Windows Server 2003 Redes Wireless Seguras

Presentación del tema: "Windows Server 2003 Redes Wireless Seguras"— Transcripción de la presentación:

1 Windows Server 2003 Redes Wireless Seguras
Código: HOL-WIN05 Windows Server 2003 Redes Wireless Seguras Juan Luis García Rambla

2 Agenda Introducción. Componentes de la comunicación inalámbrica.
Técnicas de ataque. Contramedidas. Seguridad de redes con PEAP.

3 INTRODUCCIÓN

4 ¿Qué es Wireless? Traducción: “Sin cables”.
¿Todo dispositivo sin cable es Wireless? ¿Tarjeta Wireless o tarjeta Wifi?

5 ¿Cuáles son las necesidades?
Movilidad. Ampliación. Diseño. Implantación.

6 802.11 Trabaja en 2.4 GHz. Banda Libre. No se necesita licencia para emitir. Se consiguen velocidades reales de hasta 2.2 Mb/sg. Distancias de 500 metros con equipos básicos. Costes bajos.

7 802.11 - Equipamiento Tarjetas de conexión.
PCI PCMCIA USB Puntos de Acceso. Mandan “Beacon Frames”: mensajes para publicar que la red está en servicio: Pueden funcionar como: Hubs Bridges Routers

8 802.11 - Funcionamiento Modo Ad-Hoc Modo Infraestructura
Conectamos dos equipos directamente en una conexión punto a punto. Modo Infraestructura Integramos el Punto de acceso en un concentrador de conexiones o en un router.

9 802.11 - Configuración Se configura una subred Wireless.
Elección de un nombre para la subred. ESSID (Extended Service Set Identifier) Configuramos la conexión de la red en cliente. Estática o Dinámica. Configuramos los mecanismos de seguridad.

10 Componentes de las redes Wifi
Punto de acceso o AP: Equivalente al HUB de la tecnología ETHERNET. Adaptador WIFI: en modos Pcmcía o como adaptador PCI principalmente. Antenas: unidireccionales y omnidireccionales. Pigtail.

11 Red Wireless

12 Modos de funcionamiento
Ad hoc: conexiones punto a punto entre equipos, sin puntos de acceso. Infraestructure: conexiones con puntos de acceso.

13 Modo Infraestructura

14 Modo Ad Hoc

15 Qué es Es el conjunto de protocolos que definen los niveles inferiores de comunicación del modelo OSI en una comunicación sin cables. La capa física. La capa de enlace. Logical Link control (LLC) Media Access Control (MAC)

16 Capa física Modos: Datos técnicos. Frequency Hopping. Direct Hopping.
Infrarojo. Datos técnicos. Operan a 2.4 GHz . Transferencias de 1 y 2 Mbps.

17 Capa física Según el diseño requerido se tienen distintas tecnologías aplicables: Banda estrecha. Se transmite y recibe en una específica banda de frecuencia lo más estrecha posible. Banda ancha. Es el usado por la mayor parte de los sistemas sin cable. Se consume más ancho de banda. Infrarrojo. No es una técnica muy usada. Se usan frecuencias muy altas para el transporte de datos.

18 Banda estrecha Se transmite y recibe en una específica banda de frecuencia lo más estrecha posible. Los usuarios tienen distintas frecuencias de comunicación de modo que se evitan las interferencias. Así mismo un filtro en el receptor de radio se encarga de dejar pasar únicamente la señal esperada en la frecuencia asignada.

19 Banda Ancha Es el usado por la mayor parte de los sistemas sin cable. Se consume más ancho de banda. Es el usado por la mayor parte de los sistemas sin cable. Fue desarrollado por los militares para una comunicación segura, fiable y en misiones críticas. El receptor conoce los parámetros de la señal que se ha difundido. En caso de no estar en la correcta frecuencia el receptor, la señal aparece como ruido de fondo.

