Aspectos avanzados en_seguridad_en_redes_modulospre

Software libre

Jordi Herrera Joancomartí (coord.)
Joaquín García Alfaro
Xavier Perramón Tornil

XP04/90789/00892

Aspectos avanzados
de seguridad
en redes

U
Formación de Posgrado

·
FUOC · P03/75070/02121
© FUOC • XP04/90789/00892
XP03/75070/02120 3 Aspectos avanzados de seguridad en redes
Seguridad en redes de computadores

Introducci´ n
o

En esta asignatura se presenta la problem´ tica de la seguridad en las redes de
a
computadores y, m´ s concretamente, en las redes TCP/IP.
a

La estructuraci´ n sigue el siguiente modelo. En primer lugar, se presenta la
o
problem´ tica de la seguridad en las redes TCP/IP. Cabe destacar que esta asig-
a
natura se centra en la problem´ tica de la seguridad en las redes y, por lo tanto
a
algunos temas de seguridad que hacen referencia a procesos m´ s espec´ficos
a ı
de los propios sistemas inform´ ticos s´ lo los estudiaremos sumariamente co-
a o
mo consecuencia de la problem´ tica de la seguridad en las redes.
a

Una vez hayamos visto cu´ les son los eventuales problemas de seguridad en
a
este tipo de redes, nos centraremos en los mecanismos de prevenci´ n que o
existen para a intentar minimizar la realizaci´ n de los ataques descritos en el
o
primer m´ dulo. Veremos que, fundamentalmente, las t´ cnicas de prevenci´ n
o e o
se basan en el filtraje de informaci´ n.
o

´
Posteriormente pondremos enfasis en las t´ cnicas espec´ficas de protecci´ n
e ı o
existentes. En particular, introduciremos las nociones b´ sicas de criptografá
a ı
que nos permitir´ n entender el funcionamiento de distintos mecanismos y apli-
a
caciones que permiten protegerse frente los ataques. En concreto nos cen-
traremos en los mecanismos de autentificaci´ n y en la fiabilidad que nos pro-
o
porcionan los diferentes tipos, veremos qu´ mecanismos de protecci´ n existen
e o
a nivel de red y a nivel de transporte y veremos c´ mo podemos crear redes pri-
o
vadas virtuales. Por otro lado, tambi´ n veremos c´ mo funcionan algunas apli-
e o
caciones seguras, como el protocolo SSH o est´ ndares de correo electr´ nico
a o
seguro.

Finalmente, y partiendo de la base que no todos los sistemas de prevenci´ n o
y protecci´ n de las redes TCP/IP son infalibles, estudiaremos los diferentes
o
mecanismos de detecci´ n de intrusos que existen y cu´ les son sus arquitecturas
o a
y funcionalidades.

·
FUOC · P03/75070/02121
© FUOC • XP04/90789/00892
XP03/75070/02120 4
3 Aspectos avanzados de seguridad en redes

Objetivos

Globalmente, los objetivos b´ sicos que se deben alcanzar son los siguientes:
a

1. Entender los distintos tipos de vulnerabilidades que presentan las redes
TCP/IP.
2. Ver qu´ t´ cnicas de prevenci´ n existen contra los ataques m´ s frecuentes.
e e o a
3. Alcanzar unos conocimientos b´ sicos del funcionamiento de las herramien-
a
tas criptogr´ ficas m´ s utilizadas.
a a
4. Conocer los sistemas de autentificaci´ n m´ s importantes, identificando sus
o a
caracter´sticas.
ı
5. Ver diferentes propuestas existentes para ofrecer seguridad tanto a nivel de
red, de transporte o de aplicaci´ n.
o
6. Conocer los diferentes sistemas de detecci´ n de intrusos.
o

·
FUOC · P03/75070/02121
© FUOC • XP04/90789/00892
XP03/75070/02120 5

Contenidos

M´ dulo did´ ctico 1
o a
Ataques contra les redes TCP/IP

1. Seguridad en redes TCP/IP
2. Actividades previas a la realizaci´ n de un ataque
o
3. Escuchas de red
4. Fragmentaci´ n IP
o
5. Ataques de denegaci´ n de servicio
o
6. Deficiencias de programaci´ n
o

o a
Mecanismos de prevenci´ n
o

1. Sistemas cortafuegos
2. Construcci´ n de sistemas cortafuegos
o
3. Zones desmilitarizadas
4. Caracter´sticas adicionales de los sistemas cortafuegos
ı

o a
Mecanismos de protecci´ n
o

1. Conceptos b´ sicos de criptografá
a ı
2. Sistemas de autentificaci´ n
o
3. Protecci´ n a nivel de red: IPsec
o
4. Protecci´ n a nivel de transporte: SSL/TLS/WTLS
o
5. Redes privadas virtuales (VPN)

·
FUOC · P03/75070/02121
© FUOC • XP04/90789/00892
XP03/75070/02120 6

o a
Aplicaciones seguras

1. El protocolo SSH
2. Correo electr´ nico seguro
o

o a
Mecanismos para la detecci´ n de ataques e intrusiones
o

1. Necessidad de mecanismos adicionales en la prevenci´ n y protecci´ n
o o
2. Sistemas de detecci´ n de intrusos
o
3. Esc´ ners de vulnerabilidades
a
4. Sistemas de decepci´ n
o
5. Prevenci´ n de intrusos
o
6. Detecci´ n de ataques distribuidos
o

Apéndice
GNU Free Documentation License

Ataques contra redes
TCP/IP
Joaqu´n Garc´a Alfaro
ı ı

© FUOC • P03/75070/02121
c FUOC· XP04/90789/00892 Ataques contra redes TCP/IP

´
Indice

Introducci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 3

Objectivos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

1.1. Seguridad en redes TCP/IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

1.2. Actividades previas a la realizaci´ n de un ataque . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 10
1.2.1. Utilizaci´ n de herramientas de administraci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . .
o o 10
1.2.2. B´ squeda de huellas identificativas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
u 14
1.2.3. Exploraci´ n de puertos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 16

1.3. Escuchas de red . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
1.3.1. Desactivaci´ n de filtro MAC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 22
1.3.2. Suplantaci´ n de ARP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 23
1.3.3. Herramientas disponibles para realizar sniffing . . . . . . . . . . . . . . . . . . . . . . . . . . . 25

1.4. Fragmentaci´ n IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 26
1.4.1. Fragmentaci´ n en redes Ethernet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 27
1.4.2. Fragmentaci´ n para emmascaramiento de datagramas IP . . . . . . . . . . . . . . . . .
o 32

1.5. Ataques de denegaci´ n de servicio . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 34
1.5.1. IP Flooding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
1.5.2. Smurf . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
1.5.3. TCP/SYN Flooding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
1.5.4. Teardrop . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
1.5.5. Snork . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
1.5.6. Ping of death . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
1.5.7. Ataques distribuidos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42

1.6. Deficiencias de programaci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 47
1.6.1. Desbordamiento de buffer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
1.6.2. Cadenas de formato . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56

Resumen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59

Glosario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60

Bibliografá . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ı 62

FUOC · P03/75070/02121
© FUOC • XP04/90789/00892 3 Ataques contra redes TCP/IP

Introducci´ n
o

Durante los primeros a˜ os de internet, los ataques a sistemas inform´ ticos requerán pocos
n a ı
conocimientos t´ cnicos. Por un lado, los ataques realizados desde el interior de la red se
e
basaban en la alteraci´ n de permisos para modificar la informaci´ n del sistema. Por el
o o
contrario, los ataques externos se producán gracias al conocimiento de las contrase˜ as
ı n
necesarias para acceder a los equipos de la red.

Con el paso de los a˜ os se han ido desarrollando nuevos ataques cada vez m´ s sofisticados
n a
para explotar vulnerabilidades tanto en el dise˜ o de las redes TCP/IP como en la confi-
n
guraci´ n y operaci´ n de los sistemas inform´ ticos que conforman las redes conectadas a
o o a
internet. Estos nuevos m´ todos de ataque se han ido automatizando, por lo que en muchos
e
casos s´ lo se necesita un conocimiento t´ cnico muy b´ sico para realizarlos. Cualquier
o e a
usuario con una conexi´ n a internet tiene acceso hoy en dá a numerosas aplicaciones para
o ı
realizar estos ataques y las instrucciones necesarias para ejecutarlos.

