Instituto Universitario de la Policia Federal Argentina

APLICACIONES DE LA CRIPTOGRAFIA

En la actualidad que vivimos hoy en dia, la informacin es un bien que cobra cada vez
mayor importancia, lo cual involucra que sea apreciado por delincuentes que tienen perfiles
muy caracteristicos.
Su valor es tal que, con mayor regularidad encontramos delitos que tienen como objeto el
robo de datos o la manipulacin de los mismos, con las logicas consecuencias que estos
hechos pueden acarrear. Debido a esta situacion, organismos estatales y privados en todo el
mundo, tienen como objetivo el desarrollo constante de sistemas de seguridad que hagan
mas dificil el accionar de los delincuentes.
Cualquiera de nosotros, cuando hacemos operaciones bancarias por internet (Home
Banking), compramos productos en sitios de subastas online (EBay, MercadoLibre,
Deremate), nos logueamos en alguna pagina de internet ingresando nuestro nombre de
usuario y contrasea, etc, enviamos informacin al ciberespacio, la cual, de ser interceptada
por un pirata informatico pondra en serio peligro nuestro patrimonio.
Este trabajo trata acerca de los medios que se implementan para hacer ilegible la
informacion enviada al ciberespacio y que la misma no sea de utilidad en el caso de que
caiga en las manos de un pirata informatico.

Qu funciones de seguridad me permite realizar la encriptacin?

Autenticacin: permite a quien recibe un mensaje, estar seguro que quien lo enva
es quien dice ser.

Confidencialidad: asegura que nadie ley el mensaje desde que parti. Slo el
destinatario podr leerlo.

Integridad: asegura que el mensaje no ha sido modificado

Para entender como lograr esto detallaremos tres conceptos bsicos de criptografa:
A. Algoritmos hash en un sentido

Pagina n 6

Instituto Universitario de la Policia Federal Argentina

B. Encriptacin con llaves (keys, claves) simtricas: se utiliza una llave

C. Encriptacin con llaves pblicas y privadas: se utilizan dos llaves
La criptografa protege a los usuarios ya que permite la encriptacin de datos y
autenticacin de usuarios. Esta tecnologa permite al receptor de un mensaje electrnico
comprobar la identidad del emisor (autenticacin), asegura que un mensaje slo puede
leerlo la persona a la que va dirigido (confidencialidad) y asegura al destinatario que un
mensaje no ha sufrido ninguna alteracin durante su envo (integridad).
Para entender como lograr esto detallaremos tres conceptos bsicos de criptografa:
D. Algoritmos hash en un sentido
E. Encriptacin con llaves (keys, claves) simtricas: se utiliza una llave
F. Encriptacin con llaves pblicas y privadas: se utilizan dos llaves

Hash
Un hash, tambin denominado valor hash o sntesis del mensaje, es un tipo de
transformacin de datos. Un hash es la conversin de determinados datos de cualquier
tamao, en un nmero de longitud fija no reversible, mediante la aplicacin a los datos de
una funcin matemtica unidireccional denominada algoritmo hash. La longitud del valor
hash resultante puede ser tan grande que las posibilidades de encontrar dos datos
determinados que tengan el mismo valor hash son mnimas. Supongamos que quiero
hashear el siguiente mensaje: mi mam. Quiero que el mensaje se resuma en un solo
nmero (valor hash). Podra por ejemplo, asociar a cada carcter ASCII su nmero (ASCII
code number) asociado:
"m i <espacio> m a m a"
109 + 105 + 32 + 109 + 97 + 109 + 97 = 658
As el mensaje se "resumi" (digest) en un solo nmero. Notemos que sta es una funcin
en una direccin (no reversible). No hay manera de que alguien adivine el mensaje mi
mam a partir del 658 a menos que pruebe todos los posibles mensajes (infinitos) (y

Pagina n 7

Instituto Universitario de la Policia Federal Argentina

calcule sus valor hash (digest). An as tendra muchsimos con 658 y debera adivinar
cul es el correcto (imposible). Destacamos que la funcin (algoritmo) hash usada fue de lo
ms simple. En la vida real son usados algoritmos mucho ms complejos. Podriamos por
ejemplo, usar ese nmero para verificar si un mensaje enviado fue modificado en el
camino: el remitente genera con un algoritmo un valor hash del mensaje, lo encripta y enva
el hash encriptado junto con el mensaje. A continuacin, el destinatario desencripta el hash,
produce otro hash a partir del mensaje recibido y compara los dos hashes. Si son iguales, es
muy probable que el mensaje se transmitiera intacto. Aqu supusimos que ambos conocen la
llave para encriptar/desencriptar.

Funciones comunes de hash en un sentido

Las dos funciones hash siguientes son las ms comunes:

MD5. MD5 es un algoritmo hash diseado por Ron Rivest que produce un valor
hash de 128 bits. El diseo de MD5 est optimizado para los procesadores Intel. Los
elementos del algoritmo se han visto comprometidos, lo que explica su menor uso.

SHA-1. Al igual que el algoritmo de llaves pblicas DSA, Secure Hash Algorithm-1
(SHA-1) fue diseado por la NSA e incorporado por el NSIT en un FIPS para datos
de hash. Produce un valor hash de 160 bits. SHA-1 es un conocido algoritmo hash
de un sentido utilizado para crear firmas digitales.

Encriptacin con llaves simtricas: una sola llave

La encriptacin con llaves simtricas, es tambin denominada encriptacin con llaves
compartidas (shared keys) o criptografa de llave secreta (secret key). Se utiliza una nica
llave que posen tanto el remitente como el destinatario. La nica llave que es usada tanto
para (encriptar como desencriptar) se llama llave secreta (pero es tambin conocida como
llave simtrica o llave de sesin). La encriptacin con llaves simtricas es un mtodo
eficiente para el cifrado de grandes cantidades de datos.

Pagina n 8

Instituto Universitario de la Policia Federal Argentina

Existen muchos algoritmos para la encriptacin con llaves simtricas, pero todos tienen el
mismo objetivo: la transformacin reversible de texto sin formato (datos sin encriptar,
tambin denominado texto no encriptado) en texto encriptado.
El texto encriptado con una llave secreta es ininteligible para quien no tenga la llave para
descifrarlo. Como la criptografa de claves simtricas utiliza la misma llave tanto para la
encriptacin como para desencriptar, la seguridad de este proceso depende de la posibilidad
de que una persona no autorizada consiga la clave simtrica. Esta es la razn por la que
tambin se denomina criptografa de clave secreta. Quienes deseen comunicarse mediante
criptografa de claves simtricas deben encontrar algn mecanismo para intercambiar de
forma segura la clave antes de intercambiar datos encriptados.
El criterio principal para valorar la calidad de un algoritmo simtrico es el tamao de su
llave. Cuanto mayor sea el tamao de la llave, habr que probar ms combinaciones de
diferentes llaves para encontrar la correcta que desencripte los datos.
Cuantas ms claves sean necesarias, ms difcil ser romper el algoritmo. Con un buen
algoritmo criptogrfico y un tamao adecuado de clave, es imposible, desde un punto de
vista informtico, que alguien invierta el proceso de transformacin y obtenga el texto sin
formato del texto encriptado en una cantidad de tiempo razonable.
Algoritmos de claves simtricas:

DES (Data Encryption Standard): El DES naci como consecuencia del

criptosistema Lucifer, creado por IBM. Este algoritmo cifra bloques de 64 bits
mediante permutacin y sustitucin. Fue usado por el gobierno de los Estados
Unidos hasta que se determin que no era seguro.

3DES (Triple-DES): La evolucin del DES. Utilizando el Standard ANSI X9.52,

este algoritmo encripta 3 veces la informacin y sigue siendo compatible con DES.

AES (Advanced Encryption Standard): Ha sido un concurso abierto para analizar

que algoritmo iba a reemplazar al DES. El 2 de octubre de 2000, el NIST anunci el
algoritmo ganador: Rijndael, propuesto por los belgas Vincent Rijmen y Joan
Daemen (de ah su nombre). Rijndael es un cifrador de bloque que opera con
Pagina n 9

Instituto Universitario de la Policia Federal Argentina

bloques y claves de longitudes variables, que pueden ser especificadas

independientemente a 128, 192 256 bits.

IDEA (International Data Encryption Algorithm): Sistema criptogrfico

simtrico, creado en 1990 por Lai y Massey, que trabaja con bloques de texto de 64
bits, operando siempre con nmeros de 16 bits. Este algoritmo es de libre difusin y
no est sometido a ningn tipo de restricciones o permisos nacionales, por lo que se
ha difundido mpliamente, utilizndose en sistemas como UNIX y en programas de
cifrado de correo como PGP.

