Descripción de la seguridad

Volver al índice

# Descripción de la seguridad

Codificación WEP

- Autenticación de clave abierta y compartida

Autenticación 802.1X

- Funcionamiento de la autenticación 802.1X
- Funciones de 802.1X

WPA*/WPA2*
Modo empresarial
Modo personal
WPA - Empresa y WPA2 - Empresa
WPA - Personal y WPA2 - Personal
AES-CCMP
TKIP
TLS
TTLS

- Protocolos de autenticación

PEAP

- Protocolos de autenticación

Funciones de Cisco

- LEAP de Cisco
- Función de seguridad de punto de acceso dudoso de Cisco
- Itinerancia rápida (CCKM)
- CKIP
- Protocolo de protección de entorno mixto 802.11b y 802.11g
- EAP-FAST
- Modo de celdas mixtas
- Gestión del aparato de radio

# Codificación WEP

Puede prevenir la recepción no autorizada de datos inalámbricos mediante la privacidad equivalente a cables (WEP) IEEE 802.11. La codificación incluye dos niveles de seguridad, con el uso de claves de 64 bits (denominadas algunas veces como de 40 bits) o de 128 bits (también conocida como de 104 bits). Para mayor seguridad, utilice una clave de 128 bits. Si utiliza la codificación, todos los dispositivos inalámbricos de la red inalámbrica deben utilizar las mismas claves de codificación.

La codificación y autenticación compartida de la privacidad equivalente a cables (WEP) brinda protección a los datos en una red. WEP utiliza una clave de codificación para codificar los datos antes de transmitirlos. Sólo los equipos que utilicen la misma clave de codificación pueden tener acceso a la red o descodificar los datos codificados transmitidos por otros equipos. La autenticación ofrece un proceso de validación adicional desde el adaptador hasta el punto de acceso.

El algoritmo de cifrado WEP es vulnerable a los ataques de red pasivos y activos. Los algoritmos TKIP y CKIP incluyen mejoras al protocolo WEP que mitigan los ataques de red existentes y fortalecen sus flaquezas.

### Autenticación de clave abierta y compartida

IEEE 802.11 admite dos tipos de métodos de autenticación de red: sistema abierto y clave compartida.

- Autenticación abierta: Cualquier estación inalámbrica puede solicitar la autenticación. La estación que necesita autenticarse con otra estación inalámbrica envía una solicitud de gestión de autenticación que contiene la identidad de la estación emisora. La estación receptora o el punto de acceso otorga cualquier solicitud de autenticación. La autenticación abierta permite el acceso a la red a cualquier dispositivo. Si no se activa la codificación en la red, cualquier dispositivo que conozca el Identificador de conjunto de servicios (SSID) del punto de acceso puede obtener acceso a la red.
- Autenticación de clave compartida: Cada estación inalámbrica recibió una clave compartida secreta a través de un canal seguro que es independiente del canal de comunicación de red inalámbrica 802.11. La autenticación de clave compartida requiere que el cliente configure una clave WEP estática. El acceso al cliente se otorga sólo si el cliente satisface la autenticación basada en desafío.

# Autenticación 802.1X

Funcionamiento de la autenticación 802.1X
Funciones de 802.1X

### Descripción general

La autenticación 802.1X es independiente del proceso de autenticación de 802.11. El estándar 802.1X provee un marco para varios protocolos de autenticación y gestión de claves. Existen distintos tipos de autenticación 802.1X y cada uno ofrece un método distinto de autenticación pero todos emplean el mismo protocolo y marco 802.1X para la comunicación entre un cliente y un punto de acceso. En la mayoría de los protocolos, al finalizar el proceso de autenticación 802.1X, el solicitante recibe una clave que utiliza para la codificación de datos. Consulte Funcionamiento de la autenticación 802.1X si desea más información. Con la autenticación 802.1X, se utiliza un método de autenticación entre el cliente y el servidor de Servicio de usuario para el acceso telefónico de autenticación remoto (RADIUS) conectado al punto de acceso. El proceso de autenticación utiliza credenciales, tal como la contraseña del usuario, las cuales no se transmiten a través de la red inalámbrica. La mayoría de los tipos 802.1X son compatibles con las claves dinámicas para cada usuario y cada sesión, lo cual fortalece la seguridad de claves estáticas. 802.1X se beneficia del uso del protocolo de autenticación existente conocido como Protocolo de autenticación ampliable (EAP).

