Estrategias Avanzadas de Seguridad y Cifrado para Redes Inalámbricas 802.11

Seguridad en Redes 802.11

Control del SSID (Service Set Identifier)

Opción Masking SSID (Ocultación del SSID)

• Algunos Puntos de Acceso (APs) proporcionan la posibilidad de ocultar el SSID, desactivando el SSID broadcast.
• Un Equipo Terminal de Datos (ETD) no preconfigurado como cliente de una red Wi-Fi que tenga activada la función Mask SSID no podrá verla ni usarla.
• Solo si el ETD es conocido por la red, podrá conectarse a ella.

Configuración de Múltiple SSID

• Permite a los usuarios acceder a redes Wi-Fi diferentes a través de un solo AP.
• Los administradores de red pueden asignar diferentes políticas de acceso para cada SSID, incrementando así la flexibilidad y eficiencia de la red.

Uso de la Configuración Múltiple SSID

• Virtual Local Area Network (VLAN):
  • Si la red utiliza VLANs, se puede asignar un SSIDx a la VLANx. El AP agrupará a los ETDs clientes que utilicen SSIDx en la VLANx.
  • Esto permite la separación de aplicaciones wireless basándose en criterios de seguridad.
  • Permite proteger aplicaciones privadas de intranet asociando algoritmos de encriptación y autenticación a los ETDs que se conecten a un SSID1, y proporcionar acceso a internet al público en general asociando al resto de ETDs a otro SSID2.
• Número máximo de clientes asociados a un SSID:
  • El conjunto de ETDs que pueden ser asociados a un SSID particular puede tener un número máximo controlado.
  • Esto permite limitar el uso de aplicaciones y, por lo tanto, el ancho de banda disponible para cada una de ellas.

Filtrado por MAC (Media Access Control)

• Los APs disponen de esta opción que posibilita al administrador de la red controlar que solo aquellos ETDs cuya dirección MAC esté expresamente autorizada, disfruten de las funciones de red.
• Muy aconsejable para redes con pocos equipos (menos de 20 ETDs).

Mecanismos de Cifrado y Autenticación

Encriptación WEP (Wired Equivalent Privacy)

• Fue el primer estándar de seguridad para redes inalámbricas.
• Intentó trasladar los métodos de encriptación de las redes cableadas a las redes inalámbricas.
• Utiliza un algoritmo de clave fija, por lo que es fácilmente vulnerable (*crackeable*).
• WEP permite diferentes tamaños de claves: 64, 128 o 256 bits.
• Cuanto mayor es la longitud de la clave, más difícil es ser vulnerada por los *crackers*.
• Es una clave que se graba en el AP y que debe ser introducida en todos y cada uno de los ETDs que quieran disponer de los servicios de red a través de dicho AP.

Wi-Fi Protected Access (WPA)

• Desarrollado para reemplazar el método de encriptación WEP.
• Desarrolla el algoritmo de encriptación TKIP (Temporal Key Integrity Protocol), basado en la generación dinámica de claves, para mejorar el estándar WEP.
• Permitió la sustitución cómoda de WEP, a menudo solo requiriendo la actualización del firmware de los dispositivos 802.11.
• Se implementó en dos versiones:
  • La versión WPA Personal (WPA-PSK) usa claves de seguridad de 63 caracteres ASCII o 64 dígitos en formato hexadecimal (HEXA).
  • La versión WPA Enterprise incluye además el algoritmo de autenticación RADIUS.

WPA2

Es una mejora de WPA y es el protocolo de seguridad más robusto para Wi-Fi en este momento, basado en el algoritmo AES (Advanced Encryption Standard). Requiere hardware y software compatibles, ya que los dispositivos antiguos generalmente no soportan WPA2.

IPSEC (Internet Protocol Security)

Protocolos de seguridad de nivel de red basados en la identificación y autenticación previa de los usuarios, el establecimiento de Túneles IP y el cifrado de paquetes IP.

RADIUS (Remote Authentication Dial-In User Service)

Es un protocolo AAA (Autenticación, Autorización y Contabilidad) utilizado para aplicaciones como el acceso a IP móvil. Su funcionamiento se basa en tres pasos:

1. AUTENTICACIÓN: Para conectarse, el usuario debe introducir su nombre de usuario y contraseña.
2. AUTORIZACIÓN: Posteriormente, el servidor autoriza el acceso al sistema basándose en las credenciales.
3. CONTABILIDAD (CUENTA): Por último, el servidor asigna un perfil al solicitante y registra su actividad.

Detección de Amenazas

Rogue Detection (Detección de APs Maliciosos)

• Algunos sistemas inalámbricos rastrean la existencia de APs vecinos no autorizados (*rogue APs*). Estos pueden ser utilizados por atacantes para capturar tráfico o proporcionar acceso no seguro.
• Existe la posibilidad de detectar, bloquear y aislar a estos dispositivos mediante métodos manuales y/o automáticos.

Sistema de Detección de Intrusiones (IDS)

• Se requiere para detectar tráfico de red malicioso cuando este no se puede evitar con un cortafuegos convencional.
• Un IDS está compuesto de varios elementos clave:
  • Sensores que generan eventos de seguridad.
  • Una Consola para controlar sensores y monitorizar eventos y alertas.
  • Un Motor que registra los eventos en una base de datos y utiliza un sistema para generar alertas según los eventos de seguridad recibidos desde los sensores.