En el ámbito de la seguridad de las redes WLAN aparecen multitud de acrónimos que vienen a identificar otros tantos protocolos, algunos de los cuales deben resultar familiares a los administradores de estas redes. EAP ( Extensible Authentication Protocol), LEAP (Lightweight EAP), WEP (Wireless Encryption Protocol o Wired Equivalent Privacy ), TKIP (Temporal Key Integrity Protocol) o WPA (Wi-Fi Protected Access) son algunos de los más conocidos y constituyen, en definitiva, eficaces herramientas capaces de proporcionarnos en cierta medida la seguridad pretendida.

Para conseguir la fiabilidad que necesitamos en una red inalámbrica debemos contemplar al menos dos factores esenciales: por un lado decidiremos quién debe tener acceso a nuestra WLAN (objetivo resuelto por los mecanismos de autenticación) y, por otro, nos preocuparemos de evitar que nuestros datos puedan ser leídos por cualquiera que sea capaz de acceder al canal (algo que subsanan los algoritmos de cifrado).

El estándar 802.11 preserva la privacidad de los datos transferidos gracias al algoritmo WEP (basado en el método simétrico de cifrado RC4). Además, estipula dos mecanismos de identificación de clientes netamente diferenciados: autenticación abierta (Open authentication) y por clave compartida (Shared key authentication). Algunos fabricantes de hardware ofrecen a sus clientes métodos alternativos de identificación, como autenticación por las direcciones MAC. No obstante, todas estas medidas de seguridad no garantizan que nuestra red inalámbrica sea absolutamente segura, de hecho, todos y cada uno de los mecanismos que hemos mencionado padecen vulnerabilidades que han sido perfectamente documentadas y que han obligado al IEEE a definir un nuevo estándar en el que se han llevado a cabo importantes mejoras en lo que concierne tanto a la autenticación como al cifrado: 802.11i.

La seguridad es un aspecto que cobra especial relevancia cuando hablamos de redes inalámbricas. Para tener acceso a una red cableada es imprescindible una conexión física al cable de la red. Sin embargo, en una red inalámbrica desplegada en una oficina un tercero podría acceder a la red sin ni siquiera estar ubicado en las dependencias de la empresa, bastaría con que estuviese en un lugar próximo donde le llegase la señal. Es más, en el caso de un ataque pasivo, donde sólo se escucha la información, ni siquiera se dejan huellas que posibiliten una identificación posterior.

PREOCUPACIONES EN CUANTO A LA SEGURIDAD DE LAS LAN INALÁMBRICAS

A pesar de todas estas ventajas, una serie de preocupaciones acerca de la seguridad de las WLAN ha frenado su adopción, sobre todo en los sectores más conscientes de la importancia de la seguridad, como son el de las finanzas o los gubernamentales. Aunque parece obvio el riesgo que supone transmitir sin proteger los datos de una red a cualquiera que se encuentre en las cercanías, existe un número sorprendente de WLAN que se han instalado sin ninguna característica de seguridad activada. La mayoría de las empresas han implementado algún tipo de seguridad inalámbrica; no obstante, suele tratarse de características básicas de primera generación, que no ofrecen una protección adecuada según los estándares actuales.

Cuando se desarrollaron los primeros estándares para WLAN, IEEE 802.11, la seguridad no constituía un tema tan preocupante como lo es hoy. El nivel y la sofisticación de las amenazas era muy inferior y la adopción de la tecnología inalámbrica estaba todavía dando sus primeros pasos. Es, en ese momento, cuando surge el esquema de la seguridad de las WLAN de primera generación, conocido como privacidad equivalente por cable (WEP). La WEP subestimó las medidas necesarias para "igualar" la seguridad del aire a la seguridad del cable. En contraposición, los métodos de seguridad de WLAN modernos se diseñaron para trabajar en un entorno hostil como el aire donde no existen unos perímetros físicos o de red claros.

Es importante distinguir entre la WEP estática de primera generación (que utiliza una contraseña compartida para proteger la red) y los esquemas de seguridad que utilizan el cifrado WEP junto con una administración de claves de cifrado y una autenticación segura. El primero es un esquema de seguridad completo que incluye autenticación y protección de datos y que, en este documento, se denomina "WEP estática". Por otra parte, la WEP dinámica, define sólo el cifrado de datos y el método de integridad empleado como parte de soluciones más seguras que se describirán más adelante en este mismo documento.