En la mayor parte de la bibliografá relacionada con la seguridad en redes inform´ ticas
ı a
podemos encontrar clasificadas las tres generaciones de ataques siguientes:

Primera generaci´ n: ataques f´sicos. Encontramos aqu´ ataques que se centran en com-
o ı ı
ponentes electr´ nicos, como podrán ser los propios ordenadores, los cables o los disposi-
o ı
tivos de red. Actualmente se conocen soluciones para estos ataques, utilizando protocolos
distribuidos y de redundancia para conseguir una tolerancia a fallos aceptable.

Segunda generaci´ n: ataques sint´ cticos.Se trata de ataques contra la l´ gica operativa
o a o
de los ordenadores y las redes, que quieren explotar vulnerabilidades existentes en el
software, algoritmos de cifrado y en protocolos. Aunque no existen soluciones globa-
les para contrarrestar de forma eficiente estos ataques, podemos encontrar soluciones cada
vez m´ s eficaces.
a

Tercera generaci´ n: ataques sem´ nticos.Finalmente, podemos hablar de aquellos ata-
o a
ques que se aprovechan de la confianza de los usuarios en la informaci´ n. Este tipo de
o
ataques pueden ir desde la colocaci´ n de informaci´ n falsa en boletines informativos y
o o
correos electr´ nicos hasta la modificaci´ n del contenido de los datos en servicios de con-
o o
fianza, como, por ejemplo, la manipulaci´ n de bases de datos con informaci´ n p´ blica,
o o u
sistemas de informaci´ n burs´ til, sistemas de control de tr´ fico a´ reo, etc.
o a a e

Antes de pasar a hablar detalladamente de como evitar estos ataques desde un punto de
vista m´ s t´ cnico, introduciremos en este m´ dulo algunas de las deficiencias t´picas de
a e o ı
los protocolos TCP/IP y analizaremos algunos de los ataques m´ s conocidos contra esta
a
arquitectura.

FUOC · P03/75070/02121
© FUOC • XP04/90789/00892 4 Ataques contra redes TCP/IP

Objectivos

En este m´ dulo did´ ctico el estudiante encontrar´ los recursos necesarios para alcanzar los
o a a
siguientes objetivos:

1) Exponer los problemas de seguridad en las redes TCP/IP a partir de algunos ejemplos
de vulnerabilidades en sus protocolos b´ sicos.
a

2) Analizar algunas de las actividades previas realizadas por los atacantes de redes TCP/IP
para conseguir sus objetivos.

3) Aprender c´ mo funcionan las t´ cnicas de snifﬁng en redes TCP/IP para comprender el
o e
peligro que comportan en la seguridad de una red local.

4) Estudiar con m´ s detalle algunos ataques concretos contra redes TCP/IP, como pueden
a
ser los ataques de denegaci´ n de servicio y las deﬁciencias de programaci´ n.
o o

Mecanismos de
prevenci´ n
o
Joaqu´n Garc´a Alfaro
ı ı

© FUOC • P03/75070/02122
c FUOC· XP04/90789/00892 ´
Mecanismos de prevencion

´
Indice

Introducci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 3

Objetivos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

2.1. Sistemas cortafuegos. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

2.2. Construcci´ n de sistemas cortafuegos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 6
2.2.1. Encaminadores con ﬁltrado de paquetes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
2.2.2. Pasarelas a nivel de aplicaci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 11
2.2.3. Pasarelas a nivel de circuito . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14

2.3. Zonas desmilitarizadas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15

2.4. Caracter´sticas adicionales de los sistemas cortafuegos . . . . . . . . . . . . . . . . . . . . .
ı 19

Resumen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21

Ejercicios de autoevaluaci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 22

Soluciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24

Glosario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25

Bibliograf´a . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ı 26

FUOC · P03/75070/02122
© FUOC • XP04/90789/00892 3 Mecanismos de prevenci´ n
o

Introducci´ n
o

Cuando un equipo se conecta a una red inform´ tica, se pueden identificar cualquiera de las
a
´
tres areas de riesgo siguientes:

Primero, se incrementa el n´ mero de puntos que se pueden utilizar como origen para reali-
u
zar un ataque contra cualquier componente de la red. En un sistema aislado (sin conexi´ n),
o
un requisito necesario para que sea atacado es forzosamente la existencia de un acceso
f´sico hacia el equipo. Pero en el caso de un sistema en red, cada uno de los equipos que
ı
pueda enviar informaci´ n hacia la vćtima podr´ ser utilizado por un posible atacante.
o ı a

Algunos servicios (como, por ejemplo Web y DNS) necesitan permanecer p´ blicamente
u
abiertos, de forma que cualquier equipo conectado a internet podrá ser el origen de una ac-
ı
tividad maliciosa contra los servidores de estos servicios. Esto hace que sea muy probable
la existencia de ataques regulares contra dichos sistemas.

