Seguridad en Sistemas Informáticos: Modelo TCP/IP y Vulnerabilidades, Apuntes de Sistemas Informáticos

¡Descarga Seguridad en Sistemas Informáticos: Modelo TCP/IP y Vulnerabilidades y más Apuntes en PDF de Sistemas Informáticos solo en Docsity!

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Tema 5. Protocolos seguros

Seguridad en Sistemas Informáticos

Noviembre-

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Contenido

1 Conceptos básicos. Modelo TCP/IP

2 Vulnerabilidades en redes TCP/IP

3 Seguridad en nivel de RED: IPsec

4 Seguridad en nivel de TRANSPORTE: Capa SSL/TLS

5 Seguridad en nivel de APLICACIÓN: SSH

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Capa de red Define una comunicación punto-a-punto

entre encaminadores (routers)

Confiere ”unidad” a todos los equipos de la red

Proporciona

asignación de direcciones únicas encaminamiento de paquetes (no fiable) interconexión de redes control de congestión

Protocolos: IP (Internet Protocol), ICMP (Internet Control Message

Protocol) [protocolo de control]

Capa de transporte Define una comunicación

extremo-a-extremo entre sistemas finales

Da fiabilidad a la red para su uso desde las aplicaciones de nivel

superior

Proporciona:

{ control de flujo y de errores

conexión y fiabilidad

Protocolos: TCP (Transmission Control Protocol), UDP (User

Datagram Protocol)

Capa de aplicación Comunicación entre aplicaciones

de los sistemas que usan al red

Servicios y programas de nivel de usuario

Protocolos: HTTP (HyperText Transfer Protocol), Telnet, DNS

(Domain Name System), SMTP (Simple Mail Transfer Protocol),...

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Encapsulamiento

Cada capa

{ ofrece servicios a las capas superiores

solicita servicios de las capas inferiores

Manejan sus propios mensajes

Añade sus propias cabeceras de control

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Subredes Suele usarse una parte de la dirección IP

para identificar la red y otra para identificar cada equipo

concreto.

Una máscara binaria define la parte de la dir. IP que

identifica a la red

Por defecto se usan las siguientes mácaras en cada

tipo de dirección red equipo máscara A: 1 bytes 3 bytes 255.0.0.0 (16777216 equipos/red) B: 2 bytes 2 bytes 255.255.0.0 (65536 equipos/red) C: 3 bytes 1 bytes 255.255.255.0 (255 equipos/red) División en subredes (ejemplo)

Red de tipo C, privada: 192.168.1.

Máscara: 255.255.255.0 ⇒ 253 equipos (192.168.1.1 – 192.168.1.254)

Dividida en 2 subredes Máscara 255.255.255.128 ⇒ 128 direcciones en cada subred Subred 1: 192.168.1.1 – 192.168.1.127 (126 equipos)

Subred 2: 192.168.1.129 – 192.168.1.254 (126 equipos)

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

(b) Protocolos de transporte (TCP, UDP)

Dividen el flujo de bytes llegado del nivel de aplicación en

paquetes de tamaño adecuado para su transmisión por el

nivel inferior (red) añadiendo sus cabeceras de control.

TCP: Orientado a conexión y fiable

Servicio de envío de mensajes con conexión

3 etapas

establecimiento de conexión

transferencia

fin de conexión

Negociación conexión en 3 pasos (SYN, SYN-ACK, ACK)

Garantiza entrega en destino, en orden, sin pérdidas y

sin errores

Protocolo IP no es fiable: no garantiza recepción ni

orden

Usa

{ núms. de secuencia

núms. de ACK

}

para mantener/confirmar

el orden de entrega de los mensajes y evitar pérdidas

solicita retransmisión si es necesario

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

(c) Puertos y servicios

Puerto: concepto usado para identificar las aplicaciones emisor y receptor

Cada extermo de la conexión tiene asociado un número de puerto que

indentifica sus mensajes (16 bits ⇒ 0 .. 65535)

Los puertos se especifican al establecer la conexión (en TCP) y se incluyen

en las cabeceras de los paquetes de nivel de transporte intercambiados

(puerto origen + puerto destino)

Puertos bien conocidos

Puertos reservados asociados por convención a aplicaciones/servicios “bien conocidos“ Asignados por la IANA (Internet Assigned Numbers Authority) [http://www.iana.org] Puertos del 0 al 1024 Usados por el sistema o por procesos con privilegios (servidores)

Procesos ”normales” (clientes) usarán puertos no privilegiados (de 1025 a 65535) Se les asignan de forma aletatoria Ejemplos: Servicio Puerto/s (protocolo) Servicio Puerto/s (protocolo) ftp 21/tcp ssh 22/tcp telnet 23/tcp smtp 25/tcp dns 53/tcp, 53/udp finger 79/tcp pop3 110/tcp http 80/tcp https 443/tcp rpc 11/tcp, 111/udp (portmapper)

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Vulnerabilidades TCP/IP

Capa ”física”

Vulnerabilidades en el acceso directo al medio físico

Problemas de

control de accesos

confidencialidad

Especialmente vulnerables las líneas punto a puntos, redes de difusión

(bus) y redes inhalámbricas

Capa de red

Problemas de

confidencialidad

autenticidad

integridad

Escucha y acceso a paquetes IP (sniffing)