Encriptacin con llaves pblica: dos llaves

En la encriptacin de llave pblica (public key encription) se utilizan dos llaves: una
pblica y una privada, que se encuentran relacionadas matemticamente. Para diferenciarlo
del cifrado de claves simtricas, en ocasiones el cifrado de claves pblicas tambin se
denomina encriptacin con llaves asimtricas. En la encriptacin de llaves pblicas, la llave
pblica puede intercambiarse libremente entre las partes o publicarse en un repositorio
pblico. Sin embargo, la llave privada ser privada a quien cree el par (publico/privado).
Los datos encriptados con la llave pblica slo pueden descifrarse con la llave privada. Los
datos cifrados con la llave privada slo pueden descifrarse con la llave pblica.
Al igual que la criptografa de llaves simtricas, la criptografa de llave pblica tambin
tiene diversos tipos de algoritmos. Sin embargo, el diseo de los algoritmos de llave
simtrica y de llave pblica es diferente. Puede sustituir un algoritmo simtrico por otro
simtrico dentro de un programa sin cambios o con cambios mnimos, ya que ambos
algoritmos funcionan de la misma manera. Por otro lado, los algoritmos de llave pblica
que no son iguales funcionan de manera muy diferente y, por tanto, no se pueden
intercambiar.
Los algoritmos de llave pblica son ecuaciones matemticas complejas en las que se
utilizan cifras muy altas. Su principal inconveniente es que proporcionan formas
relativamente lentas de criptografa. En la prctica, se utilizan generalmente slo en
situaciones crticas, como en el intercambio de una llave simtrica entre entidades o para la

Pagina n 10

Instituto Universitario de la Policia Federal Argentina

firma de un hash de un mensaje. El uso de otras formas de criptografa, como la criptografa

de llaves simtricas, junto con la criptografa de llaves pblicas optimiza el rendimiento. La
encriptacin por llaves pblicas proporciona un mtodo eficiente para enviar a otra persona
la llave secreta que se utiliz cuando se realiz una operacin de encriptacin simtrico
sobre una gran cantidad de datos.
Tambin puede combinar la encriptacin con llaves pblicas con algoritmos hash para
producir una firma digital.

Algoritmos tpicos de claves pblicas

Los tres algoritmos siguientes de llaves pblicas son los que se utilizan con ms frecuencia:

RSA: para las firmas digitales y los intercambios de llaves. Hoy en da, los
algoritmos criptogrficos Rivest-Shamir-Adleman (RSA) son los algoritmos de
llave pblica ms utilizados, especialmente para los datos que se envan a travs de
Internet. El algoritmo toma su nombre de sus tres inventores: Ron Rivest, Adi
Shamir y Leonard Adleman. La seguridad del algoritmo RSA se basa en la
dificultad (en trminos de velocidad y tiempo de procesamiento) de comparacin de
nmeros altos. El algoritmo RSA es nico entre los algoritmos de llaves pblicas
utilizados habitualmente ya que puede realizar operaciones tanto de firma digital
como de intercambio de llaves. Los algoritmos criptogrficos RSA son compatibles
con Microsoft Base Cryptographic Service Provider (Microsoft Base CSP1 ) y con
Microsoft Enhanced Cryptographic Service Provider (Microsoft Enhanced CSP2 ),
y estn integrados en numerosos productos software, incluido Microsoft Internet
Explorer.

DSA: nicamente para firmas digitales. El National Institute of Standards and

Technology (NIST, Instituto Nacional de Estndares y Tecnologa) de Estados
Unidos incorpor el Algoritmo de firma digital (DSA), inventado por la National
Security Agency (NSA, Agencia de Seguridad Nacional), al Federal Information
Processing Standard (FIPS, Estndar Federal para el Procesamiento de Informacin)
para firmas digitales. El DSA obtiene su nivel de seguridad de la dificultad para

Pagina n 11

Instituto Universitario de la Policia Federal Argentina

calcular logaritmos discretos. Este algoritmo slo puede utilizarse para realizar
operaciones de firma digital (no para la encriptacin de datos). Microsoft CSP es
compatible con el algoritmo DSA.

Diffie-Hellman: nicamente para el intercambio de llaves. Diffie-Hellman, el

primer algoritmo de llaves pblicas, recibi el nombre de sus inventores Whitfield
Diffie y Martin Hellman. Diffie-Hellman obtiene su nivel de seguridad de la
dificultad para calcular logaritmos discretos en un campo finito. El algoritmo DiffieHellman puede utilizarse nicamente para el intercambio de llaves. Microsoft Base
DSS3 y Diffie-Hellman CSP son compatibles con el algoritmo Diffie-Hellman.

Conceptos bsicos de PKI (Public Key Infraestructure)

Una Infraestructura de Claves Pblicas (PKI) engloba las tcnicas y los estndares usados
para administrar certificados y claves pblicas y privadas de modo de poder autenticar la
validez de cada una de las partes implicadas en una transaccin electrnica. En lo que sigue
desarrollaremos los conceptos de PKI: certificados, entidades emisoras de certificados
(Certificate Authorities, CA), jerarquas de entidades raz, registracin, inscripcin de
certificados, revocacin de certificados y validacin de la cadena de certificados.
El trmino infraestructura de claves pblicas (PKI) se utiliza para describir las directivas,
los estndares y el software que regulan o manipulan los certificados y las claves pblicas y
privadas. En la prctica, PKI hace referencia a un sistema de certificados digitales,
entidades emisoras de certificados (CAs) y otras entidades de registro que comprueban y
autentican la validez de cada parte implicada en una transaccin electrnica. Los estndares
de la infraestructura de claves pblicas siguen evolucionando, aunque se estn
implementando de forma generalizada como elemento necesario del comercio electrnico.
Lo que sigue nos ayudar a comprender qu es una PKI y a conocer los servicios necesarios
para construir una. Diferentes conceptos relacionados con la PKI se explican en las
subsecciones siguientes:

Certificado

Entidad emisora de certificados (Certification Authority, CA)

Pagina n 12

Instituto Universitario de la Policia Federal Argentina

Jerarquas de entidades raz

Registracin

Inscripcin de certificados

Revocacin de certificados

Validacin de la cadena de certificados

Certificado
Un certificado de claves pblicas, a menudo denominado simplemente certificado, se
utiliza para autenticar y asegurar el intercambio de informacin en Internet, extranets e
intranets. Al emisor y firmante del certificado se le conoce como entidad emisora de
certificados (Certification Authority, CA), que se describe en la siguiente seccin. La
entidad a la que se le emite el certificado es el tema (subject) del certificado.
Un certificado de claves pblicas es una declaracin firmada digitalmente que vincula el
valor de una clave pblica a la identidad del subject (persona, dispositivo o servicio) que
posee la clave privada correspondiente. Al firmar el certificado, la entidad emisora de
certificados (CA) atestigua que la clave privada asociada a la clave pblica del certificado
est en posesin del subject indicado en el certificado.
Los certificados pueden emitirse con objetivos diferentes, entre ellos la autenticacin de
usuarios Web, la autenticacin de servidores Web, la seguridad del correo electrnico con
Secure/Multipurpose Internet Mail Extensions (S/MIME), IP Security (IPSec), Secure
Sockets Layer/Transaction Layer Security (SSL/TLS) y firma de cdigo. Si por ejemplo en
una organizacin se utiliza la entidad emisora de certificados empresarial de Windows
2000, los certificados podrn utilizarse para iniciar sesin en dominios de Windows 2000.
Los certificados tambin pueden emitirse de una entidad emisora de certificados (CA) a
otra con el fin de establecer una jerarqua de certificados.
En el certificado, el subject puede especificarse con varios nombres. Como nombre
principal de usuario (para certificados de usuarios finales), nombre de directorio, nombre de
correo electrnico, nombre DNS, etc. Los certificados tambin contienen la siguiente
informacin:
Pagina n 13

Instituto Universitario de la Policia Federal Argentina

El perodo de tiempo durante el cual el certificado es vlido.

El nmero de serie del certificado, que la entidad emisora de certificados (CA)

garantiza como nico.

El nombre de la entidad que emiti el certificado y la clave utilizada para firmarlo.

Un identificador de la directiva seguida por la entidad emisora de certificados (CA)

para autenticar que el subject es quien dice ser (ms adelante se ofrecern detalles
sobre la directiva de la entidad emisora de certificados).

Los usos que se darn al par de claves (la clave pblica y su clave privada asociada)
identificadas en el certificado.

La ubicacin de la Lista de revocacin de certificados (Certificate Revocation List,

CRL). La CRL es un documento mantenido y publicado por una entidad emisora de
certificados (CA) que enumera aquellos que se han revocado. Una CRL se firma
con la clave privada de la entidad emisora de certificados (CA) para garantizar su
integridad.

Los certificados proporcionan un mecanismo para establecer una relacin entre una clave
pblica y la entidad que posee la clave privada correspondiente. El formato ms comn de
los certificados utilizados actualmente se define en la versin 3 del estndar internacional
ITU-T X.509 (X.509v3). RFC 2459, un perfil de X.509v3, clarifica los campos definidos
en X.509v3. La PKI de Windows 2000 utiliza el estndar X.509v3. Los certificados de
Windows estn programados de acuerdo a las aclaraciones especificadas en RFC 2459,
pero an as se les denomina certificados X.509v3. ITU-T X.509 no es la nica forma de
certificacin. Por ejemplo, el correo electrnico seguro Pretty Good Privacy (PGP) se basa
en una forma propia de certificados.

Entidad emisora de certificados. Certificate Authority (CA)

Una entidad emisora de certificados (CA) es una entidad a la que se le confa la emisin de
certificados a un individuo, a un equipo o a otra entidad solicitante. Una entidad emisora de
certificados acepta una solicitud de certificado, comprueba la informacin del solicitante de
acuerdo con la directiva de la entidad y, a continuacin, utiliza su clave privada para aplicar
su firma digital al certificado. A continuacin, la entidad emite el certificado al subject del

Pagina n 14

Instituto Universitario de la Policia Federal Argentina

mismo para que lo utilice como una credencial de seguridad dentro de una PKI. Puesto que
las diferentes entidades emisoras de certificados utilizan mtodos variados para comprobar
el enlace entre la clave pblica y el subject, es importante comprender las directivas de la
entidad emisora de certificados (explicadas a continuacin) antes de decidirse a confiar en
dicha autoridad.
Una entidad emisora de certificados puede ser otra entidad como VeriSign. Por otra parte,
puede ser una entidad emisora de certificados creada dentro de su organizacin, por
ejemplo mediante la instalacin de Servicios de Certificate Server de Windows 2000. Cada
entidad emisora de certificados puede pedir distintos requisitos de prueba de identidad a los
solicitantes de certificados. Por ejemplo: una cuenta de dominio de Windows 2000, una
insignia de identificacin de un empleado, una licencia de conductor, una solicitud con
alguna certificacin o una direccin fsica.