Los puntos débiles de seguridad descubiertos en la WEP estática implican que las WLAN protegidas por ella son vulnerables a diversos tipos de amenazas. Las herramientas de "auditoría" disponibles de forma gratuita, como Airsnort y WEPCrack, logran que sea posible introducirse con facilidad en redes inalámbricas protegidas por WEP estáticas. Las WLAN que no han sido protegidas se encuentran expuestas obviamente a las mismas amenazas también; la diferencia radica en que se precisan menos conocimientos, tiempo y recursos para llevar a cabo los ataques.

Antes de ver cómo funcionan las soluciones de seguridad de las WLAN modernas, merece la pena revisar las principales amenazas a las que se enfrentan las WLAN. Estas amenazas se resumen en la tabla siguiente:

Las preocupaciones sobre seguridad en las WLAN, centradas en la WEP estática, han recibido mucha atención por parte de los medios. A pesar del hecho de que existen buenas soluciones de seguridad para combatir estas amenazas, organizaciones de distintos tamaños recelan de las WLAN. Muchas de ellas han detenido su implementación o han prohibido el uso de la tecnología de WLAN por completo. A continuación, se enumeran algunos factores que contribuyen a difundir esta confusión y el error extendido de que las WLAN y la inseguridad de las redes van de la mano:

- Existe una incertidumbre generalizada acerca de qué tecnología WLAN es segura y cuál no lo es. Las empresas desconfían de todas las medidas de seguridad de WLAN después de la serie de defectos encontrados en las WEP estáticas. La desconcertante lista de estándares oficiales y soluciones de propiedad que dicen solucionar los problemas ha ayudado muy poco a aclarar la confusión.

- Inalámbrica equivale a invisible. Para los administradores de la seguridad de la red, no se trata sólo de una cuestión perturbadora desde un punto de vista psicológico, sino que plantea un problema de administración de la seguridad real. Mientras que es posible ver cómo un intruso conecta un cable a una red convencional, la intrusión en las WLAN es mucho menos tangible. Las tradicionales paredes y puertas de defensa física de la seguridad, que ayudan a proteger la red con cable, no constituyen protección frente a un atacante "inalámbrico".

- En la actualidad se tiene una mayor conciencia de la necesidad de proteger la información. Las empresas demandan niveles de seguridad mucho mayores para sus sistemas y desconfían de cualquier tecnología que conlleve vulnerabilidades de la seguridad.

- Como corolario de esta creciente toma de conciencia de la seguridad, existe una serie de requisitos legales y normativos que rigen la seguridad de los datos en un número de países y sectores de la industria que sigue en aumento. Uno de los mejores ejemplos que se conocen de este fenómeno es la Ley de portabilidad y responsabilidad de seguros de salud (HIPAA) de 1996, que regula el manejo de historiales sanitarios personales en Estados Unidos.

PROTECCIÓN REAL DE LA WLAN

Desde el descubrimiento de las vulnerabilidades de seguridad de las WLAN que se han descrito hasta el momento, los principales proveedores de redes, los organismos reguladores y los analistas han centrado gran parte de sus esfuerzos en encontrar soluciones para hacer frente a estos problemas. De esta forma, se han generado una serie de respuestas a las preocupaciones sobre la seguridad de las WLAN. Las principales opciones son:

- No implementar tecnología de WLAN.

- Mantenerse fiel a la seguridad WEP estática 802.11.

- Utilizar VPN para proteger los datos de la WLAN.

- Utilizar IPSec para proteger el tráfico de la WLAN.

- Utilizar la autenticación 802.1X y el cifrado de datos para proteger la WLAN.

Estas estrategias se detallan en orden de menor a mayor grado de satisfacción, basándose en una combinación de seguridad, funcionalidad y aprovechamiento; aunque, hasta cierto punto, se trata de un juicio subjetivo. La opción recomendada por Microsoft es la última: utilizar la autenticación 802.1X y el cifrado de WLAN. Este enfoque se tratará en la siguiente sección y entonces, se evaluará con respecto a la lista de las principales amenazas de WLAN que se han identificado con anterioridad (tabla 1). Las principales ventajas e inconvenientes de los demás enfoques también se abordarán más adelante en este documento, después de esta sección.

COMPRENSIÓN DE LA SEGURIDAD DE WLAN

La protección de una WLAN implica tres elementos fundamentales:

- Autenticación del usuario (o dispositivo) que se conecta a la red, de manera que se tenga un elevado grado de confianza en quién o qué está intentando conectarse.

- Autorización del usuario o dispositivo que va a utilizar la WLAN para poder controlar quién obtiene acceso a ella.

- Protección de los datos transmitidos en la red de manera que estén a salvo de interceptaciones y modificaciones no autorizadas.

Es posible que precise también una función de auditoría junto con estas opciones, aunque la auditoría es principalmente una manera de comprobar y reforzar estos otros tres elementos.

AUTENTICACIÓN Y AUTORIZACIÓN DE LA RED

La seguridad WEP estática se basa en un mero secreto compartido (clave o contraseña) para la autenticación en la WLAN. Todo el que posea esta clave secreta podrá contar con acceso a la WLAN. La WEP estándar original no proporciona ningún método para automatizar la actualización o distribución de estas claves; por lo tanto, resulta extremadamente difícil cambiarlas con regularidad. Los defectos de cifrado en la WEP implican que un atacante puede descubrir las claves WEP estáticas mediante herramientas sencillas.

Con el fin de proporcionar un método más sólido de autenticación y autorización, Microsoft y una serie de proveedores han propuesto un marco de seguridad de WLAN mediante el protocolo 802.1X. 802.1X es un estándar del IEEE para realizar la autenticación del acceso a una red y, si se desea, administrar las claves utilizadas para proteger el tráfico. Su uso no se limita a las redes inalámbricas y, de hecho, también se implementan en muchos conmutadores de LAN de categoría superior.

El protocolo 802.1X implica al usuario de la red, un dispositivo de acceso a la red (o puerta de enlace) como un punto de acceso inalámbrico y un servicio de autenticación y autorización en forma de servidor RADIUS (Servicio de usuario de acceso telefónico de autenticación remota). El servidor RADIUS desempeña la labor de autenticar las credenciales de los usuarios y de autorizar el acceso de éstos a la WLAN.

1X se basa en un protocolo IETF denominado "protocolo de autenticación extensible" (EAP) para llevar a cabo la comunicación de autenticación entre el cliente y el servidor RADIUS (transmitida por el punto de acceso). EAP es un protocolo general para la autenticación que admite diversos métodos de autenticación, basados en contraseñas, certificados digitales o bien otros tipos de credenciales.

Puesto que EAP es un método de autenticación conectable, no existe un único tipo de autenticación estándar EAP que se pueda utilizar. Distintos métodos de EAP, con distintos tipos de credenciales y protocolos de autenticación, pueden resultar apropiados en distintas circunstancias. La utilización de métodos de EAP en la autenticación de WLAN se tratará en una sección más adelante.

PROTECCIÓN DE DATOS DE WLAN

La autenticación y el acceso a la red 1X constituyen sólo una parte de la solución. El otro componente significativo es la protección del tráfico de redes inalámbricas.

Los defectos del cifrado de datos WEP descritos con anterioridad se podrían haber mejorado si la WEP estática hubiera incluido un método para actualizar automáticamente las claves de cifrado con regularidad. Las herramientas para descifrar la WEP estática precisan recopilar entre uno y diez millones de paquetes cifrados con la misma clave. Dado que las claves WEP estáticas permanecen invariables a menudo durante semanas o meses, suele ser fácil para un atacante recopilar esa cantidad de datos. Puesto que todos los equipos de una WLAN comparten la misma clave estática, las transmisiones de datos desde todos los equipos de la WLAN pueden cosecharse para ayudarle a descubrir la clave.

Al utilizar una solución basada en 802.1X, se permite que las claves de cifrado se modifiquen con frecuencia. Como parte del proceso de autenticación segura 802.1X, el método de EAP genera una clave de cifrado que es exclusiva de cada cliente. Para evitar los ataques de descifrado WEP (descritos previamente), el servidor RADIUS fuerza con regularidad la generación de claves de cifrado nuevas. Esto permite que se empleen algoritmos de cifrado WEP (encontrados en la mayoría del hardware de WLAN actual) de una manera mucho más segura.

OTROS ENFOQUES PARA LA SEGURIDAD DE WLAN

En la sección anterior se trató la autenticación 802.1X con la protección de datos de WLAN con más detenimiento. En esta sección se describirán las cuatro alternativas a la seguridad de WLAN citadas con anterioridad (al comienzo de la sección "Protección real de la WLAN").

Los otros cuatro enfoques enumerados eran:

- No implementar tecnología de WLAN.

- Mantenerse fiel a la seguridad WEP estática 802.11.

- Utilizar VPN para proteger los datos de la WLAN.

- Utilizar IPSec para proteger el tráfico de la WLAN.

Los factores diferenciadores más importantes entre estos enfoques y una solución basada en 802.1X se resumen en la siguiente tabla (aunque la opción "Sin WLAN" no se incluye puesto que no se puede comparar directamente con las demás). Estas opciones se abordan con más detalle en las secciones siguientes.

(1) Muchas implementaciones de VPN que utilizan el modo de túnel IPSec emplean un esquema de autenticación de clave compartida débil, conocido como XAuth.

(2) La autenticación de equipo se refiere a que el equipo permanecerá conectado a la WLAN y a la red corporativa incluso si no hay ningún usuario que haya iniciado la sesión en el equipo. Esta capacidad es necesaria para que las siguientes funciones de dominio de Windows actúen correctamente.

El estándar IEEE 802.11 contiene varias características de seguridad, tales como los modos de autentificación del sistema abierto y de llave compartida, el Identificador del Juego de Servicios (Service Set Identifier-SSID), y el Equivalente a Privacidad Cableada (Wired Equivalent Privacy-WEP). Cada una de estas características provee diferentes grados de seguridad que serán revisados a continuación. También se revisa información de cómo las antenas RF pueden ser usadas para limitar, y en algunas instancias darle forma a la propagación WM.

Navegar la sopa de letras de la Red de Área Local Inalámbrica (WLAN) puede ser atemorizante. Refiérase a la siguiente lista de términos muy similares, a menudo no relacionados entre si, utilizados para describir los variados estándares y protocolos de seguridad utilizados en la industria de la WLAN. Algunas definiciones comprenden importantes interdependencias entre unos y otros.

- 802.11 del IEEE: La familia de estándares del Instituto de Ingeniería Eléctrica y Electrónica (IEEE) para las redes WLAN, la cual fue por primera vez introducido en 1997. El 802.11b es un estándar endosado y bajo registro de marca Wi-Fi por la Alianza Wi-Fi.

- 802.1X del IEEE: Un estándar de seguridad que se caracteriza por tener una estructura de autenticación basada en puerto y una distribución dinámica de llaves de sesión para encriptación WEP. Se requiere de un servidor RADIUS.

- 802.11i del IEEE: Un venidero estándar de seguridad que el IEEE está actualmente desarrollando; se caracteriza por las protecciones de autenticación 802.1X y agrega el estándar de encriptación de avance (AES)1 para la protección de encriptación junto a otras mejoras.

WPA: El Acceso Protegido Wi-Fi (WPA) es un estándar de seguridad de la Alianza Wi-Fi que resuelve los inconvenientes de la encriptación de la Privacidad Equivalente Cableada (WEP), utilizando el Protocolo de Integridad de Llave temporal (TKIP), el cual se envuelve alrededor de la WEP y cierra sus hoyos de seguridad. El Acceso Protegido Wi-Fi (WPA), incluye además los beneficios de autenticación del estándar 802.1X.

- EAP2: El Protocolo de Autenticación Extensible (EAP) es un protocolo punto a punto que soporta métodos de autenticación múltiples. El soporte para los tipos de EAP depende del OS que se soporta.

- TKIP: El Protocolo de Integridad de Llave Temporal es utilizado por los estándares 802.1X y WPA para autenticar. Diseñado por los mejores criptógrafos ofrece un recubrimiento alrededor de la WEP, cerrando los hoyos de seguridad de la misma.

