Seguridad de red: capa de enlace de datos

Hemos visto que el rápido crecimiento de Internet ha suscitado una gran preocupación por la seguridad de la red. Se han desarrollado varios métodos para proporcionar seguridad en la aplicación, el transporte o la capa de red de una red.

Muchas organizaciones incorporan medidas de seguridad en capas OSI superiores, desde la capa de aplicación hasta la capa de IP. Sin embargo, un área que generalmente se deja desatendida es el endurecimiento de la capa de enlace de datos. Esto puede abrir la red a una variedad de ataques y compromisos.

En este capítulo, analizaremos los problemas de seguridad en la capa de enlace de datos y los métodos para contrarrestarlos. Nuestra discusión se centrará en la red Ethernet.

Problemas de seguridad en la capa de enlace de datos

La capa de enlace de datos en las redes Ethernet es muy propensa a varios ataques. Los ataques más comunes son:

Suplantación de ARP

El Protocolo de resolución de direcciones (ARP) es un protocolo que se utiliza para asignar una dirección IP a una dirección de máquina física reconocible en la Ethernet local. Cuando una máquina host necesita encontrar una dirección física de Control de acceso a medios (MAC) para una dirección IP, transmite una solicitud ARP. El otro host que posee la dirección IP envía un mensaje de respuesta ARP con su dirección física.

Cada máquina host en la red mantiene una tabla, llamada 'caché ARP'. La tabla contiene la dirección IP y las direcciones MAC asociadas de otro host en la red.

Dado que ARP es un protocolo sin estado, cada vez que un host recibe una respuesta ARP de otro host, aunque no haya enviado una solicitud ARP, acepta esa entrada ARP y actualiza su caché ARP. El proceso de modificar la caché ARP de un host de destino con una entrada falsificada conocida como envenenamiento ARP o suplantación de ARP.

La suplantación de ARP puede permitir que un atacante se haga pasar por un host legítimo y luego intercepte tramas de datos en una red, las modifique o las detenga. A menudo, el ataque se utiliza para lanzar otros ataques, como intermediarios, secuestro de sesiones o denegación de servicio.

Inundación MAC

Cada conmutador de Ethernet tiene una tabla de memoria direccionable por contenido (CAM) que almacena las direcciones MAC, los números de puerto del conmutador y otra información. La mesa tiene un tamaño fijo. En el ataque de inundación MAC, el atacante inunda el conmutador con direcciones MAC utilizando paquetes ARP falsificados hasta que la tabla CAM está llena.

Una vez que el CAM se inunda, el conmutador pasa al modo de concentrador y comienza a transmitir el tráfico que no tiene entrada CAM. El atacante que está en la misma red, ahora recibe todos los marcos que estaban destinados solo a un host específico.

Robo de puertos

Los conmutadores Ethernet tienen la capacidad de aprender y vincular direcciones MAC a los puertos. Cuando un conmutador recibe tráfico de un puerto con una dirección de origen MAC, vincula el número de puerto y esa dirección MAC.

El ataque de robo de puertos aprovecha esta capacidad de los conmutadores. El atacante inunda el conmutador con tramas ARP falsificadas con la dirección MAC del host de destino como dirección de origen. Switch se engaña al creer que el host de destino está en el puerto, en el que en realidad está conectado un atacante.

Ahora, todos los marcos de datos destinados al host objetivo se envían al puerto del conmutador del atacante y no al host objetivo. Por lo tanto, el atacante ahora recibe todos los marcos que en realidad estaban destinados solo al host de destino.

Ataques DHCP

El Protocolo de configuración dinámica de host (DHCP) no es un protocolo de enlace de datos, pero las soluciones a los ataques DHCP también son útiles para frustrar los ataques de Capa 2.

DHCP se utiliza para asignar direcciones IP de forma dinámica a las computadoras durante un período de tiempo específico. Es posible atacar a los servidores DHCP provocando la denegación de servicio en la red o haciéndose pasar por el servidor DHCP. En un ataque de inanición de DHCP, el atacante solicita todas las direcciones DHCP disponibles. Esto resulta en una denegación de servicio al host legítimo en la red.

En el ataque de suplantación de identidad de DHCP, el atacante puede implementar un servidor DHCP falso para proporcionar direcciones a los clientes. Aquí, el atacante puede proporcionar a las máquinas host una puerta de enlace predeterminada con las respuestas DHCP. Las tramas de datos del host ahora se guían a la puerta de enlace donde el atacante puede interceptar todos los paquetes y responder a la puerta de enlace real o eliminarlos.

Otros ataques

Además de los ataques populares anteriores, existen otros ataques como la transmisión basada en la capa 2, la denegación de servicio (DoS) y la clonación de MAC.

En el ataque de difusión, el atacante envía respuestas ARP falsificadas a los hosts de la red. Estas respuestas ARP configuran la dirección MAC de la puerta de enlace predeterminada a la dirección de transmisión. Esto hace que todo el tráfico saliente se difunda, lo que permite que el atacante lo rastree en la misma Ethernet. Este tipo de ataque también afecta la capacidad de la red.

En los ataques DoS basados ​​en la Capa 2, el atacante actualiza las cachés ARP de los hosts en la red con direcciones MAC inexistentes. Se supone que la dirección MAC de cada tarjeta de interfaz de red en una red es única a nivel mundial. Sin embargo, se puede cambiar fácilmente habilitando la clonación de MAC. El atacante deshabilita el host objetivo a través del ataque DoS y luego usa las direcciones IP y MAC del host objetivo.

El atacante ejecuta los ataques para lanzar ataques de nivel superior con el fin de poner en peligro la seguridad de la información que viaja por la red. Puede interceptar todos los fotogramas y podría leer los datos del fotograma. El atacante puede actuar como intermediario y modificar datos o simplemente eliminar el marco que conduce a DoS. Puede secuestrar la sesión en curso entre el host de destino y otras máquinas, y comunicar información incorrecta por completo.

Protección de LAN Ethernet

Discutimos algunos ataques ampliamente conocidos en la capa de enlace de datos en la sección anterior. Se han desarrollado varios métodos para mitigar este tipo de ataques. Algunos de los métodos importantes son:

Seguridad Portuaria

Es una función de seguridad de capa 2 disponible en conmutadores Ethernet inteligentes. Implica vincular un puerto físico de un conmutador a una dirección o direcciones MAC específicas. Cualquiera puede acceder a una red insegura simplemente conectando el host a uno de los puertos de conmutador disponibles. Pero la seguridad del puerto puede asegurar el acceso a la capa 2.

De forma predeterminada, la seguridad del puerto limita el recuento de direcciones MAC de entrada a uno. Sin embargo, es posible permitir que más de un host autorizado se conecte desde ese puerto a través de la configuración. Las direcciones MAC permitidas por interfaz se pueden configurar estáticamente. Una alternativa conveniente es habilitar el aprendizaje de direcciones MAC "pegajoso" donde las direcciones MAC serán aprendidas dinámicamente por el puerto del switch hasta que se alcance el límite máximo para el puerto.

Para garantizar la seguridad, la reacción al cambio en las direcciones MAC especificadas en un puerto o el exceso de direcciones en un puerto se puede controlar de muchas formas diferentes. El puerto se puede configurar para apagar o bloquear las direcciones MAC que exceden un límite especificado. La mejor práctica recomendada es cerrar el puerto. La seguridad del puerto evita la inundación de MAC y los ataques de clonación.

Indagación DHCP

Hemos visto que la falsificación de DHCP es un ataque en el que el atacante escucha las solicitudes de DHCP del host en la red y las responde con una respuesta DHCP falsa antes de que la respuesta DHCP autorizada llegue al host.

El espionaje de DHCP puede prevenir tales ataques. El espionaje de DHCP es una función de cambio. El conmutador se puede configurar para determinar qué puertos del conmutador pueden responder a las solicitudes de DHCP. Los puertos de conmutador se identifican como puertos confiables o no confiables.

Solo los puertos que se conectan a un servidor DHCP autorizado se configuran como "confiables" y se les permite enviar todo tipo de mensajes DHCP. Todos los demás puertos del conmutador no son de confianza y solo pueden enviar solicitudes DHCP. Si se ve una respuesta DHCP en un puerto que no es de confianza, el puerto se cierra.

