Tema 3 – Técnicas de Acceso Remoto y Seguridad Perimetral Punto 6 – Servidores de Acceso Remoto Juan Luis Cano

Servidor de Acceso Remoto Servidor de acceso remoto (Remote Access Server/Services) es una combinación de hardware y software que permite el acceso remoto a herramientas o información que generalmente residen en una red de dispositivos.

Protocolos de Autenticación La autenticación de clientes de acceso remoto es una cuestión de gran importancia para la seguridad. Los métodos de autenticación normalmente utilizan un protocolo de autenticación que se negocia durante el proceso de establecimiento de la conexión.

Point-to-Point Protocol El protocolo PPP permite establecer una comunicación a nivel de la capa de enlace TCP/IP entre dos computadoras. Generalmente, se utiliza para establecer la conexión a Internet de un particular con su proveedor de acceso a través de un módem telefónico. También es utilizado sobre conexiones de banda ancha (como PPPoE y PPPoA).

Funcionamiento de PPP PPP consta de las siguientes fases: Establecimiento de conexión: Durante esta fase, una computadora contacta con la otra y negocian los parámetros relativos al enlace usando el protocolo LCP, el cual negocia el método de autenticación que se va a utilizar, el tamaño de los datagramas,... Autenticación: No es obligatorio. Existen dos protocolos de autenticación (PAP y CHAP). El más básico e inseguro es PAP, ya que manda el usuario y la contraseña en texto plano, al contrario que CHAP, donde todo va cifrado. Configuración de red: En esta fase se negocian parámetros dependientes del protocolo de red que se esté usando. PPP puede llevar muchos protocolos de red al mismo tiempo y es necesario configurar individualmente cada uno de estos protocolos. Transmisión: Durante esta fase se manda y recibe la información de red. LCP se encarga de comprobar que la línea está activa durante periodos de inactividad. Terminación: La conexión puede ser finalizada en cualquier momento y por cualquier motivo.

PPPoE PPPoE (Point-to-Point Protocol over Ethernet o Protocolo Punto a Punto sobre Ethernet) es un protocolo de red para la encapsulación PPP sobre una capa de Ethernet. Es utilizada mayoritariamente para proveer conexión de banda ancha mediante servicios de cable módem y DSL. Este ofrece las ventajas del protocolo PPP como son la autenticación, cifrado, mantención y compresión. Es un protocolo túnel, que permite implementar una capa IP sobre sobre una conexión entre dos puertos Ethernet, pero con las características de software del protocolo PPP. Por esto, es utilizado para virtualmente "marcar" a otra máquina dentro de la red Ethernet, logrando una conexión "serial" con ella, con la que se pueden transferir paquetes IP.

PPPoA El protocolo PPPoA es el Protocolo de Punto a Punto (PPP) sobre ATM . Es utilizado para realizar la encapsulación PPP en capas ATM AAL5. El protocolo PPPoA se utiliza principalmente en conexiones de banda ancha, como cable y DSL. Este ofrece las principales funciones PPP como autenticación, cifrado y compresión de datos. Actualmente tiene alguna ventaja sobre PPPoE debido a que reduce la pérdida de calidad en las transmisiones. Al igual que PPPoE, PPPoA puede usarse en los modos VC-MUX y LLC.

Autenticación PAP y CHAP PPP puede utilizar un sistema de autenticación mediante usuario y contraseña, de tal forma que aumenta en gran medida la seguridad entre las conexiones seriales de los routers. Hay dos tipos de autenticación utilizados por PPP, PAP y CHAP.

Autenticación PAP La autenticación PAP es utilizada por muchos proveedores de Internet (ISP), funciona básicamente de la misma forma que el procedimiento normal de registro. El cliente se autentifica a sí mismo enviando un nombre de usuario y una contraseña (opcionalmente encriptada) al servidor, la cual es comparada por el servidor con su base de datos de claves o secrets. Esta técnica es vulnerable a los intrusos que pueden intentar obtener la contraseña escuchando en una línea serie y a otros que hagan sucesivos intentos de ataque por el método de prueba y error.

Autenticación CHAP En la autenticación CHAP, por el contrario, el autentificador envía una cadena de “reto” generada aleatoriamente al cliente, junto a su nombre de ordenador. El cliente utiliza el nombre del ordenador para buscar la clave apropiada, la combina con el reto, y encripta la cadena utilizando una función de codificación de un solo sentido. El resultado es devuelto al servidor junto con el nombre del ordenador cliente. El servidor realiza ahora la misma computación, y advierte al cliente si obtiene el mismo resultado. De esta manera, CHAP garantiza la autenticación empleando mayor seguridad que en PAP.

Autenticación Extensible (EAP) Extensible Authentication Protocol (EAP) es una autenticación framework usada habitualmente en redes WLAN Point-to-Point Protocol. Aunque el protocolo EAP no está limitado a LAN inalámbricas y puede ser usado para autenticación en redes cableadas. Recientemente los estándares WPA y WPA2 han adoptado cinco tipos de EAP como sus mecanismos oficiales de autenticación.

Proceso de Intercambio utilizando EAP El servidor de autenticación envía un Request (Solicitud) de Autenticación al cliente, el mensaje de Request tiene un campo de Tipo, en el cual el cliente debe responder que es lo que está solicitando. El cliente envía un paquete Response (Respuesta) al servidor. Al igual que en el paquete Request, el paquete Response contiene un campo de Tipo, el cual corresponde al campo de Tipo en el paquete de Request. El servidor de autenticación envía un paquete Request adicional al cual el cliente envía un Response. El servidor es responsable de transmitir las solicitudes de retrasmisión. Después de un número de retransmisiones, el Servidor PUEDE terminar la conversación EAP. El servidor no puede enviar un paquete de Success o Failure cuando se retransmite o cuando falla en recibir una respuesta a dichos paquetes por parte del cliente. La conversación continúa hasta que el servidor no puede autenticar al cliente, y en dicho caso el servidor transmite un mensaje de Failure. Como alternativa, la conversación de autenticación puede continuar hasta que el servidor determina que se ha cumplido con una autenticación satisfactoriamente. En ese caso el servidor envía un paquete de Success.