Directiva de entidad emisora de certificados (CA policy)

Para la emisin de certificados a los solicitantes, la entidad emisora sigue una serie de
criterios establecidos. El conjunto de criterios que utiliza una entidad emisora de
certificados a la hora de procesar las solicitudes de certificados (y de emitirlos, revocarlos y
de publicar las CRL) se conoce como directiva de entidad emisora de certificados (CA
policy). Generalmente, una entidad emisora de certificados publica su directiva en un
documento conocido como Enunciado de prctica de certificacin (Certification Practice
Statement, CPS).

Tipos de (CAs) entidades emisoras de certificados

Los tres tipos de entidades emisoras de certificados son:

Entidad emisora de certificados con autofirma (self-signed CA). En una entidad

emisora de certificados con autofirma, la clave pblica del certificado y la clave
utilizada para comprobar el certificado son la misma. Algunas entidades emisoras de
certificados con autofirma son entidades emisoras raz (root CAs)(consulte la
tercera vieta).
Pagina n 15

Instituto Universitario de la Policia Federal Argentina

Entidad emisora de certificados subordinada (subordinate CA). En una entidad

emisora de certificados subordinada, la clave pblica del certificado y la utilizada
para comprobar los certificados son diferentes. Este proceso, donde una entidad
emite un certificado a otra entidad emisora, se conoce como certificacin cruzada
(cross certification).

Entidad emisora de certificados raz (root CA). El cliente confa plenamente en una
entidad emisora de certificados raz, que ocupa la posicin ms alta en una jerarqua
de certificados. Todas las cadenas de certificados terminan en una entidad emisora
de certificados raz. La entidad raz debe firmar su propio certificado porque no
existe ninguna entidad emisora de certificados superior en la jerarqua de
certificados.

Todas las entidades emisoras de certificados con autofirma son entidades raz, ya que la
cadena de certificados termina cuando se alcanza una entidad emisora de certificados con
autofirma.

Jerarquas de entidades raz (rooted CA hierarchies)

Un administrador puede crear una jerarqua de entidades emisoras de certificados
comenzando por un certificado de entidad emisora raz y, a continuacin, ir agregando
entidades intermedias que emitirn certificados a entidades subordinadas. La cadena
termina cuando una entidad emite un certificado a una entidad final (un usuario).
Los costos de distribucin de los certificados de entidades raz son los ms elevados, ya que
si se cambian las races hay que crear de nuevo toda la PKI. Si un certificado raz cambia,
debe revocar el antiguo certificado y agregar el nuevo para todos los clientes de la
organizacin. Adems, debern volverse a emitir todos los certificados que las entidades
raz han emitido y que, a continuacin, han pasado de las entidades subordinadas a las
finales. Por tanto, el uso de un reducido nmero de certificados de larga duracin emitidos
por entidades raz ofrece la solucin ms rentable a la hora de distribuir su jerarqua de
entidades emisoras de certificados. Las entidades raz son importantes porque se confa en
ellas plenamente y porque son el punto donde se detiene la construccin de la cadena. Por

Pagina n 16

Instituto Universitario de la Policia Federal Argentina

tanto, es necesario que una autenticacin fuera de banda acompae a su distribucin. Es

decir, puesto que un certificado de entidad raz est autofirmado, alguien debe garantizar la
autenticidad de este certificado raz.
Como existen muchas ms entidades finales que entidades emisoras de certificados, las
entidades que emiten certificados a las entidades finales utilizan su clave privada para
firmar una gran cantidad de datos. Cuanto ms se utilice una clave para firmar datos, ms
oportunidades hay de que se produzca un ataque criptogrfico. Por tanto, el mantenimiento
de la seguridad requiere que las entidades en lnea que emitan certificados a entidades
finales cambien las claves de firma con frecuencia.
Las entidades que emiten certificados a entidades finales tienen listas de certificados
revocados mucho ms largas que las entidades emisoras de certificados intermedias o raz
(que emiten certificados nicamente a otras entidades emisoras que se encuentran en una
posicin ms subordinada). En parte esto se debe a que existen muchas ms entidades
finales que certificados de entidades emisoras. Adems, existen muchas razones por las que
las entidades finales deben revocar sus certificados, por ejemplo cuando un empleado
cambia de trabajo o abandona la compaa.
Las entidades emisoras de certificados (CAs) publican una lista de certificados revocados
(CRL), que es una lista de certificados que no deben usarse ms. La entrada
correspondiente al certificado permanece en la CRL hasta la fecha (Valid-To Date )
especificada en el certificado y, a continuacin, la entidad emisora de certificados la quita.
Cuantas ms entradas existan en una CRL, ms larga ser esta lista y ms tiempo se tardar
en efectuar la descarga. Generalmente, el tiempo de descarga slo afecta a los usuarios con
vnculos de red lentos, como los vnculos de acceso telefnico. La entidad emisora de
certificados tambin puede administrar el tamao de la CRL. Uno de los mtodos consiste
en mantener varias listas, conocidas como CRL divididas. El otro mecanismo consiste en
reducir el perodo de validez de los certificados emitidos y, por tanto, acelerar su retirada de
la CRL por parte de la entidad emisora de certificados.
Muchas de las aplicaciones deben poder averiguar la informacin de estado de revocacin
ms reciente para un certificado. nicamente una entidad emisora de certificados que est
Pagina n 17

Instituto Universitario de la Policia Federal Argentina

en lnea puede publicar la informacin actual acerca del estado de un certificado. El estado
de revocacin publicado desde una entidad emisora de certificados sin conexin debe
distribuirse a una ubicacin en lnea mediante un mtodo externo.
Las entidades emisoras ms vulnerables son aquellas que se encuentran en lnea, su
seguridad fsica es baja y firman un gran nmero de certificados. Por tanto, cuando se
establezcan las entidades emisoras de certificados raz y las subordinadas, se debe lograr un
equilibrio entre la seguridad y la disponibilidad. Lo ms recomendable es establecer una
jerarqua de tres niveles que incluya una entidad emisora de certificados raz y una entidad
de directiva subordinada, ambas independientes y sin conexin, y otra entidad de empresa
en lnea que emita certificados a la subordinada.

Entidades emisoras raz sin conexin (offline root CA). Disee la jerarqua de
entidades emisoras de certificados otorgando a las entidades raz la seguridad ms
elevada. Mantenga una entidad emisora raz sin conexin en un lugar seguro y
utilcela

para

firmar

nicamente

un

nmero

reducido

de

certificados.

Preferiblemente, mantenga la CA y las claves en un lugar cerrado al cual deban

tener acceso al menos dos operadores: uno para llevar a cabo las acciones necesarias
y otro para auditarlas. (En una red de Windows 2000, las entidades independientes
estn diseadas para funcionar sin conexin.)

Entidades emisoras intermedias sin conexin (Offline intermediate CAs). Debajo

de la entidad raz puede haber una o ms entidades subordinadas. Al convertir las
entidades emisoras de certificados subordinadas intermedias en mquinas sin
conexin, aumentar la seguridad de estas entidades.

Entidades emisoras en lnea (Online issuing CA). La ltima entidad emisora de

certificados de la cadena debe estar en lnea y, por tanto, disponible para procesar
nuevas solicitudes de certificados procedentes de diversos clientes. Una entidad
emisora de certificados en lnea, situada debajo de la entidad raz, tambin puede
publicar con frecuencia informacin actualizada acerca del estado de revocacin. El
administrador puede cambiar a menudo las claves para este tipo de entidades
emisoras de certificados puesto que el costo (en cuanto a carga administrativa) de
distribucin de sus nuevos certificados es mnimo. Las entidades emisoras de
Pagina n 18

Instituto Universitario de la Policia Federal Argentina

certificados subordinadas no son realmente desechables, pero pocas son las ventajas
que se obtienen atacndolas, y pueden bloquearse rpida y fcilmente si la revoca
una entidad superior.

Registracin
Registrarse es el proceso por el cual los subjects se dan a conocer a una entidad emisora
de certificados (CA). El registro puede estar implcito en el acto de solicitud de un
certificado, puede llevarse a cabo mediante otra entidad de confianza (como una estacin de
inscripcin de tarjetas inteligentes) que avale el subject o bien puede llevarse a cabo como
informacin resultante recibida de una fuente de confianza (como un administrador de
dominio). Una vez registrado con la entidad emisora, se emite un certificado al subjects
siempre y cuando el certificado cumpla con los criterios establecidos en la directiva de
entidades emisoras de certificados.

Inscripcin de certificados (Certificate Enrollment)

La inscripcin de certificados es el procedimiento por el cual una entidad final solicita y
recibe un certificado de una entidad emisora de certificados. La solicitud de certificados
proporciona informacin de identidad a la entidad emisora de certificados. A continuacin,
esta informacin pasa a formar parte del certificado emitido. La entidad emisora de
certificados procesa la solicitud conforme a una serie de criterios que pueden requerir que
la autenticacin no automtica tenga lugar sin conexin (autenticacin fuera de banda). Si
la solicitud se procesa correctamente, la entidad emite el certificado al usuario.

