Redes de Computadores

Transcripción

1 Redes de Computadores Jorge Baier A. y Álvaro Soto Departamento de Ciencia de la Computación Escuela de Ingeniería Pontificia Universidad Católica de Chile [jabaier,asoto]@ing.puc.cl

2 Diseño de Redes En esta sección veremos qué elementos debemos considerar al diseñar una red con múltiples servicios con el protocolo TCP/IP. Veremos aspectos de topología y seguridad Jorge Baier Aranda, PUC 79

3 Grandes Redes Privadas En clases anteriores hemos visto que la cantidad de números IP posibles es bastante limitada. Cabe mencionar, entonces, cómo es posible solucionar el problema de conectar muchas estaciones que operan en una red privada a Internet. La solución está dada esencialmente por dos tres de servicios: Proxies. NAT: Traducción de Direcciones IP (Network Address Translation). Una combinación de las dos anteriores. En lo que sigue, supondremos que tenemos a nuestra disposición un el rango de números IP al , pero que requerimos conectar al menos 50 computadores a Internet. 8 Nótese que esto significa que se encuentran fijos los primeros 28 bits de la dirección, porque 176= y 191= Jorge Baier Aranda, PUC 80

4 Proxies Un proxy es un servicio que funciona como intermediario entre un emisor y un receptor. Actúan a nivel de aplicación. De esta manera, por ejemplo, un proxy HTTP recibe y transmite mensajes del protocolo HTTP, solamente Jorge Baier Aranda, PUC 81

5 La siguiente figura muestra una conexión directa y otra hecha a través de un proxy: Cliente HTTP Requerimiento HTTP Respuesta HTTP Servidor HTTP (a) Conexión Directa Cliente HTTP Requerimiento HTTP Proxy HTTP Requerimiento HTTP Servidor HTTP Respuesta HTTP Respuesta HTTP (b) Conexión a través de un Proxy Para el caso de nuestro problema puntual, el uso de un proxy es especialmente adecuado si sólo se quieren dar servicios específicos a los clientes. Típicamente estos servicios son HTTP y FTP. En la siguiente figura, (a) se muestra la arquitectura de red que usa un proxy HTTP para dar servicio de web a la red privada y (b) se muestra cómo es posible que la máquina tenga acceso a ver el sitio a través del proxy Jorge Baier Aranda, PUC 82

6 Internet Proxy HTTP (a) Arquitectura de la Red con un Proxy HTTP Reqerimiento HTTP Nivel: Aplicación IP origen: IP destino: Reqerimiento HTTP Nivel: Aplicación IP origen: IP destino: Respuesta HTTP Respuesta HTTP Nivel: Aplicación Nivel: Aplicación IP origen: IP origen: IP dest.: IP destino: Jorge Baier Aranda, PUC Proxy (b) Requerimiento de HTTP desde a

7 En la siguiente figura se puede ver el requerimiento HTTP realizado a través de un proxy y directamente al sitio A través de un proxy: GET HTTP/1.1 Host: User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-us; rv:1.2) Gecko/ Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,video/x-mng,image/png,image/j Accept-Language: en-us, en;q=0.50 Accept-Encoding: gzip, deflate, compress;q=0.9 Accept-Charset: ISO , utf-8;q=0.66, *;q=0.66 Keep-Alive: 300 Proxy-Connection: keep-alive Cookie: PREF=ID=3f07e2f23a4e806a:LD=es:TM= :LM= :S=mX1JFE6uOrSIi4GK Directamente: GET / HTTP/1.1 Host: User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-us; rv:1.2) Gecko/ Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,video/x-mng,image/png,image/j Accept-Language: en-us, en;q=0.50 Accept-Encoding: gzip, deflate, compress;q=0.9 Accept-Charset: ISO , utf-8;q=0.66, *;q=0.66 Keep-Alive: 300 Connection: keep-alive Cookie: PREF=ID=3f07e2f23a4e806a:LD=es:TM= :LM= :S=mX1JFE6uOrSIi4GK 2003 Jorge Baier Aranda, PUC 84