La autenticación 802.1X para redes inalámbricas tiene tres componentes principales:

- El autenticador (el punto de acceso)
- El solicitante (el software cliente)
- El servidor de autenticación (RADIUS)

La seguridad de autenticación 802.1X inicia una solicitud de autorización desde el cliente inalámbrico al punto de acceso, el cual autentica al cliente en un servidor RADIUS compatible con el Protocolo de autenticación ampliable (EAP). El servidor RADIUS puede autenticar ya sea a los usuarios (mediante contraseñas o certificados) o a los equipos (mediante direcciones MAC). En teoría, un cliente inalámbrico no puede conectarse a las redes hasta que se complete la transacción.

Existen varios algoritmos de autenticación utilizados para 802.1X. Algunos ejemplos son: EAP-TLS, EAP-TTLS, y EAP (PEAP) protegido. Todos éstos son métodos que el cliente inalámbrico utiliza para identificarse a sí mismo ante el servidor RADIUS. Con la autenticación RADIUS, las identidades de los usuarios se verifican en las bases de datos. RADIUS constituye un conjunto de estándares que controla la autenticación, la autorización y la auditoría (AAA). RADIUS incluye un proceso proxy para validar clientes en los entornos con varios servidores. El estándar IEEE 802.1X se utiliza para controlar y autenticar el acceso a redes inalámbricas 802.11 basadas en puerto y a redes Ethernet cableadas. El control del acceso a redes basadas en puerto es similar a una infraestructura de red de área local (LAN) conmutada que autentica los dispositivos conectados a un puerto LAN y evita el acceso a dicho puerto si falla el proceso de autenticación.

#### ¿Qué es RADIUS?

RADIUS es el Servicio de usuario para el acceso telefónico de autenticación remoto, un protocolo cliente-servidor de autorización, autenticación y contabilidad (AAA) que se utiliza cuando un cliente de acceso telefónico AAA inicia o finaliza una sesión en un Servidor de acceso a redes. Por lo general, los Proveedores de servicios de Internet (ISP) utilizan servidores RADIUS para efectuar tareas AAA. A continuación se describen las fases AAA:

- Fase de autenticación: Verifica el nombre de usuario y la contraseña en una base de datos local. Después de verificar las credenciales, se inicia el proceso de autorización.
- Fase de autorización: Determina si se permite que una solicitud tenga acceso a un recurso. Se asigna una dirección IP al cliente de acceso telefónico.
- Fase de auditoría: Recopila información sobre el uso de los recursos para el análisis de tendencias, la auditoría, el cobro de tiempo de las sesiones o la asignación de costos.

# Funcionamiento de la autenticación 802.1X

La siguiente es una descripción simplificada de la autenticación 802.1X:

- Un cliente envía un mensaje de "solicitud de acceso" a un punto de acceso. El punto de acceso solicita la identidad del cliente.
- El cliente responde con un paquete de identidad, que se pasa al servidor de autenticación.
- El servidor de autenticación envía un paquete de "aceptación" al punto de acceso.
- El punto de acceso coloca el puerto del cliente en el estado autorizado y se permite el tráfico de datos.

# Funciones de 802.1X

- Compatibilidad con el protocolo solicitante 802.1X
- Compatibilidad con el Protocolo de autenticación ampliable (EAP) - RFC 2284
- Métodos de autenticación compatibles:
  - Protocolo de autenticación EAP TLS - RFC 2716 y RFC 2246
  - Protocolo de autenticación EAP-SIM - RFC 4186
  - TLS de túnel EAP (TTLS)
  - PEAP
- Es compatible con Microsoft Windows XP* y Microsoft Windows 2000*

> NOTA: Las funciones de seguridad de Intel(R) PROSet/Wireless en Windows Vista* sólo son compatibles con la autenticación TTLS y EAP-SIM.

