Capítulo II

Marco teórico
 En este capitulo se definen los conceptos e ideas relacionadas con el desarrollo de

un sistema de seguridad que usa el protocolo CHAP para redes inalámbricas. La

información sobre el sistema de seguridad se centra principalmente en la fase de

autenticación que se realiza entre el cliente y el servidor. También se describe el uso de

otros protocolos como EAP y RADIUS que ayudan en el funcionamiento del sistema de

seguridad para poder lograr la autenticación y la autorización de los clientes.

Los temas a tratar son: estándares y tecnologías inalámbricas, seguridad

inalámbrica, autenticación, protocolo RADIUS, servidor FreeRADIUS, aplicación para el

análisis de la Red y dispositivos de red inalámbrica.

2.1 Estándares y tecnologías inalámbricas

Los estándares son un conjunto de especificaciones tecnológicas establecidas por

un organismo controlador que en este caso es el Instituto de Ingenieros en Electrónica y en

Electricidad, conocida por sus siglas en inglés como IEEE, para que los productores y

desarrolladores de tecnología tengan una normativa que les permita lograr que los

dispositivos puedan operar entre sí.

Es parte de la misión de la IEEE desarrollar estándares de operación para las redes

inalámbricas de área local (WLAN) que funcione entre en el marco de las reglas y de las

regulaciones de la comisión federal de comunicaciones de Estados Unidos. [1].

2.1.1 Especificación 802.11

La especificación 802.11 es un miembro de la familia IEEE 802 que es una serie de

especificaciones para las tecnologías de redes de área local (LAN) [2]. Esta especificación

lleva a la red tradicional a un medio de comunicación inalámbrico en donde los

dispositivos de este medio usan radio frecuencias en lugar de cables para establecer una

conexión y comunicación entre ellas, algunas de los estándares derivados de la 802.11 más

importantes son los siguientes:

• 802.11a Fue creado como un estándar de las redes inalámbricas de area local, opera

en una banda de 5 Ghz con un flujo de datos de 54 Mbps [3].

• 802.11b Creado como un estándar (también conocido como Wi-Fi) para las redes

inalámbricas de área local, opera en una banda de 2.4Ghz con un flujo de datos de

11 Mbps [3].

• 802.11g Creado como una extensión de alta velocidad del estándar 802.11b,

mantiene una compatibilidad con tecnologías 802.11b, opera en una banda de 2.4

Ghz con un flujo de datos en un inicio de 20 Mbps y ahora de 54 Mbps [3].

2.1.2 Diseño y componentes del estándar 802.11

Las redes 802.11 están formadas de cuatro componentes físicos principalmente, estos están

resumidos en la figura 2-1.

 Medio
Inalámbrico

Servidor Punto de Acceso Estación

Sistema de Distribución

Figura 2-1 Componentes de una red LAN 802.11 [2]

Los componentes son:

Estaciones.

Las redes están construidas para transferir datos entre estaciones. Las estaciones son

componentes computacionales con interfaces de red inalámbrica. Típicamente las

estaciones son computadoras portátiles o computadoras de bolsillo. Aunque también

pueden ser computadoras normales las que se conectan de forma inalámbrica para evitar

tener que poner cableado [2].

Puntos de Acceso

Los puntos de acceso son equipos que tienen la principal función de hacer de puente

entre la conexión por cable y la conexión inalámbrica [2].

Medio inalámbrico

Para mover datos de estación a estación, el estándar utiliza un medio inalámbrico,

en un principio eran numerosas las opciones que podían ser usadas para transmitir

información pero las que se utilizaron en primero fue la señal de infrarrojo y el uso de

radio frecuencias que con el tiempo se volvieron las más populares [2].

Sistema de distribución

Cuando muchos puntos de acceso esta conectados para formar una gran área de

cobertura, deben comunicarse entre ellos para llevar un seguimiento de todos los

movimientos de las estaciones de trabajo [2].

Servidor

Una computadora que realiza algunas tareas en beneficio de otras aplicaciones que

se pueden efectuar en dispositivos llamados clientes. Algunos servicios habituales son los

servicios de archivos, que permiten a los usuarios almacenar y acceder a los archivos de un

ordenador y los servicios de aplicaciones, que realizan tareas en beneficio directo del

usuario final.

2.1.3 Tipos de redes comunitarias

Redes Inalámbricas Ad Hoc

Este tipo de red inalámbrica, también llamada red de punto a punto (peer to peer),

se crea de forma temporal ante la necesidad de tener una conexión rápida con otra

computadora ya sea para compartir información o para aprovechar algún servicio de la

computadora como el Internet, para formar este tipo de red no se usan puntos de acceso

sino que se usan las tarjetas inalámbricas de cada computadora para conectarse entre sí. La

conexión se realiza en red abierta sin ninguna autenticación, y las computadoras conectadas

comparten el mismo ancho de banda. Las redes Inalámbricas Ad Hoc tienen como

desventaja el que su ancho de banda se vea disminuido cuando comparten archivos muy

grandes de información, adicionalmente no tienen una buena seguridad [4].

Portales cautivos

Un portal cautivo es cuando se da un servicio de red inalámbrico por medio de un

punto de acceso inalámbrico o ruteador que autentifica y administra a los usuarios

individualmente con el objetivo específico de ofrecerles un servicio de red, principalmente

Internet, y restringe el uso de otros servicios que el administrador del portal no quiera que

los otros usuarios usen [4].

Redes extendidas

Una red extendida se forma cuando se otorgan privilegios de dominio a todo usuario

que quiera disponer de servicios a los cuales no puede acceder por la red normal. Formar

una red extendida implica que se tienen que crear cuentas para cada uno de los usuarios y

además se tienen que definir políticas para cada uno de ellos [4].

Redes inalámbricas de acoplamiento

Es una red inalámbrica que comúnmente se usa para cubrir un área extensa sin la

necesidad de usar varios puntos de acceso y tener que administrar direcciones para cada

uno de ellos. En las redes inalámbricas de acoplamiento se usa un solo punto de acceso
central que conecta a una serie de repetidores que extienden el área de cobertura, como si

fuese un solo punto de acceso [4].

2.1.4 Servicios de redes

Un camino para definir la tecnología de red es definiendo el tipo de servicio que

ofrece. El estándar 802.11 nos provee de nueve servicios de los cuáles sólo tres son

utilizados para mover datos y los restantes seis son utilizados para operaciones de

administración de la red. Entre los servicios mas importantes están los siguientes [2]:

Distribución

Este servicio es usado por las estaciones móviles cada vez que envían datos. Una

vez que un paquete ha sido aceptado por el punto de acceso, éste usa el servicio de

distribución para entregar lo a su destino [2].