Inscripcin de certificados a travs de las autoridades de registro

Con una Autoridad de registro (Registration Authority, RA) se realiza un tipo especial de
inscripcin de certificados que garantiza a una entidad emisora de certificados el enlace
entre las claves pblicas y la identidad y los atributos del posible propietario de un
certificado. Las autoridades de registro son subjects que poseen un certificado especial.
Este certificado especial contiene informacin que identifica el subject ante la entidad
emisora de certificados. Generalmente, una autoridad de registro establece el enlace entre la
Pagina n 19

Instituto Universitario de la Policia Federal Argentina

clave pblica y el subject y, a continuacin, firma la solicitud generada por el subject para
probar a la entidad emisora de certificados que la autoridad de registro est garantizando el
enlace. En esencia, el uso de la autoridad de registro es una forma de delegacin
administrativa ya que la entidad emisora de certificados delega a la autoridad de registro la
comprobacin del enlace entre una clave pblica y una entidad.
La autoridad de registro genera certificados que establecen un fuerte enlace entre el tema y
la clave pblica. En el sistema operativo Windows 2000, Servicios de Certificate Server
utiliza la autenticacin de dominio para identificar al usuario que efecta solicitudes para la
mayora de los tipos de certificados. Un autoridad de registro utiliza la estacin de
inscripcin de tarjetas inteligentes de Windows 2000, que crea certificados de inicio de
sesin con tarjetas inteligentes. La autoridad de registro valida la identidad del destinatario
de la tarjeta inteligente, lo que proporciona un enlace ms fuerte entre el subject y la clave
pblica que la que se puede conseguir si slo se utiliza autenticacin de dominio.

Revocacin de certificados
Los certificados tienen una duracin especfica, pero las entidades emisoras de certificados
pueden reducir esta duracin mediante el proceso conocido como revocacin de
certificados. La entidad emisora de certificados publica una lista de revocacin de
certificados (CRL) con los nmeros de serie de aquellos certificados que considera que ya
no pueden utilizarse ms. La duracin establecida para las listas de revocacin de
certificados suele ser mucho ms corta que la que se establece para los certificados. La
entidad emisora de certificados tambin puede incluir en la CRL la razn por la que se
revoc el certificado. Tambin incluye una fecha a partir de la cual se aplica este cambio de
estado.
Para revocar un certificado se pueden indicar las razones siguientes:

Riesgos para la clave

Riesgos para la entidad emisora de certificados

Cambio de afiliacin

Reemplazo
Pagina n 20

Instituto Universitario de la Policia Federal Argentina

Cese del funcionamiento

Conservacin de certificados (ste es el nico cdigo que le permite cambiar el

estado de un certificado revocado; resulta til si el estado del certificado es
cuestionable)

La revocacin de un certificado por parte de la entidad emisora de certificados significa que

dicha entidad da de baja su instruccin acerca del uso permitido del par de claves antes de
que el certificado caduque normalmente. Una vez que el certificado caduca, se quita su
entrada de la CRL para reducir el tamao de esta ltima.
Durante la comprobacin de la firma, las aplicaciones pueden comprobar la CRL para
determinar si un par de claves y un certificado dados son todava de confianza (algunas
aplicaciones usan la API de comprobacin en cadena de Microsoft incluida en CryptoAPI
para hacerlo). De no ser as, la aplicacin puede determinar si la razn o la fecha de la
revocacin afecta o no al uso del certificado en cuestin. Si el certificado va a utilizarse
para comprobar una firma y la fecha de la firma figura es anterior a la fecha de revocacin
del certificado por parte de la entidad emisora de certificados, la firma todava se puede
considerar vlida.
Despus de que una aplicacin obtiene una CRL, el cliente almacena en memoria cach
dicha lista y la utiliza hasta que caduca. Si una entidad emisora de certificados publica una
nueva CRL, las aplicaciones que tienen una CRL vlida no usan la nueva CRL hasta que
caduca la que ya tienen.

SSH
Desarrollado por la firma SSH Communications Security Ltd., SSH (Secure SHell o shell
seguro) es un servicio que permite conectarse a un equipo remoto con el fin de ejecutar
comandos en el mismo. Surgi como un reemplazo de servicios inseguros como telnet,
rlogin, rcp,rsh y rdist.
Este servicio, que realiza las conexiones sobre el puerto 22, se ocupa de brindar
confidencialidad e integridad de la informacin que se transmite puesto que inicia una

Pagina n 21

Instituto Universitario de la Policia Federal Argentina

sesin encriptada entre el cliente y el servidor antes de que se transfiera el nombre de

usuario y la contrasea. La idea es proveer una fuerte instancia de autenticacin sobre
canales inseguros. De esta manera SSH protege a una red de ataques tales como sniffing, IP
spoofing, cracking de encriptacin, man-in-the-middle, etc. Un atacante slo podra forzar a
que se desconecte la conexin SSH, pero no podra reenviar trfico o secuestrar la conexin
misma una vez que existe encriptacin.
Para poder encriptar la informacin que transmite, SSH requiere el uso de claves que sean
conocidas por ambos extremos. Estas claves deben ser transmitidas por la red antes de
realizar cualquier transferencia de informacin. La tcnica que se utiliza es la de claves
asimtricas, es decir un modelo de claves pblica y privada basado en el algoritmo RSA.
Esto es una clave pblica conocida por todos para encriptar el mensaje a enviar y una clave
privada conocida slo por el destinatario para poder desencriptarlo.
Una vez realizado en proceso de intercambio de claves, se comienza a transmitir la
informacin en forma segura. Obviamente, todo anexo de seguridad que le infiere el
protocolo, resulta en una mayor carga de trfico de red.
Una de las cosas interesantes es que SSH es independiente de la plataforma, existiendo
clientes desarrollados para Unix, Windows, OS/2 y Macintosh, hasta existen versiones para
PDAs.
Existen varios clientes SSH, pero uno de los ms conocidos es OpenSSH que se puede
descargar de http://www.openssh.com. Es un cliente gratuito y de cdigo abierto que
permite gestionar los servicios SSH versin 1 y 2. SSH2 provee un ms alto nivel de
encriptacin y autenticacin que SSH1 remendando algunas insuficiencias de ste ltimo.
Luego de establecer la conexin TCP, mediante un saludo de tres vas, el cliente y el
servidor intercambian sus versiones de SSH. Posteriormente intercambian las claves de
encriptacin para luego poder transmitir la informacin en forma segura. Ver Figura 1.

Pagina n 22

Instituto Universitario de la Policia Federal Argentina

Fig.1

Introduccin al protocolo S-HTTP

El Protocolo Seguro de Transferencia de Hipertexto (S-HTTP) es una versin modificada
del Protocolo de Transferencia de Hipertexto HTTP que incluye caractersticas de
seguridad. Su diseo permite comunicaciones seguras a travs de la Web que incluyen el
envo de informacin personal a largas distancias.

Pagina n 23

Instituto Universitario de la Policia Federal Argentina

Los diferentes mtodos utilizados por el protocolo para garantizar la seguridad del mensaje
incluyen un mtodo de firma, uno de codificacin, y comprobaciones del remitente y la
autenticidad del mensaje.
Un mensaje S-HTTP combina el cuerpo codificado del mensaje y la cabecera, que puede
incluir, la informacin sobre cmo puede decodificar el destinatario el cuerpo del mensaje y
cmo debera procesarlo una vez descifrado el texto.
Para crear un mensaje S-HTTP, el servidor integra las preferencias de seguridad del
servidor con las del cliente. Por ejemplo, si el servidor est configurado para utilizar el
Estndar 7 de Codificacin mediante Clave Pblica (PKCS-7) y la lista de codificacin del
cliente incluye este protocolo, el servidor lo utilizar para codificar el mensaje. Al existir
coincidencia en alguno de los mtodos, el servidor lo utiliza para codificar el mensaje en
texto plano y convertirlo en un mensaje S-HTTP. Para recuperar el mensaje, el cliente
realiza el proceso contrario, es decir, evala que la transmisin coincida con sus propias
preferencias criptogrficas. Si no es as, intentar decodificarlo utilizando las opciones
criptogrficas del servidor (inicialmente el servidor y el cliente mantienen una conversacin
donde, por acuerdo el servidor afirma las operaciones criptogrficas que realizar en el
mensaje). Una vez que encuentra el estndar de codificacin, decodifica el mensaje
mediante alguna combinacin de claves entre remitente y destinatario. Cuando se haya
decodificado el mensaje se muestra en el explorador Web el cdigo HTTP.

Codificacin del mensaje

En sistema de criptogrfico que emplea S-HTTP es de clave simtrica, es decir, el servidor
y el cliente son los nicos que conocen dichas claves y las emplean para codificar y
decodificar los mensajes que envan. En este sistema los usuarios deben encontrar un
mtodo para intercambiar las claves. En S-HTTP define dos mecanismos: uno que
intercambia claves pblicas acordadas en forma externa y otro que se denomina
intercambio en banda. El primer mtodo utiliza un intercambio manual de claves,
generalmente usado en intranets o algunas redes bancarias que acuerdan externamente con
el cliente cul ser la clave. El segundo mtodo el servidor codifica su propia clave privada
con la clave pblica del cliente y se la enva a ste. Para esto, el cliente le tuvo que haber

Pagina n 24

Instituto Universitario de la Policia Federal Argentina

enviado (en segundo plano) su propia clave pblica y el sistema criptogrfico que emple,
para que el servidor lo sepa y lo utilice. Una vez recibida la clave del cliente, el servidor
genera una clave de sesin (su clave privada encriptada con la pblica del cliente) y se la
enva a ste para que le pueda enviar mensajes seguros.