# WPA* o WPA2*

El Acceso protegido Wi-Fi* (WPA* o WPA2*) es una mejora de la seguridad que aumenta considerablemente el nivel de protección de datos y el control del acceso a una red inalámbrica. WPA impone la autenticación y el intercambio de claves de 802.1X y funciona sólo con claves de codificación dinámicas. Para reforzar la codificación de datos, WPA utiliza el Protocolo de integridad de claves (TKIP). TKIP brinda importantes mejoras en la codificación de datos, que incluyen una función de mezcla de claves por paquete, una verificación de integridad de mensajes (MIC) llamada Michael, un vector de inicialización (IV) extendido con reglas de secuencia y un mecanismo de reintroducción de claves. Con estas mejoras, TKIP brinda protección para las flaquezas conocidas de WEP.

La segunda generación de WPA que es compatible con la especificación IEEE TGi se conoce como WPA2.

Modo empresarial: El Modo empresarial verifica los usuarios de red mediante un servidor RADIUS o cualquier otro servidor de autenticación. WPA utiliza claves de codificación de 128 bits y claves de sesión dinámica para garantizar la privacidad y seguridad empresarial de su red inalámbrica. El Modo empresarial está diseñado para entornos corporativos o gubernamentales.

Modo personal: El Modo personal requiere la configuración manual de una clave precompartida (PSK) en el punto de acceso y los clientes. PSK autentica a los usuarios con una contraseña o código de identificación, tanto en la estación cliente como en el punto de acceso. No se necesita servidor de autenticación. El Modo personal está diseñado para los entornos domésticos y de pequeña empresa.

WPA - Empresa y WPA2 - Empresa: Provee este nivel de seguridad en redes empresariales con un servidor RADIUS 802.1X. Se selecciona un tipo de autenticación que coincida con el protocolo de autenticación del servidor 802.1X.

> NOTA: WPA - Empresa y WPA2 - Empresa son interoperables.

WPA - Personal y WPA2 - Personal: Provee este nivel de seguridad en entornos de redes pequeñas o domésticas. Utiliza una contraseña que también se conoce como clave precompartida (PSK). Cuanto más larga sea la contraseña, más robusta será la seguridad de la red inalámbrica. Si el punto de acceso o router inalámbrico es compatible con WPA-Personal y WPA2-Personal, debe activarlo en el punto de acceso y utilizar una contraseña extensa y robusta. La misma contraseña utilizada en el punto de acceso debe utilizarse en este equipo y en todos los demás dispositivos inalámbricos que tienen acceso a la red inalámbrica.

> NOTA: WPA - Personal y WPA2 - Personal son interoperables.

AES-CCMP (Estándar de codificación avanzada - Protocolo CBC-MAC contrario) Nuevo método de protección de la privacidad en transmisiones inalámbricas especificado en el estándar IEEE 802.11i. AES-CCMP ofrece un método de codificación más robusto que TKIP. Elija AES-CCMP como el método de codificación de datos siempre que sea necesaria una protección de datos sólida.

> NOTA: Es probable que el sistema operativo del equipo no admita algunas soluciones de seguridad y que sea preciso instalar software adicional o hardware particular, al igual que compatibilidad con la infraestructura de LAN inalámbrica. Consulte con el fabricante del equipo para más detalles.

TKIP (Protocolo de integridad de claves temporales) es una mejora de la seguridad WEP (Privacidad equivalente a cables). TKIP ofrece la mezcla de claves por paquete, la verificación de la integridad de los mensajes y un mecanismo de reintroducción de clave, todo lo cual corrige las debilidades de WEP.

## TLS

Un tipo de método de autenticación que utiliza el protocolo de autenticación ampliable (EAP) y un protocolo de seguridad denominado seguridad del nivel de transporte (TLS). EAP-TLS utiliza certificados que usan contraseñas. La autenticación EAP-TLS admite la gestión de claves WEP dinámicas. El protocolo TLS está diseñado para asegurar y autenticar la comunicación a través de una red pública mediante la codificación de datos. El Protocolo de enlace TLS permite que el servidor y el cliente provean autenticación mutua y negocien un algoritmo y claves de codificación antes de transmitir los datos.

