implementación de un servidor de autenticación radius en un ...
implementación de un servidor de autenticación radius en un ...
implementación de un servidor de autenticación radius en un ...
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
IMPLEMENTACIÓN DE UN SERVIDOR DE AUTENTICACIÓN<br />
RADIUS EN UN AMBIENTE DE PRUEBAS PARA LA RED<br />
INALÁMBRICA DE LA UPB – SEDE LAURELES<br />
Velásquez, S 1 ; Castro, B 1 ; Velandia, Andrés 2 .<br />
1<br />
Facultad <strong>de</strong> Ing<strong>en</strong>iería Informática.<br />
2<br />
Coordinador <strong>de</strong> conectividad y seguridad <strong>de</strong>l C<strong>en</strong>tro <strong>de</strong> Tecnologías <strong>de</strong> la Información y<br />
las Com<strong>un</strong>icaciones.<br />
Universidad Pontificia Bolivariana. Me<strong>de</strong>llín, Colombia.<br />
Email: {seanveca, bcastro, velandia.andres}@gmail.com<br />
ABSTRACT<br />
This paper pres<strong>en</strong>ts a pilot plan for the<br />
implem<strong>en</strong>tation of a RADIUS (Remote Access<br />
Dial In User Service) server for the purpose of<br />
providing auth<strong>en</strong>tication, authorization and<br />
acco<strong>un</strong>ting services in the wireless network of the<br />
Universidad Pontificia Bolivariana, at its Laureles<br />
branch. This server integrates with the <strong>un</strong>iversity´s<br />
network infrastructure operating in a restricted test<br />
<strong>en</strong>vironm<strong>en</strong>t, offering these services to a limited<br />
group of users that belong to the CTIC (C<strong>en</strong>tro <strong>de</strong><br />
Tecnologías <strong>de</strong> la Información y las<br />
Telecom<strong>un</strong>icaciones), which is a subdivision of<br />
the <strong>un</strong>iversity.<br />
Key words: RADIUS, auth<strong>en</strong>tication,<br />
authorization, acco<strong>un</strong>ting, wireless network.<br />
RESUMEN<br />
Este artículo pres<strong>en</strong>ta <strong>un</strong> plan piloto para la<br />
<strong>implem<strong>en</strong>tación</strong> <strong>de</strong> <strong>un</strong> <strong>servidor</strong> RADIUS (Remote<br />
Access Dial In User Service) con el fin <strong>de</strong> proveer<br />
servicios <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong>, autorización y<br />
contabilidad <strong>en</strong> la red inalámbrica <strong>de</strong> la<br />
Universidad Pontificia Bolivariana- se<strong>de</strong> Laureles.<br />
Dicho <strong>servidor</strong> se integra con la infraestructura <strong>de</strong><br />
red <strong>de</strong> la <strong>un</strong>iversidad operando <strong>en</strong> <strong>un</strong> ambi<strong>en</strong>te <strong>de</strong><br />
pruebas, ofreci<strong>en</strong>do esos servicios a <strong>un</strong> grupo<br />
limitado <strong>de</strong> usuarios, pert<strong>en</strong>eci<strong>en</strong>tes al C<strong>en</strong>tro <strong>de</strong><br />
Tecnologías <strong>de</strong> la Información y las<br />
Telecom<strong>un</strong>icaciones (CTIC), el cual es <strong>un</strong>a<br />
<strong>de</strong>p<strong>en</strong><strong>de</strong>ncia <strong>de</strong> la <strong>un</strong>iversidad.<br />
Palabras claves: RADIUS; <strong>aut<strong>en</strong>ticación</strong>;<br />
autorización; contabilidad; red inalámbrica.<br />
INTRODUCCIÓN<br />
Actualm<strong>en</strong>te, la Universidad Pontificia<br />
Bolivariana – se<strong>de</strong> Laureles, ofrece el<br />
servicio <strong>de</strong> acceso a internet, no sólo<br />
mediante <strong>un</strong>a infraestructura <strong>de</strong> red<br />
cableada, sino también <strong>de</strong> forma<br />
inalámbrica. Sin embargo, no existe <strong>un</strong><br />
