White Papers sobre Seguridad Informática y Redes Inalámbricas
CURSO GRATIS DE REDES INALÁMBRICAS (WIFI)
Conceptos Básicos de Tecnología WIFI y Best Practices de Seguridad en Redes Inalámbricas
Auntenticación EAP (Extensible Authentication ProtocoAl)
Como se vió en el capítulo del Estándar 802.1x, creado para robustecer la seguridad wifi, se utiliza el protocolo EAP para autenticar a los usuarios. De este se han desarrollado diferentes versiones: EAP-LEAP, EAP-TLS, EAP-TTLS, EAP-PEAP, EAP-FAST. Esto plantea una gran complicación y, también confusión, entre los profesionales, pues cada una tiene sus limitaciones y, cada una soporta diferentes plataformas. Esto obliga al diseñador de una red inalámbrica wifi, a analizar detenidamente que protocolo EAP se va a utilizar para autenticar con el RADIUS - 802.1x. En general, todos los protocolos EAP, requieren la existencia de un certificado digital en el servidor RADIUS para asegurar que nos estamos conectando a la red nuestra y no, a una ajena.
|
|
1) EAP - LEAP, fue desarrollado y patentado por Cisco y una de sus limitaciones consiste en que requiere infraestructura de Cisco y un RADIUS "LEAP aware", es decir que no se puede utilizar con
cualquier servidor RADIUS. Además, desde mediados de 2003, se sabe que EAP-LEAP es vulnerable a "ataques de diccionario" - Ver: "Cisco Reacciona ante la vulnerabilidad del Protocolo LEAP". Por ello no se aconseja su utilización, dado que existen mecanismos de autenticación más seguros. |
|||
|
|
|||
2) EAP - TLS, lo desarrolló Microsoft. Una característica del protocolo EAP-TLS, que muchos lo ven como un inconveniente, es que requiere Certificado Digital en cada dispositivo cliente. Por este motivo muchas organizaciones renuncian a utilizarlo. En el caso de las empresas que ya tienen implementado un sistema de PKI, este inconveniente no existe. Otra limitación es que EAP - TLS, sólo soporta las bases de datos de Microsoft como Active Directory, y no soporta SQL ni LDAP. EAP - TLS, es soportado por Windows XP y Windows 2003 y por los últimos service pack de Windows 2000. 3) EAP - TTLS, fue desarrollado por programadores independientes con la idea de crear un protocolo EAP muy flexible. EAP- TTLS, tiene la ventaja de que funciona con todas las plataformas y S.O y es, a su vez, compatible con los otros EAP y con múltiples bases de datos como SQL y LDAP.
similares del mismo pero no iguales, una de Microsoft y otra de Cisco. La versión de Microsoft de EAP - PEAP, está incluída en Windows XP y Windows 2003. 5) EAP - FAST, es un protocolo de autenticación bastante nuevo creado por Cisco. Es presentado como más sencillo que los demás, pero en realidad existen 2 versiones, una "sencilla" y otra muy similar a los otros EAP. La versión sencilla de FAST, no tiene una seguridad muy robusta. Es compatible con EAP - LEAP y fácil de migrar. EAP - FAST, soporta Active Directory y LDAP y utiliza un secreto compartido para las autenticaciones. En definitiva, es muy importante comprender, que la elección del protocolo de autenticacion EAP, es una de las decisiones claves en la implementación de una red inalámbrica wifi. Esto influirá luego en otros elementos que se empleen en la red wifi.
SuplicantesComo se ve en la figura 11, del archivo Redes-Inalámbricas-Cu rso-Gratis.pdf , en el esquema de una red inalámbrica wifi con autenticación, la conexión la debe iniciar el dispositivo móvil, que es el que solicita al Servidor RADIUS, por medio del Punto de Acceso, ser autenticado. Esta tarea la realiza un software "cliente" instalado en el dispositivo móvil, que según se vió en "Seguridad WIFI: Estándar IEEE 802.1x" , se denomina "Suplicante", pues es el que "pide" o "solicita" la autenticación.
Existen diversos tipos de suplicantes para redes inalámbricas wifi, algunos muy simples y otros más sofisticados y con diversas funciones. Su elección también requerirá un análisis previo, en el caso de las redes inalámbricas wifi empresariales. Generalmente los muy simples se descargan gratis de internet o vienen incluídos en el CD de los Puntos de Acceso Inalámbrico. Los más sofisticados deben adquirirse comercialmente y pagar las licencias correspondientes. Al elegir un Suplicante hay que tener el cuenta, en que sistemas operativos funciona, que EAP soporta, y otras funciones como transparencia para el usuario, si está protegido por contraseña para que los usuarios no puedan modificar la configuración, etc. Existen también varios Suplicantes para Linux.. Uno de los más conocidos es el "X-Supplicant" que soporta EAP-LEAP, EAP-TLS, EAP TTLS y EAP-PEAP, aunque no funciona bien con el RADIUS DE MICROSOFT, llamado IAS - Internet Access Server. El Suplicante de Microsoft está incluído en Windows XP, en Windows 2000 y en Windows 2003 y, como ya se comentó, soporta EAP-TLS y EAP- PEAP, versión de Microsoft y requiere certificados digitales en cada uno de los clientes. Curso Gratis Redes Inalámbricas: Continuación / Inicio / Anterior
|
|||
Visitantes de la Página consultaron también:
