiable cuando se compara con

un cortafuegos de filtrado de paquetes, ya que repercute en las siete capas del
modelo de referencia OSI. En esencia es similar a un cortafuegos de filtrado de
paquetes, con la diferencia de que también podemos filtrar el contenido del paquete.
El mejor ejemplo de cortafuegos de aplicación es ISA (Internet Security and
Acceleration).

Un cortafuego de aplicación puede filtrar protocolos de capas superiores tales como

FTP, TELNET, DNS, DHCP, HTTP, TCP, UDP y TFTP (GSS). Por ejemplo, si una
organización quiere bloquear toda la información relacionada con una palabra en
concreto, puede habilitarse el filtrado de contenido para bloquear esa palabra en
particular. No obstante, los cortafuegos de aplicación resultan más lentos que los
de estado.
Acontecimientos posteriores
En 1992, Bob Braden y DeSchon Annette, de la Universidad del Sur de California
(USC), dan forma al concepto de cortafuegos. Su producto, conocido como "Visas",
fue el primer sistema con una interfaz gráfica con colores e iconos, fácilmente
implementable y compatible con sistemas operativos como Windows de Microsoft o
MacOS de Apple. En 1994, una compañía israelí llamada Check Point Software
Technologies lo patentó como software denominándolo FireWall-1.

La funcionalidad existente de inspección profunda de paquetes en los actuales

cortafuegos puede ser compartida por los sistemas de prevención de intrusiones
(IPS).

Actualmente, el Grupo de Trabajo de Comunicación Middlebox de la Internet

Engineering Task Force (IETF) está trabajando en la estandarización de protocolos
para la gestión de cortafuegos.
Otro de los ejes de desarrollo consiste en integrar la identidad de los usuarios dentro
del conjunto de reglas de los cortafuegos. Algunos cortafuegos proporcionan
características tales como unir a las identidades de usuario con las direcciones IP o
MAC. Otros, como el cortafuego NuFW, proporcionan características de
identificación real solicitando la firma del usuario para cada conexión.

Tipos de cortafuegos
Nivel de aplicación de pasarela
Aplica mecanismos de seguridad para aplicaciones específicas, tales como
servidores FTP y Telnet. Esto es muy eficaz, pero puede imponer una degradación
del rendimiento.

Circuito a nivel de pasarela

Aplica mecanismos de seguridad cuando una conexión TCP o UDP es establecida.
Una vez que la conexión se ha hecho, los paquetes pueden fluir entre los anfitriones
sin más control. Permite el establecimiento de una sesión que se origine desde una
zona de mayor seguridad hacia una zona de menor seguridad.

Cortafuegos de capa de red o de filtrado de paquetes

Funciona a nivel de red (capa 3 del modelo OSI, capa 2 del stack de protocolos
TCP/IP) como filtro de paquetes IP. A este nivel se pueden realizar filtros según los
distintos campos de los paquetes IP: dirección IP origen, dirección IP destino. A
menudo en este tipo de cortafuegos se permiten filtrados según campos de nivel de
transporte (capa 3 TCP/IP, capa 4 Modelo OSI), como el puerto origen y destino, o
a nivel de enlace de datos (no existe en TCP/IP, capa 2 Modelo OSI) como la
dirección MAC.
Cortafuegos de capa de aplicación
Trabaja en el nivel de aplicación (capa 7 del modelo OSI), de manera que los
filtrados se pueden adaptar a características propias de los protocolos de este nivel.
Por ejemplo, si se trata de tráfico HTTP, se pueden realizar filtrados según la URL
a la que se está intentando acceder.

Un cortafuego a nivel 7 de tráfico HTTP suele denominarse proxy, y permite que los
computadores de una organización entren a Internet de una forma controlada. Un
proxy oculta de manera eficaz las verdaderas direcciones de red.

Cortafuego personal
Es un caso particular de cortafuegos que se instala como software en un
computador, filtrando las comunicaciones entre dicho computador y el resto de la
red. Se usa por tanto, a nivel personal.

4.1.1 Alcances y limitaciones

¿Qué puede hacer un Firewall?
Un cortafuegos define un punto único de resistencia que mantiene a los usuarios no
autorizados fuera de la red protegida, prohíbe la entrada o salida de la red de
servicios potencialmente vulnerables y proporciona protección frente a distintos
tipos de ataques de suplantación de IP (spoofing) y de enrutamiento. El uso de un
solo punto de resistencia simplifica la gestión de la seguridad porque las
capacidades de seguridad se consolidad en un único sistema o conjunto de
sistemas.
Restringir servicios que se consideran inseguros.
Un cortafuego proporciona una ubicación para supervisar sucesos relacionados con
la seguridad. En los sistemas cortafuegos se pueden implementar auditorias y
alarmas.
Limitar el acceso a redes inseguras
Un cortafuego puede servir como plataforma para IPSec. Utilizando la capacidad
del modo túnel, el cortafuego puede utilizarse para implementar redes privadas
virtuales.
Es el lugar donde se concentran las decisiones de seguridad
Por supuesto que los sistemas firewall no brindan seguridad absoluta; todo lo
contrario. Los firewalls sólo ofrecen protección en tanto todas las comunicaciones
salientes pasen sistemáticamente a través de éstos y estén configuradas
correctamente. Los accesos a la red externa que sortean el firewall también son
puntos débiles en la seguridad.
Claramente, éste es el caso de las conexiones que se realizan desde la red interna
mediante un módem o cualquier otro medio de conexión que evite el firewall.

