Diplomado en Redesitisolaris.upaep.mx/~diploma/cap 11P17.pdfEsta medida de la señal de WLAN se...

UPAEP 2017

Universidad Popular Autónoma del Estado de Puebla

UPAEP 2017 [Diplomado en Redes]

2

Capítulo 11: LANs Inalámbricas

Las WLANs (Wireless LANs: LANs inalámbricas) permiten al usuario comunicarse en la red sin necesidad

de usar cables, permitiendo a los dispositivos móviles conectarse a la red. Este capítulo examina los

conceptos básicos, estándares, instalaciones y opciones de seguridad de algunas de las más comunes

tecnologías WLANs utilizadas hoy en día.


3

Conceptos de LANs Inalámbricas

Las laptops con capacidades inalámbricas se comunican con un dispositivo WLAN llamado punto de

acceso (AP). Un AP utiliza comunicaciones inalámbricas para enviar y recibir frames con los clientes

WLAN (laptops).

Comparación con Ethernet LANs

La IEEE define el estándar 802.3 para las Ethernet LANs y el estándar 802.11 para las WLANs. Los dos

estándares definen un formato de frame con encabezado y trailer, con el encabezado incluyendo la

dirección MAC origen y destino. Los dos definen reglas acerca de cómo deben determinar los

dispositivos cuándo enviar frames y cuándo no.

Las WLANs utilizan ondas de energía irradiada, llamadas ondas de radio, para transmitir los datos.

Mientras que Ethernet utiliza señales eléctricas que pasan a través del cable (o luz en cable óptico). Las

ondas de radio pasan a través del espacio, entonces no hay necesidad de utilizar un medio físico de

transmisión.

Si más de un dispositivo envía ondas de radio en el mismo espacio a la misma frecuencia, la señal no es

entendible, entonces se utiliza un mecanismo half-duplex (HFX). Las WLANs utilizan el algoritmo

CSMA/CA (carrier sense multiple access with collision avoidance) para evitar las mayores colisiones

posibles.

Estándares de LANs Inalámbricas

Cuatro organizaciones tienen gran impacto en los estándares utilizados por LANs inalámbricas. La tabla

11-1 lista estas organizaciones.

Organización Descripción

ITU-R Estandarización a nivel mundial de comunicaciones que utilizan energía

irradiada, particularmente maneja la asignación de frecuencias.

IEEE Estandarización de LANs inalámbricas (802.11).

Wi-Fi Alliance Una industria consorcio que se encarga de la interoperabilidad de

productos que implementan estándares WLAN a través de su programa

certificado Wi-Fi.

Federal Communication

Commission (FCC)

La agencia de gobierno de E.U. que regula el uso de varias frecuencias de

comunicaciones en E.U.

Tabla. 11-1 Organizaciones

La IEEE introdujo los estándares WLAN con la creación del estándar 802.11 ratificado en 1997. El

estándar al paso del tiempo se fue mejorando y se fue agregando un sufijo. En orden de ratificación los

estándares son 802.11b, 802.11a, 802.11g y 802.11n. La tabla 11-2 lista los puntos importantes de estos

estándares.

Característica 802.11a 802.11b 802.1g

Año de ratificación 1999 1999 2003

Máxima velocidad utilizando DSS --- 11 Mbps 54+ Mbps


4

Característica 802.11a 802.11b 802.1g

Máxima velocidad usando OFDM 54 Mbps --- 54 Mbps

Bandas de frecuencia 5 GHz 2.4 Ghz 2.4 Ghz

Canales (no sobrepuestos) 23 (12) 11 (3) 11 (3)

Velocidades requeridas por el estándar (Mbps) 6, 12, 24 1, 2, 5.5, 11 6, 12, 24

Tabla. 11-2 Estándares WLAN

Modos de LANs Inalámbricas 802.11

Las WLANs pueden usar dos modos: modo ad hoc y modo infraestructura. Con el modo ad hoc, el

dispositivo inalámbrico solo se comunica con uno o pocos dispositivos de forma directa, usualmente

soportado para un periodo corto de tiempo. Los dispositivos envían frames WLAN directamente uno con

el otro, como se muestra en la figura 11-1.