Integridad del mensaje y autenticidad del remitente

Adems de la codificacin del mensaje, ambas partes pueden verificar la integridad del
mensaje y la autenticidad del remitente calculando un cdigo para el mensaje. S-HTTP
calcula un cdigo para el mensaje como un valor hash relacionado con la clave de sesin
con el cual se corrobora en ambas partes que coincida el hash enviado con uno generado
localmente, a partir de la clave de sesin que ambos conocen, para verificar la integridad
del mensaje. Dicho hash se denomina Cdigo de Autenticacin de Mensaje. Si una de las
partes solicita la verificacin del mensaje, la otra parte puede firmar digitalmente
incorporando dicho hash para que la parte contraria pueda evaluar su integridad y saber si
alguien o algo ha modificado el documento desde su envo. Ver Figura 2.

Pagina n 25

Instituto Universitario de la Policia Federal Argentina

Fig.2

Transmisin segura con SSL

A diferencia del protocolo S-HTTP, que fue diseado para transmitir mensajes individuales
en forma segura, el protocolo SSL fue creado con el fin de crear conexiones seguras de
extremo a extremo entre el cliente y el servidor sobre las cuales poder enviar cualquier
cantidad de datos en forma segura.
SSL, abreviatura de Secure Socket Layer (Capa Socket Segura) es un protocolo
desarrollado por Netscape Communications Corp. para proveer seguridad y privacidad
sobre Internet. Se trata de un protocolo abierto no propietario, lo que significa que Netscape
ha puesto a disposicin de las empresas para ser utilizado en aplicaciones de Internet. Se
diseo con el fin de proveerle seguridad a los protocolos de la capa de aplicacin como
HTTP, Telnet, FTP, por lo que se sita debajo de dicha capa y encima de la capa de

Pagina n 26

Instituto Universitario de la Policia Federal Argentina

transporte TCP. El ltimo estndar SSL 3.0 proporciona codificacin de datos,

autenticacin de servidores, integridad de los mensajes y autenticacin opcional del cliente
para una conexin TCP/IP.
Al proporcionar un mtodo para que los servidores y clientes codifiquen las transmisiones
en la Web, requiere que en la conexin participen servidores y exploradores preparados
para SSL. Los exploradores Netscape Navigator e Internet Explorer incorporan dicha
capacidad. En Internet Explorer podemos comprobar su existencia si nos dirigimos a
Herramientas | Opciones de Internet | Opciones Avanzadas. Ver Figura3.
Las comunicaciones seguras no eliminan por completo las preocupaciones de un usuario en
Internet. Aunque SSL asegura la comunicacin en Internet, esta seguridad por s sola no
protege al usuario ante la gente descuidada o corrupta con los que podra tener
transacciones comerciales.
La autenticacin de servidores SSL utiliza criptografa RSA de clave pblica junto a una
Autoridad Certificante como Thawte o VeriSign. Siempre que se conecte a un servidor, se
podr ver su certificado para comprobar su identidad.

Pagina n 27

Instituto Universitario de la Policia Federal Argentina

Fig.3

Cmo asegura SSL las conexiones de extremo a extremo

Cuando un explorador y un servidor establecen una conexin segura, es servidor enva al
explorador una clave de sesin que ambos utilizan para codificar las comunicaciones en la
conexin. Sin embargo, el servidor y el explorador primero deben intercambiar la clave de
la sesin. El sistema que utilizan es de clave pblica. Cuando el explorador se intenta
conectar con un servidor seguro, enva al servidor un mensaje Client.Hello que trabaja de
forma similar a una peticin HTTP. Adems de informacin del explorador, ste le enva su
clave pblica que gener en el momento de su instalacin en el sistema. Una vez que el
servidor recibe el mensaje, evala la informacin del mismo. Si el explorador y el servidor
coinciden en un tipo de codificacin admitida por ambos, el servidor le responde con un
mensaje Server.Hello. Dentro de la respuesta, viaja la clave pblica del servidor. Cuando el

Pagina n 28

Instituto Universitario de la Policia Federal Argentina

cliente recibe la respuesta, enva otra peticin al servidor. Ahora el cliente codifica esta
segunda peticin con su clave pblica, ahora que el cliente ya la conoce. La segunda
peticin del cliente le indica al servidor que enve la clave de sesin que utilizarn para la
comunicacin. A su vez, el servidor devuelve la clave de sesin, que codifica con la clave
pblica del cliente.
Una vez que el cliente recibi la clave de sesin, utilizar esta para codificar toda
informacin que se transmita. Ver Figura 4.
Fig.4

Las transmisiones que utilizan SSL permanecen activas hasta que el explorador o el
servidor cierran la conexin (en general cuando el explorador solicita una URL diferente).

Pagina n 29

Instituto Universitario de la Policia Federal Argentina

Para saber si un documento proviene de un sitio seguro, debemos mirar el campo donde
escribimos las URLs y observar una s tras el protocolo http , es decir que el sitio en
cuestin comenzar con https:// . Adems, en el momento de entrar en un sitio seguro, en
Internet Explorer se podr visualizar un candadito amarillo cerrado en la parte inferior
izquierda del navegador.
En 1996, Netscape Communications Corp. mand el SSL a la IETF, organismo que se
encargara de su estandarizacin. El resultado fue TLS (Transport Layer Security). Los
cambios hechos a SSL fueron pequeos pero, sin embargo resultaron suficientes para que
SSL versin 3 y TLS no puedan interoperar. Lo que se busc es obtener un protocolo con
claves ms fuertes que sea ms difcil de criptoanalizar. La versin TLS 1.0 se la conoce
como SSL 3.1. Si bien las primeras implementaciones aparecieron en 1999, an no queda
claro si TLS reemplazar a SSL en la prctica, aunque es ligeramente ms fuerte.

Correo Seguro - Mime S/Mime

MIME es la abreviatura de Multipurpose Internet Mail Extensions, cuya traduccin podra
ser Extensiones Multipropsito de Correo en Internet. Se trata de una especificacin para
darle formato a mensajes no ASCII para poder ser enviados a travs de Internet.. Los
mensajes de correo poseen dos partes: la cabecera del mensaje, que contiene unos campos
estructurados conteniendo informacin esencial para la transmisin del mensaje, y el
cuerpo del mismo totalmente desestructurado a menos que se encuentre en formato MIME.
Muchos clientes soportan ahora MIME ya que les permite enviar y recibir grficos, audio, y
video a travs del sistema de correo en Internet. Adicionalmente MIME soporta el envo de
mensajes en otros conjuntos de caracteres adems de ASCII. Asimismo los exploradores
tambin soportan varios tipos MIME, lo que les permite mostrar archivos que no estn en
formato HTML.
Una nueva versin, llamada S/MIME, nace para brindarle a MIME el servicio de seguridad
que ste carece. S/MIME (Secure / Multipurpose Internet Mail Extensions) es un protocolo
que agrega firmas digitales y encriptacin a MIME. El cuerpo MIME transporta un mensaje
codificado en PKCS-7. El estndar actual es S/MIME versin 3 .

Pagina n 30

Instituto Universitario de la Policia Federal Argentina

PGP. El mensaje es encriptado con una clave de sesin de 128 bits generada aleatoriamente
la cual se encriptada con la clave de 2048 bits del destinatario.
Firma digital DSA. La clave de verificacin de firma es de 1024 bits. Esto garantiza la
integridad de un mensaje y la autenticidad de la direccin de respuesta.
SSL. El mensaje viaja a lo largo de un canal seguro donde es adicionalmente encriptado. La
longitud de la clave de encriptacin es de hasta 1024 bits.

Introduccin a VPNs (Virtual Private Networks)

Un Virtual Private Network (VPN) es una red (network) de datos privada (es decir, slo
participan un grupo elegido de computadoras), que utiliza la infraestructura de
telecomunicaciones pblica, manteniendo la privacidad a travs de protocolos de tneles y
procedimientos de seguridad. Una empresa puede querer que sus empleados se conecten a
su red desde sus hogares o cuando estn viajando, o podra querer que dos sucursales (cada
una con su propia LAN) estn conectadas en una sola red. La VPN brinda a una empresa
las mismas posibilidades que las lneas privadas bajo leasing a un costo muchsimo ms
bajo, utilizando la infraestructura pblica compartida (un ejemplo: Internet). Bajo las siglas
VPN se rene un conjunto de tecnologas y escenarios para satisfacer las necesidades de las
empresas.
Cuando se selecciona una implementacin VPN se deben considerar: seguridad,
interoperabilidad, facilidad de uso y administracin. Existen soluciones VPN provistas por
diferentes vendors (por ejemplo CISCO), pero tambin existen soluciones ya incluidas en
diferentes sistemas operativos (SO) -por ejemplo: Windows o Linux-. O soluciones que si
no estn ya en el SO pueden bajarse de Internet.
Para entender VPNs es necesario adentrarse en los siguientes puntos:

Protocolos disponibles (PPTP/ L2TP/ IPSec, IPSec Tnel)

Pagina n 31

Instituto Universitario de la Policia Federal Argentina

Escenarios VPNs ms comunes (Acceso remoto, site-to-site, extranet)

Autenticaciones

Seguridad bajo VPN

En el caso Windows, si nos referimos a un servidor VPN se deber entender Windows 2000
Server o Windows Server 2003 con RRAS (Routing and Remote Access) activado.