¿Qué no puede hacer un Firewall?

El cortafuego no puede proteger contra ataques que no se produzcan a través del
cortafuego. De hecho los sistemas internos pueden tener capacidad de conexión
telefónica para conectarse a un ISP (Proveedor de Servicios de Internet). Desde el
2008 por unos 5 dólares es posible navegar unas cuantas horas con la llamada
banda Ancha 3G donde tenemos las mismas o mejores oportunidades de
navegación que se escapan del control del Firewall.
No proveen casi ninguna protección contra protocolos de alto nivel
No brinda protección contra virus trasferidos por FTP
El cortafuegos no protege contra amenazas internas (un empleado disgustado o un
empleado que inconscientemente coopera con un atacante interno
No protege contra back doors
No protege contra nuevos tipos de ataques a menos que la política sea todo está
prohibido a menos que se permita explícitamente.
El cortafuego no puede proteger contra transferencia de programas o archivos
infectados con virus. Debido a la variedad de sistemas operativos y aplicaciones
existentes dentro del perímetro, sería poco práctico y quizás imposible que el
cortafuego explorase todos los archivos, correo electrónico y mensajes entrantes en
busca de virus.

Las 6 limitaciones más comunes

Un cortafuego o firewall no puede protegerse contra aquellos ataques que se
efectúen fuera de su punto de operación.
El cortafuegos no puede protegerse de las amenazas a que está sometido por
traidores o usuarios inconscientes.
El cortafuego no puede prohibir que los traidores o espías corporativos copien datos
sensibles en disquetes o tarjetas PCMCIA y sustraigan éstas del edificio.
El cortafuegos no puede proteger contra los ataques de la “Ingeniería Social”
El cortafuego no puede protegerse contra los ataques posibles a la red interna por
virus informáticos a través de archivos y software. La solución real está en que la
organización debe ser consciente en instalar software antivirus en cada máquina
para protegerse de los virus que llegan por medio de disquetes o cualquier otra
fuente.
El cortafuego no protege de los fallos de seguridad de los servicios y protocolos de
los cuales se permita el tráfico. Hay que configurar correctamente y cuidar la
seguridad de los servicios que se publiquen a internet.
4.1.2 Componentes de un firewall
Un cortafuegos se compone de hardware y software que, utilizado conjuntamente,
impide el acceso no autorizado a parte de una red.

Un cortafuegos consta de los siguientes componentes:

Hardware. El hardware del cortafuegos suele constar de un sistema aparte dedicado

a ejecutar las funciones de software del cortafuegos.
Software. El software del cortafuegos puede constar de alguna de estas
aplicaciones o bien de todas ellas:
Filtros de paquetes
Servidores Proxy
Servidores SOCKS
Servicios de Conversión de direcciones de red (NAT)
Software de anotaciones y supervisión
Servicios de Red privada virtual (VPN)

Componentes de un cortafuegos
· En todo cortafuegos existen tres componentes básicos para los cuales se ha de
implementar los mecanismos necesarios para hacer cumplir la política de seguridad:

El filtrado de paquetes.
El proxy de aplicación.
La monitorización y detección de actividad sospechosa.
4.1.3. Filtrado de paquetes

El filtrado de paquetes, además de utilizarse para reducir la carga de red, también

se emplea para implementar distintas políticas de seguridad en una red. Respecto
al objetivo principal de dichas políticas de seguridad, es habitual el hecho de evitar
el acceso no autorizado entre dos redes, manteniendo los accesos autorizados.

Los sistemas de filtrado de paquetes encaminan los paquetes entre los hosts de
una red interna y los hosts de una red externa. De modo selectivo, permiten o
bloquean ciertos tipos de paquetes de acuerdo a una política de seguridad. El tipo
de router que se usa en el filtrado de paquetes se conoce con el nombre de
screening router.

Una técnica de filtrado de paquetes, consiste de una lista de órdenes que se

ejecutan secuencialmente a la entrada/salida de cada interface de un router con las
opciones de permitir o bloquear (Accept o Drop).

Así es posible permitir o denegar la entrada o salida de paquetes en función de

direcciones IP (a nivel 3 de la pila de protocolos TCP/IP). A este nivel se pueden
realizar filtros según los distintos campos de los paquetes IP: dirección IP origen,
dirección IP destino, etc.