Fig. 11-1 Ad Hoc

En el modo infraestructura, cada dispositivo se comunica con un AP, el AP se conecta con un cable

Ethernet al resto de la infraestructura de la red. El modo infraestructura permite a los dispositivos WLAN

comunicarse con servidores e Internet en una red cableada existente, como se muestra en la figura 11-

2.

Fig. 11-2 BSS


5

El modo infraestructura soporta dos conjuntos de servicios, llamados service sets. El primero es llamado

BSS (Basic Service Set), éste utiliza un solo AP que crea la LAN inalámbrica, como se muestra en la figura

11-2. El otro, es llamado ESS (Extended Service Set), éste utiliza más de un AP, casi siempre con células

sobrepuestas para permitir roaming en áreas muy grandes, como se muestra en la figura 11-3.

Fig. 11-3 ESS

El roaming permite a los usuarios permanecer conectados a la misma WLAN cuando se mueven dentro

del área cubierta. Como resultado, el usuario no tiene que estar cambiando de dirección IP.

Transmisiones Inalámbricas (Capa 1)

Las tarjetas de red inalámbricas, los APs y otros dispositivos WLAN utilizan un radio y una antena para

enviar y recibir ondas de radio. Las ondas de radio de WLAN tienen una señal que se repite

periódicamente. La onda formada que se repite periódicamente tiene una frecuencia, una amplitud y

una fase. La frecuencia es medida en Hertz (Hz), y es uno de los aspectos más importantes en las

WLANs.

Muchos dispositivos electrónicos irradian energía a distintas frecuencias. Para evitar que la energía

irradiada por un dispositivo no interfiera con otros dispositivos, las agencias de gobierno nacional,

regulan y registran los rangos de frecuencias que pueden ser usados en el país.

Algunas bandas de frecuencia no se registran, y éstas pueden ser utilizadas por cualquier dispositivo. Los

dispositivos que utilizan las bandas de frecuencia no registradas pueden tener muchas interferencias

con los dispositivos que comparten la misma frecuencia. Por ejemplo, el microondas irradia energía a

una frecuencia de banda no registrada de 2.4 gigahertz (GHz), que es la misma que se utiliza en algunos

estándares de WLANs y en teléfonos inalámbricos.

FCC define tres bandas de frecuencia no registradas, las cuales se muestran en la tabla 11-3. Una banda

de frecuencia es un conjunto de rangos de frecuencia.


6

Rango de Frecuencia Nombre Ejemplo de dispositivos

900 MHz Industrial, Scientific, Medical (ISM) Teléfonos inalámbricos antiguos

2.4 GHz ISM Nuevos teléfonos inalámbricos y

WLANs 802.11, 802.11b y

802.11g

5 GHz Unlicensed National Information

Infrastructure (U-NII)

Nuevos teléfonos inalámbricos y

WLANs 802.11a y 802.11n

Tabla. 11-3 Frecuencias no registradas

Codificación Inalámbrica y Canales DSS No Sobrepuestos

Cuando la NIC o el AP inalámbricos envían datos, pueden modular (cambiar) la frecuencia de las señales

de radio, la amplitud, y la fase, para codificar un 0 o 1 binario. Existen tres tipos de codificación:

Frequency Hoping Spread Spectrum (FHSS): Utiliza todas las frecuencias en la banda, saltando

entre diferentes. El estándar WLAN 802.11 utilizaba FHSS.

Direct Sequence Spread Spectrum (DSSS): Diseñado para usar la banda no registrada 2.4 GHz,

DSSS usa uno de los canales separados o frecuencias. Esta banda tiene un ancho de banda de

82 MHz, con un rango de 2.402 GHz a 2.483 GHz. Esta banda puede tener 11 canales DSSS no

sobrepuestos, como se muestra en la figura 11-4. Los canales 1,6 y 11 no se sobreponen lo

suficiente uno con el otro, estos pueden ser usados en el mismo espacio de comunicaciones

WLAN, y no hacen interferencia uno con otro. El estándar 802.11 b utiliza DSSS.

