INSTITUTO TECNOLÓGICO DE VILLAHERMOSA CONMUTACIÓN Y ENRUTAMIENTO DE REDES Niveles de seguridad en VPN.
Actividad: Reporte “Niveles de seguridad en VPN”.
Autor: Diana Dolores De la Cruz Arias 03 de Diciembre de 2017
¿QUÉ ES Y QUÉ OFRECEN LAS VPN? VPN es una tecnología de red que permite una extensión segura de la red local (LAN) sobre una red pública o no controlada como Internet, mediante un proceso de encapsulación y de encriptación, de los paquetes de datos a distintos puntos remotos mediante el uso de unas infraestructuras públicas de transporte. Permite que la computadora en la red envíe y reciba datos sobre redes compartidas o públicas como si fuera una red privada. VPN ofrece una solución de bajo costo para implementar la r ed a larga distancia al basarse sobre Internet, además de ofrecer autenticación de usuarios o equipos a través de cifrados, firmas digitales o claves de acceso para una identificación inequívoca; ofrece también integridad, garantizando que los datos enviados por el emisor sean exactos a los que se reciben, y confidencialidad, el cifrado hace posible que nada de lo transmitido sea interceptado o interpretada por nadie más que emisor y destino.
REQUERIMIENTOS BÁSICOS DE UNA VPN Las redes privadas virtuales deben contar con ciertas bases antes de su implementación, tales son un set de políticas de seguridad para la codificación de datos, pues no deben ser visibles por clientes no autorizados en la red; administración de claves, para asegurar la codificación entre clientes y servidor; compartir datos, aplicaciones y recursos; un servidor de acceso y autenticación, para que en la red se tenga control de quiénes ingresan, verificar su identidad y tener registro estadístico sobre accesos; administración de direcciones, pues la VPN debe establecer una dirección para el cliente dentro de la red privada y debe asegurar que estas direcciones privadas se mantengan así; y finalmente soporte para múltiples protocolos, pues debe manejar los protocolos comunes a la red Internet, como IP, por ejemplo.
TIPOS DE VPN
VPN de acceso remoto: Consiste en usuarios que se conectan a una empresa desde sitios remotos utilizando Internet como vínculo de acceso. Una vez autenticados tienen un nivel de acceso similar a estar dentro de la red local.
VPN punto a punto: Este esquema es el empleado para conectar oficinas remotas con una sede central. El servidor VPN está conectado permanentemente a Internet, acepta conexiones entrantes desde los sitios y establece el túnel VPN. Los
1
servidores de las oficinas remotas se conectan a Internet y a través de ésta al túnel VPN de la oficina central. Se utiliza para eliminar las conexiones punto a puntos tradicionales.
VPN interna (over LAN): Funciona tal cual una red VPN normal, salvo que dentro de la misma red local LAN en lugar de a través de Internet. Sirve para aislar zonas y servicios de la misma red interna. Sirve también para mejorar las características de seguridad de una red inalámbrica Wi-Fi.
TIPOS DE CONEXIÓN VPN
Conexión de acceso remoto: Es realizada por un cliente o usuario a través de una computadora a la red privada, los paquetes enviados a través de la conexión VPN son originados al cliente de acceso remoto, autenticándose éste al servidor y el servidor al cliente, generalmente por software.
Conexión router – router: Es un router el que se conecta a la red privada; en éste tipo de conexión, los paquetes enviados desde cualquier router no se originan en los routers, y es el router quien se autentifica ante el router de la red privada y viceversa, sirve también para red interna.
Conexión firewall – firewall: Un cortafuego de origen se conecta a la red privada virtual. En este tipo de conexión, los paquetes son enviados desde cualquier usuario en Internet. El firewall que realiza la conexión se autentifica ante el que responde y viceversa
PROTOCOLOS DE TÚNEL Una red privada virtual se basa en un protocolo denominado protocolo de túnel, es decir, un protocolo que cifra los datos que se transmiten desde un lado de la VPN hacia el otro. Los principales protocolos de túnel son:
PPTP (Protocolo de túnel punto a punto): Es un protocolo de capa 2 desarrollado por Microsoft, 3Com, Ascend, US Robotics y ECI Telematics. Consiste en crear tramas con el protocolo PPP y encapsularlas mediante un datagrama de IP.
