Seguridad Inalámbrica en el Instituto Tecnológico de Mérida Una propuesta ante el uso y abuso no controlado de la red inalámbrica.

Transcripción

1 Seguridad Inalámbrica en el Instituto Tecnológico de Mérida Una propuesta ante el uso y abuso no controlado de la red inalámbrica. Ing. Luis Joaquín Alberto Mota Pino Instituto Tecnológico de Mérida lmota@itmerida.mx Mérida, Yucatán. México. Resumen. La implementación de tecnología Inalámbrica se encuentra en aumento en las instituciones de educación, más en las Instituciones de educación Superior. En el Instituto Tecnológico de Mérida nos vimos obligados a implementar una herramienta efectiva y de fácil administración con el propósito de evitar en lo más posible el abuso de la infraestructura inalámbrica, ya que el ancho de banda actual esta muy limitado y es necesaria crear herramientas que ayuden a una mejor administración del recurso. Para la realización de este proyecto, se utilizaron exclusivamente herramientas de distribución gratuita, disponibles en Internet y se utilizo un equipo de escritorio. Se aprovecharon las bondades que presentan los conmutadores actuales, ya que con ellos podemos dividir la red en varias redes virtuales o VLANS así como también se utilizaron equipos de acceso inalámbrico sencillos y sin necesidad de alguna configuración de seguridad. Este proyecto aunque se encuentra actualmente implementado en el Instituto Tecnológico de Mérida, tiene una siguiente Fase que logrará más seguridad a la infraestructura de red Inalámbrica. Introducción. El instituto Tecnológico de Mérida es una institución de Educación superior que tiene una población de aproximadamente 5000 alumnos, repartidos en dos sistemas: Un sistema presencial o escolarizado el cual esta a su vez dividido en una licenciatura en Administración, ocho carreras a nivel Ingeniería, seis Maestrías y un Doctorado. Cuenta también con un sistema Abierto el cual es catalogado como semi-prescencial, el cual contempla una Licenciatura en Administración. Todas ellas administradas por una plantilla de aproximadamente 600 personas entre profesores y personal administrativo. Debido a ser una institución en donde en su mayoría se estudian carreras relacionadas con el área de Ingeniería, es cada vez mayor la necesidad de contar con recursos informáticos que apoyen al crecimiento educativo del alumno y fortalezcan los conocimientos por parte de los maestros. Es bien sabido que la tecnología se mueve a pasos agigantados y los profesores se apoyan en muchas ocasiones de los recursos electrónicos para sus clases y el desarrollo de los trabajos. Muchas de estas herramientas se adquieren por medio de la red Internet. Con el aumento en las necesidades de recursos de red, el Instituto Tecnológico de Mérida, creó aulas informáticas que son ubicadas en cada carrera y apoyan al alumno en las necesidades de cómputo que requiere en las diferentes materias, mas esto no fue suficiente y se empezaron a instalar servicios sin restricciones de acceso inalámbrico en diferentes secciones del Instituto, logrado que cualquier persona, ya sea o no del Instituto, pueda gozar de los beneficios de este servicio. Cabe mencionar que muchos de los alumnos y maestros cuentan con equipos portátiles y estos en su mayoría contienen tarjetas inalámbricas. Se presentaron varios problemas, uno fue que los diferentes departamentos compraban con sus propios recursos equipos inalámbricos y al final se contaba con una gran variedad de los mismos, otro fue que debido a la gran población con la que cuenta el Instituto (tanto de alumnos como personal) y las variadas características de los equipos de acceso inalámbrico (Puntos de acceso), es muy difícil llevar una administración por medio de listas de acceso en cada equipo o poner encriptación en los mismos, dejando así el servicio abierto. Un problema mas es que el Instituto tecnológico de Mérida se encuentra ubicado en una colonia en