## TTLS

Estas opciones definen el protocolo y las credenciales utilizadas para autenticar un usuario. En TTLS (Seguridad del nivel de transporte de túnel), el cliente utiliza EAP-TLS para validar el servidor y crear un canal TLS codificado entre el cliente y el servidor. El cliente puede utilizar otro protocolo de autenticación. Por lo general, los protocolos basados en contraseña desafían este canal codificado para permitir la validación del servidor. Los paquetes de desafío y respuesta se envían a través del canal TLS codificado no expuesto. En la actualidad, la implementación TTLS admite todos los métodos definidos por EAP, al igual que varios métodos antiguos (PAP, CHAP, MS-CHAP y MS-CHAP-V2). TTLS se puede ampliar con facilidad para que funcione con protocolos nuevos mediante la definición de nuevos atributos que admitan protocolos nuevos.

## EAP-SIM

El Protocolo de autenticación ampliable para el Módulo de identidad de abonado de GSM (EAP-SIM) es un mecanismo de autenticación y distribución de claves de sesión. Utiliza el Módulo de identidad de abonado (SIM) del Sistema global para las comunicaciones móviles (GSM). RFC 4186 describe EAP-SIM.

### Protocolos de autenticación

- PAP: Password Authentication Protocol is a two way handshake protocol designed for use with PPP. El Protocolo de autenticación de contraseña es una contraseña de texto plano utilizada en sistemas SLIP más antiguos. No es seguro.
- CHAP: El Protocolo de autenticación de intercambio de señales es un protocolo de enlace de tres vías que se considera más seguro que el Protocolo de autenticación de contraseña.
- MS-CHAP (MD4): Utiliza una versión de Microsoft del protocolo de desafío y respuesta de RSA Message Digest 4. Éste sólo funciona en sistemas Microsoft y activa la codificación de datos. La selección de este método de autenticación hace que se codifiquen todos los datos.
- MS-CHAP-V2: Introduce una función adicional que no está disponible con la autenticación MS-CHAP-V1 o CHAP estándar, la cual es la función de cambio de contraseña. Esta función permite que el cliente cambie la contraseña de cuenta si el servidor RADIUS informa que ha vencido la contraseña.

# PEAP

PEAP es un nuevo tipo de autenticación del Protocolo de autenticación ampliable (EAP) IEEE 802.1X diseñado para sacar provecho de la Seguridad del nivel de transporte EAP (EAP-TLS) del lado del servidor y para admitir varios métodos de autenticación, los cuales incluyen las contraseñas de usuarios, las contraseñas temporales y las tarjetas de testigo genérico.

### Protocolos de autenticación

- Tarjeta de testigo genérico (GTC): Transporta las tarjetas de testigo específicas para la autenticación. La función principal de GTC es la autenticación basada en certificado digital o tarjeta de testigo. Además, GTC incluye la capacidad para ocultar las identidades de nombre de usuario hasta que se establezca el túnel codificado TLS, lo cual proporciona una mayor seguridad de que no se difundan los nombres de usuario durante la fase de autenticación.
- MS-CHAP-V2: Consulte MS-CHAP-V2 más arriba.
- TLS: El protocolo TLS está diseñado para asegurar y autenticar la comunicación a través de una red pública mediante la codificación de datos. El Protocolo de enlace TLS permite que el servidor y el cliente provean autenticación mutua y negocien un algoritmo y claves de codificación antes de transmitir los datos. Consulte TLS más arriba.

## Funciones de Cisco

> NOTA: Las funciones de Cisco no son compatibles con Windows Vista.

### LEAP de Cisco

LEAP de Cisco (EAP ligero de Cisco) es una autenticación 802.1X de servidor y cliente que utiliza una contraseña de inicio de sesión proporcionada por el usuario. Cuando el punto de acceso inalámbrico se comunica con un RADIUS habilitado para LEAP de Cisco (Servidor de control de acceso seguro de Cisco [ACS]), LEAP de Cisco ofrece el control del acceso a través de la autenticación mutua entre los adaptadores inalámbricos de los clientes y las redes inalámbricas y brinda claves dinámicas de codificación de usuario individuales para ayudar a proteger la privacidad de los datos transmitidos.

### Función de seguridad de punto de acceso dudoso de Cisco

La función de punto de acceso dudoso de Cisco ofrece protección segura de la introducción de un punto de acceso dudoso que pudiese imitar un punto de acceso legítimo en una red, a fin de extraer información acerca de las credenciales de usuario y protocolos de autenticación, lo cual podría poner en peligro la seguridad. Esta función solo opera con la autenticación LEAP de Cisco. La tecnología 802.11 estándar no protege una red de la introducción de un punto de acceso dudoso. Consulte Autenticación LEAP si desea más información.