20 Infrarrojos Se usan frecuencias muy altas para el transporte.
Como la luz, los infrarrojos no pueden traspasar objetos opacos. Por lo que o bien se utiliza una comunicación con línea de visión directa o bien es una difusión. Se emplea en sistemas directos baratos: redes personales de área reducida y ocasionalmente en LAN's específicas. Los sistemas de difusión IR no requieren línea de visión pero las células están limitadas a habitaciones individuales.

21 IEEE 802.11 LAN Componentes de una conexión LAN 802.11.
Sistema de distribución. (DS) Punto de acceso. (AP) Conjunto de servicios básicos. (BSS) Conjuntos de servicios Extendidos. (ESS)

22 Unión de las estaciones y los puntos de acceso
Descubrimiento. Escaneo Pasivo : La estación espera recibir una señal por parte del punto de acceso. Escaneo activo: La estación intenta decubrir puntos de acceso transmitiendo tramas y esperando respuesta. Autenficación. Posible intercambio de información para autenticar la estación de trabajo en la red. Proceso de asociación. El punto de acceso permite la transferencia de información al resto de máquinas en la red.

23 Modelos x Source:

24 Diferencias principales entre especificaciones
Velocidades de transferencia. Bandas de radio utilizada. b y g. Bandas muy saturadas. a. Bandas menos saturadas, con más canales. Dispositivos a son más caros.

25 El estándar i Sistema que viene a paliar los defectos de seguridad de versiones anteriores. Presenta las especificaciones de cifrado AES con la evolución de WPA.

26 COMPONENTES DE LA CONEXIÓN INALÁMBRICA

27 Conceptos Wireless SSID Service Set Identifier. Es el identificador de la red. Canal de comunicación. Comunicación: autentificación y cifrado.

28 SSID Es un valor necesario para distinguir BSS entre sí.
En principio no es ninguna medida de control de acceso aunque los fabricante hagan creer lo contrario. Este valor es necesario para asociarse a una red.

29 Transmisión SSID Los puntos de acceso presentan dos formas de trabajo frente a la transmisión: Activo: transmiten cada pocos segundos cual es su identificador, esta transmisión es denominada baliza (beacons). Pasivo: no transmiten el identificador y será necesario declararlo en la estación.

30 Canal de comunicación En función de la banda en la cual estemos operando tendremos acceso a diferentes canales. El objeto de definir diferentes canales es evitar el solapamiento de señales y la decepción de las mismas.

31 Comunicación básica Autentificación. Cifrado. Abierta (SSID).
Cifrada con clave WEP. Cifrado. WEP.

32 Problemática Wireless (I)
La ventaja que proporciona el despliege inicial de wireless tiene su contrapartida. Facilidad de obstaculizar las comunicaciones (DoS) Facilidad de interceptar las comunicaciones “Sniffing” Secuestro de sesiones Accesos no autorizados a la red: Puntos de Acceso inseguros Puntos de acceso no autorizados Redes “Ad-Hoc” Puntos de Acceso falsificados

33 Problemática Wireless (II)
Las redes Wireless tienen los mismos problemas que todas las redes locales con el agravante de no tener control físico de conexión. Robo de Información en transito Envenenamiento de sesiones y Spoofing de información. Utilización descontrolada de los recursos.

34 Obstáculo en las comunicaciones
Eliminación de la comunicación. Uso de inhibidores de señal. Generar tormentas de broadcast. (Técnicas de man in the middle). Salir con una potencia más alta en un canal. Modificación de paquetes para solicitar la deconexión de clientes. La suite Air-jack permite este ataque.

35 Interceptación de las comunicaciones
Sniffing de sesión. Ethercap – Airopeek - Airsnort Hi-jacking de sesión. Hunt - Caín

36 Falsear la comunicación
Crear puntos de acceso falsos donde conectarse los clientes. Uso de perturbadores de señal. Decepción y modificación de la transmisión.

37 Robo de Información Las técnicas de Sniffers a través de redes Wireless aumentan ya que el espacio es “libre”. Se debe cifrar la comunicación de forma fiable. Soluciones de cifrado: Nivel de Enlace: WEP, WPA, WPA2 Nivel de Red: IPSec VPNS

38 Wired Equivalent Privacy (WEP)
Su objetivo es garantizar: Confidencialidad Autentificación Control de Acceso Utiliza una clave simétrica y estática. Cifrado basado en RC4 con claves de 64 bits (semilla). 24 bits vector inicialización. 40 bits clave secreta. No incluye difusión dinámica de clave. Problema: Implantación y Actualización. Problema: Múltiples puntos de almacenamiento.

39 WEP - Algoritmo 1. Se calcula un CRC de 32 bits de los datos. Este CRC-32 es el método que propone WEP para garantizar la integridad de los mensajes (ICV, Integrity Check Value). 2. Se concatena la clave secreta a continuación del Vector de Inicialización formado la semilla. 3. El PRNG (Pseudo-Random Number Generator) de RC4 genera una secuencia de caracteres pseudoaleatorios (keystream), a partir de la semilla, de la misma longitud que los bits obtenidos en el punto 1. 4. Se calcula la XOR de los caracteres del punto 1 con los del punto 3. El resultado es el mensaje cifrado. 5. Se envía el Vector de Inicialización (sin cifrar) y el mensaje cifrado dentro del campo de datos de la trama IEEE

40 WEP – Debilidades (I) El Vector de Inicialización debe cambiarse, pero el estándar no especifica como hacerlo. La mayoría de los fabricantes utilizan soluciones secuenciales, lo que genera que se repitan mismas semillas en una misma red con distintas conexiones. La longitud del Vector de Inicialización es de 24 bits, por lo que no es muy grande y se repite en minutos.

41 WEP – Debilidades (II) WEP2 utiliza 128 bits, pero aumenta la clave secreta, no la longitud del Vector de Inicialización. El Vector de Inicialización no va cifrado por lo que es fácil saber que dos tramas se han cifrado con el mismo valor.

42 WEP – Debilidades (III)
Una vez capturadas dos tramas con el mismo Vector de Inicialización necesitamos conocer el mensaje sin cifrar de una de ellas. Haciendo el XOR entre un mensaje sin cifrar y el mismo cifrado, nos dará el keystream para ese Vector de Inicialización. Conociendo el keystream asociado a un Vector de Inicialización, podremos descifrar todas las tramas que usen el mismo Vector de Inicialización. El problema es entonces conocer un mensaje sin cifrar, aunque esto no es tan complicado, porque existen tráficos predecibles o bien, podemos provocarlos nosotros (mensajes ICMP de solicitud y respuesta de eco, confirmaciones de TCP, etc.)

43 WEP – Debilidades (IV) En el 2001 S. Fluhrer, I. Mantin y A. Shamir publicaron un algoritmo que permite adivinar la clave WEP a partir de utilizar varias tramas con varios Vectores de Inicialización. Algoritmos posteriores han permitido que se puedan modificar datos en el mensaje y el valor de Integridad. Además, al no llevar control de tiempo se puede guardar mensajes con tramas de login de usuario y enviar posteriormente.

44 TÉCNICAS DE ATAQUE

45 Técnicas War-driving. Monitorización. Intrusión. Ataques WEP.

46 War Driving Evoluciona del War dialing.
También se le denomina footprint. Consiste en el rastreo de redes inalámbricas. Se utilizan equipos sofisticados: Palm. GPS. Antenas.

47 Objetivo de War Driving
Detectar y localizar las redes. Es el primer proceso a la intrusión en una red. La técnica original consistía en ir con el coche rastreando posibles redes.

48 Herramientas de WAR Driving

49 Herramientas para rastreo
Tienen como objeto detectar redes wifi. Marcan su posición enviando datos a un GPS. También determinan la calidad de la señal de la red.

50 Netstumbler Fue la primera herramienta que salió en el ámbito Windows.
Detecta punto de acceso enviando tramas Probe Request de multidifusión. Puede enviar la información a un GPS.

51 AiroPek NK Es una herramienta más sofisticada y potente que la anterior. Se comporta como un sniffer rastreador. Presenta la desventaja que ofrece muy poca compatibilidad con tarjetas en el mercado.