- WEP: La Privacidad Equivalente Cableada (WEP) es el protocolo de seguridad 802.11 original para las redes inalámbricas.

- VPN3: La Tecnología de la Red Privada Virtual (VPN) ofrece protección WLAN adicional importante para datos criticos. La red privada virtual (VPN) protege una WLAN creando un túnel que resguarda los datos del mundo exterior.

- RADIUS4: El Servicio al Usuario de Marcado de Autenticación Remota (RADIUS) es un servidor de punto final que desempeña la autenticación utilizando el Protocolo de Autenticación Extensible (EAP). Este es un requerimiento del estándar de seguridad 802.1X del IEEE.

La especificación 802.11 del IEEE original utilizó tres mecanismos para proteger las redes LAN inalámbricas.

- El Identificador Fijo del Servicio (SSID) es una simple contraseña que identifica la WLAN. Los clientes deben estar configurados con el SSID correcto para acceder su WLAN.
- El Control de Acceso al Medio (MAC) direcciona el filtrado que restringe el acceso WLAN a aquellas computadoras que se encuentran en la lista creada por usted para cada punto de acceso en su WLAN.

- La Privacidad Equivalente Cableada (WEP) es un esquema de encriptación que protege las corrientes de datos WLAN entre los clientes y los puntos de acceso (APs), según lo especifica el estándar 802.11. Se encontraron fallas.

Este articulo hace referencia a las redes inalámbricas, donde se montan grandes estructuras sin preocuparse de lo mas importante que es la seguridad de los equipos, la existencias de estas redes se puede ver en múltiples lugares y son de muy fácil acceso. Se hacen recomendaciones como obtener una red segura para que no sea intervenida de forma tan fácil.

Aquí se expone el auge que ha tenido las redes inalámbricas en particular en la transmisión de datos de forma inalámbrica, es un documento que trata de apoyar la implantación de redes inalámbricas seguras y el manejo de arquitecturas sólidas. Se hace mención algunas normas de la IEEE 802.11 

En este articulo se hace referencia al concepto de redes WLAN, mencionan los estándares dentro de los cuales se encuentra desarrollados por la IEEE para redes locales, se nombran algunas tecnologías de redes inalámbricas como es WPAN/WLAN, los campos de aplicación de las redes WLAN, el crecimiento que viene teniendo y las ventajas que tiene su rápida implantación.

En este articulo se presentan dos soluciones de seguridad de WLAN de Microsoft, así como las preguntas y respuestas acerca de si las WLAN pueden ser seguras y cuál es la mejor manera de protegerlas. Hace una descripción de la tecnología de red de área local inalámbrica (WLAN) que constituye un tema controvertido. Las organizaciones que instalaron estas redes están preocupadas acerca de si son o no seguras; a las que no las han implementado aún les preocupa desaprovechar la oportunidad de aumentar la productividad del usuario y reducir costes de propiedad. Existe todavía una gran confusión en relación con la seguridad de una WLAN en el entorno informático corporativo.

En este articulo, se ilustrar las características, funcionamiento, aplicaciones, fallas y alternativas del protocolo de seguridad WEP. En donde seguridad es un aspecto que cobra especial relevancia cuando hablamos de redes inalámbricas, las redes inalámbricas, al contrario que en las redes cableadas privadas, debe considerarse inseguras. Las redes inalambricas pueden ser accedidas fácilmente sin necesidad de pertenecer a la empresa. También se explica el papel de la IEEE en la seguridad de redes WLAN.

Este documento da una especial importancia a la seguridad en las redes inalámbricas. Trata el tema de conexión de las redes WLAN, El canal de las redes inalámbricas, al contrario que en las redes cableadas privadas, debe considerarse inseguro. Cualquiera podría estar escuchando la información transmitida. Y no sólo eso, sino que también se pueden inyectar nuevos paquetes o modificar los ya existentes (ataques activos). Las mismas precauciones que tenemos para enviar datos a través de Internet deben tenerse también para las redes inalámbricas.

En este artículo sobre redes Inalámbricas, se presenta un capítulo referente a la seguridad en las redes WLAN. Aquí podrá conocer cuales son los estándares y protocolos de seguridad de las WLAN y los principales mecanismos de seguridad para protegerlas.