´
La segunda area de riesgo abarca la expansi´ n del per´metro f´sico del sistema inform´ tico
o ı ı a
al que el equipo acaba de ser conectado. Cuando la m´ quina est´ aislada, cualquier ac-
a a
tividad se puede considerar como interna en el equipo (y por lo tanto, de confianza). El
procesador trabaja con los datos que encuentra en la memoria, que al mismo tiempo han
sido cargados desde un medio de almacenamiento secundario. Estos datos est´ n realmente
a
bien protegidos contra actos de modificaci´ n, eliminaci´ n, observaci´ n maliciosa, . . . al
o o o
ser transferidos entre diferentes componentes de confianza.

Pero esta premisa no es cierta cuando los datos se transfieren a trav´ s de una red. La in-
e
formaci´ n transmitida por el medio de comunicaci´ n es retransmitida por dispositivos que
o o
est´ n totalmente fuera de control del receptor. La informaci´ n podria ser le´da, almace-
a o ı
nada, modificada y, posteriormente, retransmitida al receptor leg´timo. En grandes redes,
ı
y en especial internet, no es trivial la autenticaci´ n del origen que se presenta como el de
o
emisor de un mensaje.

´ ´
Por ultimo, la tercera area de riesgo se debe al aumento en el n´ mero de servicios de
u
autenticaci´ n (generalmente, un servicio de login-password) que un sistema conectado a
o
una red deber´ ofrecer, respecto a un sistema aislado. Estos servicios no dejan de ser
a
simples aplicaciones (con posibles deficiencias de programaci´ n o de dise˜ o) que protegen
o n
el acceso a los recursos de los equipos del sistema. Una vulnerabilidad en algunos de estos
servicios podrá comportar el compromiso del sistema al completo.
ı

La prevenci´ n de ataques supondr´ la suma de todos aquellos mecanismos de seguridad
o a
´
que proporcionen un primer nivel de defensa y tratar´ n de evitar el exito de los ataques
a
dirigidos contra la red que est´ bajo su protecci´ n.
a o

FUOC · P03/75070/02122
© FUOC • XP04/90789/00892 4 Mecanismos de prevenci´ n
o

Objetivos

Los objetivos que se deben alcanzar con el estudio de este m´ dulo son:
o

1) Entender el funcionamiento de las tecnologás cortafuegos.
ı

2) Ver los distintos m´ todos existentes para el filtrado de tr´ fico TCP/IP.
e a

3) Comprender las distintas posibilidades de configuraci´ n de los sistemas cortafuegos.
o

·
© FUOC • XP04/90789/00892
FUOC P03/75070/02123 Mecanismos de protección

5.1 Deﬁnición y tipos de VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
5.2 Conﬁguraciones y protocolos utilizados en VPN . . . . . . . . . . . . . . 72

Resumen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75

Actividades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77

Ejercicios de autoevaluación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 78

Soluciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81

Glosario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83

Bibliografía . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86

·
© FUOC • XP04/90789/00892
FUOC P03/75070/02123 5 Mecanismos de protección

Introducción

Para proteger las redes de comunicaciones, la criptografía es la herramienta
que nos permite evitar que alguien intercepte, manipule o falsifique los datos
transmitidos. Dedicaremos la primera parte de este módulo a introducir los
conceptos de criptografía necesarios para entender cómo se aplica a la protec-
ción de las comunicaciones.

La finalidad básica de la criptografía es el envío de información secreta. Si
aplicamos una transformación, conocida como cifrado, a la información que
queremos mantener en secreto, aunque un adversario consiga ver qué datos
estamos enviando le serán completamente ininteligibles. Sólo el destinatario
legítimo será capaz de realizar la transformación inversa y recuperar los datos
originales.