control para el acceso a dicho recurso y<br />
los registros que se ti<strong>en</strong><strong>en</strong> sobre su uso,<br />
no son sufici<strong>en</strong>tes para tareas <strong>de</strong><br />
administración <strong>de</strong> red.<br />
Controlar quién acce<strong>de</strong> a <strong>un</strong> recurso y la<br />
forma cómo se usa, son necesida<strong>de</strong>s<br />
evi<strong>de</strong>ntes hoy <strong>en</strong> día para cualquier<br />
institución, no sólo por la importancia <strong>de</strong><br />
la información que circula <strong>en</strong> la red, sino<br />
también para velar por la prestación <strong>de</strong> <strong>un</strong><br />
bu<strong>en</strong> servicio <strong>de</strong> internet a los usuarios<br />
(personas vinculadas a la <strong>un</strong>iversidad y<br />
23
visitantes autorizados), y garantizar la<br />
disponibilidad <strong>de</strong> las aplicaciones web<br />
<strong>un</strong>iversitarias, como el sistema <strong>de</strong> notas,<br />
el sistema <strong>de</strong> consultas a biblioteca,<br />
sistema <strong>de</strong> pagos, etc.<br />
Con el fin <strong>de</strong> suplir dichas necesida<strong>de</strong>s <strong>en</strong><br />
la red inalámbrica <strong>de</strong> la <strong>un</strong>iversidad, se<br />
pres<strong>en</strong>ta <strong>un</strong>a solución piloto que<br />
correspon<strong>de</strong> a la <strong>implem<strong>en</strong>tación</strong> <strong>de</strong> <strong>un</strong><br />
<strong>servidor</strong> RADIUS <strong>en</strong> <strong>un</strong> ambi<strong>en</strong>te <strong>de</strong><br />
pruebas. Allí se prove<strong>en</strong> los servicios <strong>de</strong><br />
<strong>aut<strong>en</strong>ticación</strong>, autorización y contabilidad<br />
<strong>en</strong> el acceso a la red <strong>un</strong>iversitaria para <strong>un</strong><br />
grupo <strong>de</strong> usuarios pert<strong>en</strong>eci<strong>en</strong>tes al CTIC.<br />
A continuación se pres<strong>en</strong>ta <strong>un</strong> marco<br />
teórico relevante al proyecto, j<strong>un</strong>to con el<br />
estado <strong>de</strong>l arte y la m<strong>en</strong>ción <strong>de</strong> alg<strong>un</strong>as<br />
instituciones que cu<strong>en</strong>tan con esta<br />
tecnología <strong>en</strong> la ciudad <strong>de</strong> Me<strong>de</strong>llín.<br />
Luego se expone el diagnóstico <strong>de</strong> la red<br />
inalámbrica <strong>un</strong>iversitaria y las<br />
características <strong>de</strong> la solución implantada<br />
<strong>en</strong> el esc<strong>en</strong>ario <strong>de</strong>limitado. Finalm<strong>en</strong>te se<br />
pres<strong>en</strong>tan los resultados <strong>de</strong> las pruebas<br />
realizadas sobre el <strong>servidor</strong> configurado,<br />
y las conclusiones correspondi<strong>en</strong>tes al<br />
proyecto ejecutado.<br />
24<br />
1. MARCO TEÓRICO<br />
1.1. Seguridad <strong>en</strong> re<strong>de</strong>s inalámbricas<br />
A<strong>un</strong>que las re<strong>de</strong>s inalámbricas han traído<br />
innumerables b<strong>en</strong>eficios como la<br />
movilidad, la facilidad <strong>en</strong> el <strong>de</strong>spliegue,<br />
la flexibilidad y el bajo costo <strong>de</strong><br />
instalación, ti<strong>en</strong><strong>en</strong> <strong>un</strong>a gran <strong>de</strong>sv<strong>en</strong>taja: la<br />
inseguridad [1]. Las re<strong>de</strong>s inalámbricas,<br />
al tratarse <strong>de</strong> ondas electromagnéticas, se<br />
propagan por el espacio libre [2], creando<br />
la oport<strong>un</strong>idad para que <strong>un</strong> intruso acceda<br />