8 Cabe hacer notar que la única manera que una estación en Internet se pueda comunicar con una estación de la red privada es que la estación privada haya iniciado una conexión con la estación en Internet. Las ventajas que esta solución provee son: Seguridad: La red interna queda aislada desde el exterior, dado que sólo es posible acceder a ella a través del proxy, y sólo al nivel de la aplicación que el proxy soporta. Ahorro de Recursos: Los proxy HTTP generalmente mantienen un caché de las páginas que han transmitido. De esta forma, si muchos usuarios de la red interna quieren acceder a la misma página el proxy hace un solo requerimiento al sitio de origen. Las desventajas del uso de proxies son: Poca flexibilidad: En dos aspectos: 1. Usuarios sólo pueden usar los servicios soportados por el o los proxies. 2. Aplicaciones deben estar configuradas y soportar proxies. 3. Cada nuevo servicio que se desea soportar puede implicar la necesidad de instalar un nuevo servicio de proxy Jorge Baier Aranda, PUC 85

9 NAT La desventaja más importante del uso de proxies es que los usuarios están limitados a usar la aplicación que es soportada. La pregunta natural que surge es: cómo se pueden soportar todas las aplicaciones? La solución está dada por elementos que actúan a nivel de red y de transporte. Estos elementos son conocidos como NAT (Network Address Translators) y funcionan como traductores de paquetes que provienen de distintas redes. Un NAT funciona entre dos redes de distinta realidad (puede ser una pública y una privada o entre dos privadas) y altera todo paquete que circula entre éstas para llevarla a la realidad de la otra. Un Router con NAT que recibe un paquete desde una red privada que se dirige a una red pública, reemplaza la dirección IP de origen por alguna dirección IP tomada de un conjunto de direcciones públicas (pool de direcciones) Jorge Baier Aranda, PUC 86

10 En la práctica, generalmente los routers con NAT tienen un pool de direcciones compuesto exclusivamente por su propia dirección pública. En términos sencillos, el router con NAT se hace pasar por cualquier máquina de la red privada al momento de enviar paquetes desde la red privada hacia la red pública. Frecuentemente, a este tipo de NAT se le llama enmascaradores o NATs 1 a N. Cuando una estación de la red privada P riv establece una conexión de datos con una estación de la red pública Ext, el funcionamiento de un enmascarador M es como sigue: 1. A todo paquete recibido por M desde P riv y cuyo destino es Ext se le reescribe su dirección de origen por la dirección de M. 2. Cuando P riv inicia una conexión con una estación externa Ext, el enmascador almacena en memoria el hecho que se ha establecido una conexión entre P riv y Ext. 3. Cuando M recibe paquetes de la estación Ext, cambia la dirección de destino del paquete por la dirección de P riv y envía el paquete a la red privada Jorge Baier Aranda, PUC 87

11 Cuando la conexión entre P riv y Ext se cierra o después de un período de inactividad, el NAT elimina de su memoria el registro de la conexión. Volviendo al ejemplo anterior, para solucionar el problema de dar acceso a Internet a la red privada es posible colocar un elemento de Router con NAT como se muestra en la siguiente figura: 2003 Jorge Baier Aranda, PUC 88

12 Paquete IP IP orig.: IP dest.: Paquete IP IP orig.: IP dest.: Paquete IP IP orig.: IP dest.: Router con NAT Paquete IP IP orig.: IP dest.: Paquete IP IP orig.: IP dest.: Paquete IP IP origen: IP dest.: B: receptor de la conexión A:iniciador de la conexión Flujo de datos IP en una conexión TCP/IP entre A y B 2003 Jorge Baier Aranda, PUC 89

13 Redireccionamiento con Software de NAT Debido a que por definición un NAT es un redireccionador, es posible usar este tipo de elementos para dar acceso a máquinas de la red pública para que inicien conexiones con estaciones de la red privada. Un router con NAT puede por ejemplo, redireccionar todos los paquetes que lleguen a su puerta 21 (la puerta de FTP) a una máquina de la red interna. De esta manera, es posible que cierto tipo de servicios en máquinas privadas sean accesibles desde la Internet, tal como si las estas máquinas estuvieran en una red pública. De la misma manera, es posible redireccionar paquetes dirigidos a una máquina de dirección M (pública), puerta p, para que vayan a una de dirección M (pública o privada), puerta p. El software de NAT también se puede ocupar para implementar firewalls. Eso es lo que veremos a continuación Jorge Baier Aranda, PUC 90