Pero más allá de mantener la información en secreto, existen otros servicios
que pueden ser igualmente necesarios, como, por ejemplo, la autenticación.
Debemos evitar, de esta forma, que después de tomar todas las medidas nece-
sarias para que sólo el destinatario final pueda leer la información, resulte que
este destinatario sea un impostor que haya conseguido hacerse pasar por el
auténtico destinatario. En la segunda parte del módulo veremos algunos sis-
temas para garantizar la autenticidad en las comunicaciones, la mayoría de
ellas basadas en técnicas criptográficas.

En el resto de este módulo didáctico estudiaremos ejemplos de protocolos de
comunicación que, aplicado los mecanismos anteriores, permiten proteger la
información que se transmite entre ordenadores. Esta protección se puede
obtener en distintos niveles de la arquitectura de comunicaciones. A nivel
red, el mecanismo principal en un entorno de interconexión basado en IP es
el conjunto de protocolos conocido como IPsec.

Alternativamente, se puede implementar la protección a nivel de transporte,
aprovechando así la infraestructura IP existente, principalmente los encami-
nadores o routers. Como ejemplo de protección a nivel de transporte veremos
la familia de protocolos SSL/TLS/WTLS.

Para finalizar el módulo, introduciremos la tecnología de redes privadas vir-
tuales o VPN, que permite utilizar una red pública ampliamente extendida
como es Internet para comunicaciones seguras, como si fuera una red privada
dedicada.

·
© FUOC • XP04/90789/00892
FUOC P03/75070/02123 6 Mecanismos de protección

Objetivos

Los conceptos presentados en el presente módulo didáctico deben permitir al
estudiante alcanzar los siguientes objetivos:

1. Saber qué funciones nos ofrece la criptografía, tanto las técnicas de clave
simétrica como las de clave pública.

2. Conocer los distintos algoritmos de cifrado, integridad y autenticación
disponibles y sus posibles usos.

3. Conocer el uso de los certiﬁcados X.509 y las listas de revocación, su
estructura y la utilidad de los distintos campos.

4. Reconocer la necesidad de los sistemas de autentiﬁcación, qué técnicas
concretas utilizan, y cómo estas técnicas permiten contrarrestar los inten-
tos de suplantación.

5. Comprender las posibilidades de protección de los protocolos de comuni-
cación a distintos niveles, y en particular, el nivel de red y el de transporte.

6. Conocer los protocolos que forman la arquitectura IPsec, y qué protec-
ciones ofrece cada uno de ellos.

7. Entender el mecanismo general de funcionamiento de los protocolos de
transporte seguro SSL/TLS, y cómo estos protocolos pueden ser utiliza-
dos por otros niveles superiores, como HTTP o TELNET.

8. Introducir la tecnología de las redes privadas virtuales, y cómo se pueden
usar para conectar intranets de forma segura mediante una red de acceso
público, como es el caso de Internet.

Aplicaciones seguras
Xavier Perramon

·
© FUOC • XP04/90789/00892
FUOC P03/75070/02124 Aplicaciones seguras

Índice

Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

Objetivos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

1. El protocolo SSH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.1 Características del protocolo SSH . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.2 La capa de transporte SSH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
1.2.1 El protocolo de paquetes SSH . . . . . . . . . . . . . . . . . . . . . . . . . 9
1.2.2 El protocolo de capa de transporte SSH . . . . . . . . . . . . . . . . 11
1.2.3 El protocolo de autenticación de usuario . . . . . . . . . . . . . . . 13
1.2.4 El protocolo de conexión . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
1.3 Ataques contra el protocolo SSH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.4 Aplicaciones que utilizan el protocolo SSH . . . . . . . . . . . . . . . . . . . 19

2. Correo electrónico seguro . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
2.1 Seguridad en el correo electrónico . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
2.1.1 Conﬁdencialidad . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
2.1.2 Autenticación de mensaje . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
2.1.3 Compatibilidad con los sistemas de correo no seguro . . . 26
2.2 S/MIME . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
2.2.1 El formato PKCS #7 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
2.2.2 Formato de los mensajes S/MIME . . . . . . . . . . . . . . . . . . . . . 33
2.2.3 Distribución de claves con S/MIME . . . . . . . . . . . . . . . . . . . 37
2.3 PGP y OpenPGP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
2.3.1 Formato de los mensajes PGP . . . . . . . . . . . . . . . . . . . . . . . . . 40
2.3.2 Distribución de claves PGP. . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
2.3.3 El proceso de certiﬁcación PGP . . . . . . . . . . . . . . . . . . . . . . . 45
2.3.4 Integración de PGP con el correo electrónico . . . . . . . . . . . 46

Resumen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51

Actividades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53

Ejercicios de autoevaluación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54

Solucionario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56

Glosario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57

Bibliografía . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59

·
© FUOC • XP04/90789/00892
FUOC P03/75070/02124 4 Aplicaciones seguras

Introducción

En este módulo se describen aplicaciones que utilizan técnicas de seguridad
en las comunicaciones para proteger los datos intercambiados.

Un ejemplo de aplicaciones que hay que proteger son las que permiten es-
tablecer sesiones de trabajo interactivas con un servidor remoto. En la primera
parte del módulo veremos una aplicación de este tipo, llamada SSH, que de-
fine su propio protocolo para que los datos de la aplicación se transmitan cifra-
dos. El mismo protocolo proporciona también mecanismos de autenticación
del servidor frente al usuario, y del usuario frente al servidor. Como vere-
mos, el protocolo SSH se puede utilizar para otras aplicaciones aparte de las
sesiones interactivas, ya que permite el encapsulamiento de conexiones TCP a
cualquier puerto dentro de una conexión SSH.

La segunda parte de este módulo la dedicaremos a otra de las principales apli-
caciones que suele ser necesario proteger: el correo electrónico. Con los
mecanismos de protección adecuados se puede garantizar la confidencialidad,
es decir, que nadie más que el destinatario o destinatarios legítimos puedan ver
el contenido de los mensajes, y la autenticidad, es decir que los destinatarios
puedan comprobar que nadie ha falsificado un mensaje. Los sistemas actuales
de correo electrónico normalmente utilizan las firmas digitales para propor-
cionar el servicio de autenticación de mensaje.

Una particularidad del correo electrónico seguro respecto a otras aplicaciones
como SSH es que la protección se realiza preferentemente sobre los mensajes
enviados, más que sobre los protocolos de comunicación utilizados. Esto es
así porque la confidencialidad y la autenticidad se tiene que garantizar no sólo
durante la transmisión de los mensajes, sino también en cualquier otro mo-
mento posterior, ya que el destinatario puede guardar los mensajes que recibe
y volverlos a leer cuando le convenga.

En este módulo veremos dos de los principales sistemas utilizados actualmente
para proteger los mensajes de correo electrónico, S/MIME y PGP.

·
© FUOC • XP04/90789/00892
FUOC P03/75070/02124 5 Aplicaciones seguras

Objetivos

Con los materiales asociados a este módulo didáctico alcanzareis los siguien-
tes objetivos:

1. Conocer el mecanismo general de funcionamiento del protocolo SSH y
las principales aplicaciones que lo utilizan.

2. Comprender las funciones de seguridad que pueden proporcionar los sis-
temas de correo electrónico seguro y los mecanismos para alcanzarlas.

3. Identificar el estándar S/MIME como aplicación de la especificación MIME
al correo seguro, y conocer el uso que se hace del estándar PKCS #7 y de
los certificados digitales X.509.

4. Conocer el método de representación de información segura en PGP y el
modelo de confianza mutua del sistema PGP.

Mecanismos para la
detecci´ n de ataques
o
e intrusiones
Sistemas de detecci´ n
o

© FUOC • XP04/90789/00892 ´
Mecanismos para la deteccion de ataques e intrusiones

´
Indice

Introducci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 3

Objetivos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

5.1. Necesidad de mecanismos adicionales en la prevenci´ n y protecci´ n . . . . . . . .
o o 5

5.2. Sistemas de detecci´ n de intrusos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 9
5.2.1. Antecedentes de los sistemas de detecci´ n de intrusos . . . . . . . . . . . . . . . . . . . .
o 10
5.2.2. Arquitectura general de un sistema de detecci´ n de intrusiones . . . . . . . . . . .
o 14
5.2.3. Recolectores de informaci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 16
5.2.4. Procesadores de eventos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
5.2.5. Unidades de respuesta. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
5.2.6. Elementos de almacenamiento . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23