### Itinerancia rápida (CCKM)

Cuando se configura una red local inalámbrica para la reconexión rápida, los dispositivos cliente activados para LEAP pueden itinerar de un punto de acceso a otro sin involucrar al servidor principal. Con Cisco Centralized Key Management (CCKM), un punto de acceso configurado para brindar servicios de dominio inalámbrico (WDS) toma el lugar del servidor RADIUS y autentica el cliente sin retraso perceptible en la voz o en otras aplicaciones sensibles al tiempo.

### CKIP

El Protocolo de integridad de claves de Cisco (CKIP) es un protocolo de seguridad propiedad de Cisco para la codificación en medios 802.11. CKIP utiliza las funciones siguientes para mejorar la seguridad 802.11 en el modo de infraestructura:

- Permutación de clave (KP)
- Número de secuencia de mensajes

### Protocolo de protección de entorno mixto 802.11b y 802.11g

Algunos puntos de acceso, como Cisco 350 o Cisco 1200, admiten entornos en los que no todas las estaciones cliente son compatibles con la codificación WEP, lo cual se denomina modo de celda mixta. Cuando dichas redes inalámbricas funcionan en el modo de "codificación optativa", las estaciones cliente que se unen en el modo WEP envían todos los mensajes codificados y las estaciones que utilizan el modo estándar envían los mensajes sin codificar. Estos puntos de acceso difunden que la red no utiliza codificación, pero admiten a los clientes utilizan el modo WEP. Al habilitar una Celda mixta en un perfil, se permite la conexión a puntos de acceso que estén configurados para la "codificación optativa".

### EAP-FAST

EAP-FAST, al igual que EAP-TTLS y PEAP, utiliza túneles para proteger el tráfico. La diferencia principal es que EAP-FAST no utiliza certificados para la autenticación. La provisión de EAP-FAST es negociada solamente por el cliente como primer intercambio de comunicación, cuando se solicita EAP-FAST en el servidor. Si el cliente no tiene una Credencial de acceso protegido (PAC) secreta y precompartida, puede iniciar un intercambio de provisión de EAP-FAST para obtener una del servidor de forma dinámica.

EAP-FAST documenta dos métodos para la entrega de la PAC: la entrega manual a través de un mecanismo seguro fuera de banda y la provisión automática.

- El mecanismo de entrega manual puede ser cualquiera que el administrador piense que es lo suficientemente seguro para la red.
- La provisión automática establece un túnel codificado para proteger la autenticación del cliente y la entrega de la PAC al cliente. Aunque este mecanismo no brinda la misma seguridad que un método manual, es más seguro que el método de autenticación utilizado en LEAP.

El método EAP-FAST se divide en dos partes: la provisión y la autenticación. La fase de provisión implica la entrega inicial de la PAC al cliente. Esta fase solamente necesita realizarse una vez por cada cliente y usuario.

### Modo de celdas mixtas

Algunos puntos de acceso, como Cisco 350 o Cisco 1200, admiten entornos en los que no todas las estaciones cliente son compatibles con la codificación WEP, lo cual se denomina modo de celda mixta. Cuando dichas redes inalámbricas funcionan en el modo de "codificación optativa", las estaciones cliente que se unen en el modo WEP envían todos los mensajes codificados y las estaciones que utilizan el modo estándar envían los mensajes sin codificar. Estos puntos de acceso difunden que la red no utiliza codificación, pero admiten a los clientes que utilizan el modo WEP para unirse. Cuando se habilita la celda mixta en un perfil, se permite la conexión a puntos de acceso que estén configurados para la "codificación optativa".

### Gestión del aparato de radio

Si se activa esta función, el adaptador inalámbrico provee la gestión del aparato de radio en la infraestructura Cisco. Si se utiliza la utilidad Cisco Radio Management en la infraestructura, ésta configura los parámetros del aparato de radio y detecta la interferencia y los puntos de acceso dudosos.

Volver al inicio

Volver al índice

Marcas comerciales y cláusula de exención de la responsabilidad