Integración

Integración es un servicio provisto por el sistema de distribución, el cual permite la

conexión del sistema de distribución a una red fuera del estándar IEEE 802.11 [2].

Asociación

El envió de las datos a las estaciones móviles es posible gracias a que éstas se

registran o se asocian con los puntos de acceso. El sistema de distribución entonces puede

usar la información de registro para determinar que punto de acceso utilizar. Cuando se

emplea un entorno de red con una seguridad más robusta, la asociación es un precursor de

la autenticación, la cuál se explicara más adelante [2].

Reasociación

La reasociación es iniciada por las estaciones móviles cuando por condiciones de

fuerza de la señal, dichas estaciones indican que una diferente asociación resultaría más

beneficiosa [2].

Disociación

Para terminar con una asociación existente, las estaciones pueden usar el servicio de

disociación. Cuando este servicio es usado, cualquier información guardada en el sistema

de distribución es removida [2].

Autenticación

La parte física es un componente muy importante en la solución de la seguridad, los

puntos de conexión de una red tradicional son limitados, usualmente están en las áreas de

oficina cerca del perímetro de los dispositivos de control de acceso. Los equipos de red

pueden ser asegurados en closets especiales, y las conexiones de red de las oficinas y de

los cubículos pueden desconectarse cuando no se utilicen, Las redes inalámbricas no

pueden ofrecer ese nivel de seguridad física, no obstante se puede depender de rutinas

adicionales de autenticación para asegurar que los usuarios que acceden a la red están

autorizados [2].

La autenticación puede ocurrir varias veces durante la conexión de un cliente en la

red inalámbrica. Antes de la asociación una estación va a efectuar un intercambio básico de

identidad con el punto de acceso que consiste en su dirección MAC. Este intercambio es el
que se conoce con autenticación del estándar 802.11, el cual es muy diferente de la robusta

autenticación criptográfica que después le sigue [2].

Des-autenticación

La des-autenticación termina una relación de autenticación. Debido a que la

autenticación es necesaria antes de que un usuario de la red sea autorizado, un efecto

secundario de la des-autenticación es la terminación de cualquier asociación que se este

llevando acabo, en una red con seguridad mas robusta la des-autenticación también borra la

información de las llaves [2].

Confidencialidad

En la revisión inicial de 802.11, el servicio de confidencialidad fue llamado

privacidad, y fue proveído por el ahora desacreditado protocolo WEP. Además de nuevos

esquemas de encriptación, 802.11i aumenta el servicio de confidencialidad por proveer

autenticación basada en usuario y servicios de administración de llaves, dos puntos críticos

que WEP no pudo tratar [2].

2.2 Seguridad inalámbrica

Las redes inalámbricas usan ondas electromagnéticas como medio de comunicación,

las mismas ondas que utilizan los radios, los teléfonos, los radios de intercomunicación

personal y algunos otros aparatos de la vida común. Las ondas pueden ser fácilmente

captadas por dispositivos ajenos al entorno, dispositivos que no son muy diferentes de los
que usualmente se utilizan en la red inalámbrica, estos pueden acceder a los servicios y a la

información de la red lo cual puede poner en riesgo la privacidad y la seguridad de la

entidad. Por tal motivo se han diseñado mecanismos de seguridad para las redes

inalámbricas con el fin de poder resguardar la información y protegerlas de ataques al

entorno inalámbrico.

2.2.1 Mecanismos de seguridad

Los mecanismos básicos de seguridad son confidencialidad, integridad, viabilidad,

autenticación, autorización, control de acceso, encriptación y administración de llaves [5].

Confidencialidad.- Es la capacidad de mandar (y recibir) datos sin divulgar ninguna parte

a las entidades no autorizadas durante la transmisión de los datos. Los mecanismos para

lograrlo son la encriptación-simétrica y la asimétrica [5].

Integridad.- Es la capacidad de mandar y recibir datos de tal manera que las entidades no

autorizadas no puedan cambiar ninguna parte de los datos intercambiados sin que el que lo

envió y el que lo recibió no hayan detectado los cambios. Como mecanismos usa firmas

digitales usando una función hash de un solo camino [5].

Viabilidad.- Está definida como la capacidad de recibir y enviar datos. Por ejemplo, si un

sistema esta sobre ataque, este no será capaz de recibir o enviar datos. Los mecanismos de

viabilidad son, en su mayoría, mecanismos de defensa que detectan varias formas de ataque

y protegen contra ellos [5].

Autenticación.- Establece la identidad del que envía o recibe la información. Cualquier

revisión de la integridad de la información privada no tiene sentido si la identidad del que

envía o recibe no esta establecida correctamente. Los mecanismos usados son protocolos de

nivel múltiple como 802.1x, RADIUS, PAP/CHAP, MS-CHAP, y otros [5].

Autorización.- Establece que es lo que se permite hacer después de que uno se ha

identificado. (También es llamada control de acceso, capacidades y permisos). La

autorización y la autenticación van juntas en la mayoría de los requisitos de acceso a red.

Los mecanismos son los niveles múltiples y protocolos [5].

Control de acceso.- Es la capacidad de controlar el acceso de entidades y recursos

basándose en varias propiedades: atributos, autenticación, políticas, etc. Los mecanismos

son la autenticación o el conocimiento de la llave WEP en el punto de acceso (AP) [5].

Encriptación.- Es la capacidad de transformar datos (texto plano) en bytes sin sentido

(texto cifrado) basándose en algún algoritmo. Desencriptar es el acto de convertir los datos

sin sentido en datos significativos de nuevo. El punto principal relacionado con la

autenticación y la autorización en el medio inalámbrico es la robustez de los métodos

usados para verificar la identidad de la entidad [5].

Administración de llaves.- Una llave es un código digital que puede ser usado para

encriptar, desencriptar y firmar información. Algunas llaves se guardan en privado, y otras

son compartidas y deben ser distribuidas de una manera segura. La administración de llaves

se refiere al proceso de distribuir llaves para los procesos previamente mencionados. El

desafío en el área inalámbrica es la distribución de las llaves de una forma segura, escalable

y en forma automática [5].

2.2.2 Wired Equivalent Privancy (WEP)

En las redes inalámbricas, la palabra “difusión” toma un nuevo significado. Las

redes inalámbricas confían en un medio abierto, y el riesgo de usarlas se incrementa en

mayor medida si no se utiliza protección criptográfica en la señal de transmisión [2].