A menudo en este tipo de cortafuegos se permiten filtrados según campos de nivel

de transporte (nivel 4) como el puerto origen y destino, o a nivel de enlace de datos
(nivel 2) como la dirección MAC. Este es uno de los principales tipos de cortafuegos.
Se considera bastante eficaz y transparente pero difícil de configurar.
La construcción de un sistema cortafuegos mediante un ruteador con filtrado de
paquetes es relativamente económico, ya que regularmente son construidos con
hardware ya disponible. Además ofrece un alto rendimiento para redes con una
carga de tráfico elevado. Adicionalmente esta tecnología permite la implementación
de la mayor parte de las políticas de seguridad necesarias.

Ventajas:

Disponible en casi cualquier routers y en muchos sistemas operativos.

Ofrece un alto rendimiento para redes con una carga de tráfico elevada.

Inconvenientes:
ü Al procesarse los paquetes de forma independiente, no se guarda ninguna
información de contexto (no se almacenan históricos de cada paquete), ni se puede
analizar a nivel de capa de aplicación, dado que está implementado en los routers.
ü Son difíciles de seguir en ejecución

Políticas por defecto

Hay dos políticas básicas en la configuración de un cortafuego que cambian

radicalmente la filosofía fundamental de la seguridad en la organización:

Política restrictiva: Se niega todo el tráfico excepto el que está explícitamente

permitido. El cortafuegos obstruye todo el tráfico y hay que habilitar explícitamente
el tráfico de los servicios que se necesiten.
Política permisiva: Se permite todo el tráfico excepto el que esté explícitamente
denegado. Cada servicio potencialmente peligroso necesitará ser aislado
básicamente caso por caso, mientras que el resto del tráfico no será filtrado. Está
política deja al firewall vulnerable frente al tunneling.
La política restrictiva es la más segura, ya que es más difícil permitir por error tráfico
potencialmente peligroso, mientras que en la política permisiva es posible que no
se haya contemplado algún caso de tráfico peligroso y sea permitido por omisión.

4.1.4. Filtrado de servicios

La forma más habitual de permitir o denegar cierto tipo de tráfico es abriendo y
cerrando puertos. Con abrir y cerrar queremos decir añadir reglas al cortafuegos
que permitan que los paquetes destinados a ciertos puertos puedan circular o no.
Esto puede conseguirse de dos formas: una permisiva y otra restrictiva.

Los cortafuegos permisivos son los que por defecto dejan circular todo el tráfico y
prohíben sólo cierto tipo de comunicaciones que se considera peligrosa. Los
cortafuegos restrictivos hacen justo lo contrario: por defecto no dejan circular ningún
tipo de tráfico excepto el que se considera seguro. Los cortafuegos restrictivos son
mucho más difíciles de programar aunque también son mucho más seguros.

Filtrado por protocolo

Veamos unos cuantos ejemplos concretos. En primer lugar analizaremos el

funcionamiento de la orden ping. Esta orden envía una petición de eco a un
ordenador. Si este ordenador funciona correctamente responderá a la petición
de ping con un mensaje de respuesta. La orden ping utiliza el protocolo ICMP para
conseguir esto. Aunque esta orden tiene usos legítimos, a veces es aprovechada
por un atacante para descubrir si nuestro ordenador está encendido, así que puede
ser una buena idea evitar que pueda ser utilizado. Si quisiéramos evitar el uso de
ping la forma más sencilla es esta:

iptables -I INPUT 1 -p icmp DROP

Probar su funcionamiento es sencillo. Antes de establecer la regla trate de hacer

una petición a su propia máquina con ping localhost. Tras comprobar que en efecto
obtiene respuesta, como no, añada la regla anterior y espere a ver que pasa. Ahora
no debería obtener respuesta. Aparte de esperar un rato a que la orden se lo
confirme, también puede comprobar que ha funcinado comprobando los contadores
de iptables con iptables -nvL.
Filtrado por puerto
Ahora vamos a ver como filtrar por un servicio utilizando como criterio de selección
el número de puerto además del protocolo. Como primer ejemplo veremos como
permitir la conexión a un servidor SSH (Secure Shell) en nuestro ordenador:

#!/bin/bash

# reiniciar el cortafuegos (tabla filter)

iptables -F # borrar reglas
iptables -X # borrar cadenas
iptables -Z # estadísticas a cero

# políticas por defecto en las cadenas predefinitas (tabla filter)

iptables -P INPUT DROP # descartar
iptables -P FORWARD DROP # descartar
iptables -P OUTPUT ACCEPT # aceptar

# reglas de entrada
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Este cortafuego permite la conexión desde el exterior a nuestro servidor SSH. Este
es otro ejemplo de cortafuegos basado en estado. Funciona porque deja pasar todo
paquete entrante que intente crear una nueva conexión con el puerto 22, el del
servidor SSH. En lugar del número 22 podríamos haber utilizado el nombre del
protocolo, SSH, tal y como aparecen listados en el fichero /etc/services. Para poder
utilizar esta forma de filtrado es necesario conocer cómo funciona el servicio o la
aplicación que deseamos permitir o limitar. De todas formas este ejemplo de
cortafuegos es bastante poco restrictivo puesto que deja salir todo el tráfico saliente
sin ninguna restricción. Podemos dejar pasar sólo las comunicaciones que tengan
que ver con el protocolo SSH y nada más de forma parecida a esta:
#!/bin/bash