a la red sin que t<strong>en</strong>ga autorización o para<br />
que intercepte la com<strong>un</strong>icación,<br />
comprometi<strong>en</strong>do información s<strong>en</strong>sible.<br />
Tratada <strong>de</strong> forma correcta, dicha<br />
<strong>de</strong>sv<strong>en</strong>taja pue<strong>de</strong> minimizarse,<br />
reduci<strong>en</strong>do la exposición al riesgo. Una<br />
forma <strong>de</strong> hacerlo es implem<strong>en</strong>tar <strong>un</strong>a<br />
f<strong>un</strong>ción <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong> <strong>en</strong> la Capa 2 <strong>de</strong>l<br />
mo<strong>de</strong>lo OSI [3] empleando el protocolo<br />
802.1X.<br />
1.2. Protocolo 802.1x<br />
Es <strong>un</strong> protocolo creado por la IEEE, para<br />
el control <strong>de</strong> acceso a la red que opera a<br />
nivel <strong>de</strong> puertos [4]. Se basa <strong>en</strong> la<br />
arquitectura cli<strong>en</strong>te <strong>servidor</strong>, <strong>de</strong>fine<br />
claram<strong>en</strong>te las <strong>en</strong>tida<strong>de</strong>s que actúan <strong>en</strong> el<br />
proceso <strong>de</strong> conexión y el protocolo <strong>de</strong><br />
<strong>aut<strong>en</strong>ticación</strong> a usar (Ext<strong>en</strong>sible<br />
Auth<strong>en</strong>tication Protocol, EAP).<br />
Las <strong>en</strong>tida<strong>de</strong>s que participan <strong>en</strong> el proceso<br />
<strong>de</strong> conexión [5], <strong>de</strong>finidas <strong>en</strong> el estándar<br />
802.1x, son:<br />
• Suplicante: Máquina <strong>de</strong>l usuario<br />
que <strong>de</strong>sea conectarse a la red.<br />
• Servidor <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong>:<br />
Máquina que posee la información<br />
<strong>de</strong> los usuarios que pue<strong>de</strong>n<br />
acce<strong>de</strong>r a <strong>un</strong> recurso, o que sabe<br />
cuál es el repositorio para<br />
buscarlos, con el fin <strong>de</strong> validar su<br />
i<strong>de</strong>ntidad.<br />
• Aut<strong>en</strong>ticador: es el dispositivo<br />
que recibe la petición <strong>de</strong> conexión<br />
<strong>de</strong>l suplicante, y solam<strong>en</strong>te<br />
permite su acceso a la red cuando
ecibe la notificación por parte <strong>de</strong>l<br />
<strong>servidor</strong> <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong>.<br />
El f<strong>un</strong>cionami<strong>en</strong>to <strong>de</strong>l protocolo se pue<strong>de</strong><br />
resumir <strong>de</strong> la sigui<strong>en</strong>te manera: Al<br />
principio todos los puertos <strong>de</strong>l<br />
aut<strong>en</strong>ticador se <strong>en</strong>cu<strong>en</strong>tran <strong>de</strong>sautorizados<br />
[6], es <strong>de</strong>cir que el tráfico que no sirve<br />
para la <strong>aut<strong>en</strong>ticación</strong> será <strong>de</strong>sechado. Sólo<br />
existe <strong>un</strong> puerto que es utilizado para<br />
com<strong>un</strong>icarse con el suplicante. Así,<br />
cuando éste <strong>de</strong>sea conectarse a la red<br />
inalámbrica, se asocia, <strong>en</strong> primera<br />
instancia con el aut<strong>en</strong>ticador y le <strong>en</strong>vía su<br />
petición <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong> (Fase 1) [7]. El<br />
aut<strong>en</strong>ticador se <strong>en</strong>carga <strong>de</strong> retransmitir la<br />
petición al <strong>servidor</strong> AAA, qui<strong>en</strong> valida <strong>en</strong><br />
el repositorio <strong>de</strong> usuarios si las<br />
cre<strong>de</strong>nciales son auténticas y si pue<strong>de</strong><br />
