Beruflich Dokumente
Kultur Dokumente
Seguridad en Redes
8.1 Que es la 8.6 Control de acceso:
seguridad 8.2 Principios de criptografa 8.3 Autenticacin 8.4 Integridad 8.5 Distribucin de llaves y certificacin
8: Network Security
8-2
Contramedidas?
8: Network Security 8-3
8: Network Security
8-4
src:B dest:A
payload
Contramedidas?
B
8: Network Security 8-5
src:B dest:A
payload
B
8: Network Security 8-6
A
src:B dest:A payload
B Contramedidas?
8: Network Security 8-7
A
src:B dest:A payload
B
8: Network Security 8-8
A
SYN SYN SYN
C
SYN SYN
B Contramedidas?
SYN SYN
8: Network Security 8-9
A
SYN SYN SYN
C
SYN SYN
B
SYN SYN
8: Network Security 8-10
Seguridad en Redes
8.1 Que es la 8.6 Control de acceso:
seguridad 8.2 Principios de criptografa 8.3 Autenticacin 8.4 Integridad 8.5 Distribucin de llaves y certificacin
8.8.1. Email seguro 8.8.2. Sockets seguros 8.8.3. IPsec 8.8.4. Securidad en 802.11
8: Network Security
8-11
E-mail seguro
Alice quiere enviar mail confidencial, m, a Bob. (m pueden ser datos de cualquier aplicacin)
KS m
KS( )
KS(m )
KS(m )
KS( )
+
KS
K B( ) KB
Internet
KB(KS )
KS
K B( ) KB
KB(KS )
Alice:
genera llave simtrica aleatoria privada, KS encripta mensaje con KS (mas eficiente) tambin encripta KS con la llave pblica de Bob enva ambas KS(m) y KB(KS) a Bob
8: Network Security 8-12
E-mail seguro
Alice quiere enviar mail confidencial, m, a Bob.
KS m
K (. )
S
KS(m )
KS(m )
KS( )
+
KS
K B( ) KB
Internet
KB(KS )
KS
K B( ) KB
KB(KS )
Bob:
usa llave privada para decriptar y obtener su llave privada KS usa KS para decriptar KS(m) y recuperar m
8: Network Security 8-13
E-mail seguro
Alice quiere proveer integridad de mensaje autenticado
por ella
KA
H(.)
KA( )
KA(H(m))
KA(H(m))
KA KA( )
H(m )
+
m
Internet
compare H( )
H(m )
E-mail seguro
Alice quiere proveer, autenticacin de transmisor,
H( )
KA( )
KA(H(m))
KS
+
m KS
KS( )
+
K B( ) KB
Internet
KB(KS )
Alice usa tres llaves: su llave privada, la llave pblica de Bob, llave simtrica recin creada
8: Network Security 8-15
8: Network Security
8-16
transporte para cualquier aplicacin basada en TCP que usa los servicios SSL. Usada entre browsers Web para e-commerce (shttp). Servicios de seguridad:
r r r
Browser usando SSL incluye llaves publicas para Autoridades de Certificacin (CA) confiables. Browser pide certificado del sitio web servidor, generado por CA. Browser usa llave publica del CA para extraer la llave publica del servidor del certificado
SSL (continuado)
Sesion SSL encriptada: SSL: base de la IETF Browser genera llave Transport Layer simtrica de sesin, la Security (TLS). encripta con la llave pblica SSL se puede usar en del servidor, enva llave aplicaciones no de la encriptada al servidor. Web, e.g., IMAP. Usando su llave privada, el Autenticacin de servidor decripta la llave cliente puede ser de sesin. hecha con certificados Solo browser, server saben de clientes. llave de sesin simtrica
r
Todos los datos enviados al socket TCP (por cliente o servidor) son encriptados con llave de sesin simtrica.
8: Network Security
8-18
Para AH y ESP, handshake Terminal transmisor encripta fuente, destino: datos en datagrama IP r Crea canal lgico en capa r Segmentos TCP y UDP; red llamado asociacin de mensajes ICMP y SNMP seguridad (SA) messages. Cada SA unidireccional. Autenticacin en capa red Determinado nicamente por: r Terminal destino puede r Protocolo de seguridad autenticar direccin IP origen (AH or ESP) Usa dos protocolos: r Direccin IP origen r Protocolo para autenticacin r Identificador de conexin de cabezal (AH) de 32-bits r Protocolo para encapsulacion de carga (ESP)
8: Network Security 8-19
Protocolo AH
Datos AH incluyen: Identificador de fuente, destino, conexin integridad de datos, NO provee confidencialidad Datos de autenticacin: digestin firmado por Datos AH se insertan origen calculado sobre entre cabecera IP, datagrama IP original. campos de datos. Campo next header: Campo protocolo: 51 especifica tipo de datos (e.g., TCP, UDP, ICMP) Routers intermedio procesan datagramas normalmente
Provee autenticacin IP header AH header data (e.g., TCP, UDP segment)
8: Network Security 8-20
Protocolo ESP
Provee confidencialidad,
autenticacin de terminal, integridad de datos. Datos, ESP trailer son encriptados. Campo next header esta en ESP trailer.
Campo de
authenticated encrypted IP header ESP ESP ESP TCP/UDP segment header trailer authent.
8: Network Security
8-21
85% no usan encriptacin o autenticacin r medio compartido: ataques son fciles! Asegurar 802.11 r encriptacin, autenticacin r primer intento a la seguridad de 802.11: Wired Equivalent Privacy (WEP): no funciono r intento actual: 802.11i
r
8: Network Security
8-22
ap4.0
terminal pide autenticacin desde punto de acceso r punto de acceso enva nonce de 128 bits r terminal encripta nonce usando llave simtrica compartida r punto de acceso decripta nonce, autentica terminal No hay distribucin de llaves Autenticacin: conocer la llave secreta es suficiente
8: Network Security
8-23
permanent) Servidor suma 24-bits de vector de inicializacin (IV) para crear llave de 64-bits Llave de 64 bits se usa para generar flujo de llaves: kiIV kiIV usado para decriptar byte i, di, en el frame: ci = di XOR kiIV IV y bytes encriptados, ci enviados en el frame
8: Network Security
8-24
802.11 IV header
8: Network Security
8-25
Ataque: r Trudy causa que Alice encripta texto plano d1 d2 d3 d4 IV r Trudy ve: ci = di XOR ki
r r r
Trudy conoce ci di, puede calcular kiIV Trudy sabe secuencia de encriptacin k1IV k2IV k3IV Prxima vez que se use IV, Trudy puede decriptar!
8: Network Security
8-26
8: Network Security
8-27
2 STA y AS se autentican mutualmente, juntos generan llave Maestra (MK). AP servidores pasan datos 3 STA deriva Pairwise Master Key (PMK) 4STA, AP usa PMK para derivar llave temporal (TK) usado para encriptacin de mensaje usada e integridad
8: Network Security
8-28
terminal para clientes mviles end-end client (mviles) EAP enviado por enlaces separados
mobil-a-AP (EAP sobre LAN) r AP a servidor de autenticacin (RADIUS over UDP)
r
wired network
EAP TLS EAP EAP over LAN (EAPoL) IEEE 802.11 RADIUS UDP/IP
8: Network Security 8-29
Seguridad de Red
Tcnicas bsicas...
criptografa (simtrica y publica) r autenticacin r integridad de mensajes r distribucin de llaves
r