14 Seguridad en Redes La mantención de la Seguridad en Redes tiene los siguientes objetivos: Asegurar que la información restringida sólo sea accesible para las personas debidamente autorizadas. Proteger la integridad de los sistemas computacionales conectados a redes. Asegurar que la información que es transmitida no pueda ser vista y comprendida (violada) por personas no autorizadas. La seguridad en redes se puede dividir en varios aspectos: Seguridad al nivel red y de transporte. Seguridad al nivel de aplicación. Por el momento nos concentraremos en seguridad a nivel de red y transporte Jorge Baier Aranda, PUC 91

15 Un aspecto clave que persigue la seguridad a este nivel es la diferenciación entre los servicios prestados internamente dentro de una organización y los que se quieren prestar externamente. Por ejemplo, una empresa podría tener servidores que prestan servicios de información públicos (servidor de web) y otros con servicios privados (servidores de web de intranets, servidores de bases de datos, de ftp, de aplicaciones) Jorge Baier Aranda, PUC 92

16 Firewalls Una forma de evitar que ciertos servicios (y máquinas) sean visibles externamente es a través de el uso de firewalls. También sirven para regular el tráfico que sale de la red interna, por lo que también se usan para regular los servicios a los que pueden acceder los usuarios de una red interna. Los firewalls son muy usados y cualquier empresa que desee mantener un mínimo de seguridad en sus sistemas requerirá uno. Su objetivo es regular el tráfico, a nivel de red y transporte, entre una red interna e Internet. Normalmente los firewalls están conectados directamente a la red privada, y todo tráfico que salga o entre a la red interna pasa a través de ellos Jorge Baier Aranda, PUC 93

17 El siguiente gráfico muestra cómo se conectan estos equipos: Zona poco protegida o DMZ (Demilitarized Zone) Servidor WWW Hub switch / hub Servidor SMTP Internet Trafico es livianamente regulado Router y Firewall Tráfico es regulado switch / hub Servidor BDs Hub Zona Protegida Servidor de Mail LAN Computador de Escritorio 2003 Jorge Baier Aranda, PUC 94

18 Los firewalls regulan el tráfico en base a reglas. El siguiente puede ser el conjunto de reglas de tráfico para la red de la figura: Regla IPOrigen:Puerto IPDestino:Puerto Acción *:* *:SMTP Accept 2 *:* *:HTTP Accept :* :22 Accept *:* *:* Accept 5 *:* *:* Deny *:* :HTTP Deny *:* *:* Accept 8 *:* *:* Deny Al presentarse tráfico a través del firewall, éste lee la tabla en forma ascendente y aplica la acción en cuanto encuentra una regla que aplica Jorge Baier Aranda, PUC 95

19 Así, en el ejemplo, el firewall: 1. Acepta tráfico a la red * de SMTP desde la red * 2. Acepta tráfico desde Internet al puerto de HTTP de la red *. 3. Acepta tráfico hasta el puerto 22 de desde el host Acepta el tráfico de salida desde la red *. 5. Niega todo el tráfico hasta la red * (regla default). 6. Niega todo el tráfico de web desde la red * hasta el host Acepta todo el tráfico de salida en la red *. 8. Niega todo el tráfico por defecto Jorge Baier Aranda, PUC 96

20 Seguridad a Nivel de Aplicación Una de las formas tradicionales de prestar seguridad a nivel de aplicación es el uso de nombres de usuario (logins) y contraseñas (passwords) En los sistemas operativos UNIX o Windows NT/2000/XP, por ejemplo, los usuarios de un computador tienen asociados un nombre de usuario y una contraseña. Internamente, estas contraseñas son mantenidas en forma segura en archivos del sistema. De esta manera, si alguien tiene acceso al archivo de contraseñas será muy difícil que pueda averiguar cuáles son las claves. Sin embargo, estas medidas de seguridad estándar no son suficientes cuando el proceso de autenticación y transferencia de datos se realiza a través de una red. Como ya sabemos, en una LAN Ethernet de tipo broadcast, la información transmitida llega a todas las máquinas conectadas a la LAN. Las tarjetas de 2003 Jorge Baier Aranda, PUC 97