acce<strong>de</strong>r a los recursos (Fase 2). En caso<br />
<strong>de</strong> que dicha respuesta sea afirmativa,<br />
notifica al aut<strong>en</strong>ticador qui<strong>en</strong> gestiona la<br />
obt<strong>en</strong>ción <strong>de</strong> los parámetros <strong>de</strong> red con el<br />
<strong>servidor</strong> DHCP (Dinamyc Host<br />
Configuration Protocol) y autoriza <strong>un</strong><br />
puerto para que sea utilizado por el<br />
usuario (fase 3) [8].<br />
En el sigui<strong>en</strong>te gráfico se ilustra el<br />
proceso anteriorm<strong>en</strong>te <strong>de</strong>scrito.<br />
Figura 1. Esquema <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong><br />
AAA.<br />
Fu<strong>en</strong>te: Elaboración propia<br />
Llevar a cabo este proceso permite<br />
reducir la inseguridad <strong>de</strong> las re<strong>de</strong>s<br />
inalámbricas porque:<br />
1. Proporciona acceso controlado:<br />
Toda usuario (humano o máquina) que<br />
quiera acce<strong>de</strong>r al recurso <strong>de</strong>be<br />
i<strong>de</strong>ntificarse.<br />
2. Permite autorizar el uso: A parte <strong>de</strong><br />
saber quién int<strong>en</strong>ta acce<strong>de</strong>r a <strong>un</strong><br />
recurso, se pue<strong>de</strong> hacer <strong>un</strong> control <strong>de</strong><br />
qué acciones pue<strong>de</strong> ejecutar <strong>un</strong><br />
usuario.<br />
3. Permite el registro <strong>de</strong> activida<strong>de</strong>s:<br />
Permite llevar logs o registros sobre<br />
cuál es el comportami<strong>en</strong>to <strong>de</strong> los<br />
usuarios <strong>en</strong> la red, y t<strong>en</strong>er datos<br />
estadísticos que ori<strong>en</strong>t<strong>en</strong> la toma <strong>de</strong><br />
<strong>de</strong>cisiones para <strong>de</strong>sempeñar <strong>un</strong>a mejor<br />
gestión <strong>de</strong> la red.<br />
Estos tres aspectos correspon<strong>de</strong>n a tres<br />
palabras claves: Aut<strong>en</strong>ticación,<br />
Autorización y Contabilidad, conocidos<br />
también como servicios AAA, por su<br />
nombre <strong>en</strong> inglés: Auth<strong>en</strong>tication,<br />
Authorization and Acco<strong>un</strong>ting.<br />
1.3. Servicios AAA<br />
Los servicios AAA son actualm<strong>en</strong>te <strong>un</strong>a<br />
solución completa para el control <strong>de</strong><br />
25
acceso a los recursos <strong>de</strong> red [9]. Se<br />
<strong>de</strong>fin<strong>en</strong> <strong>de</strong> la sigui<strong>en</strong>te manera:<br />
Aut<strong>en</strong>ticación: Es <strong>un</strong> proceso llevado a<br />
cabo <strong>en</strong>tre dos <strong>en</strong>tida<strong>de</strong>s, don<strong>de</strong> <strong>un</strong>a da a<br />
conocer su i<strong>de</strong>ntidad y la otra verifica su<br />
aut<strong>en</strong>ticidad [10]. Este servicio respon<strong>de</strong><br />
a la preg<strong>un</strong>ta ¿Quién es el usuario?.<br />
Autorización: Es el proceso <strong>de</strong><br />
<strong>de</strong>terminar si <strong>un</strong> usuario aut<strong>en</strong>ticado ti<strong>en</strong>e<br />
los permisos necesarios para acce<strong>de</strong>r a <strong>un</strong><br />
recurso [11], es <strong>de</strong>cir otorgarle o<br />
<strong>de</strong>negarle permisos <strong>de</strong>p<strong>en</strong>di<strong>en</strong>do <strong>de</strong>l<br />
resultado <strong>de</strong> la evaluación <strong>de</strong><br />
autorización. Este servicio respon<strong>de</strong> a la<br />
preg<strong>un</strong>ta: ¿ A qué está autorizado el<br />
usuario?.<br />
Contabilidad: Es el seguimi<strong>en</strong>to que se<br />