# reiniciar el cortafuegos (tabla filter)

iptables -F # borrar reglas
iptables -X # borrar cadenas
iptables -Z # estadísticas a cero

# políticas por defecto en las cadenas predefinitas (tabla filter)

iptables -P INPUT DROP # descartar
iptables -P FORWARD DROP # descartar
iptables -P OUTPUT DROP # descartar

# regla de entrada
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# regla de salida
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

Este segundo ejemplo es mucho más restrictivo. De hecho, el único tipo de

comunicación permitida es la relacionada con SSH entrante. Ni siquiera nos permite
a nosotros conectarnos a un servidor SSH en otra máquina. Una cosa importante
que podemos aprender de este ejemplo es que muchas veces son necesarias dos
reglas para permitir que funcione un servicio: una para los paquetes de entrada y
otra para los de salida.
Veremos ahora un tercer ejemplo. Imaginemos un servidor al que no deseamos que
nadie sea capaz de conectarse a ningún servicio, salvo el servidor web. A la vez
podríamos querer que el administrador pudiese conectarse desde su ordenador
para poder administrarlo con facilidad de forma remota. ¿Cómo conseguirlo? Fácil,
con iptables:
#!/bin/bash

# reiniciar el cortafuegos (tabla filter)

iptables -F # borrar reglas
iptables -X # borrar cadenas
iptables -Z # estadísticas a cero

# políticas por defecto en las cadenas predefinitas (tabla filter)

iptables -P INPUT DROP # descartar
iptables -P FORWARD DROP # descartar
iptables -P OUTPUT DROP # descartar

# regla de entrada
iptables -A INPUT -p tcp --dport 80 -j ACCEPT # petición al servidor web
iptables -A INPUT -s 10.10.10.10 -j ACCEPT # administración (entrada)

# regla de salida
iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT # respuesta del servidor web
iptables -A OUTPUT -d 10.10.10.10 -j ACCEPT # administración (salida)

Este ejemplo tiene dos cosas interesantes: por una parte es muy estricto con el tipo
de tráfico que permite, al igual que el ejemplo anterior, sólo deja comunicaciones
entrantes con el servidor web a través del puerto 80. En cambio, deja abierto los
cortafuegos a cualquier tipo de comunicación con la máquina con dirección IP
10.10.10.10, que supondremos que es la dirección IP del ordenador del
administrador. Observe como curiosidad que la primera vez se utiliza como "-s
10.10.10.10" para permitir la entrada desde cierto origen y después "-d 10.10.10.10"
para establecer a la salida la misma máquina de destino.
4.1.5. IPtables. Cortafuego

Para obtener un mínimo nivel de seguridad, además de un fuerte sistema de

permisos. Linux ofrece varias características útiles. Entre ellas lleva
incorporado Netfilter, que es el módulo del kernel que permite configurar un firewall,
sin necesidad de instalar más programas. Con un poco de habilidad enbash
scripting y conocimientos básicos del funcionamiento de iptables (filtrado de
paquetes TCP/IP) para obtener un adecuado resultado para su servidor.

El módulo de Netfilter mantiene simplemente en memoria una serie de reglas,

designadas mediante la utilidad iptables, para determinar si un paquete se filtra o
no. Netfilter ofrece muchas más capacidades, pero aquí la idea es simplemente
filtrar los paquetes entrantes a la computadora.

Para iniciar con IPtables use el comando iptables -L.

En está situación iptables tiene tres reglas configuradas. Estas cadenas son las
cadenas principales de iptables, con un significado especial que se explica a
continuación.
INPUT. Esta cadena designa a todo paquete de red que tenga como dirección de
destino a la computadora local.
FORWARD. Esta cadena es utilizada en gran parte por sistemas que sirvan de
firewall para un segmento de red. Todo paquete de red que tenga como dirección
destino una computadora distinta del local es renviada.
OUTPUT. Se utiliza en ocasiones para contener o limitar los paquetes que pueden
salir de una computadora.
Cuando un paquete de red llega por el cable, Linux puede discriminar el paquete,
antes de ser procesador por un programa. Dependiendo de la situación, se ocupará
una de las tres cadenas principales antes listadas y se procesarán por los filtros
configurados. Se pueden crear cadenas de usuario que se agregan a la cadena
principal. Esto es útil para mejorar la configuración del firewall.
Se definirá que por defecto se confié en los paquetes generados por la computadora,
pero denegamos todo lo demás.

Referencia

http://geneura.ugr.es/~gustavo/cortafuegos/filtrado.html

Beltrán López Yadira

Martínez Hernández José Alfredo
8° “D”

4.2. Redes Privadas Virtuales

Una VPN es una tecnología de red que permite una extensión de la red local sobre
una red pública o no controlada, como por ejemplo Internet.