Los dos escenarios ms comunes de VPNs

La mayora de las compaas necesitan proveer acceso remoto a los empleados.
Generalmente se utilizaba una conexin dial-up (DUN) del cliente al servidor de acceso
remoto (RAS) va mdems. Para acceso remoto VPN hay que considerar: tecnologa en la
Workstation cliente, qu sucede en el medio entre el cliente y el servidor VPN, el servidor
VPN y finalmente la relacin con el usuario remoto. El usuario remoto puede ser un
empleado o individuo de menor confianza (un consultor o socio de negocios). Usualmente,
el cliente de la Workstation estar corriendo bajo el SO Windows, pero podr ser una
estacin MAC, Linux o Unix.
Dos consideraciones son importante destacar: 1). recordar que el ancho de banda deber ser
apropiado para que la conexin tenga sentido. 2). normalmente los proveedores de Internet
(ISP) no bloquean los protocolos que se utilizan. Slo puede haber problemas en el caso de
que el usuario remoto trate de conectarse al VPN server (va Internet) desde dentro de una
red (un empleado visitando un cliente o proveedor) y deba pasar un firewall. Para este tipo
de situaciones, una solucin es un http-tunnel, como el propuesto en www.http-tunnel.com,
que permite llegar a Internet va el puerto 80 de http y entonces establecer el tnel VPN.
Una vez que el usuario remoto disca al nmero IP del servidor VPN se ingresa a la etapa
de autenticacin y autorizacin. Bsicamente: quin es usted?: Nombre de usuario y
password y luego, de qu modo lo autorizo a entrar en la red? (horario, protocolo). Toda
sta infraestructura deber ser configurada por el administrador para garantizar seguridad.
Segn el protocolo en uso y el SO en el servidor VPN y usuario remoto, existirn diferentes
modos de autenticar (passwords tradicionales, certificados de usuario, tokens o biomtrica).
Pagina n 32

Instituto Universitario de la Policia Federal Argentina

Finalmente, se deber decidir si se desea que el usuario remoto pueda acceder a la Intranet
o si se lo limitar a reas especficas. En la Fig. 1, por ejemplo, solamente se da acceso al
servidor de Exchange. Se puede implementar esta restriccin de diferentes modos: en el
Server VPN, en los routers, o en las workstations y servers usando IPSec y polticas
asociadas. En servidores VPN con W2K existe la posibilidad de usar Remote Access
Policies (RAP).

Pagina n 33

Instituto Universitario de la Policia Federal Argentina

Fig.1-VPN y Acceso Remoto

SITE-TO-SITE VPNs (VPNs entre sitios)

Site-to-site conecta la LAN de una empresa ubicada en un sitio remoto con otra LAN en
otra ubicacin, usando un link VPN a travs de Internet, reemplazando as lneas dedicadas
que en general son muy caras. Todo lo que se necesita es un servidor W2K en cada sitio
conectado a la LAN local. Este escenario no requiere autenticacin de usuario pero s deben

Pagina n 34

Instituto Universitario de la Policia Federal Argentina

autenticarse los servidores VPN entre s. Cuando se establece la conexin VPN, uno de los
servidores VPN asume el rol de cliente e inicia una conexin con otro servidor VPN.
Despus de establecida la conexin VPN, los usuarios de cada sitio puede conectarse a los
servidores como si estuvieran en la misma red local.
Cmo saben los servidores VPNs que el otro es autntico y no un impostor? De acuerdo
con el protocolo y el SO instalado en los servidores VPN, se puede basar la autenticacin
site-to-site en contraseas asociadas con cuentas de usuario creadas para cada servidor, en
llaves secretas pre-acordadas o en certificados para cada mquina emitidos por una
autoridad certificadora (CA, Certificate Authority).

Pagina n 35

Instituto Universitario de la Policia Federal Argentina

Fig. 2 - Site to site VPN

Los Protocolos usados en VPNs.

Pagina n 36

Instituto Universitario de la Policia Federal Argentina

Es importante conocer cules son los protocolos usados en VPNs y como se interrelacionan
con las diferentes autenticaciones posibles.
Cada una de las dos arquitecturas antes mencionadas soportan uno o ms protocolos para
establecer la VPN. Las posibilidades hoy son PPTP, L2TP/IPsec y IPsec Tnel.
Los distintos protocolos permiten diferentes algoritmos de enciptacin. A su vez diferentes
autenticaciones sern posibles en cada caso. IPsec y L2TP representan los protocolos ms
actuales y soportan autenticaciones que difieren en su nivel de riesgo. PPTP ha debido ser
corregido en las vulnerabilidades descubiertas por Counter Pane Sustems en 1998 y
representa an una opcin muy segura para requerimientos corporativos, siempre que se
implementen passwords fuertes (strong).

Seguridad en Redes Wireless (Inalambricas o por Radiofrecuencia)

Wired Equivalent Privacy (WEP)
WEP fue pensado para darle a una red wireless la seguridad que tienen las redes cableadas.
El proceso de encriptacin WEP requiere el uso de una clave esttica de 40 bits introducida
por el usuario. Como dicha clave ser utilizada para desencriptar el mensaje, es necesario
que sea introducida en cada dispositivo de la red. Con dicha clave y un vector de
inicializacin (V I) de 24 bits se obtiene una nueva clave de 64 bits (40 + 24) mediante un
algoritmo conocido como RC4. La informacin a transmitir se la combina con esta nueva
clave bajo la operacin lgica OR-Exclusive (XOR) obtenindose paquetes totalmente
encriptados. A esto se le concatena el VI (en texto claro) nuevamente y se enva por ondas
de radio toda esta trama. De esta manera, el dispositivo receptor recibe dicho VI y puede
mezclarlo con su clave esttica y generar la clave de 64 bits para desencriptar el mensaje.
El VI es generado por el transmisor y puede cambiar con cada paquete transmitido, de
modo que cada paquete nunca sea encriptado con la misma cifra.

Actuales tcnicas de seguridad

Pagina n 37

Instituto Universitario de la Policia Federal Argentina

Los problemas descriptos en lo referente a WEP han dado posibilidad al surgimiento de

diversas tcnicas de encriptacin, algunas de finales del ao 2003, con lo cual algunos
equipos anteriores debern ser reemplazados para aprovechar todos los beneficios de las
nuevas tcnicas. Algunos ya estn preparados de fbrica y slo ser necesaria una
actualizacin de su software. WEP planteaba una nica clave esttica que el administrador
deba cambiar, pues no lo hace por s sola. A pesar de poseer un mecanismo al parecer tan
cerrado, WEP ha sido probado como poco eficiente pues su clave RC4 es poco segura.
Las razones son varias, pero explicaremos slo algunas de ellas.
El primer ataque utiliza una vulnerabilidad detectada en la limitacin numrica del vector
de inicializacin. A causa de sus 24 bits de longitud, se pueden armar 16.777.216 valores
posibles (224). Mientras esto puede parecer mucho, tenga en cuenta que 16 millones de
paquetes se transmiten en unas pocas horas en una red con mucho trfico. Cada cierto
tiempo el algoritmo genera el mismo vector de inicializacin para ser reutilizado en la
encriptacin, por lo que mediante una escucha pasiva del trfico encriptado se puede
determinar la clave WEP dada su reiterada secuencia. Tenga en cuenta adems algo muy
simple: el VI viaja en texto claro (sin encriptar).
El segundo ataque se debe a la vulnerabilidad del algoritmo RC4 con ciertos vectores de
inicializacin conocidos como dbiles. Parece ser que ciertos nmeros entre 0 y 16.777.215
no trabajan bien en el mecanismo de encriptacin RC4. Cuando se los utiliza, los paquetes
mal encriptados pueden ser analizados matemticamente por funciones que revelan parte
del cdigo WEP. Capturando una gran cantidad de stos, un atacante puede comprometer la
seguridad de la red.
Un tercer problema yace en torno a la administracin de las claves. Si se decide usar WEP
de acuerdo al estndar 802.11b, se debe programar la misma clave WEP en cada dispositivo
cliente y access point. Si por alguna razn esta clave se encuentra comprometida (ya sea
por empleados despedidos, porque alguien la comunic por telfono, o porque simplemente
algn atacante pudo adivinarla) se deber reprogramar todo nuevamente en cada
dispositivo.

Pagina n 38

Instituto Universitario de la Policia Federal Argentina

Esto no parece ser tan complicado si la WLAN consta de pocos dispositivos. En cambio si
se trata de un campus universitario o de una gran empresa, el trabajo de cambiar las claves
se convierte en una terrible pesadilla. Reiteramos adems que la clave WEP es la misma
clave que se utiliza para codificar el modo de autenticacin por clave compartida, por lo
que vulnerar sta en la primera etapa significa que se encontrar ya vulnerada en el proceso
de encriptacin, no resultando conveniente la combinacin clave compartida WEP.

802.1X
Si bien este estndar naci para las redes cableadas, pronto fue adoptado por la industria de
las WLAN y su uso se masific. 802.1X utiliza el Protocolo de Autenticacin Extensible
(EAP) y un servidor RADIUS para autenticar usuarios y distribuir las claves. Esta opcin
es ms bien empresarial y no hogarea aunque nada impide que dispongamos de un
servidor RADIUS en nuestro hogar o pequea oficina.
RADIUS (Remote Authentication Dial-In User Service) es un servidor destinado a la
autenticacin y acreditacin de usuarios que se conectan a una red. Su origen reside en los
proveedores de Internet. Cuando nos conectamos a uno de ellos, debemos ingresar nuestro
nombre de usuario y contrasea, el servidor contrasta dicha informacin con la que posee
de antemano y si coinciden, lograremos conectarnos.
WEP regula el acceso a la red a travs de direcciones MAC, mientras que EAP provee una
infraestructura que permite a los usuarios autenticarse frente a un servidor central basado en
claves pblicas. El servidor le pide al ACCESS POINT una prueba de identidad la cual
obtiene del usuario, acto seguido el ACCESS POINT se la enva al servidor. Cuando el
servidor prueba la identidad del cliente, enva a ste y al ACCESS POINT la clave,
cerrando una relacin de confianza entre ambos.
stas tcnicas aseguran tambin que las nuevas claves de encriptacin sean generadas y
distribuidas frecuentemente. Esto se conoce como distribucin de clave dinmica, un

Pagina n 39

Instituto Universitario de la Policia Federal Argentina

elemento esencial para obtener una buena solucin de seguridad. Al expirar rpidamente el
tiempo de uso de una clave, dado su constante cambio, hace que los atacantes tengan menos
tiempo para recoger datos y deducir la clave. Existen actualmente una cantidad de variantes
de EAP las cuales se encuentran en estudio para su probable incorporacin dentro del
estndar.