21 red pueden ser configuradas en modo promíscuo y así ver todo el tráfico de la red. Programas disponibles para uso público tales como sniffit para Linux son capaces de mostrar el tráfico por la red. Aunque los usuarios de la red utilizada sean confiables, no es posible asegurar, en general, que no hay usuarios infiltrados escuchando la red. Ver el tráfico de la red significa ser capaz de ver nombres de usuarios, passwords, s, cualquier cosa transmitida a través del web, etc. Por el diseño que tienen las redes, el hecho de que la información transmitida se pueda ver, no se puede evitar. La investigación en el área de Seguridad de Redes tiene como objetivo mantener los requisitos de seguridad dando por supuesto que la red es un medio inseguro Jorge Baier Aranda, PUC 98

22 Criptografía La criptografía es el arte y ciencia de generar mensajes seguros entre un emisor y un receptor. Un mensaje es seguro si cuando es visto por un tercero, no puede ser comprendido. Cuando un mensaje plano se quiere enviar por la red, éste es encriptado por el emisor, transformándolo en un mensaje encriptado el cual es transmitido por la red hasta el destinatario, el cual lo desencripta para obtener nuevamente el mensaje plano. El proceso se ve como en la siguiente figura: Mensaje Plano Encriptación Mensaje Encriptado Desencriptación Mensaje Plano 2003 Jorge Baier Aranda, PUC 99

23 Otras Ventajas de la Criptografía Aparte de la confidencialidad la criptografía puede proveer otras ventajas: Autenticación: El receptor debe estar seguro de que la identidad del emisor no ha sido suplantada por un intruso. Integridad: El receptor debe estar seguro que el mensaje transmitido no ha sido alterado de ninguna forma por un intruso. Irrepudiabilidad: Un emisor no puede falsamente denegar que ha enviado un mensaje luego de haberlo hecho Jorge Baier Aranda, PUC 100

24 Algoritmos Criptográficos Una posibilidad para implementar algoritmos criptográficos es que éstos sean algoritmos secretos. Esta alternativa es la que se usó durante mucho tiempo. Destacan de entre ésos el famoso código usado por los alemanes en la segunda guerra mundial Enigma, quebrado por los británicos. Sin embargo, esto no permite la producción en masa de productos con estos algoritmos, ni tampoco que las propiedades de éstos puedan ser analizadas rigurosamente en la comunidad científica. La criptografía moderna toma como base que los algoritmos de encriptación deben ser públicos 2003 Jorge Baier Aranda, PUC 101

25 Criptografía Simétrica Debido a que los algoritmos deben ser públicos, una posible solución es que tanto el emisor como el receptor usen una misma llave para encriptar y desencriptar los mensajes. Para enviar un mensaje M, el emisor produce un mensaje C = E K (M). Una vez que el receptor recibe el mensaje, lo desencripta usando la misma clave. El proceso se muestra en la siguiente figura: M C = E K (M) M = D K (C) Encriptación Desencriptación Mensaje Plano Mensaje Encriptado Mensaje Plano K K Un elemento clave para que la criptografía simétrica provea confidencialidad es que sea muy difícil a través de algoritmos computacionales convencionales el obtener el mensaje M a partir de C Jorge Baier Aranda, PUC 102

26 Por otro lado, obviamente, K debe ser conocida sólo por el emisor y el receptor. Uno de los algoritmos más populares que proveen criptografía simétrica es el DES. Una variación de DES, el CRYPT es usado por algunas versiones de UNIX para guardar los passwords en archivos públicos. Dos problemas son evidentes frente al uso de criptografía asimétrica: 1. Si un emisor y un receptor se encuentran separados por una red, cómo se ponen de acuerdo de manera segura en qué clave usarán? Se pueden usar otros medios (por ejemplo, teléfono) pero esto puede ser también inseguro, o impráctico. 2. Para cada comunicación segura será necesario tener una clave distinta Jorge Baier Aranda, PUC 103