Protegerse en contra de que alguien intercepte la señal es el objetivo de los

protocolos de encriptamiento. Mientras se transmiten los paquetes por el aire, estos deben

estar protegidos de cualquier peligro. La protección toma muchas formas, pero los métodos

citados anteriormente están manteniendo los datos de red seguros. Inicialmente, el estándar

WEP fue la solución a la seguridad inalámbrica. Por desgracia en los primeros cuatro años

de vida de 802.11, WEP no resultó ser tan seguro, lo cual obligó a los investigadores a

tratar de construir una caja fuerte para la inseguridad de WEP [2].

¿Si WEP no cumple con las expectativas por qué se sigue utilizando? En muchos

casos, éste es el único protocolo de seguridad presente en un dispositivo en particular. El

diseño de WEP es muy fácil de implementar, debido a su sencillez no consume mucho

poder computacional, por lo que es una buena opción para dispositivos chicos como

computadoras de bolsillo [2].

2.2.3 Protocolo de integridad de llave temporal

Este es un nuevo protocolo de encriptación ampliamente implementado. Temporal

Key Integrity Protocol (TKIP) fue concebido como una actualización de WEP, retiene la
arquitectura básica y operaciones de WEP añadiendo nuevas características. Entre sus

nuevas características que lo hacen mucho mas seguro encontramos:

- Jerarquía de Llaves y su administración automática de llaves.

- Generación de llaves por cada paquete.

- Contador de secuencia.

- Chequeo de integridad de los mensajes.

- Contramedidas por fallo de chequeo de la integridad del mensaje.

TKIP también es usado en conjunto con protocolos de administración de llaves

basados en el estándar 802.1x, en donde se habilita la llave maestra de TKIP para ser

derivadas de una transacción de autenticación [2].

2.2.4 Encriptación AES

AES es un bloque cifrado. Usando operaciones lógicas y matemáticas, el método

combina una llave y un bloque de datos de 128-bit (sin encriptar) para producir un bloque

de datos diferentes (encriptados). Para todo propósito práctico, es imposible de realizar esta

transformación si no se tiene la llave. AES es reversible (esto es, que puedes convertir los

datos a su forma original usando una decriptación), lo cual es útil, pero no esencial para

todos los protocolos de seguridad. Los bloques encriptados y sin encriptar son del mismo

tamaño. La conversión de un solo bloque de 128 bits de datos es lo único que hace AES,

pero de una forma eficiente y extremadamente segura [7].

AES está basado en el algoritmo de Rijindael , inventado por Joan Daemen y Vicent

Rijmen. Este algoritmo está muy bien documentado, incluyendo los detalles del algoritmo y

la puesta en práctica [7].

2.2.5 Wi-Fi Protected Acces (WPA)

Este es un estándar de comercialización puesto por la Alianza Wi-Fi que fue

implementado para acelerar el desarrollo de TKIP, llegando al mercado con una versión

previa de TKIP y después con la versión final [2].

En las últimas implementaciones de WPA también se maneja el uso de la

encriptación AES como una opción diferente a TKIP.

2.2.6 Tarjetas de red en modo promiscuo

El modo promiscuo es un modo de operación en el que una computadora conectada

a una red compartida captura todos los paquetes, incluyendo los paquetes destinados a otras

computadoras. Es muy útil para supervisar la red, pero presenta un riesgo de seguridad

dentro de una red de producción [28].

Muchas interfaces normales permiten utilizar este modo, aunque hay algunas

tarjetas como las Token Ring de IBM que no permiten este funcionamiento por defecto [28].

Mientras un administrador de redes puede emplear mucho tiempo en conseguir que

su red sea difícil de ser atacada mediante sniffers utilizando firewalls, switches, detectores

de modo promiscuo, etc., lo cierto es que la mejor forma de protegerse ante estos ataques es

la de encriptar el tráfico de red con alguna técnica [28].

2.3 Autenticación

Antes de permitir a las entidades a acceder a la red y a sus recursos asociados, el

procedimiento general es autenticar la entidad (un dispositivo o un usuario) y después

permitir la autorización basándose en la entidad [5].

2.3.1 El modelo tripartito

La autenticación está basada en un modelo tripartito: el cliente que requiere acceso;

el autenticador, que permite el acceso; y el servidor de autenticación que da los permisos.

El cliente tiene una identidad y algunas credenciales para probar que es el que dice

ser. El cliente está conectado a la red por medio del puerto del autenticador que es

controlado por acceso. El autenticador por sí mismo no sabe si se le puede prohibir el

acceso a la entidad; esta es la función del servidor de autenticación. Un autenticador puede

ser un servidor de acceso a la red (NAS) o un servicio de llamado de direcciones de

usuarios remotos (RADIUS). Cabe mencionar que el rol de autenticador y el servidor de

autenticación pueden ser desempeñados por un solo dispositivo [5].

2.3.2 Protocolos de autenticación PPP

Las Contraseñas son incorporadas en varios protocolos que proveen autenticación

de servicios. Para las conexiones dial-in, el protocolo punto a punto (PPP) es el más

comúnmente usado para establecer una conexión dial-in sobre las líneas seriales o ISDN.

El mecanismo de autenticación PPP incluye el Protocolo de Autenticación por Contraseña

(PAP), el Protocolo de Autenticación por Saludo de Desafío (CHAP), y el protocolo

extensible de autenticación (EAP). En todos los casos, los usuarios de los equipos son

autenticados y no así los dispositivos [5].

• PPP PAP (Protocolo de autenticación por contraseña)

El protocolo de autenticación por contraseña (PAP) ofrece una manera

simple de establecer una identidad utilizando un saludo de dos vias. Esto se hace sólo

con el establecimiento de la liga inicial. Después de que la fase del establecimiento de

la liga inicial fue completada, el paquete de pedido de autenticación es usado para

iniciar el proceso PAP. Este paquete contiene los nombres de los dos extremos y sus

contraseñas. Este paquete de pedido es enviado repetidamente hasta que una

contestación valida es recibida o el contador de una recomprobación opcional expira. Si

el servidor recibe del cliente un Identificador o contraseña que es aceptado y

reconocido, éste debe contestar con un “reconocimiento de autenticador”. Si el

Identificador o contraseña no es reconocido o aceptado, se debe contestar con una

negación de autenticación [5].

PAP no es un método robusto. PAP autentica sólo a uno de los extremos (el cliente),

las contraseñas son enviadas sobre un circuito en forma de texto simple. No hay

protección contra ataques repetitivos de prueba y error y ataques de reinicio [5].