2 donde se existe una gran cantidad de población en sus alrededores que potencialmente puede aprovecharse y explotar el recursos sin discreción, ocasionando saturación en nuestra red y lo que puede ser peor ataques a nuestros servidores o realizar algún ataque a un sitio remoto utilizando nuestra infraestructura de red. La meta principal era que un alumno independientemente de su ubicación, pudiera disponer de los recursos inalámbricos. Es por ello que se pensó en un proyecto que pueda resolver los siguientes puntos: Ubicar todos los equipos inalámbricos encontrados en el Instituto así como su cobertura Ubicar los equipos inalámbricos que se encontraban cerca del instituto. Sus características y canales usados. Analizar la factibilidad de configurar los conmutadores de datos a los que se encontraban conectados estos puntos de acceso Diseñar un esquema de protección para todos los equipos inalámbricos Diseñar la manera de implementar este sistema, tomando en cuenta de que muchos maestros y alumnos no cuentan con mucho conocimiento respecto a hardware. Sacar estadísticas de uso y monitoreos de tráfico en la red inalámbrica. Una vez planteado lo anterior, se procedió a tratar de realizar estor puntos de la manera mas fácil posible. Desarrollo del proyecto Cabe hacer mención que para el desarrollo de este proyecto se contó con el apoyo de dos alumnos que realizaban su residencia profesional en este Instituto, los cuales se encontraban cursando el octavo semestre de la carrera Ingeniería en Sistemas Computacionales. Los alumnos son: Br. Jonathan López Arellano y Br. Eric Azul Díaz. Ellos fueron de gran ayuda para llegar a resultados exitosos y se encuentran actualmente implementando nuevas herramientas y tecnologías para mejorar el servicio actual. Para el diseño de la infraestructura de seguridad Inalámbrica, como primer paso se escanearon todo el Instituto Tecnológico, en sectores de aproximadamente 36 m 2 logrando así identificar la cantidad de accesos inalámbricos tanto pertenecientes al Instituto como no pertenecientes a los mismos, esto se llevó a cabo utilizando una herramienta que puede ser instalada en Windows llamada Network Stumbler, la cual nos facilitó el trabajo de localización de los mismos, así como de los canales por los que se encontraban estos equipos en función. Una vez determinada la herramienta a utilizar, se dividió el instituto en 5 zonas en donde cada zona fue a su vez subdividida en secciones para tener un esquema de todo el instituto contando con todos los equipos encontrados en el mismo y los alrededores. El plano del instituto así como las zonas en las que fue dividida quedó de la manera siguiente:

3 Utilizando Network Stumbler, se logró un mapa en base a todos los resultados que arrojaba este programa. En total se realizaron 130 escaneos de red. Algunos de los resultados obtenidos en cada área de acción fueron los siguientes:

4 Como se puede observar, este programa arroja en modo principal: el canal, la MAC del equipo y el nombre del Punto de acceso (SSID). Después de realizar todo el análisis, se procedió a plasmar todas las redes encontradas, así como su cobertura en el plano del Instituto quedando de la manera siguiente:

5 En el plano anterior, los círculos puestos en verde, representan equipos inalámbricos abiertos, sin protección de ninguna especie, los círculos marcados en rojo son equipos que tienen algún esquema de cifrado (como por ejemplo WEP), como se puede observar, la mayoría de los equipos encontrados en color rojo, son equipos ajenos al instituto, y en contraparte, la mayoría de los equipos encontrados en Verde, son equipos encontrados en el Interior del Instituto. Una vez identificados estos equipos, se procedió a identificar los equipos de comunicación (conmutadores de datos) a los que estos Punto de acceso se encontraban conectados, en su centro de estrella, se encuentra un equipo Summit extremme 48si el cual es Full Layer 3, contiene 48 puertos de cobre y dos de Fibra. Tiene capacidad de ruteo, manejo de VLANS y de reeinvio de paquetes entre sus redes (IPForwarding), calidades de servicio y manejo de eiquetas o TAGS (IEEE 802.1Q)