27 Criptografía Asimétrica La solución a estos problemas está dada por esquemas de criptografía asimétrica. Bajo este esquema, cada usuario tiene una clave distinta, pero que están relacionadas de alguna manera. Si el emisor posee la clave K 1 y el receptor la clave K 2, el envío del mensaje se realiza según el siguiente esquema: M C = E K1 (M) M = D K2 (C) Encriptación Desencriptación Mensaje Plano Mensaje Encriptado Mensaje Plano K 1 K 2 Nuevamente, para proveer confiabilidad a este nivel debe ser muy difícil encontrar M a partir de C. En otras palabras la idea es que, en la práctica, la única manera de conocer el mensaje M a partir de C sea conocer la clave K Jorge Baier Aranda, PUC 104

28 Los algoritmos más conocidos que usan este esquema son los de clave pública y clave privada. En este esquema, cada persona debe tener una clave privada K P (que es sólo conocida por la persona) y una clave pública K S (que es publicada al resto del mundo) El par (K P, K S ) es generado por el usuario. Estas claves están relacionadas, pero es muy difícil obtener una a partir de la otra. Así, si A quiere enviar un mensaje confidencial a B: 1. B debe enviar a A su clave pública. 2. A debe encriptar el mensaje usando la clave pública de B. 3. B debe desencriptar el mensaje cifrado usando su clave privada. A continuación veremos brevemente los fundamentos matemáticos de RSA, un algoritmo que funciona con el esquema de clave pública y clave privada Jorge Baier Aranda, PUC 105

29 El Algoritmo RSA El algoritmo RSA 9 es uno de los más sencillos y populares que se usan en el esquema de clave pública y privada. En el sistema RSA, un participante crea sus claves pública y privada siguiendo el siguiente procedimiento: 1. Selecciona, aleatoriamente dos primos grandes 10 p y q. 2. Calcula n = p q. 3. Selecciona un número impar pequeño e sin factores en común con (p 1)(q 1). 4. Calcula d de tal forma que 5. La clave pública es el par (e, n). 6. La clave privada es el par (d, n). e d mod (p 1)(q 1) = 1 9 El nombre RSA se debe a las iniciales de sus inventores: Ron Rivest, Adi Shamir y Leonard Adleman. 10 Aquí grande significa por lo menos 100 dígitos 2003 Jorge Baier Aranda, PUC 106

30 Supongamos que A posee clave pública (e, n) y clave privada (d, n) y que B desea enviar un mensaje representado por un número M a A. La comunicación se produce de la siguiente manera: B genera el mensaje encriptado P (M) = M e mod n. Se transmite C = P (M) a través de la red. A recupera M efectuando la siguiente operación S(C) = C d mod n. A efectivamente ha recuperado el mensaje representado por M porque es posible demostrar que M ed mod n = M Jorge Baier Aranda, PUC 107

31 Nótese que, por la forma en que se define la encriptación, se cumple la siguiente propiedad: M = S(P (M)) = P (S(M)) Que en palabras sencillas dice lo siguiente: Un mensaje encriptado con una clave pública sólo puede ser desencriptado por su clave privada. Algo que es encriptado con una clave privada sólo puede ser desencriptado por su clave pública Jorge Baier Aranda, PUC 108

32 Firma de Mensajes Debido a la propiedad anterior, RSA puede ser usado para lograr autenticación o firmar mensajes. Usando el algoritmo RSA no solo es posible lograr confidencialidad en el envío de los datos sino que además autenticación. Esto significa que es posible que A envíe un mensaje a B confidencialmente, pero que además B esté seguro que A fue efectivamente quien emitió el mensaje Jorge Baier Aranda, PUC 109

33 Supongamos que A quiere enviar un mensaje M confidencialmente a B y que además quiere que B esté seguro que A fue quien emitió el mensaje. Entonces A puede hacer lo siguiente: 1. A encripta el mensaje usando su clave privada, generando S A (M). 2. A encripta el mensaje resultante usando la clave pública de B, generando C = P B (S A (M)). 3. Se transmite C a través de la red. 4. Cuando el mensaje llega a B, lo desencripta usando su clave privada, obteniendo S A (M). 5. Luego B utiliza la clave pública de A para desencriptar este último mensaje. Si lo que se genera es un mensaje legible, B está seguro que el mensaje fue enviado por A Jorge Baier Aranda, PUC 110