2
Por lo tanto, con este tipo de conexión, los equipos remotos en dos redes de área local se conectan con una conexión de igual a igual (con un sistema de autenticación/cifrado) y el paquete se envía dentro de un datagrama de IP. De esta manera, los datos de la red de área local (así como las direcciones de los equipos que se encuentran en el encabezado del mensaje) se encapsulan dentro de un mensaje PPP, que a su vez está encapsulado dentro de un mensaje IP.
o
Vulnerabilidades de PPTP La seguridad de PPTP ha sido completamente rota y las instalaciones con PPTP deberían ser retiradas o actualizadas a otra tecnología de VPN. La utilidad ASLEAP puede obtener claves de sesiones PPTP y descifrar el tráfico de la VPN. Los ataques a PPTP no pueden ser detectados por el cliente o el servidor porque el exploit es pasivo. El fallo de PPTP es causado por errores de diseño en la criptografía en los protocolos handshake LEAP de Cisco y MSCHAP-v2 de Microsoft y por las limitaciones de la longitud de la clave en MPPE
L2F (Reenvío de capa dos): Es un protocolo de capa 2 y se creó en las primeras etapas del desarrollo de la red privada virtual. Como PPTP, L2F fue diseñado por Cisco para establecer túneles de tráfico desde usuarios remotos hasta sus sedes corporativas. La principal diferencia entre PPTP y L2F es que, como el establecimiento de túneles de L2F no depende del protocolo IP (Internet Protocol), es capaz de trabajar directamente con otros medios, como Frame Relay o ATM. Como PPTP, L2F utiliza el protocolo PPP para la autenticación del usuario remoto, pero también implementa otros sistemas de autenticación como TACACS+ (Terminal Access Controller Access Control System) y RADIUS (Remote Authentication Dial-In User Service). L2F también difiere de PPTP en que permite que los túneles contengan más de una conexión.
L2TP (Protocolo de túnel de capa dos): Es un protocolo de capa 2 basado en PPP para proporcionar acceso telefónico que puede ser dirigido a través de un túnel por Internet hasta un punto determinado. L2TP define su propio protocolo de establecimiento de túneles, basado en L2F. El transporte de L2TP está definido para una gran variedad de tipos de paquete de datos, incluyendo X.25, Frame Relay y ATM.
3
IPSec: Es un protocolo de capa 3 creado por el IETF que puede enviar datos cifrados para redes IP. En realidad es un protocolo que mejora la seguridad del protocolo IP para garantizar la privacidad, integridad y autenticación de los datos enviados.
IPSec se basa en tres módulos: o
Encabezado de autenticación IP (AH): Que incluye integridad, autenticación y protección contra ataques de REPLAY a los paquetes.
o
Carga útil de seguridad encapsulada (ESP): Define el cifrado del paquete. ESP brinda privacidad, integridad, autenticación y protección contra ataques de REPLAY.
o
Asociación de seguridad (SA): Define configuraciones de seguridad e intercambio clave. Las SA incluyen toda la información acerca de cómo procesar paquetes IP (los protocolos AH y/o ESP, el modo de transporte o túnel, los algoritmos de seguridad utilizados por los protocolos, las claves utilizadas, etc.). El intercambio clave se realiza manualmente o con el protocolo de intercambio IKE (en la mayoría de los casos), lo que permite que ambas partes se escuchen entre sí.
PRINCIPALES VULNERABILIDADES DE VPN
Comunicaciones no cifradas y parcialmente cifradas suelen no ser consideradas como un objetivo atractivo. Cuando los atacantes escanean actividad en Internet, pueden mostrar especial interés en las redes VPN, ya que sus comunicaciones generalmente implican datos lucrativos y sensibles pertenecientes a redes internas, a menudo incluyendo información bancaria y de tarjetas de crédito.
Además, los dispositivos que se utilizan para implementar VPNs generalmente pueden
ser
fingerprinted
al
revelar
abiertamente
las
marcas
y
modelos
particularmente utilizados. Cuando estos son conocidos por un atacante, éste puede investigar las vulnerabilidades específicas para ese dispositivo.
Al igual que con cualquier otro sistema que requiere un nombre de usuario y contraseña de autenticación, si se utilizan credenciales inseguras, éste será el punto más débil. Es debido procurar contraseñas robustas –que no contengan palabras reales en lenguaje humano, con una combinación de mayúsculas y minúsculas, números y caracteres especiales, y que se acerquen tanto a la longitud máxima
4
como sea posible. Si cada nombre de usuario es la red es diferente y único, aún mejor. Si es posible, implementar una política que requiera cambiar las contraseñas cada aproximadamente seis meses.
Las comunicaciones VPN están también sujetas a ataques Man In The Middle (MITM), como cualquier otra comunicación de la red. Es necesario asegurar que la solución utilizada tiene un sistema específico para prevenir MITM: no volverá a este tipo de ataques imposible, pero al menos los hará mucho más difíciles.
El bloqueo de cuentas luego de un cierto número de intentos de acceso fallidos es una buena práctica. De lo contrario, es más fácil romper la comunicación VPN con suficiente poder de cómputo y tiempo.
FUNCIONAMIENTO Al conectarnos a una VPN, lo haremos utilizando una suerte de túnel, un vocablo que se emplea para indicar que los datos se encuentran cifrados en todo momento, desde que entran hasta que salen de la VPN, y que se lleva a cabo mediante distintos protocolos que los protegen. Ahora bien, existe una excepción con el PPTP –utiliza una combinación de algoritmos inseguros como MS-CHAP v1/2-. Lo que hará nuestro sistema al tratar de visitar una página es encapsular la petición y mandarla a través de Internet a nuestro proveedor de VPN. Este los desencapsulará haciendo que sigan su curso habitual: saldrán por su router de red y, posteriormente, se reenviará el paquete.
¿PARA QUÉ PUEDEN UTILIZARSE LAS CONEXIONES VPN? Teletrabajo: El uso más obvio de una conexión VPN es la interconectividad en redes que no están físicamente conectadas, como es el caso de trabajadores que están en ese momento fuera de la oficina o empresas con sucursales en varias ciudades que necesitan acceder a una única red privada. Desde el punto de vista de la seguridad, permitir el acceso indiscriminado a la red propia de una empresa desde Internet es poco menos que una locura. Aunque el acceso esté protegido con una contraseña, podría ser capturada en un punto de acceso Wi-Fi público o avistada por un observador malintencionado. Por el contrario, el riesgo disminuye si el trabajador y la empresa se conectan mediante una conexión VPN. El acceso está protegido, la conexión está previsiblemente cifrada y el trabajador tiene el mismo acceso que si estuviera presencialmente ahí.
5
Evitar censura y bloqueos geográficos de contenido: Con el apogeo de Internet y la picaresca tanto de los proveedores de contenidos como de los usuarios, se han ido popularizando otros usos más lúdicos de las conexiones VPN, muchos de ellos relacionados con un concepto muy sencillo: falsear dónde estás. Al conectarte con VPN, tu dispositivo se comunica con el servidor VPN, y es éste el que habla con Internet. Si tú estás en China y el servidor VPN está en Estados Unidos, generalmente los servidores web creerán que estás navegando desde este país, dejándote acceder a los contenidos disponibles solo allí, como podría ser Netflix. De igual modo, esta misma lógica se puede usar para acceder a aquellos contenidos que estuvieran censurados o bloqueados en nuestro país.
Capa extra de seguridad: Aunque no es estrictamente necesario, sí es común que las conexiones VPN vengan acompañadas de un cifrado de los paquetes que se transmiten con ellas, por lo que es normal oír la recomendación de que, si necesitas conectarte a un punto de acceso Wi-Fi público, al menos te conectes con una VPN. Iniciar sesión en nuestras cuentas bancarias mientras estemos conectados a una red Wi-Fi pública en la que no confiamos probablemente no sea la mejor idea del mundo, pues es relativamente sencillo para un ladrón capturar los paquetes sin cifrar y hacerse con nuestras cuentas de usuario. Aquí es donde entra la capa extra de seguridad que podemos conseguir mediante una conexión VPN, pues los paquetes se enviarían cifrados, de modo que aquel que está escuchando probablemente no podría hacer nada con ellos.
6