Prevención de la suplantación de ARP

El método de seguridad del puerto puede prevenir la inundación de MAC y los ataques de clonación. Sin embargo, no evita la suplantación de ARP. La seguridad del puerto valida la dirección de origen MAC en el encabezado de la trama, pero las tramas ARP contienen un campo de origen MAC adicional en la carga útil de datos, y el host usa este campo para completar su caché ARP. Algunos métodos para evitar la suplantación de ARP se enumeran a continuación.

  • Static ARP- Una de las acciones recomendadas es emplear entradas ARP estáticas en la tabla ARP del host. Las entradas ARP estáticas son entradas permanentes en una caché ARP. Sin embargo, este método no es práctico. Además, no permite el uso de algún Protocolo de configuración dinámica de host (DHCP), ya que es necesario utilizar IP estática para todos los hosts de la red de capa 2.

  • Intrusion Detection System- El método de defensa es utilizar un sistema de detección de intrusiones (IDS) configurado para detectar grandes cantidades de tráfico ARP. Sin embargo, IDS tiende a informar falsos positivos.

  • Dynamic ARP Inspection- Este método de prevención de la suplantación de ARP es similar a la de DHCP. Utiliza puertos confiables y no confiables. Las respuestas ARP se permiten en la interfaz del conmutador solo en puertos confiables. Si llega una respuesta ARP al conmutador en un puerto que no es de confianza, el contenido del paquete de respuesta ARP se compara con la tabla de enlace DHCP para verificar su precisión. Si la respuesta ARP no es válida, la respuesta ARP se descarta y el puerto se desactiva.

Protección del protocolo de árbol de expansión

El Protocolo de árbol de expansión (STP) es un protocolo de administración de enlaces de capa 2. El objetivo principal de STP es garantizar que no haya bucles de flujo de datos cuando la red tenga rutas redundantes. Generalmente, las rutas redundantes se crean para brindar confiabilidad a la red. Pero pueden formar bucles mortales que pueden provocar un ataque DoS en la red.

Protocolo de árbol de expansión

Para proporcionar la redundancia de ruta deseada, así como para evitar una condición de bucle, STP define un árbol que abarca todos los conmutadores de una red. STP fuerza ciertos enlaces de datos redundantes a un estado bloqueado y mantiene otros enlaces en un estado de reenvío.

Si un enlace en el estado de reenvío se rompe, STP reconfigura la red y redefine las rutas de datos activando la ruta de espera adecuada. STP se ejecuta en puentes y conmutadores implementados en la red. Todos los conmutadores intercambian información para la selección del conmutador raíz y para la posterior configuración de la red. Las unidades de datos de protocolo de puente (BPDU) transportan esta información. Mediante el intercambio de BPDU, todos los conmutadores de la red eligen un puente / conmutador raíz que se convierte en el punto focal de la red y controla los enlaces bloqueados y reenviados.

Ataques a STP

  • Tomando el control del puente raíz. Es uno de los tipos de ataque más disruptivos en la capa 2. De forma predeterminada, un conmutador de LAN toma cualquier BPDU enviada desde el conmutador vecino al valor nominal. Por cierto, STP es confiable, sin estado y no proporciona ningún mecanismo de autenticación sólido.

  • Una vez en el modo de ataque raíz, el switch atacante envía un BPDU cada 2 segundos con la misma prioridad que el puente raíz actual, pero con una dirección MAC numéricamente más baja, lo que asegura su victoria en el proceso de elección del puente raíz. El conmutador del atacante puede lanzar un ataque DoS ya sea al no reconocer correctamente otros conmutadores que provocan una inundación de BPDU o al someter a los conmutadores a un proceso excesivo de BPDUS al afirmar que es root al mismo tiempo y retraerse en rápida sucesión.

  • DoS usando Flood of Configuration BPDU. El switch atacante no intenta hacerse cargo de root. En cambio, genera una gran cantidad de BPDU por segundo, lo que lleva a una utilización de CPU muy alta en los conmutadores.

Prevención de ataques a STP

Afortunadamente, la contramedida a un ataque de adquisición de root es simple y directa. Dos características ayudan a derrotar un ataque de adquisición de raíz.

  • Root Guard- Root guard restringe los puertos del switch a partir de los cuales se puede negociar el puente raíz. Si un puerto 'habilitado para root-guard' recibe BPDU que son superiores a los que envía el puente raíz actual, entonces ese puerto se mueve a un estado de raíz inconsistente y no se reenvía tráfico de datos a través de ese puerto. La protección de raíz se implementa mejor en los puertos que se conectan a conmutadores que no se espera que asuman el control como puente raíz.

  • BPDU-Guard- La protección de BPDU se usa para proteger la red de los problemas que pueden ser causados ​​por la recepción de BPDU en los puertos de acceso. Estos son los puertos que no deberían recibirlos. La protección BPDU se implementa mejor en los puertos orientados al usuario para evitar que un atacante inserte un conmutador no autorizado.

Asegurar la LAN virtual

En las redes locales, las redes de área local virtuales (VLAN) a veces se configuran como una medida de seguridad para limitar la cantidad de hosts susceptibles a los ataques de capa 2. Las VLAN crean límites de red, sobre los cuales no puede cruzar el tráfico de difusión (ARP, DHCP).

Red de área local virtual

Una red que emplea conmutadores que admiten capacidades de VLAN se puede configurar para definir varias VLAN en una única infraestructura de LAN física.

La forma común de VLAN es una VLAN basada en puertos. En esta estructura de VLAN, los puertos del conmutador se agrupan en VLAN mediante el software de gestión del conmutador. Por tanto, un único conmutador físico puede actuar como varios conmutadores virtuales.

El empleo de VLAN proporciona aislamiento de tráfico. Divide la red de capa 2 de difusión grande en redes de capa 2 lógica más pequeñas y, por lo tanto, reduce el alcance de ataques como ARP / DHCP Spoofing. Las tramas de datos de una VLAN pueden moverse desde / hacia dentro de los puertos que pertenecen a la misma VLAN solamente. El reenvío de tramas entre dos VLAN se realiza mediante enrutamiento.

Las VLAN generalmente abarcan varios conmutadores, como se muestra en el diagrama anterior. El enlace entre los puertos troncales transporta tramas de todas las VLAN definidas en varios conmutadores físicos. Por lo tanto, las tramas de VLAN enviadas entre conmutadores no pueden ser simples tramas de formato Ethernet IEEE 802.1. Dado que estas tramas se mueven en el mismo enlace físico, ahora necesitan llevar información de ID de VLAN. El protocolo IEEE 802.1Q agrega / elimina campos de encabezado adicionales a tramas Ethernet simples reenviadas entre puertos troncales.

Cuando el campo que sigue a los dos campos de direcciones IP es 0x8100 (> 1500), la trama se identifica como trama 802.1Q. El valor del identificador de protocolo de etiqueta (TPI) de 2 bytes es 81-00. El campo TCI consta de información de prioridad de 3 bits, indicador de eliminación elegible (DEI) de 1 bit e ID de VLAN de 12 bits. Este campo de prioridad de 3 bits y el campo DEI no son relevantes para las VLAN. Los bits de prioridad se utilizan para proporcionar calidad de servicio.

Cuando una trama no pertenece a ninguna VLAN, existe una ID de VLAN predeterminada con la que se considera que está asociada la trama.

Ataque a VLAN y medidas de prevención

En un ataque de salto de VLAN, un atacante en una VLAN puede obtener acceso al tráfico en otras VLAN que normalmente no serían accesibles. Eludiría un dispositivo de capa 3 (enrutador) cuando se comunicara de una VLAN a otra, frustrando así el propósito de la creación de VLAN.

El salto de VLAN se puede realizar mediante dos métodos; cambiar la suplantación de identidad y el etiquetado doble.

Switch Spoofing

Puede ocurrir cuando el puerto del conmutador, al que está conectado el atacante, está en modo 'trunking' o en modo de 'negociación automática'. El atacante actúa como un conmutador y agrega encabezados de encapsulación 802.1Q con etiquetas VLAN para las VLAN remotas de destino a sus tramas salientes. El conmutador receptor interpreta esas tramas como provenientes de otro conmutador 802.1Q y envía las tramas a la VLAN de destino.

Las dos medidas preventivas contra los ataques de falsificación de conmutadores son configurar los puertos de borde en modo de acceso estático y desactivar la negociación automática en todos los puertos.

Etiquetado doble

En este ataque, un atacante conectado en el puerto VLAN nativo del conmutador antepone dos etiquetas VLAN en el encabezado del marco. La primera etiqueta es de VLAN nativa y la segunda es para VLAN de destino. Cuando el primer conmutador recibe las tramas del atacante, elimina la primera etiqueta, ya que las tramas de la VLAN nativa se reenvían sin etiqueta en el puerto troncal.

  • Dado que la segunda etiqueta nunca fue eliminada por el primer conmutador, el conmutador receptor identifica la etiqueta restante como el destino de la VLAN y reenvía las tramas al host de destino en esa VLAN. El ataque de doble etiquetado explota el concepto de VLAN nativa. Dado que la VLAN 1 es la VLAN predeterminada para los puertos de acceso y la VLAN nativa predeterminada en los troncales, es un objetivo fácil.

  • La primera medida de prevención es eliminar todos los puertos de acceso de la VLAN 1 predeterminada, ya que el puerto del atacante debe coincidir con el de la VLAN nativa del conmutador. La segunda medida de prevención es asignar la VLAN nativa en todos los enlaces troncales del conmutador a alguna VLAN no utilizada, digamos VLAN id 999. Y por último, todos los conmutadores deben configurarse para llevar a cabo el etiquetado explícito de las tramas VLAN nativas en el puerto troncal.

Asegurar la LAN inalámbrica

La red de área local inalámbrica es una red de nodos inalámbricos dentro de un área geográfica limitada, como un edificio de oficinas o un campus escolar. Los nodos son capaces de comunicarse por radio.

LAN inalámbrico

La LAN inalámbrica generalmente se implementa como extensiones de la LAN con cable existente para proporcionar acceso a la red con movilidad del dispositivo. Las tecnologías de LAN inalámbrica más ampliamente implementadas se basan en el estándar IEEE 802.11 y sus enmiendas.

Los dos componentes principales de la LAN inalámbrica son:

  • Access Points (APs)- Estas son estaciones base para la red inalámbrica. Transmiten y reciben radiofrecuencias para comunicarse con clientes inalámbricos.

  • Wireless Clients- Estos son dispositivos informáticos que están equipados con una tarjeta de interfaz de red inalámbrica (WNIC). Las computadoras portátiles, teléfonos IP y PDA son ejemplos típicos de clientes inalámbricos.

Muchas organizaciones han implementado LAN inalámbricas. Estas redes están creciendo fenomenalmente. Por lo tanto, es fundamental comprender las amenazas en las LAN inalámbricas y aprender las medidas preventivas comunes para garantizar la seguridad de la red.

Ataques en LAN inalámbrica

Los ataques típicos que se llevan a cabo en una LAN inalámbrica son:

  • Eavesdropping - El atacante monitorea pasivamente las redes inalámbricas en busca de datos, incluidas las credenciales de autenticación.

  • Masquerading - El atacante se hace pasar por un usuario autorizado y obtiene acceso y privilegios en redes inalámbricas.

  • Traffic Analysis - El atacante monitorea las transmisiones a través de redes inalámbricas para identificar patrones de comunicación y participantes.

  • Denial of Service - El atacante impide o restringe el uso normal o la administración de LAN inalámbrica o dispositivos de red.

  • Message Modification/Replay - El atacante modifica o responde a un mensaje legítimo enviado a través de redes inalámbricas eliminándolo, agregándolo, cambiándolo o reordenándolo.

Medidas de seguridad en LAN inalámbrica

Las medidas de seguridad proporcionan los medios para derrotar los ataques y gestionar los riesgos de las redes. Se trata de medidas técnicas, operativas y de gestión de la red. A continuación describimos las medidas técnicas adoptadas para garantizar la confidencialidad, disponibilidad e integridad de los datos transmitidos a través de LAN inalámbricas.

En las LAN inalámbricas, todos los AP deben configurarse para brindar seguridad a través del cifrado y la autenticación del cliente. Los tipos de esquemas utilizados en la LAN inalámbrica para brindar seguridad son los siguientes:

Privacidad equivalente por cable (WEP)

Es un algoritmo de cifrado integrado en el estándar 802.11 para proteger las redes inalámbricas. El cifrado WEP utiliza el cifrado de flujo RC4 (Rivest Cipher 4) con claves de 40 bits / 104 bits y un vector de inicialización de 24 bits. También puede proporcionar autenticación de punto final.

Sin embargo, es el mecanismo de seguridad de cifrado más débil, ya que se han descubierto varias fallas en el cifrado WEP. WEP tampoco tiene protocolo de autenticación. Por lo tanto, no se recomienda utilizar WEP.

Protocolo 802.11i

En este protocolo son posibles numerosas y más fuertes formas de cifrado. Ha sido desarrollado para reemplazar el esquema WEP débil. Proporciona un mecanismo de distribución de claves. Admite una clave por estación y no usa la misma clave para todas. Utiliza un servidor de autenticación separado del punto de acceso.

IEEE802.11i exige el uso de un protocolo denominado Modo contador con Protocolo CBC-MAC (CCMP). CCMP proporciona confidencialidad e integridad de los datos transferidos y autenticidad del remitente. Se basa en el cifrado de bloque Advanced Encryption Standard (AES).

El protocolo IEEE802.11i tiene cuatro fases de funcionamiento.

  • STA y AP se comunican y descubren capacidades de seguridad mutua, como algoritmos compatibles.

  • STA y AS se autentican mutuamente y juntos generan Master Key (MK). AP actúa como "paso a través".

  • STA deriva la clave maestra por pares (PMK). AS deriva el mismo PMK y lo envía a AP.

  • STA, AP utilizan PMK para derivar la clave temporal (TK) que se utilizará para el cifrado de mensajes y la integridad de los datos.

Otras normas

  • Wi-Fi Protected Access(WPA): este protocolo implementa la mayor parte del estándar IEEE 802.11i. Existía antes de IEEE 802.11i y utiliza el algoritmo RC4 para el cifrado. Tiene dos modos de funcionamiento. En el modo 'Enterprise', WPA usa el protocolo de autenticación 802.1x para comunicarse con el servidor de autenticación y, por lo tanto, las claves maestras previas (PMK) son específicas de la estación cliente. En el modo 'Personal', no usa 802.1x, PMK se reemplaza por una clave precompartida, como se usa para entornos de LAN inalámbrica Small Office Home Office (SOHO).

    WPA también incluye una verificación de integridad de mensajes de sonido que reemplaza la verificación de redundancia cíclica (CRC) que se usaba en el estándar WEP.

  • WPA2- WPA2 reemplazó al WPA. WPA2 implementa todos los elementos obligatorios del esquema IEEE 802.11i. En particular, incluye soporte obligatorio para CCMP, un modo de cifrado basado en AES con gran seguridad. Por lo tanto, en lo que respecta a los ataques, WPA2 / IEEE802.11i proporciona soluciones adecuadas para defenderse de las debilidades de WEP, los ataques man-in-the-middle, la falsificación de paquetes y los ataques de reproducción. Sin embargo, el ataque DoS no se aborda adecuadamente y no existen protocolos sólidos para detener tales ataques básicamente porque dichos ataques apuntan a la capa física como si interfieran con la banda de frecuencia.

Resumen

En este capítulo, consideramos los ataques y las técnicas de mitigación asumiendo una red Ethernet conmutada que ejecuta IP. Si su red no utiliza Ethernet como protocolo de capa 2, es posible que algunos de estos ataques no sean aplicables, pero es probable que dicha red sea vulnerable a diferentes tipos de ataques.

La seguridad es tan fuerte como el eslabón más débil. Cuando se trata de redes, la capa 2 puede ser un eslabón muy débil. Las medidas de seguridad de capa 2 mencionadas en este capítulo contribuyen en gran medida a proteger una red de muchos tipos de ataques.