 |
 |
 |
 |
 |
 |
Acceso itinerante seguro a la red
Por Josh Ryder (nyder@cs.ualberta.ca) para SecurityPortal
En la ©poca actual de la oficina mćvil, un administrador de sistemas no debe preocuparse źnicamente de aquellas m”quinas que "viven" peramentemente en su red sino que debe gestionar algunos centenares, o incluso millares de m”quinas que se conectan y desconectan en la red de forma casi aleatoria. Los usuarios de estos sistemas itinerantes desean disponer en sus ordenadores port”tiles de un acceso similar al que tienen en sus estaciones de sobremesa, un deseo que puede ser fuente de muchos problemas. Cada usuario puede tener, tećricamente, de su propia configuracićn de hardware y software ninguno de los cuales tiene una fuerte conexićn con las m”quinas que actualmente est”n en la red. õCćmo podemos mantener la seguridad en la red con toda esta diversidad?
Recuerdo cuando los laboratorios de acceso general de mi universidad eran justamente esto --cualquiera poda sentarse a uno de las numerosas terminales Windows y acceder a una conexićn a Internet pr”cticamente sin restricciones. Pronto estas m”quinas empezaron a ser conocidas como los mejores sistemas para mantener el anonimato entra la comunidad inform”tica. Al permitir la libre utilizacićn de las mismas, sin necesidad de identificarse previamente, no haba ninguna posibilidad de identificar a los autores de cualquier actividad ilegal. En cada laboratorio pasaban a lo largo del da (en algunos casos, incluso estaban abiertos las veinticuatro horas del da, siete das a la semana) centenares de personas que utilizaban esos ordenadores, poco poda hacerse para evitar el abuso en su utilizacićn.
Esta situacićn es muy similar a la que pueden experimentar los administradores de las redes de empresas medianas y grandes. La gente de marketing dispone de sus iBooks; los directivos con sus Inspiron y entre los ingenieros, cada uno utiliza su versićn favorita de Linux/BSD. Cada una de estas plataformas es probablemente la m”s cćmoda y familiar para cada usuario. El problema radica en la imposibilidad de conocer todos los matices de cada versićn de cada distribucićn. Nuestra problem”tica, como administradores de red, radica en como ofrecer la libertad de acceso que desean los usuarios con la seguridad y posibilidad de seguimiento que necesitan los administradores.
õCu”les son las opciones?
No permitir el acceso itinerante. Limitando el acceso a la red a źnicamente los sistemas que son directamente controladores por los administradores, elimina el problema de las m”quinas externas que interfieren con nuestra red. Si la gente de marketing necesita llevarse la presentacićn que han preparado en su Mac G3, podemos grabar un CD-ROM y ponerlo en el iBook. A pesar de que esto no tiene demasiado aspecto de solucićn, antes de descartarla es interesante que te hagas una pregunta: ões necesario que estas estaciones itinerantes tengan acceso a Internet? Sospecho que si bien se encuentran razones para conectarlas a la red de la empresa, muy poca gente podr” justificar el tener una completa conexićn a Internet. Si necesitan acceder a su correo electrćnico o utilizar Internet, puden hacer uso de una las estaciones de trabajo (convenientemente protegidas) que ya tenemos.
Limitar la exposicićn exterior. En vez de segregar nuestra red impidiendo la utilizacićn de las estaciones itinerantes para acceder a las redes externas, podemos optar por controlarlas mediante la utilizacićn del cortafuegos para filtrar el tr”fico desde estas estaciones itinerantes hacia y desde las redes internas y externas. Controlando aquello que pueden recibir y enviar, podemos prevenir una de las brechas de seguridad m”s frecuentes que crean los usuarios incontrolados. Esto, no obstante, no nos ofrece ningźn sistema de autenticacićn diferente al login normal de Windows (o el equivalente en otras plataformas).
Permitir un mayor acceso interno y externo, creando un mecanismo de autenticacićn que evite cualquier acceso hasta que se haya completado satisfactoriamente la conexićn a la red. Qu© tal si disponemos de un mecanismo de autenticacićn que permita a todos los usuarios conectar sus ordenadores port”tiles en cualquier lugar que lo deseen y sćlo tengan que autenticarse una vez para poder acceder a la red. Y si este mismo mecanismo pudiera controlar que entra y sale, registrando todas las transacciones de red a medida que suceden. õSuena demasiado bonito para ser realidad? Robert Beck ha creado una implementacićn de una solucićn que hace todo esto en la universidad de Alberta, Canad”.
En su artculo "Dealing with Public Ethernet Jacks - Switches, Gateways, and Authentication", Beck describe como utiliza switches y routeres est”ndars, combinados con OpenBSD para crear un ”rea de seguridad que rodea todas las estaciones itinerantes de su red. El coste de implementacićn de esta solucićn no solo es muy bajo sino que permite controlar todas las actividades que se realizan en la red desde estas m”quinas. La direccićn MAC de cada tarjeta de red es almacenada en las pasarelas de autenticacićn y sćlo se permite el acceso al exterior una vez el usuario se ha identificado. Una vez autenticado mediante Kerberos, la pasarela levanta el filtro haca la direccićn IP asignada (mediante DHCP) de forma que el usuario puede acceder a Internet. Esta descripcićn es una simplificacićn del mecanismo utilizado, por lo que recomiendo una lectura al artculo de Beck.