52 AiroPeek

53 Kismet Es el mejor aplicativo para wardriving.
Es una aplicación para sistemas linux y OpenBSD. Presenta además un módulo para realizar ataques a WEP débiles.

54 Kismet

55 Generación de mapas inalámbricos
Stumverter: Utiliza MapPoint 2003. GPSMap: Es una utilidad dentro del paquete Kismet. Mapa de la ciudad de Barcelona

56 Evolución Simbologías Wifers.

57 Monitorización Consiste en la recogida y el análisis de la información. Tiene su base principal en el sniffing aunque existen herramientas específicas para Wifi. Proporcionan información de la red y algunas pueden analizar posibles debilidades.

58 Herramientas de monitorización
Ethereal: sniffer para Windows y Unix que puede dar soporte a Wireless. Airopeek. Airsnort. Caín.

59 Ataque WEP Tienen como objetivo atacar y obtener la contraseña WEP.
Para ello reúnen tramas y realizan el ataque basado en dos metodologías: Ataque pasivo. Fuerza bruta.

60 Ataque pasivo Consisten en encontrar paquetes con el mismo IV, cuanto más tramas recogidas mejor el ataque. Intentan realizar la comparación XOR de los paquetes. Una vez realizada la comparación se intenta desencriptar el paquete y por comparación sacar la palabra secreta.

61 Intrusión Consiste en utilizar una red inalámbrica para aprovechar sus recursos. Acceso a internet: vecinos, hoteles, establecimientos, aeropuertos. Aprovechan las debilidades de los sistemas y las configuraciones estándar ofrecidas por los fabricantes.

62 Ataque activo Romper por fuerza bruta la contraseña WEP.
Por conexión contra el AP. Por ataque a tramas recogidas.

63 Herramientas de ataque
Aircrack. DwepUtils: Dwepcrack. Wlan-tools.

64 CONTRAMEDIDAS

65 Contramedidas WarDriving
Poner el AP en modo pasivo. Modificar los SSID por defecto. Definir canales diferentes de los originales y si tienen la opción utilizar canales por encima de 14. Controlar la emisión de señales para evitar que salga fuera del alcance de administración.

66 Contramedidas monitorización
Protección de la información. Utilización de medidas de encriptación de los datos. Utilizar programas antisniffer.

67 Contramedidas Intrusión
Control por Dirección Física. Spoofing. Control de acceso en AP. WEP. WPA.

68 Contramedidas WEP Utilización de los sistemas de 128 bits frente a los 64 bits. Modificar con relativa frecuencia las claves WEP. Evitar las técnicas de ingeniería social. Utilizar WPA.

69 WPA

70 WPA (Wi-Fi Protected Access, acceso protegido Wi-Fi)
La alternativa a es el estándar i (WPA2), pero dicho estándar aún no se está utilizando. WPA aglutina soluciones del mercado mientras se implanta Incluye: IEEE 802.1x EAP TKIP MIC

71 WPA 802.1x MIC (Message Integrity Code) o Michael.
Protocolo que permite bloquear cada conexión a un Punto de Acceso hasta que no sea autenticada por un servidor AAA (Authentication Authorization Accounting) como por ejemplo RADIUS. (Microsoft IAS). MIC (Message Integrity Code) o Michael. Código que verifica la integridad de los datos de las tramas.

72 WPA EAP TKIP (Temporal Key Integrity Protocol)
Definido en la RFC 2284, es el protocolo de autentificación extensible para llevar a cabo las tareas de autentificación, autorización y contabilidad. EAP fue diseñado originalmente para el protocolo PPP , aunque WPA lo utiliza entre la estación y el servidor RADIUS. Esta forma de encapsulación de EAP está definida en el estándar 802.1X bajo el nombre de EAPOL (EAP over LAN) TKIP (Temporal Key Integrity Protocol) Es el protocolo encargado de la generación de la clave para cada trama.