6 En cada una de las áreas en donde se hallaban puntos de acceso inalámbrico, se trabajó con equipos 3-Com 4400 los cuales manejan VLANS, cuentan con 24 o 48 Puertos, enlaces de Fibra y también tienen la capacidad de Tagging o manejo de etiquetas (IEEE 802.1Q) Una vez entendiendo la manera de configuración de ambos equipos, se procedió a crear una nueva VLAN y se le nombro como inalambrica la cual es creada inicialmente en el centro de estrella ubicado en el Site de comunicaciones, a esta VLAN se le agregan solo unos puertos, para interconectar los Puntos de accso y un puerto etiquetado para interconectar el Backbone en donde irán las diferentes VLANS; asi como tabien irá por el mismo medio la VLAN inalambrica, esta VLAN será la que enlazará todos los equipos de comunicación y sus puntos de acceso. La VLAN inalambrica se configura de tal manera que no manejará el protocolo RIP ni podrá realizar reenvío de tramas entre las VLANS (IPForwarding). En otras palabras será una lan que no podrá tener contacto con alguna otra VLAN. Se instala una computadora personal, a la cual se le instalan dos tarjetas de red, en donde una interfaz se conecta directamente a la VLAN inalámbrica y la otra se conecta a la VLAN que contiene nuestro DMZ. Este equipo es una PC sencilla al que se le instala un sistema operativo Linux (Debian). La propuesta para la implementación de la seguridad, es en sí instalar en el servidor que unirá a las 2 VLANS lo siguiente: Una base de datos en donde se almacena la dirección física (MAC) de los equipos (portátiles, PDAs, etc) tanto de alumnos como de maestros que deseen utilizar el servicio de red inalámbrica, logrando así filtrar el acceso a Internet únicamente para aquellas MACs registradas. Para lo anterior se requiere lo siguiente: Crear una página WEB en donde el alumno o el maestro pueda por si solo capturar sus MACs, proporcionando una breve guía de cómo realizar esta acción. Un manejador de Base de datos para así poder crear la Base que guardará las matriculas (en caso de los alumnos) o expedientes (en caso de maestros). También almacenará una clave o NIP que le servirá para poder modificar sus datos, una dirección de correo para enviar información importante y la MAC que se almacenará en cada alumno. El servidor deberá contar con: o Sistema Operativo GNU/Linux o Tener levantado el servicio DHCP o Servicio WEB levantado con soporte de Base de datos (MySQL, PostgreSQL, etc..). Una vez terminado lo anterior, nuestro esquema de interconexión de los diferentes equipos de comunicación será similar al siguiente:

7 Web PHP Servidor Lo anterior mantendrá separados a nuestros usuarios de la red cableada respecto a los usuarios de nuestra red inalámbrica. Una vez terminado todo lo previo, lo que sigue es la creación de un portal capaz de darle al usuario un ambiente claro y cómodo en el que pueda registrar sus MACs y en caso de no saber como hacerlo, contar con un asistente que apoye dicha acción. Se debe de presentar así mismo, antes de la implementación con la suficiente promoción y avisos para que el usuario sepa en cualquier momento cuando entra en función este Este es el portal en donde se puede observar que Tanto alumnos como personal docente puede entrar al servicio, cada uno tiene diferentes opciones y diferentes modos de cómo se captura el NIP.

8 También incluye una breve explicación de lo que es la dirección MAC y en caso de no saber como realizar la captura de su MAC existe una ayuda adicional. En la página principal del Instituto, se insertó un agregado en donde se le avisa al alumno de los nuevos servicios inalámbricos. Uno de los puntos que se debían atacar es la parte de informar a los usuarios que no son muy diestros en cosas de red, la manera de cómo capturar su dirección MAC en modo autónomo.