El ejemplo más común es la posibilidad de conectar dos o más sucursales de una

empresa utilizando como vínculo Internet, permitir a los miembros del equipo de
soporte técnico la conexión desde su casa al centro de cómputo, o que un usuario
pueda acceder a su equipo doméstico desde un sitio remoto, como por ejemplo un
hotel. Todo esto utilizando la infraestructura de Internet.

Para hacerlo posible de manera segura es necesario proveer los medios para
garantizar la autenticación, integridad y confidencialidad de toda la comunicación:
Autenticación y autorización: ¿Quién está del otro lado? Usuario/equipo y qué nivel
de acceso debe tener.
Integridad: La garantía de que los datos enviados no han sido alterados. Para ello
se utiliza un metodo de comparación (Hash).Los algoritmos comunes de
comparacion son Message Digest(MD) y Secure Hash Algorithm (SHA).

Confidencialidad: Dado que los datos viajan a través de un medio potencialmente

hostil como Internet, los mismos son susceptibles de intercepción, por lo que es
fundamental el cifrado de los mismos. De este modo, la información no debe poder
ser interpretada por nadie más que los destinatarios de la misma.Se hace uso de
algoritmos de cifrado como Data Encryption Standard (DES),Triple DES(3DES) y
Advanced Encryption Standard (AES).

No repudio, es decir un mensaje tiene que ir firmado, y el que lo firma no puede

negar que el mensaje lo envió él.

Requerimientos Básicos

Identificación de Usuario: Las VPN's (Redes Virtuales Privadas) deben verificar la

identidad de los usuarios y restringir su acceso a aquellos que no se encuentren
autorizados.

Codificación de Datos: Los datos que se van a transmitir a través de la red pública
(Internet), antes deben ser cifrados, para que así no puedan ser leídos. Esta tarea
se realiza con algoritmos de cifrado como DES o 3DES.
Administración de claves: Las VPN's deben actualizar las claves de cifrado para los
usuarios.

Soporte a protocolos múltiples: Las VPN's deben manejar los protocolos comunes,
como son el Protocolo de Internet (IP), intercambio de paquetes interred (IPX), etc.

Tipos de VPN

Básicamente existen tres arquitecturas de conexión VPN:

VPN de acceso remoto

Éste es quizás el modelo más usado si actualmente y consiste en usuarios o
proveedores que se conectan con la empresa desde sitios remotos (oficinas
comerciales, domicilios, hotel, aviones, etcétera) utilizando Internet como vínculo de
acceso. Una vez autenticados tienen un nivel de acceso muy similar al que tienen
en la red local de la empresa. Muchas empresas han reemplazado con esta
tecnología su infraestructura 'dial-up' (módems y líneas telefónicas), aunque por
razones de contingencia todavía conservan sus viejos modems. Existen excelentes
equipos en el mercado.

VPN punto a punto

Este esquema se utiliza para conectar oficinas remotas con la sede central de
organización. El servidor VPN, que posee un vínculo permanente a Internet, acepta
las conexiones vía Internet provenientes de los sitios y establece el túnel VPN. Los
servidores de las sucursales se conectan a Internet utilizando los servicios de su
proveedor local de Internet, típicamente mediante conexiones de banda ancha. Esto
permite eliminar los costosos vínculos punto a punto tradicionales, sobre todo en las
comunicaciones internacionales.

Tunneling

Internet se construyó desde un principio como un medio inseguro. Muchos de los

protocolos utilizados hoy en día para transferir datos de una máquina a otra a través
de la red carecen de algún tipo de cifrado o medio de seguridad que evite que
nuestras comunicaciones puedan ser interceptadas y espiadas. HTTP, FTP, POP3
y otros muchos protocolos ampliamente usados, utilizan comunicaciones que viajan
en claro a través de la red. Esto supone un grave problema, en todas aquellas
situaciones en las que queremos transferir entre máquinas información sensible,
como pueda ser una cuenta de usuario (nombre de usuario y contraseña), y no
tengamos un control absoluto sobre la red, a fin de evitar que alguien pueda
interceptar nuestra comunicación por medio de la técnica del hombre en el medio
(man in the middle), como es el caso de la Red de redes.

¿Qué es el tunneling?
El problema de los protocolos que envían sus datos en claro, es decir, sin cifrarlos,
es que cualquier persona que tenga acceso físico a la red en la que se sitúan
nuestras máquinas puede ver dichos datos. Es tan simple como utilizar un sniffer,
que básicamente, es una herramienta que pone nuestra tarjeta de red en modo
promiscuo (modo en el que las tarjetas de red operan aceptando todos los paquetes
que circulan por la red a la que se conectan, sean o no para esa tarjeta). De este
modo, alguien que conecte su máquina a una red y arranque un sniffer recibirá y
podrá analizar por tanto todos los paquetes que circulen por dicha red. Si alguno de
esos paquetes pertenece a un protocolo que envía sus comunicaciones en claro, y
contiene información sensible, dicha información se verá comprometida.

Si por el contrario, ciframos nuestras comunicaciones con un sistema que permita

entenderse sólo a las dos máquinas que queremos sean partícipes de la
comunicación, cualquiera que intercepte desde una tercera máquina nuestros
paquetes, no podrá hacer nada con ellos, al no poder descifrar los datos.

Una forma de evitar el problema que nos atañe, sin dejar por ello de utilizar todos
aquellos protocolos que carezcan de medios de cifrado, es usar una útil técnica
llamada tunneling. Básicamente, esta técnica consiste en abrir conexiones entre dos
máquinas por medio de un protocolo seguro, como puede ser SSH (Secure SHell),
a través de las cuales realizaremos las transferencias inseguras, que pasarán de
este modo a ser seguras. De esta analogía viene el nombre de la técnica, siendo la
conexión segura (en este caso de ssh) el túnel por el cual enviamos nuestros datos
para que nadie más aparte de los interlocutores que se sitúan a cada extremo del
túnel, pueda ver dichos datos. Ni que decir tiene, que este tipo de técnica requiere
de forma imprescindible que tengamos una cuenta de acceso seguro en la máquina
con la que nos queremos comunicar.

VPN interna WLAN

Este esquema es el menos difundido pero uno de los más poderosos para utilizar
dentro de la empresa. Es una variante del tipo "acceso remoto" pero, en vez de
utilizar Internet como medio de conexión, emplea la misma red de área local (LAN)
de la empresa. Sirve para aislar zonas y servicios de la red interna. Esta capacidad
lo hace muy conveniente para mejorar las prestaciones de seguridad de las redes
inalámbricas (WiFi).
Un ejemplo muy clásico es un servidor con información sensible, como las nóminas
de sueldos, ubicado detrás de un equipo VPN, el cual provee autenticación adicional
más el agregado del cifrado, haciendo posible que sólo el personal de RRHH
habilitado pueda acceder a la información.

4.2.1.1 Protocolos de redes privadas virtuales

En una red privada virtual todos los usuarios parecen estar en el mismo segmento
de LAN, pero en realidad están a varias redes (generalmente públicas) de distancia.

Para lograr esta funcionalidad, la tecnología de redes seguras, privadas y virtuales

debe completar tres tareas: primero, deben ser capaces de pasar paquetes IP a
través de un túnel en la red pública, de manera que dos segmentos de LAN remotos
no parezcan estar separados por una red pública; la solución debe agregar
encriptación, de manera que el tráfico que cruce por la red pública no pueda ser
espiado, interceptado, leído o modificado; y por último, la solución debe ser capaz
de autenticar positivamente cualquier extremo del enlace de comunicación, de
modo que un adversario no pueda acceder a los recursos del sistema.
Una definición simple es que se trata de una red de comunicaciones privada
implementada sobre una infraestructura pública.
Las razones que impulsan al mercado en ese sentido son, fundamentalmente, de
costos: es mucho más barato interconectar filiales utilizando una infraestructura
pública que despliega una red físicamente privada. Por otro lado, como es lógico,
es necesario exigir ciertos criterios de privacidad y seguridad, por lo que
normalmente debemos recurrir al uso de la criptografía.
Una red privada virtual conecta los componentes de una red sobre otra red. Las
VPN logran esto al permitir que el usuario haga un túnel a través de Internet u otra
red pública, de manera que permita a los participantes del túnel disfrutar de la misma
seguridad y funciones que antes sólo estaban disponibles en las redes privadas

Las VPN permiten a los usuarios que trabajan en el hogar o en el camino conectarse
en una forma segura a un servidor corporativo remoto, mediante la infraestructura
de entubamiento que proporciona una red pública (como Internet).
Desde la perspectiva del usuario la VPN es una conexión de punto a punto entre la
computadora del usuario y un servidor corporativo. Por su parte, la naturaleza de la
red intermedia es irrelevante para el usuario, debido a que aparece enviando como
si los datos se estuvieran enviando sobre un enlace privado dedicado.

La tecnología VPN también permite que una compañía se conecte a las sucursales
o a otras compañías (extranets) sobre una red pública (como Internet), manteniendo
al mismo tiempo comunicaciones seguras.
La tecnología de la VPN está diseñada para tratar temas relacionados con la
tendencia actual de negocios hacia mayores telecomunicaciones, operaciones
globales ampliamente distribuidas y operaciones con una alta interdependencia de
socios, donde los trabajadores deben conectarse a recursos centrales y entre sí.