• PPP CHAP ( Protocolo de autenticación de saludo por desafío)

El protocolo de autenticación de saludo por desafío (CHAP) es usado para

verificar periódicamente la identidad del anfitrión o usuario final usando un saludo de

tres vías, este se puede ver en la figura 2-2. CHAP se realiza en el establecimiento de la
 primera liga y puede ser repetido en cualquier tiempo después de que la liga se ha

establecido, impone seguridad en la red al requerir que los extremos compartan un

secreto en texto simple. Este secreto nunca es enviado a través de la liga, sólo se envía

la respuesta del desafío como un valor hash. Las contraseñas secretas deben ser

idénticas en los equipos locales y remotos. Estos secretos deben de estar de acuerdo en

ser generados e intercambiados fuera de la banda en una manera segura. Debido a que

el secreto nunca se transmite, otros equipos son prevenidos de no robarlo y ganar

acceso ilegal al sistema [5].

- Usuario
- Usuario Desafío (petición) - Password
- Password
# (aleatorio) # (aleatorio)
Respuesta

Acepta/rechaza
#A

Figura 2-2 Esquema de saludo por desafío CHAP.

2.3.3 Protocolo 802.1X

La estructura de seguridad en el estándar 802.11, y la autenticación basada en WEP

no están diseñadas para manejar redes públicas grandes. Por noción el estándar 802.11

permite a cualquiera a acceder la red mientras que en WEP el administrador de la red

confía en todos los usuarios que tengan las mismas credenciales de autenticación para

compartir la llave requerida [2].

El protocolo 802.1x es un protocolo de puerto de autenticación extensible que fue

diseñado para resolver el problema anterior, gracias a que limita el uso de la red a

cualquier cliente que no se haya autenticado antes [2].

EAP

EAP es un protocolo de autenticación desafió-respuesta (CHAP) que puede ser

extendido para funcionar en cualquier mecanismo de transporte y usar cualquier sistema de

encriptación para manejar la verificación. En el caso de las redes inalámbricas, el transporte

es proporcionado por EAP sobre un protocolo LAN (EAPOL). Son muchas las opciones

que pueden ser usadas con este servicio de autenticación, el servicio RADIUS (servicio de

autenticación de llamado a direcciones de usuarios remotos) por medio del protocolo

ligero de autenticación extensible (LEAP), el transporte en la capa de seguridad (TLS)

mediante EAP-TLS [8].

Métodos criptográficos de EAP

Por definición, los medios de red inalámbrica LAN deberían de verse sin ninguna

protección, por desgracia esto no es recomendado. Cualquier envió de datos enviados por la

red inalámbrica debe de ser protegido si quiere mantenerse seguro. La mayoría de los

métodos EAP diseñados para las redes inalámbricas usan seguridad en la capa de transporte

para proveer protección criptográfica en sus credenciales [8].

EAP- TLS

El método de Seguridad de la capa de transporte (TLS) provee autenticación mutua

promedio de intercambio de certificados. El usuario es requerido para enviar un certificado

digital para que el servidor de autenticación lo valide, pero este también debe proporcionar

un certificado. Al validarlo en una lista de certificados autorizados, el cliente puede estar

seguro de que se está conectando a una red que esta certificada [8].

EAP-TTLS y EAP-PEAP

Muchas de las organizaciones encontraron deseable rehusar los sistemas de

autenticación existentes, tales como el dominio Windows o el Directorio activo, el

directorio LDAP, y Kerberos. Rehusar cuentas existentes es más fácil que crear un sistema

de autenticación en paralelo. Los dos métodos EAP propuestos para habilitar el uso de los

supuestos “métodos de autenticación legados” son TLS Entubado (TTLS) y EAP protegido

(PEAP) [8].

Ambos TTLS y PEAP trabajan en una forma similar. En el primer paso del

protocolo, se debe establecer un túnel TLS usando rutinas similares a EAP-TLS.

Certificados digitales en el servidor de autenticación son usados para validar que la red es

confiable antes de proseguir. En el segundo paso, el túnel TLS es usado para encriptar un

protocolo de autenticación ampliamente usado como CHAP, que autentifica el usuario en la

red. El primer paso comúnmente se refiere como autenticación “externa”, puesto que es un

túnel el que protege la segunda autenticación o “interna”. En la figura 2-3 se puede

observar la ideología implementada en TTLS y PEAP [8].

 Túnel TLS (TTLS)
-Certificados del Servidor Autenticación
-Protege a la autenticación CHAP
interna.

Figura 2-3 Representación del túnel TLS.

LEAP

Cisco LEAP (Lightweight Extensible Authentication Protocol), es un protocolo que

fue desarrollado en el tiempo en que WEP mostró vulnerabilidades y cuando el esquema de

construcción de seguridad en redes inalámbricas todavía no había sido estandarizado.

LEAP usa mensajes del estándar 802.1x EAPOL , realizando una autenticación de

servidor, almacena nombre de usuario y la contraseña (mediante MS-CHAP) como

mecanismo de autenticación de usuario, usa un servidor RADIUS como servidor de

autenticación, y provee de mecanismos para derivar y distribuir llaves encriptadas [5].

Métodos EAP no encriptados

Muchos métodos EAP no son aconsejables para usarse directamente en la red

inalámbrica sin una fuerte protección criptográfica. Sin embargo, estos son útiles como

método de autenticación interna con PEAP o TTLS [8].

EAP-MD5

El desafió MD5 es usado para ser implementado en EAP como un análogo del

protocolo CHAP, las peticiones contienen un desafío para el usuario final. Para una

autenticación exitosa, CHAP requiere que el desafío sea codificado con una contraseña

compartida. Todas las implementaciones de EAP soportan el desafío MD5. Sin embargo no

es ampliamente soportado por las redes inalámbricas debido a que no provee llaves

dinámicas [8].

Generic Token Card

EAP-GTC fue estandarizado junto con EAP en RFC 2284. Este permite el

intercambio de credenciales de texto simple a través de la red. Junto con el uso de token

cards, EAP-GTC es comúnmente usado en la práctica como un método EAP para la

autenticación “nombre de usuario + contraseña”. Si existen las cuentas de usuario en la

base de datos que tienen contraseñas encriptadas en un solo sentido (o contraseñas de

comparación), EAP-GTC provee un método EAP que puede validar usuarios.

Naturalmente, si EAP-GTC es usado para transportar contraseñas rehusables, este debe ser

usado adentro de un túnel como protección en un servidor de autenticación [8].

EAP-MSCHAPV2

Microsoft CHAP versión dos (MS-CHAP-V2) fue inicialmente introducido con

Windows 2000 y fue documentado en RFC 2759. Este fue diseñado para direccionar los

defectos de MS-CHAP, para eliminar la débil encriptación de las contraseñas de los

clientes viejos, proveyendo autenticación mutua, mejorando el uso y creación de llaves [8].
 MS-CHAP-V2 es ampliamente soportado por los clientes de Microsoft, y es

comúnmente soportado y usado como mecanismo de autenticación interna con PEAP. MS-

CHAP-V2 es el método de autentificación interna mas usado en los dominios Windows.

Cuando es usado como un método EAP, puede ser usado tanto con TTLS como con PEAP

[8].

EAP-SIM y EAP-AKA

Dos notables métodos EAP que trabajan con procesos estándares son EAP-SIM y

EAP-AKA, estos pueden ser usados para la autenticación de bases de datos de teléfonos.

EAP-SIM provee una interfase para el modulo de identificación del subscritor (SIM) de las

bases de datos en las redes telefónicas GSM. EAP-AKA está basado en el sistema de

autenticación de red de equipos de telefónicos de tercera generación, llamado

Autenticación y Acuerdo de Llaves (AKA) [8].

2.3.4 Saludo de cuatro vías EAPOW

Para realizar la conexión inalámbrica el cliente debe establecer la conexión con un

punto de acceso, y este último debe consultar al servidor de seguridad si el cliente está

autorizado a usar la red para brindárselo, a esto lo llamamos un saludo por desafío entre el

cliente, el punto de acceso, y el servidor de seguridad.

Antes del saludo de cuatro vías el cliente solicita una asociación con el punto de

acceso para pasar después a la autenticación del cliente [12].

El saludo y autenticación del cliente inicia con la petición del identificador del

cliente por parte del punto de acceso, una vez que el cliente responde, la identificación es

enviada al servidor de seguridad como una petición de acceso EAP, el servidor entonces
envía del punto de acceso al cliente un desafío, que al ser respondido y enviado hasta el

servidor hace que el punto de acceso brinde la conexión al cliente. En la siguiente figura se

puede apreciar el saludo de cuatro vías EAPOW [8].

802.11 STA 802.11 AP RADIUS

EAPOW EAP en RADIUS

802.11 ASSOC Peticc

802.11 ASSOC Respu

EAPOW Inicio

EAP ID Peticc

EAP ID Respu RADIUS peticc acces

EAP AUTH Peticc RADIUS desafio acces.

EAP AUTH Respu RADIUS Peticc acceso

802.11 ASSOC Peticc RADIUS Acces Acepta

EAPOW Saludo 4 Vias

Figura 2-4 Saludo en cuatro vías EAPOW [12].

2.4 Protocolo RADIUS

El protocolo RADIUS fue desarrollado originalmente por Livingston Enterprises,

como un protocolo de control de acceso que verifica y autentifica a usuarios basados en el

método comúnmente usado de desafío/respuesta (CHAP). Mientras que el protocolo

RADIUS tiene un lugar prominente entre los servicios de proveedores de Internet, también

pertenece a cualquier ambiente en donde sea necesaria o deseada la autenticación central, la

autorización regulada, y el manejo de cuentas de usuario [6].

2.4.1 Modelo AAA

El marco alrededor de construcción de RADIUS se conoce como el proceso del

AAA, este consiste en la autenticación, autorización, y uso de cuentas. Mientras que no

hay nada específico sobre RADIUS en el modelo del AAA, un fondo general es necesario

para justificar el comportamiento de éste. El protocolo RADIUS fue creado antes de que el

modelo del AAA fuera desarrollado, pero era el primer protocolo AAA-basado verdadero

que exhibía la funcionalidad del AAA para ganar la aceptación de la industria y uso

extenso. Sin embargo, eso no quiere decir que no hay otros protocolos que satisfacen los

requisitos de la arquitectura [6].

Es importante observar el porqué la arquitectura del AAA es en promedio una mejor

estrategia que otras. Antes de que el AAA fuera introducido, un solo equipo individual

tenía que ser utilizado para autenticar a usuarios. Sin un estándar formal, cada máquina

tenía probablemente un método diferente de autenticación – algunos probablemente

utilizaron perfiles, mientras que otras pudieron haber utilizado el protocolo de

Challenge/Handshake (CHAP), y algunas otras pudieron haber usado una base de datos

interna pequeña de consultas con SQL [6].

2.4.2 Especificaciones del protocolo RADIUS

UDP sobre TCP

Una característica interesante del servidor RADIUS es que en principio utiliza

segmentos UDP en lugar de TCP. Esto se debe a que RADIUS tiene algunas propiedades

inherentes de los segmentos UDP. RADIUS requiere que las consultas fallidas hacia un

servidor sean redirigidas a un segundo servidor, y para hacer esto, una copia del pedido
original debe existir sobre la capa de transporte del modelo de red (modelo OSI). Esto, en

efecto obliga a usar tiempo de retransmisión [9].

Otra propiedad es que no es afectado por los estados del equipo como pérdida de

poder, reinicio, tráfico, pesado, y decomision del sistema. UDP previene todas estas

dificultades ya que permite que una sesión se abra y se mantenga abierta durante toda la

transacción [9].

UDP permite que RADIUS despache múltiples pedidos al mismo tiempo, además

en cada sesión posee habilidades de comunicación sin restricciones entre el equipo de red y

los clientes [9].

La única desventaja de utilizar segmentos UDP es que los desarrolladores por sí

mismos deben crear y administrar tiempos de retransmisión, pero esta desventaja no se

compara con la conveniencia y simplicidad de usar estos segmentos de transporte en red [9].

Formato del paquete

El protocoló RADIUS usa segmentos UDP para pasar transmisiones entre el cliente

y el servidor. El protocolo se comunica en el puerto 1812, que es un cambio del documento

RFC del RADIUS original. El paquete esta dividido en cinco partes diferentes como se ve

en la siguiente figura [9].

Código Identificador Longitud Autenticador

Encabezado
(1) (1) (2) (16)
Atributos y valores de la carga
Carga
(varía)

Figura 2-5 Formato de Paquete UDP RADIUS [9].

• Código.- La región de código tiene una longitud de un byte y sirve para distinguir

que tipo de mensaje RADIUS ha sido enviado en el paquete. Los paquetes con

campos inválidos son desechados sin notificación [9]. Los códigos validos son:

o Acces-Request (petición de acceso)

o Acces-Accept (acceso aceptado)
o Acces-Reject (acceso denegado)
o Accounting-Request ( pedido de cuenta)
o Accounting-Response (respuesta de cuenta)
o Acces-Challenge (desafío de acceso)
o Status-Server (estado del servidor) [ en desarrollo]
o Status-Client (estado del cliente) [ en desarrollo]
o Reserved (reservado)

• Identificador.- El identificador tiene una longitud de un byte y es usado para hacer

threading(secuencias), o enlace automático de los pedidos iniciales y contestaciones

subsecuentes. El servidor RADIUS generalmente puede interceptar mensajes

duplicados con examinar factores como el origen de la dirección IP, el origen del

puerto UDP, la duración entre los mensajes sospechosos, y el campo de

identificación [9].

• Longitud.- La región de longitud es de dos bytes y se usa para especificar el

tamaño del mensaje RADIUS. El valor en este campo se calcula al analizar los

campos de: código, identificador, longitud, autenticador, y haciendo la suma de sus

atributos. El campo de longitud se checa cuando el servidor RADIUS recibe un

paquete para asegurar la integridad de los datos. El rango de tamaño válido esta

entre los 20 y 4096. Si el servidor recibe un paquete más grande o chico del rango
 permitido, este ignora todos los datos y pasa al punto final designado en el campo

de longitud [9].

• Autenticador.- La región de autentificación tiene una longitud por los regular de 16

bytes, este es el campo en que la integridad de la carga útil del mensaje se

inspecciona y verifica. En este campo el más importante byte es transmitido antes

que cualquier otro –el valor usado para autentificar es contestado por el servidor

RADIUS. Este valor también es usado en el mecanismo para conceder contraseñas

[9].

Hay dos tipos específicos de valores de autenticación: los valores de pedido

y respuesta. Los de pedido son usados con los paquetes de Authentification-Request

y Accounting-Request. El valor de pedido es de 16 bytes y es generado

aleatoriamente para prevenir cualquier ataque [9].

El autenticador de respuesta es usado en los paquetes Acces-Accept, Acces-

Reject, y Acces-Challenge. El valor es calculado con una función hash generada por

los valores en las regiones del paquete: código, identificador, longitud, y la región

de autenticador de pedido, seguido por la carga útil del paquete y el secreto

compartido [9].

Ejemplo:

ResponseAuth = MD5(Code+ID+Length+RequestAuth+Attributes+Secret)
Tipos de paquetes

Además de haber visto la estructura de los paquetes RADIUS es importante saber

que es lo que hacen los paquetes. Existen cuatro tipos de paquetes que son relevantes para

las fases de autentificación y la autorización en la transacción AAA [9].

• Access-Request (Petición de acceso)

El paquete de petición de acceso se utiliza por el consumidor de servicios

cuando esta solicitando un servicio particular de la red. Lo que caracteriza a un paquete

de petición es que el valor del campo de código en el encabezado es igual a uno [9].

La carga útil del paquete de petición de acceso debe incluir el atributo de

nombre de usuario para identificar a la persona que quiere obtener acceso al recurso de

la red. Es necesario que la carga útil contenga la dirección IP o el nombre canónico del

equipo de la red que está solicitando el servicio. Este también debe contener la

contraseña de usuario, la contraseña basada en CHAP, o el identificador de estado, pero

no ambos tipos de contraseñas. La contraseña de usuario debe pasarse por una función

hash usando MD5 [9]. En la siguiente figura se puede ver la estructura del paquete

Acces-Request.

1 1 2 16
Código Identificador Longitud Autenticador (petición)
Encabezado
(1) (único) (Enca. + Carga) (aleatorio)
Atributos : nombre de usuario, NAS ID, contraseña (varía)
Carga
(MD5)

Figura 2-6 Paquete UDP Acces-Request [9].

• Acces-Accept (Acceso aceptado)

Los paquetes de acceso aceptado son enviados por el servidor RADIUS al

cliente para reconocer que se conoce la petición del cliente. Si todas las peticiones en la

carga útil que forman la petición de acceso son aceptadas, entonces el servidor

RADIUS debe fijar el campo de código a dos. El cliente, hasta que recibe el paquete de

aceptado, comprueba este con el paquete de respuesta usando el campo de

identificación. Los que no sigan este estándar son descartados [9]. En la siguiente figura

se puede ver la estructura del paquete Acces-Accept.

1 1 2 16
Código Identificador Longitud Autenticador (respuesta)
Encabezado
(2) (único) (Enca. + Carga) (código+ID+longitud+pet. autenticador + secreto)
Atributos: (todos opcionales) servicios autorizados
Carga
(varía)

Figura 2-7 Paquete UDP Acces-Accept [9].

• Access-Reject (Acceso rechazado)

El servidor RADIUS es requerido para mandar un paquete de acceso

denegado de regreso al cliente, si es denegado cualquiera de los servicios pedidos en el

paquete de petición de acceso. La negación puede estar basada en políticas de sistemas,

privilegios insuficientes, o cualquier otro criterio (una función para ser implementada

individualmente). El acceso denegado puede ser enviado en cualquier momento durante

la sección, lo que lo hace ideal para reforzar los tiempos límites de conexión. Sin

embargo no todos los equipos soportan recibir el acceso denegado durante la conexión

preestablecida [9]. En la siguiente figura se puede ver el paquete Acces-Reject.

 1 1 2 16
Autenticador (respuesta)
Código Identificador Longitud
Encabezado MD5 (código + ID + longitud + pet. Autenti +
(3) (único) (Enca. + Carga) atributos + secreto)
Atributos: (todos opcionales) Limitado a: contestación, Proxy
Carga
(varía)

Figura 2-8 Paquete UDP Acces-Reject [9].

• Acces-Challenge (Desafió de Acceso)

Si el servidor recibe información conflictiva de un usuario, requiere mas

información, o simplemente desea disminuir el riesgo de una autenticación fraudulenta,

puede publicar un paquete de desafió de acceso al cliente. El cliente, hasta que recibe el

paquete de desafío de acceso, debe entonces publicar una nueva petición de acceso con

la información apropiada incluida [9]. En la siguiente figura se puede ver la estructura

del paquete Acces-Challenge.

1 1 2 16

Código Identificador Longitud

Encabezado Autenticador (respuesta)
(11) (único) (Enca. + Carga)
Atributos: (todos opcionales) Limitado a: estado, contestación
Carga
(varía)

Figura 2-9 Paquete UDP Acces-Challenge [9].

Secretos compartidos

Para fortalecer la seguridad y aumentar la integridad transaccional, el protocolo

RADIUS usa el concepto de secretos compartidos. Los secretos compartidos son valores

generados aleatoriamente que son conocidos tanto por el servidor como por el cliente. Los

secretos compartidos son usados dentro de todas las operaciones que requieren ocultar
datos y hacer un encubrimiento de valores. El RFC recomienda que los secretos tengan por

lo menos una longitud de 16 bytes, ya que un secreto de esa longitud es virtualmente

imposible de descifrar por el método de fuerza bruta [9].

Métodos de autentificación

RADIUS soporta una diferente variedad de mecanismos de protocolo para

transmitir información específica y sensible de los usuarios a y desde el servidor de

autentificación. Los dos métodos más comunes son Protocolo de Autentificación por

Contraseña (PAP) y CHAP [9].