9 Con lo anterior logramos que el usuario pueda capturar su dirección MAC en forma fácil y cómoda. Todo listo! Lo que se necesita ahora es saber la manera de cómo descartar aquellos paquetes que se dirigen hacia Internet y sean provenientes de MACs no registradas en nuestra base de Datos. Para esto se instalará un Proxy cache en nuestro servidor Linux. Para este proyecto, se instaló Squid Web Proxy Cache. Que es un popular programa (Software libre) que implementa un servidor Proxy y un demonio para Web Cache, publicado bajo licencia GPL. Características principales Squid:

10 Proxy y Cache de HTTP, FTP, etc Jerarquías de cache Control de Acceso Aceleración http Sitio web: Debido a la naturaleza de este trabajo, no se planteará el proceso de configuración del Squid, mas podemos concluir que se utilizó la versión 2.5 Stable 13 para sistemas Debian y Ubuntú. Es importante al momento de la Instalación del Squid, al ejecutar el script configure para los archivos fuente se debe de agregar el siguiente argumento: -- enable arp -acl Esto con el fin de habilitar el módulo del squid que permite hacer filtrados por MAC. Resultados obtenidos Al implementar este sistema, se logra que solo los usuarios que se encuentren inscritos en el instituto, puedan manipular su información y poder así acceder a los servicios inalámbricos. El sistema en si evita que dos MACs iguales puedan entrar al servicio, en caso de que una dirección MAC haya sido clonada, el sistema enviará una alerta y podremos saber que equipo esta causando problemas. En caso de que algún usuario haga uso indebido de los recursos de red, será fácilmente detectado por medio de las bitácoras y de las estadísticas de uso del recurso inalámbrico. El servicio de red inalámbrica será gracias a este método restringido solo para uso en horarios de trabajo, así como será cerrado en días festivos y fines de semana. Esto ayudará que usuarios malintencionados hagan abuso del recurso cuando no se encuentra nadie en el Instituto. Se manejará un Proxy transparente, esto logrará que el usuario no tenga que realizar configuraciones de red adicionales que pueden resultarle engorrosas al pasarse a diferentes proveedores de servicio. Se realizaron pruebas de desempeño, con resultados exitosos, actualmente contamos con aprox. 230 usuarios registrados en la red inalámbrica, se espera tener mas usuarios registrados en la misma. En caso de que algún usuario quiera entrar a la red inalámbrica, el mensaje que le desplegará el servidor será el siguiente:

11 Actualmente se tiene instalado en modo adicional DansGuardian, que es un poderoso filtro de contenido que trabaja sobre squid. Dansguardian lo puedes descargar de: Discusión. El proyecto aquí presentado, es una solución fácil y rápida de implementación utilizando recursos sencillos y de configuración mínima. Sin embargo, existen varios esquemas de protección inalámbrica, muchos de ellos son mas completos y complejos que el presentado en este proyecto, sin embargo en el Instituto, con la creatividad de los Alumnos y maestros, se han logrado implementar nuevas técnicas que pueden convivir y apoyar a las existentes en el Mercado, ofreciendo mejor seguridad en este ramo que actualmente es de los que mayor crecimiento en abuso ha presentado.

12 Como se puede observar en la gráfica anterior el abuso en las redes inalámbricas es el que se encuentra en aumento. Esto es debido al crecimiento de los servicios inalámbricos, muchos de ellos son con mínimas o nulas medidas de seguridad. Más sin embargo es sometido a discusión este proyecto, para saber si es factible de implementar en un instituto similar al nuestro. Bibliografía. Diplomado en seguridad informática Dirección General de Seguridad en Computo Académico (DGSCA-UNAM) Configuración de Squid. Base de ejemplos Último Acceso Enero Squid Proxy cache Último aceso Enero Summit 48si Último Acceso Enero Instituto tecnológico de MéridaÚltimo acceso Enero Red inalámbrica del Instituto Tecnológico de

13 MéridaÚltimo Acceso Enero CSI/FBI Computer Crime and Security Survey Reporte de abusos en la red. Último acceso Enero 2007