Para proporcionar a los empleados la capacidad de conectarse a recursos de

computo corporativos sin importar su ubicación, una compañía debe instalar una
solución de acceso remoto que sea confiable y escalaba. Por lo común, las
compañías eligen una solución basada en un departamento de sistemas que está
encargado de adquirir, instalar y mantener los conjuntos de módems corporativos y
la infraestructura de red privada; también eligen una solución de Red de valor
agregado (VAN), donde contratan a una compañía externa para adquirir, instalar y
mantener los conjuntos de módems y una infraestructura de telecomunicaciones.
Sin embargo, ninguna de estas soluciones proporciona la escalabilidad necesaria
en términos de costo, la flexibilidad de la administración y gestión, así como la
demanda de conexiones. Por tanto, tiene sentido encontrar un terreno intermedio
donde la organización complemente sus inversiones actuales en conjuntos de
módems y su infraestructura de red privada, con una solución menos costosa
basada en tecnología de Internet. De esta manera, las empresas se pueden enfocar
a su negocio principal con la garantía de que nunca se comprometerá su
accesibilidad y que se instalen las soluciones más económicas.

La disponibilidad de una solución de Internet permite pocas conexiones a Internet

(a través de Proveedores independientes de servicio, PSI) y la implementación de
varias computadoras de servidor VPN en el borde de la red, a fin de dar servicio a
las necesidades remotas de red de cientos o miles de clientes y sucursales remotas.

¿POR QUÉ USAR UNA VPN?

Las redes privadas virtuales surgen como una alternativa a los servicios de
comunicaciones tradicionales de red amplia (WAN) de enlaces dedicados.

Este tipo de comunicaciones presentan múltiples ventajas y beneficios para los

usuarios:

Bajo costo. Reduce el costo del servicio de comunicación o del ancho de banda de
transporte, y también el de la infraestructura y operación de las comunicaciones.

Flexibilidad. Se puede optar por múltiples tecnologías o proveedores de servicio.

Esa independencia posibilita que la red se adapte a los requerimientos de los
negocios, y se puede elegir el medio de acceso más adecuado. Por ejemplo, si se
trata de una pequeña oficina remota, se puede utilizar acceso discado, ISDN, xDSL
o cable módem.
Implementación rápida. El tiempo de implementación de un "backbone" de WAN
para una empresa es muy alto frente a la implementación de una red privada virtual
sobre un "backbone" ya existente de un proveedor de servicio. Más aún, la
flexibilidad de esta arquitectura permite implementar nuevos servicios de manera
muy rápida, que concuerdan con los tiempos del negocio de la empresa.

Escalabilidad. El desarrollo masivo de redes como Internet permite que la empresa

tenga puntos de presencia en todo tipo de lugares. Por otro lado, la independencia
con respecto a la tecnología de acceso posibilita escalar el ancho de banda de la
red de acuerdo con el requerimiento del usuario. Además, la escalabilidad de la red
no incide en la operatoria y gestión de ésta, dado que la infraestructura de la WAN
es responsabilidad del proveedor del servicio.

TIPOS DE REDES VIRTUALES PRIVADAS

Las redes privadas virtuales se dividen en 3 categorías de acuerdo con el servicio

de conectividad que brinden:

VPN de Acceso Remoto.

(Remote Acces VPNs). Provee acceso remoto a la intranet o extranet corporativo a
través de una infraestructura pública, conservando las mismas políticas, como
seguridad y calidad de servicio, que en la red privada. Permite el uso de múltiples
tecnologías como discado, ISDN, xDSL, cable, o IP para la conexión segura de
usuarios móviles, telecommuterso sucursales remotas a los recursos corporativos
(ver figura1 "VPN de acceso").
Características:
· Outsourcing de acceso remoto
· llamadas locales o gratuitas (n° 900)
· ubicuidad del acceso
· Instalación y soporte del PS (Proveedor de servicio)
· Acceso único al nodo central (elimina la competencia por puertos)
· Tecnologías de acceso RTC, ISDN, xDSL
· Movilidad IP
· Seguridad reforzada por el cliente
- AAA en el ISP proporciona 1° y posiblemente 2° nivel de seguridad.
VPN de Intranet.
Vincula la oficina remota o sucursal a la red corporativa, a través de una red pública,
mediante enlace dedicado al proveedor de servicio. La VPN goza de las mismas
cualidades que la red privada: seguridad, calidad de servicio y disponibilidad, entre
otras (ver figura 2. "Intranet VPN").
Característica:
· Extiende el modelo IP a través de la WAN compartida.
VPN de Extranet.
Permite la conexión de clientes, proveedores, distribuidores o demás comunidades
de interés a la intranet corporativa a través de una red pública (ver figura "Extranet
VPN").