Fig. 11-4 Canales DSSS

Orthogonal Frequency Division Multiplexing (OFDM): Como en DSS, las WLANs que usan

OFDM pueden usar múltiples canales no sobrepuestos. Los estándares 802.11a ,802.11g y

802.11n utilizan OFDM.

Interferencia Inalámbrica

Las ondas de radio deben pasar por la materia que exista dentro del área cubierta, incluyendo paredes,

pisos y techos. Al pasar por toda la materia la señal se ve afectada y más si hay metal en los materiales,

que puede causar que la WLAN no funcione. La comunicación inalámbrica también es impactada por

otras ondas de radio transmitidas a la misma frecuencia.


7

Para medir la interferencia se utiliza Signal-to-Noise Ratio (SNR). Esta medida de la señal de WLAN se

compara con otras señales no deseadas (ruido) en el mismo espacio. Mientras mayor sea el SNR, mayor

será el éxito de los dispositivos WLAN al enviar datos.

Área de Cobertura, Velocidad y Capacidad

El área de cobertura es el espacio en el cual dos dispositivos WLAN pueden enviar datos exitosamente,

esta área es creada por un AP en particular.

La potencia transmitida por un AP o una NIC inalámbrica no puede exceder un nivel particular basado en

las regulaciones permitidas por las agencias regulatorias como la FCC.

Los materiales cercanos al AP pueden impactar su área de cobertura. Por ejemplo, si se coloca el AP

cerca de materiales metálicos, estos incrementan las reflexiones y dispersa la señal, esto provoca que el

área de cobertura se reduzca. Algunas formas de incrementar el área de cobertura en un AP, son usar

antenas especializadas e incrementar la potencia de la señal transmitida.

Las señales inalámbricas débiles no pueden pasar los datos a altas velocidades, pero pueden pasarla a

lentas velocidades. Entonces los estándares WLAN pueden soportar múltiples velocidades.

La tabla 11-4 lista los estándares WLAN con sus máximas velocidades y el número de sus canales no

sobrepuestos.

Estándar IEEE Velocidad

Máxima (Mbps)

Otras Velocidades

(Mbps)

Frecuencia Canales No

Sobrepuestos

802.11b 11 1, 2, 5.5 2.4 GHz 3

802.11a 54 6, 9, 12, 18, 24, 36, 48 5 GHz 12

802.11g 54 Igual que 802.11a 2.4 GHz 3

n

Tabla. 11-4 Velocidades y frecuencias WLAN

Media Access (Capa 2)

En redes inalámbricas si más de un dispositivo WLAN está transmitiendo al mismo tiempo, usando los

mismos rangos de frecuencia sobrepuestos, las colisiones pueden ocurrir. Para prevenir el problema se

utiliza el algoritmo CSMA/CA (carrier sense multiple access with collision avoidance). Este algoritmo

reduce el riesgo que las colisiones puedan ocurrir, pero no previene las colisiones. El algoritmo

CSMA/CA funciona de la siguiente forma:

Paso 1 Escucha en el medio (espacio) si no está ocupado (si no hay ondas de radio viajando

actualmente a la misma frecuencia que se va a utilizar).

Paso 2 Coloca un contador de espera aleatorio antes de enviar un frame para reducir el riesgo que dos

dispositivos envíen al mismo tiempo.

Paso 3 Cuando el tiempo aleatorio ha pasado, escucha de nuevo para asegurarse que el medio no está

ocupado. Si no lo está, envía el frame.

Paso 4 Después de enviar el frame entero, espera un acknowledgment.


8

Paso 5 Si no recibe el acknowledgment, reenvía el frame usando nuevamente la lógica CSMA/CA.

Implementación de WLANs

Lista de Control para la Implementación de una LAN Inalámbrica

La siguiente lista es la guía para la instalación de una BSS WLAN:

Paso 1 Verificar que la red cableada funciona, incluyendo los servicios DHCP, VLANs y la conectividad a

Internet.