5.3. Esc´ ners de vulnerabilidades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
a 24
5.3.1. Esc´ ners basados en m´ quina . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
a a 25
5.3.2. Esc´ ners basados en red . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
a 27

5.4. Sistemas de decepci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 29
5.4.1. Equipos de decepci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 29
5.4.2. Celdas de aislamiento . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
5.4.3. Redes de decepci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 32

5.5. Prevenci´ n de intrusos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 34
5.5.1. Sistemas de detecci´ n en l´nea . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o ı 35
5.5.2. Conmutadores de nivel siete . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
5.5.3. Sistemas cortafuegos a nivel de aplicaci´ n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 38
5.5.4. Conmutadores h´bridos. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ı 39

5.6. Detecci´ n de ataques distribuidos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
o 40
5.6.1. Esquemas tradicionales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
5.6.2. An´ lisis descentralizado . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
a 42

Resumen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45

Glosario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46

Bibliograf´a . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ı 47

© FUOC • XP04/90789/00892 3 Mecanismos para la detecci´ n de ataques e intrusiones
o

Introducci´ n
o

Las redes de ordenadores se encuentran expuestas a ataques inform´ ticos con tanta fre-
a
cuencia que es necesario imponer una gran cantidad de requisitos de seguridad para la
protecci´ n de sus recursos.
o

Aunque las deficiencias de estos sistemas se pueden comprobar mediante herramientas
convencionales, no siempre son corregidas. En general, estas debilidades pueden provocar
un agujero en la seguridad de la red y facilitar entradas ilegales en el sistema.

La mayorá de las organizaciones disponen actualmente de mecanismos de prevenci´ n y
ı o
de mecanismos de protecci´ n de los datos integrados en sus redes. Sin embargo, aunque
o
estos mecanismos se deben considerar imprescindibles, hay que estudiar c´ mo continuar
o
aumentando la seguridad asumida por la organizaci´ n.
o

ı ´
As´, un nivel de seguridad unicamente perimetral (basado tan solo en la integraci´ n en la
o
red de sistemas cortafuegos y otros mecanismos de prevenci´ n) no deberá ser suficiente.
o ı
Debemos pensar que no todos los accesos a la red pasan por el cortafuegos, y que no
todas las amenazas son originadas en la zona externa del cortafuegos. Por otra parte, los
sistemas cortafuegos, como el resto de elementos de la red, pueden ser objeto de ataques e
intrusiones.

Una buena forma de mejorar la seguridad de la red pasa por la instalaci´ n de mecanis-
o
mos de detecci´ n, capaces de avisar al administrador de la red en el momento en que se
o
produzcan estos ataques a la seguridad de la red.

Una analogá que ayuda a entender la necesidad de incorporar estos elementos podrá ser
ı ı
la comparaci´ n entre la seguridad de una red inform´ tica y la seguridad de un edificio: las
o a
puertas de entrada ejercen un primer nivel de control de acceso, pero normalmente no nos
quedamos aqu´; instalaremos detectores de movimiento o c´ maras de vigilancia en puntos
ı a
claves del edificio para detectar la existencia de personas no autorizadas, o que hacen un
mal uso de los recursos, poniendo en peligro la seguridad. Adem´ s, existir´ n vigilantes
a a
de seguridad, libros de registro en los que se apuntar´ a todo el personal que accede a
a
un determinado departamento que consideramos cr´tico, etc. Toda esta informaci´ n se
ı o
procesa desde una oficina de control de seguridad donde se supervisa el registro de las
c´ maras y se llevan los libros de registro.
a

Todos estos elementos, proyectados en el mundo digital, configuran lo que se conoce en el
´
ambito de la seguridad de redes inform´ ticas como mecanismos de detecci´ n.
a o

Aspectos avanzados en_seguridad_en_redes_modulospre

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Andere mochten auch

Andere mochten auch (20)

Ähnlich wie Aspectos avanzados en_seguridad_en_redes_modulospre

Ähnlich wie Aspectos avanzados en_seguridad_en_redes_modulospre (20)

Mehr von jtk1

Mehr von jtk1 (20)

Aspectos avanzados en_seguridad_en_redes_modulospre