Características:
· Extiende la conectividad a proveedores y clientes
· Sobre una infraestructura compartida
· usando conexiones virtuales dedicadas
· Los pharters tienen diferentes niveles de autorización
· accses control lists, firewalls, filtros, según decida la empresa
TECNOLOGÍA DE LAS REDES PRIVADAS VIRTUALES
La arquitectura de las VPNs se debe basar en elementos esenciales de la tecnología
para proteger la privacidad, mantener la calidad y confibilidad, y asegurar la
operatoria de la red en toda la empresa. Estos elementos son:

Seguridad: uso de túneles, encripción de datos, autenticación de usuarios y

paquetes, control de acceso.
Calidad de Servicio: uso de colas, manejo de congestión de red, priorización de
tráfico, clasificación de paquetes.
Gestión: implementación y mantenimiento de las políticas de seguridad y calidad de
servicio a lo largo de la VPN.
Seguridad en las VPNs
Un punto fundamental es el particionamiento de las redes públicas o de uso
compartido para implementar las VPN que son disjuntas. Esto se logra mediante el
uso de túneles que no son ni más ni menos que técnicas de encapsulado del tráfico.
Las técnicas que se utilizan son: GRE, que permite que cualquier protocolo sea
transportado entre dos puntos de la red encapsulado en otro protocolo, típicamente
IP; L2TP que permite el armado de túneles para las sesiones PPP remotas, y por
último IPSec para la generación de túneles con autenticación y encriptado de datos.

La calidad de servicio permite la asignación eficiente de los recursos de la red

pública a las distintas VPNs para que obtengan una performance predecible. A su
vez, las VPNs asignarán distintas políticas de calidad de servicio a sus usuarios,
aplicaciones o servicios. Las componentes tecnológicas básicas son:
Clasificación de Paquetes: asignación de prioridades a los paquetes basados en la
política corporativa. Se pueden definir hasta siete clases de prioridades utilizando el
campo de IP precedence dentro del encabezado del paquete IP.
Committed Access Rate (CAR): garantiza un ancho de banda mínimo para
aplicaciones o usuarios basándose en la política corporativa.
Weighted Fair Queuing (WFQ): determina la velocidad de salida de los paquetes en
base a la prioridad asignada a éstos, mediante el encolado de los paquetes.

Weighted Random Early Detection (WRED): complementa las funciones de TCP en

la prevención y manejo de la congestión de la red, mediante el descarte de paquetes
de baja prioridad.
Generic Traffic Shaping (GTS): reduce la velocidad de salida de los paquetes con
el fin de reducir posibles congestiones de la red que tengan como consecuencia el
descarte de paquetes.

4.2.1.2 PPTP
PPTP (POINT – TO - POINT TUNNELING PROTOCOL)
Protocolo de túnel de punto a punto (PPTP): El PPTP es un protocolo de Nivel 2
que encapsula las tramas del PPP en datagramas del IP para transmisión sobre una
red IP, como la de Internet.El PPTP se documenta en el RFC preliminar, “Protocolo
de túnel de punto a punto”.
Este proyecto se presentó ante el IETF en junio de 1996 por parte de las compañías
miembros del Foro PPTP incluyendo Microsoft Corporation, Ascend
Communications,3Com/Primary Access, ECI Telematics y US Robotics (ahora
3Com).

PPTP agrega un nuevo nivel de seguridad mejorada y comunicaciones

multiprotocolo a través de Internet. Si se utiliza el nuevo Protocolo de autenticación
extensible (EAP, Extensible Authentication Protocol) con métodos de autenticación
seguros como los certificados, la transferencia de datos a través de una conexión
VPN con PPTP es tan segura como en una LAN de un sitio corporativo.

Protocolo de túnel de punto a punto (PPTP) utiliza una conexión TCP para
mantenimiento del túnel y tramas del PPP encapsuladas de Encapsulación de
Enrutamiento Genérico (GRE) para datos de túnel (puerto 1723). Se pueden
encriptar y/o comprimir las cargas útiles de las tramas del PPP encapsulado.
Una vez que la conexión TCP está establecida, PPTP utiliza una serie de mensajes
de control para mantener la conexión VPN.
Algunos de estos mensajes son los siguientes:

1. StartControlConnectionRequest: Inicia la configuración de la sesión VPN; puede

ser enviado tanto por el cliente como por el servidor.
2. StartControlConnectionReply: Enviado en respuesta a (1). Contiene información
que indica el éxito o el fracaso de la operación de configuración y del número de
versión del protocolo.
3. StopControlConnectionRequest: Petición de cerrar la conexión de control.

En cuanto a la seguridad en PPTP, soporta autenticación (usa para ello protocolos

basados en PPP, tales como EAP, CHAP y PAP), encriptación y filtrado de paquetes.
PPTP depende de la funcionalidad de PPP para autentificar a los usuarios y
mantener la conexión remota dial up y para encapsular y encriptar los paquetes IP,
IPX o NeTBEUI pero se encarga directamente del mantenimiento del túnel VPN y
de transmitir los datos a través del túnel. PPTP además tiene algunas características
adicionales de seguridad aparte de la que provee PPP.
La popularidad de PPTP se debe en gran parte a Microsoft, ya que los clientes PPTP
están disponibles en Windows.
La actualización de PPTP para las plataformas Microsoft viene por parte de L2TP o
IPSec. Su adopción es lenta porque PPTP es fácil de configurar, mientras L2TP
requiere certificados de clave pública, e IPSec es complejo y poco soportado por
plataformas antiguas como Windows 98 y Windows Me.