hace a los recursos [12], cuando se ha<br />
autorizado el uso a <strong>un</strong> usuario o grupo <strong>de</strong><br />
usuarios. Éste servicio proporciona <strong>un</strong>a<br />
respuesta a la preg<strong>un</strong>ta: ¿Qué hizo el<br />
usuario con el recurso?.<br />
2. ESTADO DEL ARTE<br />
Los protocolos AAA fueron <strong>un</strong>a <strong>de</strong> las<br />
soluciones propuestas a los problemas <strong>de</strong><br />
control <strong>de</strong> acceso pres<strong>en</strong>tados <strong>de</strong>s<strong>de</strong> el<br />
nacimi<strong>en</strong>to <strong>de</strong> internet [13] para prestar<br />
los servicios AAA anteriorm<strong>en</strong>te<br />
pres<strong>en</strong>tados. Entre los protocolos más<br />
conocidos se <strong>en</strong>cu<strong>en</strong>tra TACACS,<br />
TACACS+, RADIUS y DIAMETER.<br />
El primero correspon<strong>de</strong> al protocolo<br />
pionero que suplió la car<strong>en</strong>cia <strong>de</strong><br />
servicios AAA. Actualm<strong>en</strong>te ha caído <strong>en</strong><br />
<strong>de</strong>suso y, su creador, CISCO, le retiró el<br />
26<br />
soporte [14]. Sin embargo, <strong>un</strong> protocolo<br />
nuevo <strong>en</strong>tró a reemplazarlo. Éste se llamó<br />
TACACS+ y a<strong>un</strong>que hoy <strong>en</strong> día todavía<br />
se usa, sólo es implem<strong>en</strong>tado <strong>en</strong> <strong>un</strong>a<br />
pequeña porción <strong>de</strong>l mercado, <strong>de</strong>bido al<br />
poco dinamismo <strong>de</strong> las soluciones<br />
comerciales.<br />
Adicionalm<strong>en</strong>te, los an<strong>un</strong>cios <strong>de</strong> la<br />
llegada <strong>de</strong> <strong>un</strong> nuevo protocolo que v<strong>en</strong>ía<br />
<strong>de</strong>sarrollándose por parte <strong>de</strong> Livingston<br />
Enterprises, fortaleció la <strong>de</strong>cisión <strong>de</strong><br />
observar <strong>de</strong>t<strong>en</strong>idam<strong>en</strong>te la nueva<br />
propuesta, que a<strong>de</strong>más prometía nuevas<br />
f<strong>un</strong>cionalida<strong>de</strong>s [15].<br />
Con las incipi<strong>en</strong>tes implem<strong>en</strong>taciones <strong>de</strong>l<br />
nuevo protocolo, llamado RADIUS, se<br />
logró vislumbrar el pot<strong>en</strong>cial que t<strong>en</strong>ía,<br />
convirtiéndose luego <strong>en</strong> <strong>un</strong> estándar <strong>de</strong> la<br />
IETF. Des<strong>de</strong> <strong>en</strong>tonces se ha mant<strong>en</strong>ido<br />
vig<strong>en</strong>te a través <strong>de</strong> muchas aplicaciones<br />
que implem<strong>en</strong>tan el protocolo y sigu<strong>en</strong><br />
si<strong>en</strong>do actualizadas y mejoradas.<br />
Actualm<strong>en</strong>te se está <strong>de</strong>sarrollando,<br />
DIAMETER, otro protocolo AAA, que<br />
pret<strong>en</strong><strong>de</strong> mejorar la especificación <strong>de</strong><br />
RADIUS y proveer nuevas<br />
f<strong>un</strong>cionalida<strong>de</strong>s [16]. Sin embargo, su<br />
calidad <strong>de</strong> “estándar <strong>en</strong> construcción” o<br />
“borrador” [17], no ha facilitado el<br />
<strong>de</strong>sarrollo <strong>de</strong> aplicaciones que lo<br />
implem<strong>en</strong>t<strong>en</strong> [18], ocasionando que su<br />
incursión <strong>en</strong> ambi<strong>en</strong>tes <strong>de</strong> producción sea<br />
mínima.<br />
En éste proyecto se escogió este<br />
protocolo <strong>de</strong>bido a su popularidad, su<br />
vig<strong>en</strong>cia <strong>en</strong> el mercado, su estatus <strong>de</strong>
estándar completo <strong>de</strong> la IETF [19], y la<br />