73 WPA - Mejoras Vectores de Inicialización de 48 bits con reglas de generación complejas. La secuencia (no secuencial) de los Vectores de Inicialización evita la reutilización de tramas en diferido igual que el número de secuencia en conexiones TCP. MIC evita que se modifiquen las tramas en los mensajes. Las claves son dinámicas y no se tienen que configurar en cada una de las estaciones. Para autenticar se usa RADIUS y no direcciones MAC o claves secretas.

74 WPA - Funcionamiento WPA puede funcionar en dos modos:
Con servidor AAA, RADIUS normalmente. Este es el modo indicado para las empresas. Requiere un servidor configurado para desempeñar las tareas de autentificación, autorización y contabilidad. Microsoft oferta dos soluciones, basadas en Certificados Digitales y basado en PEAP Con clave inicial compartida (PSK). Este modo está orientado para usuarios domésticos o pequeñas redes. No requiere un servidor AAA, sino que se utiliza una clave compartida en las estaciones y punto de acceso. Al contrario que en WEP, esta clave sólo se utiliza como punto de inicio para la autentificación, pero no para el cifrado de los datos.

75 WPA2 – i Algoritmo de cifrado AES (Advanced Encryption Standard). Se trata de un algoritmo de cifrado de bloque (RC4 es de flujo) con claves de 128 bits. Requerirá un hardware potente para realizar sus algoritmos. Este aspecto es importante puesto que significa que dispositivos antiguos sin suficientes capacidades de proceso no podrán incorporar WPA2. Para el aseguramiento de la integridad y autenticidad de los mensajes, WPA2 utiliza CCMP (Counter-Mode / Cipher Block Chaining / Message Authentication Code Protocol) en lugar de los códigos MIC. Otra mejora respecto a WPA es que WPA2 incluirá soporte no sólo para el modo BSS sino también para el modo IBSS (redes ad-hoc).

76 IMPLEMENTACIÓN PEAP

77 Objetivo Dotar de seguridad al sistema de comunicaciones inalámbrico.
Realizar una implementación con un mantenimiento posterior sostenido. Control de acceso mediante la autentificación.

78 Arquitectura Se basa en la arquitectura de implementación 802.1x.
Basa la encriptación en el uso de certificados e implementación de WPA o de WEP dinámica. La autentificación se realiza mediante servidor RADIUS.

79 Componentes Cliente inalámbrico. Debe ser compatible con 802.1x y con WEP dinámico o WPA. Punto de acceso. Debe ser compatible con 802.1X y la WEP dinámica o con el cifrado de WPA. En términos de conexión a red estándar, los puntos de acceso cumplen la función del Servicio de acceso a la red (NAS). El servidor RADIUS y el directorio: el servidor RADIUS utiliza el directorio para comprobar las credenciales de los clientes WLAN, al tiempo que toma decisiones relativas a la autorización en función de una directiva de acceso a red. La red interna: se trata de una red segura a la que la aplicación cliente inalámbrica debe obtener acceso.

80 Implementación

81 Procedimiento Preparación inicial.
Instalación del servidor de Certificados. Instalación del servidor IAS. Configuración del punto de acceso. Configuración del cliente.

82 Entorno de trabajo

83 Procedimiento Inicial
Instalación del Directorio Activo. Instalación del DHCP. Configuración de prerequisitos. Instalación de la consola de administración de Políticas. Instalación de las Support Tool. Instalación del paquete CAPICOM. Monitorización scripts y generación de las claves compartidas de RADIUS para autenticar los AP.

84 Instalación del Servidor de Certificados
Instalación y configuración del Certificate Server. Importación, configuración e instalación de las políticas AutoEnrollment.

85 Instalación del Servidor IAS
Instalación y registro del servidor IAS. Configuración del servidor IAS. Creación de las políticas remotas para WLAN.

86 Configuración del punto de acceso
Agregar cliente RADIUS. Configuración del punto de acceso. Establecimiento de la seguridad WLAN en el punto de acceso.

87 Configuración del cliente
Control de acceso basado en usuarios. Creación de las políticas WLAN de cliente. Configuración de las propiedades inalámbricas en el cliente.

88 Boletín quincenal TechNews

89 Contactos Informática 64 Juan Luis García Rambla
Juan Luis García Rambla