• PAP El “atributo de contraseña” del usuario en un paquete solicitado señala al servidor

RADIUS que el protocolo PAP va a ser usado para la transacción. Es importante notar

que el único campo obligatorio en este caso es le de contraseña de usuario. El campo de

Nombre de usuario no tiene que ser necesariamente incluido en el paquete solicitado, y

es posible que el Servidor RADIUS a lo largo de la cadena Proxy cambie el valor del

campo de Nombre de usuario [9].

• CHAP está basado en la premisa de que la contraseña nunca debe ser enviado en

ningún paquete a través de la red. CHAP encripta dinámicamente el identificador y la

clave pedidas. La máquina del usuario pasa al procedimiento de conexión, después de

haber obtenido la llave del equipo del cliente RADIUS (de por lo menos 16 Bytes de

longitud). El cliente entonces utiliza una función hash para la llave, enviando de regreso

un identificador CHAP, una respuesta CHAP, y el nombre de usuario al cliente

 RADIUS. El cliente RADIUS, al haber recibido todo lo anterior, coloco el campo del

identificador CHAP en un lugar apropiado del atributo del CHAP-Password y envía

una respuesta. El valor del desafío obtenido se coloca en el atributo CHAP-Challenge o

en el campo de autentificación en el encabezado [9].

Otros métodos de autentificación soportados por RADIUS, contempla los

métodos EAP: EAP-MD5, EAP-TLS, EAP-PEAP (MSCHAPV2, TLS, GTC), EAP-

TTLS (PAP, CHAP, MSCHAP, MSCHAPV2, MD5), EAP-GTC, EAP-SIM, EAP-

AKA, EAP-MSCHAPV2, LEAP [9].

Alusión RADIUS

Un administrador puede configurar el servidor RADIUS para ofrecer algunos

servicios por defecto para cualquier usuario autenticado. Mientras otras configuraciones

pueden permitir solo los servicios solicitados en el paquete de petición del cliente para ser

autorizado. RADIUS puede ser configurado para manejar autorización de servicios en

muchas formas diferentes. El RFC RADIUS especifica información que puede ser incluida

en el encabezado del paquete enviado del cliente al servidor, "haciendo alusión" al servidor

de que servicios explícitos el cliente desea [9].

2.5 Servidor FreeRADIUS

FreeRADIUS es uno de los servidores RADIUS más modulares y ricos en

características disponibles hoy en día. Ha sido escrito por un equipo de desarrolladores que

tiene décadas de experiencia recolectada en implementar y desarrollar software RADIUS,

en ingeniería de software, y administración de paquetes Unix. El producto es el resultado

de la sinergia entre muchos de los más reconocidos nombres en software libre basado en

implementaciones RADIUS, incluyendo una gran cantidad de desarrolladores del sistema

operativo Debian GNU/Linux. El servidor FreeRADIUS es distribuido bajo la licencia

GNU GPL (versión 2).

El servidor FreeRADIUS está siendo usado alrededor del mundo en instalaciones a

gran escala, abarcando múltiples servidores RADIUS con millares de usuarios y millones

de sesiones [10].

2.5.1 Características

El servidor FreeRADIUS tiene un número de característica que son comúnmente

encontradas en los servidores RADIUS, y características adicionales que no son

encontradas en otro servidor libe [10]. A continuación se describe una lista de características

importantes de este servidor:

Ediciones multiplataforma y código fuente

El servidor FreeRADIUS ha sido compilado y probado para correr en las siguientes

plataformas [10].

• Linux (todas las Versiones)

• FreeBSD
• NetBSD
• Solaris

El servidor actualmente tiene suporte para las siguientes plataformas, pero no ha sido

ampliamente probado en ellas [10].

 • HP/UX
• AIX
• MINGW32, CygWin (Ambiente estilo Unix en Windows NT)
• SFU (o Interx, para Windows XP)

A diferencia de varios servidores comerciales, un gran numero de CPU’s y

arquitecturas han sido verificadas para trabajar, y son “soportadas” vía lista de usuarios. La

desventaja de apoyar tantas variaciones de sistemas es que los pasos para instalar el

servidor son algo más que simplemente “instalar el paquete”. Es recomendable revisar si

existe un paquete específico para el sistema operativo utilizado, en caso de que no exista

entonces se debe construir el servidor del código [10].

Soporte para RFC y atributos VSA

El servidor viene con un soporte completo de los atributos de los RFC’s 285 y 286

que hablan del protocolo RADIUS y del uso de cuentas en este protocolo, también incluye

soporte para atributos específicos de alrededor de 50 vendedores incluyendo Microsoft,

Shiva, USR/3Com, Cisco, Livingston, Versanet, Scc/Newbridge, y muchos mas [10].

Atributos adicionales de configuración del servidor

Aparte de los atributos RFC y VSA antes mencionados, el servidor freeRADIUS

tiene un número de atributos de configuración de servidor. Estos atributos permiten al

administrador controlar casi cualquier aspecto de las peticiones entrantes al servidor [10].

Uno puede usar estos atributos para:

• Añadir las cualidades de petición

• Reescribir cualquier cualidad de la petición
• Replegar la petición a otro servidor RADIUS, basado en cualquier criterio.
 • Escoger un método de autenticación para usar con el usuario.
• Administrar los usuarios por grupos.
• Implementar tiempo del día para las restricciones de acceso.
• Ejecutar un programa local
• Limitar el número de accesos simultáneos por el usuario.
Todos los atributos de configuración pueden ser utilizados tanto en la autenticación o en

las peticiones de cuentas. La mayoría de los servidores limitan este tipo de configuración a

peticiones de autenticación solamente [10].

Seleccionando una configuración en particular

Normalmente es difícil de permitir a las peticiones de los usuarios concordar con

una configuración en particular que debería usarse para contestarle al usuario.

FreeRADIUS provee una amplia gama de métodos para seleccionar

configuraciones, el servidor puede seleccionar cualquier configuración basándose en algún

criterio en específico, por ejemplo atributos contenidos en la petición.

Métodos de autorización

Los siguientes tipos de autorización son algunos de los métodos que son soportados

por este servidor [10].

• Archivos locales.
• Bases de datos DB/DBM locales.
• Protocolo LDAP.
• Un programa de ejecución local (como los programas CGI).
• Programa Perl, Pitón.
• Base de datos MySQL, PostgreSQL, Oracle SQLDB, IODBC SQL.
• IBM’s DB2.
Métodos de autenticación

Los siguientes son sólo algunos métodos de autenticación soportados por este

servidor [10].