Paso 2 Instalar el AP y configurar y verificar su conectividad con la red cableada, incluyendo la

dirección IP, la máscara y la puerta de enlace predeterminada del AP.

Paso 3 Configurar y verificar los parámetros inalámbricos del AP, incluyendo el SSID (Service Set

Identifier), pero no seguridad.

Paso 4 Instalar y configurar los clientes inalámbricos (por ejemplo, una laptop), nuevamente sin

seguridad.

Paso 5 Verificar si la WLAN funciona en la laptop.

Paso 6 Configurar la seguridad inalámbrica en el AP y en el cliente.

Paso 7 Verificar nuevamente que la WLAN funciona, con la presencia de las características de

seguridad.

Paso 1: Verificar la Red Cableada Existente

El puerto del switch al cual es conectado el AP generalmente es un puerto de acceso, esto significa que

está asignado a una VLAN en particular. También, en un diseño ESS con múltiples APs, todos los puertos

del switch a los que está conectado cada AP deben pertenecer a la misma VLAN. En la figura 11-5 se

muestra un ejemplo.

Fig. 11-5 WLAN ESS con todos los APs en VLAN 2

Para probar la red existente se puede conectar la NIC Ethernet de una laptop al mismo cable Ethernet

que será utilizado por el AP. Si la laptop puede obtener la dirección IP, la máscara, y otra información


9

usando DHCP, y comunicarse con otros hosts, la red cableada existente está lista para poder conectar al

AP.

Paso 2: Instalar y Configurar los APs Conectados y los Detalles IP

Los detalles de la configuración IP en un AP son los mismos que se necesitan en un switch Ethernet, ya

que de igual forma solo se necesitan para poder administrar remotamente al dispositivo.

Paso 3: Configurar Detalles de APs WLAN

En un AP se pueden configurar las siguientes características:

Estándar IEEE (a, b, g, n o múltiple)

Canal inalámbrico.

SSID (Service Set Identifier)

Potencia de transmisión.

El SSID es un valor de texto ASCII de 32 caracteres. Cuando se configura una ESS WLAN, cada AP debe

ser configurado con el mismo SSID, esto permitirá el roaming entre los APs, pero dentro de la misma

WLAN.

Paso 4: Instalar y Configurar Un Cliente Inalámbrico

Un cliente WLAN es un dispositivo que tenga una NIC inalámbrica que soporte el mismo estándar del AP

de la WLAN. LA NIC incluye un radio, el cual puede cambiar de frecuencias para soportar el estándar de

la WLAN, y una antena.

A los clientes no se les necesita configurar nada, pero el cliente de forma predeterminada no tiene

habilitada la seguridad. Cuando un cliente comienza a trabajar, trata de descubrir todos los APs,

escuchando todos los canales de las frecuencias de los estándares WLAN que soporta.

Paso 5: Verificar que la WLAN Funciona Desde Un Cliente

El primer paso para verificar si un cliente WLAN funciona, es revisar si el cliente puede comunicarse con

los mismos hosts que en el Paso 1. Si el cliente no puede comunicarse, es necesario revisar lo siguiente:

¿El AP está en el centro del área donde el cliente está ubicado?

¿El cliente o el AP están cerca de un área metálica?

¿El cliente o el AP están cerca de un dispositivo que produzca interferencia, como un horno de

microondas o una consola de video juegos?

¿El AP cubre el área suficiente para alcanzar al cliente?

A continuación se enlistan recomendaciones a otros problemas comunes con instalaciones nuevas:

Revisar que el radio de la NIC y del AP está habilitado. En particular, la mayoría de las laptops

tienen un switch físico y un software con el cual se habilita o se deshabilita el radio.

Revisar que el AP tiene el último firmware. El firmware es el sistema operativo que se está

corriendo en el AP.

Revisar la configuración del AP, en particular la configuración del canal, asegurarse que el canal

no se sobrepone con otros APs usados en la misma ubicación.


10

Seguridad en LANs Inalámbricas

Problemas de Seguridad en WLANs

A continuación se muestran las categorías de amenazas que se pueden encontrar en una WLAN :

War drivers: El objetivo del atacante es obtener Internet gratis. Esta persona conduce

alrededor, tratado de encontrar algún AP que no tenga seguridad o su seguridad sea muy débil.