Service Set Identifier (SSID)

Es un parmetro utilizado para diferenciar una red de otra. Inicialmente los ACCESS
POINTS lo traen configurado por defecto segn su marca comercial. Por ejemplo, todos los
ACCESS POINTS Cisco vienen configurados como Tsunami. El hecho de no cambiar el
SSID por defecto hace que la red sea mucho ms fcil de detectar. Otro error muy comn es
asignarle nombres significativos como el nombre de la empresa o el departamento al que
pertenece el ACCESS POINT o algn nombre igualmente adivinable. El SSID debera de
ser creado con las mismas reglas para la creacin de passwords, es decir, poseer cierta
cantidad de caracteres como mnimo, incluir caracteres alfanumricos y simblicos y no
contener nombres fcilmente adivinables, etc.
Por defecto el ACCESS POINT difunde el SSID varias veces por segundos. La ventaja de
esto es que los usuarios autorizados encuentran con facilidad la red, pero tambin la
encuentran aquellos que no lo son. Este rasgo es lo que permite a las WLAN ser detectadas
por la mayora del software de deteccin sin conocer su SSID. La forma en que los
ACCESS POINTS dan a conocer el SSID es a travs de la publicacin al aire de
informacin como si se tratara de una especie de faro o baliza por lo que dicha informacin
se la conoce como tramas beacon (del ingls, baliza, faro).
Si de seguridad de la informacin se trata, habitualmente se llevan a cabo dos procesos o
tcnicas que, en conjunto, minimizan el riesgo de ingreso ilegal a una red. Los dos procesos
son autenticacin y encriptacin. Autenticacin se refiere al hecho de verificar la identidad
del usuario para comprobar que se trata efectivamente de quin dice ser. Por encriptacin se

Pagina n 40

Instituto Universitario de la Policia Federal Argentina

entiende que es el hecho de desmenuzar y disfrazar la informacin para que su lectura

resulte incomprensible a aquel que no es el destinatario del mensaje.

Redes privadas virtuales (VPN)

Si bien las VPN han sido utilizadas desde 1990 en redes cableadas para asegurar las
comunicaciones entre usuarios remotos y sus redes corporativas a travs de Internet, su
funcionalidad puede ser adaptada a las WLAN. Esta tcnica provee una especie de tnel
donde los datos viajan totalmente encriptados desde un sitio hasta el otro. Generalmente el
ACCESS POINT se ubica por detrs del gateway VPN, por lo que los datos viajan
encriptados an desde la PC al ACCESS POINT.

Introduccin
En 1999 el Standard 802.11b fue aprobado por el IEEE (Instituto de Ingenieros Elctricos y
Electrnicos). As nacen las WLANs (Greles LANs (Local Area Networks)). Las
computadoras podan interconectarse en red con un buen ancho de banda sin tener que estar
conectadas por cables. Surgi la posibilidad de conectar mltiples computadoras en el
hogar compartiendo una conexin a Internet comn. O juegos en red que podan realizarse
sin necesidad de cables y conexiones costosas y complicadas. En la empresa la
conectividad greles y la aparicin de dispositivos ms reducidos permitan estar en
reuniones o seminarios y an poder estar realizando tareas como si estuvisemos sentados
en nuestro escritorio. Surgi una era de elegancia del trabajo en red donde con una
laptop y desde cualquier lugar es posible acceder a los recursos informticos de la empresa
o Internet.
Pero qu sucede con la seguridad y los riesgos de esta nueva tecnologa wireless
(inalmbrica). Algunos de estos riesgos son similares a aquellos en redes por cables.
Algunos estn magnificados bajo una tecnologa wireless. Algunos son nuevos. Quizs la
fuente de riesgo ms significativa en una red inalmbrica sea el hecho de que el medio
sostn de las comunicaciones, ondas electromagnticas en el aire, estn disponibles para

Pagina n 41

Instituto Universitario de la Policia Federal Argentina

los intrusos, siendo equivalente a tener puertos Ethernet disponibles a cualquiera en nuestra
vereda.
Las comunicaciones inalmbricas son posibles gracias a las ondas electromagnticas que
pueden desplazarse a gran velocidad por el aire e incluso por el vaco. Estas ondas no son ni
ms ni menos que campos elctricos y magnticos que oscilan en cuadratura, es decir
perpendiculares entre s, a una frecuencia dada. Por frecuencia entendemos que lo hacen
con cierta regularidad, una cierta cantidad de veces por segundo y siempre de la misma
manera. Por ejemplo, si nos remitimos a una estacin emisora de radio FM, sta transmite
a una cierta frecuencia, digamos 105.5 MHz (se lee Mega Hertz). Su antena transmite y la
nuestra recibe campos electromagnticos que oscilan a razn de 105,5 millones de veces
en un segundo!
Este ejemplo es para que Ud. tenga una idea de lo que sucede en el aire. Pero resulta que las
redes inalmbricas que comunican datos tienen asignadas bandas de frecuencias diferentes
a las de la radio comercial AM y FM. Estas bandas son licenciadas y las emisoras deben
pagar por su uso. Las redes inalmbricas hogareas o empresariales tienen asignadas la
banda de microondas, banda en la que operan, entre otras cosas, los hornos a microondas y
algunos telfonos inalmbricos. Esta banda es de uso libre por lo que se desarrollaron
diferentes tcnicas para minimizar la interferencia de las redes con otros dispositivos que
operan libremente en dicha banda. Dentro de esta gama de frecuencias una muy tpica es la
de 2,4 GHz (Giga Hertz) cuyos campos oscilan a razn de 2.400 millones de veces por
segundo en todas las direcciones.
Una red local inalmbrica o WLAN (del ingls, Wireless Local Area Network) tiene dos
modos posibles de comunicacin entre los dispositivos:

ad hoc o de par a par, donde un dispositivo se comunica directamente con otro

de su misma especie sin la intervencin de un dispositivo central.

Figura 1.

de infraestructura, donde la comunicacin entre dispositivos se realiza a travs

de un equipo central concentrador de datos conocido como access point o punto

Pagina n 42

Instituto Universitario de la Policia Federal Argentina

de acceso que generalmente est conectado a una red cableada como Internet o
una red corporativa. Figura 2.

Tipo de autenticacin
Antes de que cualquier otra comunicacin se lleve a cabo entre un cliente wireless y un
ACCESS POINT, ellos comienzan un dilogo. Este proceso se conoce como asociacin.
Posterior a esto existe una etapa de autenticacin donde el cliente debe acreditarse frente al
ACCESS POINT y ste debe asegurarse de que aquel es quin dice ser. Esto agrega una
proteccin extra frente al mero uso de SSID. La autenticacin puede ser de dos tipos:

autenticacin abierta.

autenticacin de clave compartida.

La ms simple y por defecto es la autenticacin abierta donde cualquiera puede iniciar una
conversacin con el ACCESS POINT pues no provee seguridad alguna. Cuando se utiliza
autenticacin de clave compartida, el cliente le enva al ACCESS POINT una solicitud de
asociacin, acto seguido el ACCESS POINT le contesta envindole una cadena de texto de
desafo que el cliente debe encriptar y devolver. Si el texto fue encriptado correctamente, al
cliente se le permite comunicarse con el ACCESS POINT pudiendo pasar a la prxima
etapa de seguridad. La debilidad de esta etapa reside en el envo por parte del ACCESS
POINT de la cadena de texto en forma plana (sin encriptar). Si un atacante conoce la
cadena de texto plano y la cadena despus de haber sido encriptada, puede fcilmente
conocer la clave compartida. Como veremos a continuacin, WEP y la autenticacin de
clave compartida utilizan la misma clave para encriptar, de esta manera queda
comprometida la seguridad pues un atacante podra descifrar todo el trfico a y desde el
ACCESS POINT. Irnicamente conviene configurar el modo de autenticacin como abierto
y dejar que cualquiera acceda al ACCESS POINT, recayendo en otros mtodos que
manejen la seguridad. A pesar de que remover una etapa de seguridad pueda parecer
contradictorio, esta capa en particular entorpece la seguridad ms de lo que ayuda.

Pagina n 43

Instituto Universitario de la Policia Federal Argentina

Si nos remitimos a la etapa de encriptacin, existen diferentes tcnicas, algunas del

momento en que surgi el estndar y otras actuales.

Filtrado de direcciones MAC

Otro mtodo a tener en cuenta es el filtrado de direcciones MAC. Toda placa de red posee
un nmero de identificacin que la hace nica frente a cualquier otra placa del mundo. ste
consta de 48 bits expresados en forma hexadecimal divididos en dos grupos, 24 bits que
identifican al fabricante y los 24 bits restantes que identifican al producto de dicho
fabricante. A causa de que cada placa de red posee su direccin individual, se podra limitar
el acceso hacia el ACCESS POINT a slo aquellas direcciones MAC de dispositivos
autorizados y bloquear el resto.
El primer inconveniente reside en la administracin de direcciones. El administrador de la
red debe mantener una suerte de base de datos de cada dispositivo permitido. Esta base de
datos debe ser mantenida en cada ACCESS POINT individualmente o en un servidor
RADIUS al que cada ACCESS POINT tenga acceso. Cada vez que se agregue o remueva
un dispositivo, el administrador debe actualizar dicha base de datos. Hacer esto en una red
pequea es un trabajo poco tedioso pero hacerlo en una donde la cantidad de dispositivos
ascienda a ms de cien o incluso ms de mil no es una solucin prctica.
Sin embargo el filtrado de direcciones MAC es fcil vencerlo si se tienen las herramientas
correctas. Utilizando un software de sniffing, un atacante puede monitorear el trfico que
circula por la red y fcilmente escoger del aire las direcciones MAC de usuarios
autorizados y validarse como tales enviando tramas idnticas a las robadas. Reiteramos que
para redes pequeas, el filtrado de direcciones MAC se presenta como una alternativa
viable mientras que para redes grandes no justifica semejante administracin.
Se puede combinar el filtrado MAC con el filtrado de direcciones IP basado en la creacin
de listas de acceso, especificando qu direcciones y qu puertos asociados tendrn
autorizacin de ingreso. Incluso ciertos modelos poseen filtros de determinados sitios web.