Métodos EAP Es una estructura de soporte, no un mecanismo específico de autenticación. Provee algunas funciones comunes y negociaciones para el o los mecanismos de autenticación escogidos. Estos mecanismos son llamados métodos EAP, de los cuales se conocen actualmente unos 40. Los definidos por RFC de la IETF incluyen EAP-MD5, EAP-OTP, EAP-GTC, EAP-TLS, EAP-IKEv2, EAP-SIM, y EAP- AKA.

PEAP Es un método de autenticación en dos fases. La primera establece una sesión de TLS con el servidor y permite que el cliente lleve a cabo la autenticación del mismo mediante el certificado digital del servidor. La segunda fase requiere un segundo método de EAP de túnel dentro de la sesión PEAP para llevar a cabo la autenticación del cliente con el servidor RADIUS. Esto ofrece a PEAP la posibilidad de utilizar métodos de autenticación de clientes diferentes, como contraseñas con la versión 2 del protocolo MS-CHAP (MS – CHAP v2) y certificados que usan EAP-TLS de túnel dentro de PEAP. Los métodos de EAP como MS-CHAP v2 no son lo suficientemente seguros como para usarse sin protección PEAP, pues quedarían susceptibles a ataques de diccionario sin conexión.

Kerberos Kerberos es un protocolo de autenticación de redes de ordenador creado por el MIT que permite a dos computadores en una red insegura demostrar su identidad mutuamente de manera segura. Sus diseñadores se concentraron primeramente en un modelo de cliente-servidor, y brinda autenticación mutua: tanto cliente como servidor verifican la identidad uno del otro. Los mensajes de autenticación están protegidos para evitar eavesdropping y ataques de Replay. Kerberos se basa en criptografía de clave simétrica y requiere un tercero de confianza. Además, existen extensiones del protocolo para poder utilizar criptografía de clave asimétrica.

Protocolos AAA El acrónimo AAA corresponde a un tipo de protocolos que realizan tres funciones: Autenticación, Autorización y Contabilización (Authentication, Authorization and Accounting). AAA se combina a veces con auditoria, convirtiéndose entonces en AAAA.

Características de los protocolos AAA Autenticación: La Autenticación es el proceso por el que una entidad prueba su identidad ante otra. Normalmente la primera entidad es un cliente (usuario, ordenador, etc.) y la segunda un servidor (ordenador). La Autenticación se consigue mediante la presentación de una propuesta de identidad y la demostración de estar en posesión de las credenciales que permiten comprobarla. Autorización: La Autorización se refiere a la concesión de privilegios específicos a una entidad o usuario basándose en su identidad (autenticada), los privilegios que solicita, y el estado actual del sistema. Las autorizaciones pueden también estar basadas en restricciones. La mayor parte de las veces el privilegio concedido consiste en el uso de un determinado tipo de servicio. Contabilización: La Contabilización (Accounting) se refiere al seguimiento del consumo de los recursos de red por los usuarios. La contabilización en tiempo real es aquella en la que los datos generados se entregan al mismo tiempo que se produce el consumo de los recursos.

Lista de los protocolos AAA Algunos de los protocolos en los que se implementa la Triple A son: RADIUS DIAMETER TACACS TACACS+ Otros protocolos utilizados en combinación con los protocolos AAA: PPP EAP LDAP

RADIUS RADIUS  (Remote Authentication Dial-In User Server). Es un protocolo de autenticación y autorización para aplicaciones de acceso a la red o movilidad IP. Utiliza el puerto 1812 UDP para establecer sus conexiones. Cuando se realiza la conexión con un ISP mediante módem, DSL, cable módem, Ethernet o Wifi, se envía una información que generalmente es un nombre de usuario y una contraseña. Esta información se transfiere a un dispositivo Network Access Server (NAS) sobre el protocolo PPP, quien redirige la petición a un servidor RADIUS sobre el protocolo RADIUS. El servidor RADIUS comprueba que la información es correcta utilizando esquemas de autenticación como PAP, CHAP o EAP. Si es aceptado, el servidor autorizará el acceso al sistema del ISP y le asignan determinados parámetros como una dirección IP, L2TP, etc. Una de las características más importantes del protocolo RADIUS es su capacidad de manejar sesiones, notificando cuando comienza y termina una conexión, así que al usuario se le podrá determinar su consumo y facturar en consecuencia; los datos se pueden utilizar con propósitos estadísticos.

TACACS+ TACACS+ (Terminal Access Controller Access Control System o ‘sistema de control de acceso del controlador de acceso a terminales’) es un protocolo de autenticación remota que se usa para gestionar el acceso (proporciona servicios separados de autenticación, autorización y registro) a servidores y dispositivos de comunicaciones. TACACS+ está basado en TACACS, pero, a pesar de su nombre, es un protocolo completamente nuevo e incompatible con las versiones anteriores de TACACS.

Parámetros de Configuración El cliente del protocolo AAA deberá tener la misma configuración que la que viene dada por el servidor para poder conectarse a la red inalámbrica. Dependiendo de la configuración del servidor, se utilizarán protocolos como EAP, LEAP o PEAP.

Tema 4 - Cortafuegos