Hackers: La motivación de los hackers es encontrar información o alterar el funcionamiento de

los servicios.

Empleados: Los empleados pueden ayudar a los hackers a obtener acceso a la red. Un

empleado puede comprar e instalar un AP cualquiera dentro de su oficina sin ninguna

configuración de seguridad y esto permitirá a los atacantes tener un acceso sencillo a la red.

Rogue AP: El atacante captura paquetes existentes de la LAN inalámbrica, de esta forma puede

encontrar el nombre del SSID y obtener las contraseñas de seguridad. Después el atacante

puede poner su propio AP, con las mismas configuraciones, y de esta forma los clientes de la

empresa se conectarán al AP falso. El atacante podrá obtener toda la información ingresada por

los clientes.

Para reducir el riesgo de estos ataques, existen tres principales herramientas que pueden ser usadas en

una WLAN.

Autentificación mutua: El proceso de autentificación usa una contraseña secreta, llamada llave,

en el cliente y en el AP. Usando algoritmos matemáticos sofisticados, el AP puede confirmar

que el cliente tiene el valor correcto de llave, y de la misma forma el cliente confirma que el AP

tiene la llave correcta. El proceso nunca envía la llave por el aire, entonces el atacante no podrá

copiarla si captura algún paquete.

Cifrado: El cifrado utiliza una llave secreta y una fórmula matemática que altera el contenido

del frame WLAN. El dispositivo que recibe utiliza otra fórmula para descifrar los datos.

Herramientas de Intrusión: Estas herramientas incluyen al Intrusion Detection System (IDS) y el

Intrusion Prevention System (IPS), así como también otras herramientas específicas de WLAN.

Cisco define la arquitectura Structured Wireless-Aware Network (SWAN), que incluye muchas

herramientas, algunas de las cuales detectan e identifican rogue APs.

En la tabla 11-5 se muestran las vulnerabilidades principales junto con la solución general.

Vulnerabilidad Solución

War drivers Autentificación fuerte

Hackers robando información en la WLAN Cifrado fuerte

Hackers obteniendo acceso al resto de la red Autentificación fuerte

Empleado instalando AP IDS, incluyendo Cisco SWAN

Rogue AP Autentificación fuerte, IDS/SWAN

Tabla. 11-4 Velocidades y frecuencias WLAN


11

Progreso de los Estándares de Seguridad de WLANs

El primer estándar de seguridad de WLANs, llamado Wired Equivalent Privacy (WEP), tiene muchos

problemas. Primero Cisco resolvió el problema con algunas soluciones propietarias. Posteriormente Wi-

Fi Alliance, ayudó a resolver el problema definiendo un estándar compatible con todos los equipos.

Finalmente, IEEE completó el trabajo con un estándar público, 802.11i. En la tabla 11-5 se muestran los

cuatro estándares de seguridad de WLAN.

Nombre Año ¿Quién lo Definió?

Wired Equivalent Privacy (WEP) 1997 IEEE

La solución intermedia de Cisco 2001 Cisco, IEEE 802.1x Extensible

Authentification Protocol (EAP)

Wi-Fi Protected Access (WPA) 2003 Wi-Fi Alliance

802.11i (WPA2) 2005+ IEEE

Tabla. 11-5 Estándares de seguridad WLAN

Wired Equivalent Privacy (WEP)

WEP fue el estándar de seguridad 802.11 original, provee servicios de autentificación y cifrado. La

autentificación y el cifrado son débiles y pueden ser corrompidas fácilmente por los hackers. Los

principales problemas de WEP son los siguientes:

Static Preshared Keys (PSK): El valor de la llave puede ser configurada en cada cliente y en cada

AP, sin intercambio dinámico de llaves sin la intervención humana. Como resultado, nadie

cambiaba regularmente el valor de las llaves.

Easily cracked keys: El valor de las llaves era corto (64 bits, de los cuales solo 40 eran la llave

única actual). Esto hacia fácil predecir el valor de la llave usada, basándose en copias de los

frames de la WLAN.