Pagina n 44

Instituto Universitario de la Policia Federal Argentina

Todo esto es actualmente de fcil implementacin pues los access point actuales poseen
funciones de firewall incorporado.

Medidas bsicas de seguridad

Existen una serie de medidas bsicas a implementar para lograr una red un poco ms difcil
de penetrar. A pesar de que no existe una red completamente segura, lo que se trata de
lograr es una red con la mxima seguridad posible.

WEP de 128 bits

La empresa Lucent tambin fue pionera en el desarrollo de una clave WEP de 128 bits
denominada WEP Plus. Esto incrementa de 40 bits a 104 bits la clave a lo que hay que
sumarle los 24 bits del vector de inicializacin, resultando 128 bits totales. Esto llevara
muchsimo ms tiempo determinar la clave mediante un ataque por fuerza bruta. Sin
embargo todava existen inconvenientes con el uso de 128 bits. Aunque se utilicen 128 bits
(104 de clave + 24 de VI) en vez de 64 bits (40 de clave + 24 de VI), la longitud del vector
de inicializacin sigue siendo la misma, y sta la causa de la vulnerabilidad. Actualmente se
encuentran disponibles claves de 192 bits y de 256 bits. En la figura 4, en su parte inferior
veamos que se pueden ingresar hasta 4 claves de 26 dgitos hexadecimales (104 bits) cada
una, pues se encuentra habilitado el modo WEP de 128 bits. A eso, el mecanismo de
encriptacin WEP le adiciona el vector de inicializacin de 24 bits, resultando los 128 bits
totales. Se debe especificar en cada cliente wireless, cul de las 4 claves deber utilizar e
ingresarla manualmente.

Conclusiones
Si bien la seguridad al 100% no existe, todas las medidas que tomemos ayudarn a
minimizar los riesgos. A continuacin brindaremos una serie de consejos prcticos
generales que pueden ajustarse a la mayora de los casos.

Pagina n 45

Instituto Universitario de la Policia Federal Argentina

De ser posible, debemos colocar nuestra WLAN detrs de un firewall si el ACCESS POINT
no incorpora funciones de tal.
Debemos escoger un SSID que no sea fcil de adivinar por el atacante, nombres largos con
caracteres alfanumricos y simblicos alternados y, por supuesto, siempre en nuestra
memoria, nunca anotado en un papelito colgado del ACCESS POINT.
Debemos habilitar WEP si no tenemos una opcin de mayor seguridad como WPA. Muchos
ACCESS POINT requieren por defecto que el modo de autenticacin sea por clave
compartida si se habilita WEP.
Debe colocar su red en modo cerrado, es decir asignando un tiempo grande a la emisin
del SSID por parte del ACCESS POINT.
Si elige WEP y su dispositivo lo permite, elija claves de la mayor cantidad de dgitos
posible. Establezca filtrado MAC e IP si es posible.
Si opta por WPA, recuerde que el modo de autenticacin est basado en un servidor central
al que el ACCESS POINT tiene acceso (servidor RADIUS), de nada sirve filtrar
direcciones MAC localmente.
Si bien hemos hecho uso de adaptadores de red y ACCESS POINTS de empresas en
particular, las configuraciones pueden ser igualmente hechas en forma similar en
dispositivos de otras marcas y/o modelos.

Rotacin de claves
La rotacin de la clave es otro mtodo que ayuda contra los defectos en WEP. En la
especificacin 802.11b existen dos claves WEP. Una es para encriptar el flujo de datos entre
el ACCESS POINT y los clientes wireless, la otra es para encriptar la difusin de mensajes
de broadcast tales como DHCP o peticiones ARP. A causa de que esta clave es idntica a la
clave esttica WEP, la empresa Cisco introdujo la idea de que sea generada dinmicamente
y que posea una vida corta. Esta caracterstica no requiere una instalacin extra pues es de
muy fcil implementacin. El administrador debe especificar en el ACCESS POINT una
cantidad de tiempo, en segundos, y cada vez que se inicialice el contador dicho ACCESS
POINT difundir una nueva clave pero encriptndola con la vieja! Con estos parmetros
no habr el tiempo suficiente para que un atacante pueda interceptar una determinada

Pagina n 46

Instituto Universitario de la Policia Federal Argentina

cantidad de paquetes necesaria para corromper la clave. Este mtodo representa slo una
parte del plan de seguridad.
Las especificaciones para el armado de una WLAN fueron establecidas en 1999 por el
IEEE bajo el estndar 802.11. Uno de los estndares utilizados hoy en da es el 802.11b
que, entre tantas cosas, define una frecuencia de trabajo de 2,4 GHz, una distancia operativa
que ronda los 100 metros y una tasa de transferencia de datos de 11 Mbps (mega bits por
segundo). El estndar IEEE 802.11 y sus variantes a, b, g, h son conocidos como Wi-Fi por
Wireless Fidelity (Fidelidad inalmbrica).
El modelo de infraestructura es el ms utilizado a causa de que se implementa toda la
seguridad en torno al dispositivo central o access point. El estndar define 15 canales que
pueden ser utilizados para realizar la comunicacin. Cada placa de red ubicada en cada
computadora rastrea cada uno de los 15 canales en busca de una WLAN. Tan pronto como
los parmetros configurados en el cliente y en access point coincidan, stos iniciarn la
comunicacin y la computadora cliente pasar a formar parte de la red. Los canales son
rastreados por la placa de red y configurados en el access point. Algunos modelos slo
permiten el uso de 11 canales nicamente.

WPA
WPA, contraccin de Wi-Fi Protected Access, es un estndar Wi-Fi diseado para mejorar
la encriptacin de WEP. Fue contemplado como una solucin de seguridad que no requiera
de hardware adicional sino que presente como una solucin actualizable va software.
Diseado para contemplar las funcionalidades de 802.1X y EAP, pero agregndole mejoras
como ser un nuevo esquema de encriptacin y de distribucin de claves, WPA utiliza un
protocolo de integridad de clave temporal TKIP (Temporal Key Integrity Protocol) que
produce una clave temporal de 128 bits para encriptar los datos. Otros estndares como
AES utilizan algoritmos matemticos similares pero que no son completamente
compatibles con los dispositivos certificados, por lo que habra que adquirir nuevo
hardware

Pagina n 47

Instituto Universitario de la Policia Federal Argentina

Seguridad
Es muy evidente que si las ondas electromagnticas se propagan en todas las direcciones
pudiendo atravesar obstculos como paredes, puertas y ventanas, la seguridad de nuestra
empresa se ver seriamente comprometida.
Actualmente la empresa inglesa BAE Systems se encuentra desarrollando una cobertura
para paredes capaz de filtrar las frecuencias que utiliza Wi-Fi dejando pasar aquellas
destinadas a radio y comunicaciones celulares. El material, una suerte de capa de cobre
sobre un polmero llamado Kapton, posee el mismo tratamiento que los circuitos impresos
y hasta ahora era utilizado en aviones de combate. El panel tendr un espesor de 50 a 100
micrones (milsimas de milmetro) y podr ser aplicado a la mayora de las superficies
incluso vidrio. Aunque an no se encuentra a la venta, la compaa asegura que no costar
caro y lo comercializar a travs de sus subsidiarias.
sta es una forma de evitar que el trfico de nuestra empresa sea visto desde el exterior de
la misma. Pero incluso existen otras tcnicas que ayudan a que la informacin sea un poco
ms difcil sino imposible de ser accedida desde el exterior. Imagnese que cualquier
persona podra estar interceptando informacin desde la calle con una simple notebook
adaptada con Wi-Fi, tiempo y voluntad y estar robndole los datos de su clave bancaria
mientras Ud. confa en que su sistema es seguro? A este tipo de hacking se lo llama
Wardriving.

Closed Network
Uno de los primeros intentos por encauzar la inseguridad de las redes inalmbricas fue
desarrollado por la empresa Lucent para su propio equipamiento. Haban desarrollado lo
que llamaban una red cerrada que difera de las redes estndar 802.11b en que los access
points no difundan peridicamente las tramas que componen el SSID (beacon) sino cada
una cantidad prefijada de tiempo mayor que en las redes estndar. A pesar de que el SSID
es todava transmitido en el aire en texto plano (sin encriptar), el hecho de retransmitirlo
cada una cantidad de tiempo mayor hace que sea ms difcil encontrar la red. Muchos de
los clientes wireless actuales permiten el ingreso manual del SSID, medida un poco ms

Pagina n 48

Instituto Universitario de la Policia Federal Argentina

segura que el simple proceso automtico de exploracin. Si bien esta tcnica no resulta
persuasiva frente a un ataque planificado, protege la red contra atacantes casuales.

Bibliografia:
Los datos presentados en este trabajo, son una recopilacion de notas que fueron publicadas
en la revista Argentina de IT NEX IT SPECIALIST

Pagina n 49