• Contraseñas en Texto simple en un archivo local de configuración (PAP)

• Contraseñas encriptadas en un archivo local de configuración
• CHAP
• MS-CHAP
• MS-CHAPv2
• Autentificación a un controlador de dominio Windows
• Proxy a otro servidor RADIUS
• Sistema de autenticación (usualmente por /etc/password)
• PAM (Modulo de autenticación conectable)
• LDAP (solo PAP)
• PAM (solo PAP)
• CRAM
• Programas Peral, Pyton
• SIP Diges (Cisco por cajas VOIP)
• Un programa de ejecución local (como CGI)
• Contraseñas encriptables Netscape-MTA-MD5
• Autenticación Kerberos
• Token de autenticación X9.9
• Métodos EAP (incluyendo cisco LEAP)

Métodos para el manejo de cuentas de usuarios.

Los siguientes métodos de cuentas están soportados [10].

• Archivos locales de “detalle”.

 • Archivos locales “wtmp” y “utmp”
• Proxy a otros servidores RADIUS
• Replique a otro o mas servidores RADIUS
• SQL (Oracle, MySQL, PostgreSQL, Sybase IODBC, etc)

Interfaces de administración de red Dialup Admin

El servidor incluye Dialup Admin, una interfase de administración Web para

servidores basada en a PHP4. Dialup Admin [10]. Soporta:

• Usuarios en bases de datos LDAP

• Grupos de usuarios en bases de datos SQL
• Crear, probar, borrar, cambiar información personal, chequeo de cuentas y dialup
configuraciones para un usuario.
• Generador de reportes de cuentas
• Registro de malos usuarios para mantener un registro de los problemas para crear
usuarios.
• Facilidad táctil en línea.
• Estadísticas de uso en línea.

Lenguajes Script

FreeRADIUS contiene módulos de plugins que soportan Peral y Pitón, estos

lenguajes permiten a los scripts modificar peticiones y respuestas RADIUS en una forma

fácil y muy eficiente [10].

2.6 Software para analizar los paquetes enviados por red.

Ethereal

Ethereal es un analizador de paquetes de red. Un analizador de paquetes de red trata

de capturar paquetes de red para después mostrarlos en forma detallada [11].

Ethereal es usado por los profesionales de red alrededor del mundo, para resolver

problemas, analizar, desarrollar software, analizar protocolos, y para la educación. Tiene

todas las características estándar que se puede esperar de un analizador de protocolos, y

muchas características no vistas en otro producto. Es un software de licencia abierta que

permite a expertos talentosos en la comunidad de redes, alcanzar logros. Ethereal corre en

la mayoría de plataformas computacionales incluyendo Unix, Linux, y Windows [11].

Características

• Los datos pueden ser capturados “de los cables” de una conexión de red viva, o leer

de un archivo capturado.

• Ethereal puede leer archivos capturados de varios módulos y aplicaciones de

análisis de red como Sniffer Pro, Microsoft Network Monitor, EtherPeek, NetXray

entre otros.

• Datos capturados de la red pueden ser navegados vía GUI, o por medio del

programa Tethereal en modo TTY.

• Archivos capturados pueden ser editados programando o convirtiendo vía línea de

comando para el programa editcap.

• 724 protocolos pueden ser analizados, como por ejemplo: 802.11, 802.3, PPP, EAP
 • La información resultante puede ser salvada o impresa como texto simple o

Postcript.

• Los datos mostrados pueden ser refinados usando un filtro.

• Los filtros de pantalla también pueden ser usados para remarcar selectamente y

resumir información con paquetes de colores.

• Todas las partes de cada rastro de red capturada puede ser salvado en disco.

2.7 Dispositivos de red inalámbrica

2.7.1 Tarjetas de red

El equipo de computación necesita una forma de conectarse la red ethernet, si la red

es inalámbrica o alambrica, o ambas. Se hace la conexión a través de un adaptador de red,

un equipo que provee una interfase de la computadora a la red. La mayoría de las

computadoras se venden con el adaptador para redes inalámbricas ya preinstalado en la

fábrica, y estos adaptadores se construyen cada vez más sobre la tarjeta madre. Por el

momento es más común que las computadoras portátiles vengan con adaptadores

inalámbricos instalados. La mayor parte de las personas, para conectar la computadora

portátil o la de escritorio, necesitan comprar e instalar adaptadores de red inalámbrica por

separado. La mayoría de los adaptadores vienen en tres configuraciones: PC cards, USB, o

PCI y recientemente han aparecido en Compact Flash y usando la tecnología Bluethoot [4].

En la siguiente figura se puede ver una tarjeta inalámbrica para computadoras portátiles.
 Figura 2-10 Tarjeta de red PC-Card [4].

2.7.2 Puntos de acceso

Los puntos de acceso desempeñan muchas funciones importantes, además de ser las

interfaces entre la red normal y el medio inalámbrico, una de sus principales funciones es la

de ser estación de camino del tráfico inalámbrico en la red. De hecho, muchas redes

inalámbricas usan múltiples puntos de acceso, cada uno actuando precisamente como una

estación de camino, extendiendo el alcance de la red local de acceso inalámbrico,

ofreciendo puntos físicos adicionales para la conexión. En redes más pequeñas, un solo

punto de acceso provee un transmisor y receptor central para todas las computadoras en la

red, ruteando tráfico de y hacia varios adaptadores inalámbricos mientras proporciona

acceso a los clientes a una o varias redes inalámbricas [4].

2.7.3 Routers y switches inalámbricos

Los puntos de acceso inalámbricos frecuentemente incluyen la tecnología y

características de los routers. Virtualmente todos los vendedores de equipo inalámbrico

ofrecen por lo menos un equipo que combina un punto de acceso con un router, resultando

en una sola caja pequeña con tres o cuarto puertos para cables ethernet, otro para el cable
modem , y los componentes inalámbricos requeridos por el punto de acceso, incluyendo la

antena [4].

Ahora se escucha la palabra router mas comúnmente que switch cuando se habla de

ventas de equipo de red a hogares y pequeñas oficinas, pero en la realidad la mayoría de

cable/DSL routers también son switches. La diferencia es muy simple, un router conecta

dos o mas redes pasando datos entre o a través de ellas, mientras los switches provee

interconexión entre computadoras en una sola red aislando el tráfico de cada uno, de tal

manera que la señal viaja del origen al destino sin que otra computadora tenga acceso a

ellas [4]. En la siguiente figura se puede ver como es un router inalámbrico.

Figura 2-11 Router inalámbrico [4].

El capitulo da al lector un panorama general de los diversos elementos que se

encuentran al construir una red inalámbrica, así como la descripción de los conceptos y

fundamentos que son necesarios para su funcionamiento. Se presento además una

descripción amplia del servidor Freeradius el cual se utiliza como servidor de seguridad en
esta tesis. Finalmente se describen las características del protocolo CHAP específicamente

como autenticación interna en un túnel TLS que es usado en la implementación como uno

de los métodos más robustos para autenticar una red inalámbrica.