SSID Cloaking y Filtrado de MAC

SSID cloaking, cambia el proceso por el cual los clientes se asocian con el AP. Antes de que el cliente

pueda comunicarse con el AP, debe conocer información acerca del AP, en particular el SSID. El proceso

de asociación ocurre como a continuación:

Paso 1 EL AP envía periódicamente frames Beacon (de forma predeterminada cada 100 ms) estos

muestran el SSID del AP y otra información de configuración.

Paso 2 Los clientes escuchan Beacons en todos los canales, y aprenden acerca todos los APs en rango.

Paso 3 El cliente se asocia con el AP que tenga la señal más fuerte (de forma predeterminada).

Paso 4 El proceso de autentificación ocurre tan pronto como un cliente se asocie con un AP.

SSID cloaking es una característica del AP, que le indica al AP que deje de enviar periódicamente frames

Beacon. Esto parece a una solución al problema de que los atacantes identifiquen el SSID, pero el cliente

puede enviar mensajes Probe, lo cual causa que cada AP responda con su SSID. Entonces es simple

provocar que los APs den a conocer su SSID, incluso con SSID cloaking habilitado.

Los APs pueden ser configurados con una lista de direcciones MAC WLAN permitidas, filtrando frames

que provengan de diferentes direcciones MAC a las configuradas. Esto no resuelve el problema, ya que


12

el atacante puede cambiar su dirección MAC, copiando los frames en el aire puede obtener una

dirección MAC legitima, entonces el atacante la podrá utilizar y engañar al AP.

Solución Intermedia de Cisco entre WEP y 802.11i

Las principales características de la solución de Cisco fueron las siguientes:

Intercambio dinámico de llave. Las llaves pueden cambiarse más seguido, sin la intervención

humana.

Autentificación de usuario utilizando 802.1x. En lugar de autentificar al dispositivo, el usuario

debe proporcionar un nombre de usuario y una contraseña.

Nueva llave de cifrado para cada paquete.

Wi-Fi Protected Access (WPA)

Las características de WPA son las mismas que la solución intermedia de Cisco, pero con algunas

diferencias. WPA incluye la opción de usar intercambio dinámico de llaves, usando Temporal Key

Integrity Protocol (TKIP). WPA permite el uso de la autentificación 802.1x o autentificar a los dispositivos

con PSK. Y el algoritmo de cifrado que usa es Message Integrity Check (MIC), similar al usado por la

solución intermedia de Cisco.

IEEE 802.11i y WPA-2

La IEEE ratificó el estándar 802.11i en el 2005. Como la solución de Cisco, y el estándar WPA de Wi-Fi

Alliance, 802.11i incluye intercambio dinámico de llaves, cifrado fuerte y autentificación de usuario. Sin

embargo, algunos detalles difieren en gran medida, ya que 802.11i no es compatible con los demás

estándares.

Una de las mejoras de 802.11i es el cifrado mejorado por el estándar Advanced Encryption Standard

(AES), que permite claves más largas y algoritmos de cifrado más seguros.

Wi-Fi llamó WPA-2 al estándar 802.11i, debido a la popularidad que ya tenía WPA.

La tabla 11-6 resume las principales características de los distintos estándares de seguridad de WLAN.

Estándar Distribución de

Llave

Autentificación

de Dispositivo

Autentificación

de Usuario

Cifrado

WEP Estática Sí (débil) Ninguna Sí (débil)

Cisco Dinámica Sí Sí (802.1x) Sí (TKIP)

WPA Ambas Sí Sí (802.1x) Sí (TKIP)

802.11i (WPA-2) Ambas Sí Sí (802.1x) Sí (AES)

Tabla. 11-6 Características de estándares de seguridad de WLAN

Diplomado en Redesitisolaris.upaep.mx/~diploma/cap 11P17.pdfEsta medida de la señal de WLAN se...

Documents

Transcript of Diplomado en Redesitisolaris.upaep.mx/~diploma/cap 11P17.pdfEsta medida de la señal de WLAN se...