Paquetes IP (vers. 4) van en claro y se pueden leer/modificar/falsificar

Suplantación de mensajes/direcciones IP (IP spoofing)

Protocolo IP sólo ”sabe” de 2 direcciones IP (origen y destino) Pueden falsificarse ⇒ no hay certeza sobre la autenticidad del origen Posibilidad de reconstrucción de mensajes

Ademas: en protocolo ARP, falsificación de respuestas ARP (ARP

poisoning, ARP spoofing)

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Capa de aplicación

Múltiples protocolos/aplicaciones ⇒ multitud de

deficiencias de seguridad específicas de cada uno (y

de cada implementación concreta)

Ejemplos

DNS: Suplantación de DNS (DNS poisoning)

Atacante puede modificar la información almacenada en la BD del servidor DNS Atacante puede reemplazarlo completamente (suplantación de IP)

Telnet: Deficiencias en proceso de autenticación Telnet autentica en sistema destino mediante login+passwrod Login y password se transmiten en claro Trivial caputar esa información mediante ténicas de sniffing Solución: uso de SSH (cifra las conexiones)

FTP: Mismas deficiencias que Telnet (toda la comunicación en claro) Posibilidad de conexiones anónimas ⇒ punto de entrada para ataques que aprovechen agujeros del software del servidor FTP.

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Seguridad en redes TCP/IP

Dos aproximaciones complementarias.

Filtrado y control de acceso a equipos/aplicaciones sensibles.

⇒ uso de Cortafuegos/Firewalls

⇒ uso de Detectores de intrusiones en RED (NIDS)

Uso de protocolos seguros.

Diferentes posibilidades para asegurar los protocolos de los distintos

niveles

Seguridad en el nivel de RED

Se busca garantiza que el tráfico que envían los protocolos de nivel superior(TCP,UDP) se transmita protegido. Inconveniente: puede ser necesario adaptar/reconfigurar la infraestructura de red (routers) para gestionar la nueva información añadida al protocolo IP.

Seguridad en el nivel de TANSPORTE

Ventaja: sólo precisa actualizar las implementaciones de TCP y/o UDP en los extremos de la comunicación. Supone un cambio a nivel de software (S.O. o librerías de sistema)

Seguridad en el nivel de APLICACIÓN

Ventaja: mayor flexibilidad Se puede responder mejor a las necesidades específicas de protocolos concretos (SSH, SET)

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Protocolos básicos

protocolo AH (authentication header)

ofrece autenticación del origen de los paquetes IP

(cabecera+datos)

protocolo ESP (encapsulating security payload)

ofrece confidencialidad + autenticación de origen de

paquetes IP (cabecera+datos)

gestión de claves

Autenticación+confidencialidad hacen uso de claves

secretas

1 configuradas manualmente en los nodos/router IPSec

2 acordadas mediante protocolos de distribución de claves

implementaciones del framework ISAKMP (Internet Security

Association and Key Management Protocol)

prot. OAKLEY: variante del método de intercambio de claves

Diffie-Hellmann

prot. IKE/IKEv2: basado en certificados digitales y/o

Diffie-Hellmann

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Arquitectura IPSec

(a) Componentes (dependerá de como se emplee IPSec)

nodos extremos. origen y destino final de paquetes IPSec en

configuraciones IPSec punto a punto

nodos intermedios. (también pasarelas seguras) routers/firewall

intermedios con soporte IPSec

Nota. Tráfico IPSec puede cruzar nodos/routers

intermedios no-IPSec

→ es tratado como tráfico IP normal (sin realizar comprobaciones)

(b) Asociaciones de Seguridad (SA) (≈ enlaces IPSec)

Enlaces ”virtuales” (no necesariamente directos) entre 2

nodos que intercambian tráfico IPSec.

Pueden ser:

extremos finales de la comunicación (SA extremo-extremo) puntos intermedios de la comunicación (SA con pasarela segura)

Son enlaces unidireccionales:

A

SA 1

−−→ B

A

SA 2

←−− B

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

Protocolo AH

Soporta integridad+autentificación añadiendo al paquete IP

un código MAC (message authentication code) basado en

funciones HASH y claves secretas de autenticación.

NOTA: códigos MAC

Mecanismo para preservar la integridad de los mensajes y garantizar la

identidad del origen mediante la adición de un campo adicional (código

MAC)

Objetivos análogos a los de la firma digital (sin usar cifrado asimétrico)

Esquema usual: HMAC (MAC con funciones HASH) [HMAC-MD5, HMAC-SHA1]

usa una clave secreta de autenticación Ks (compartida por origen y destino) se aplica una función HASH al conjunto [MENSAJE+CLAVE_AUTENTICACIÓN]

el resumen resultante garantiza

integridad (HASH) origen (clave secreta)

SSI

Modelo TCP/IP

Vulnerabildades

IPsec

SSL/TLS

SSH

AH define una cabecera adicional donde se contiene

información para:

{

autenticar del origen

asegurar integridad

Formato

Comportamiento de un nodo con un SA de tipo AH:

Al recibir un paquete se comprueba su HMAC, empleando la Ks compartida

(y opcionalmente el no^ de secuencia)

Si es correcto: lo acepta y lo reenvía

al otro extremo de esa SA (en pasarelas IPSec) a la capa de transporte (en un extremo final IPSec)

Si no: lo rechaza

Sólo garantiza autenticación e integridad, no confidencialidad del tráfico