ab<strong>un</strong>dante docum<strong>en</strong>tación sobre el tema.<br />
Localm<strong>en</strong>te hay varios refer<strong>en</strong>tes <strong>de</strong><br />
instituciones que cu<strong>en</strong>tan con <strong>un</strong> <strong>servidor</strong><br />
RADIUS integrado a su infraestructura,<br />
<strong>en</strong>tre ellos la <strong>un</strong>iversidad Eafit. Esta<br />
<strong>en</strong>tidad fue <strong>un</strong> refer<strong>en</strong>te para la<br />
realización <strong>de</strong> este proyecto y reporta, no<br />
sólo bu<strong>en</strong>as experi<strong>en</strong>cias <strong>en</strong> cuanto al<br />
<strong>de</strong>sempeño y mant<strong>en</strong>imi<strong>en</strong>to <strong>de</strong>l <strong>servidor</strong>,<br />
sino mayor nivel <strong>de</strong> seguridad y más<br />
control sobre la red inalámbrica.<br />
3. RADIUS<br />
RADIUS, como se m<strong>en</strong>cionó<br />
anteriorm<strong>en</strong>te es <strong>un</strong> protocolo AAA que<br />
permite prestar, <strong>de</strong> forma c<strong>en</strong>tralizada, los<br />
tres servicios AAA [20].<br />
El f<strong>un</strong>cionami<strong>en</strong>to <strong>de</strong>l protocolo está<br />
completam<strong>en</strong>te especificado <strong>en</strong> los RFC<br />
2865 [21] y RFC 2866 [22]. Utiliza el<br />
puerto 1812 y 1813 UDP para establecer<br />
sus conexiones. Una <strong>de</strong> las características<br />
principales es su capacidad <strong>de</strong> manejar<br />
sesiones, <strong>de</strong>terminando el inicio y fin <strong>de</strong><br />
la conexión, datos que se pue<strong>de</strong>n usar con<br />
propósitos estadísticos para<br />
administración <strong>de</strong> red.<br />
Un <strong>servidor</strong> <strong>de</strong> este tipo es responsable <strong>de</strong><br />
procesar la información provista por el<br />
usuario <strong>de</strong> la red inalámbrica, para<br />
introducir servicios AAA <strong>en</strong> el proceso <strong>de</strong><br />
conexión.<br />
4. SOLUCIÓN PROPUESTA<br />
La solución propuesta <strong>en</strong> este plan piloto<br />
correspon<strong>de</strong> a la <strong>implem<strong>en</strong>tación</strong> <strong>de</strong> <strong>un</strong><br />
<strong>servidor</strong> RADIUS interconectado con los<br />
dispositivos <strong>de</strong> red ya exist<strong>en</strong>tes <strong>en</strong> la<br />
<strong>un</strong>iversidad, pero f<strong>un</strong>cionando <strong>en</strong> <strong>un</strong><br />
ambi<strong>en</strong>te <strong>de</strong> pruebas. De esta forma no se<br />
afectan los servicios actuales y el <strong>servidor</strong><br />
podrá ser puesto <strong>en</strong> producción <strong>en</strong><br />
cualquier mom<strong>en</strong>to por parte <strong>de</strong>l personal<br />
<strong>de</strong>l CTIC.<br />
El proceso <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong> actual, <strong>de</strong><br />
cara a los usuarios, no cambia con la<br />
<strong>implem<strong>en</strong>tación</strong> <strong>de</strong>l <strong>servidor</strong>, pues se<br />
sigue usando <strong>un</strong> portal cautivo para el<br />
ingreso <strong>de</strong> las cre<strong>de</strong>nciales personales. Lo<br />
que sí varía es la adición <strong>de</strong> los procesos<br />
referidos a los servicios AAA <strong>en</strong> la<br />
conexión a la red.<br />
Para lograr esto, es necesario contar con<br />
<strong>un</strong> esc<strong>en</strong>ario como el <strong>de</strong>scrito por el<br />
protocolo 802.1x, don<strong>de</strong> las máquinas <strong>de</strong><br />
los usuarios sean los suplicantes, el<br />
Wireless LAN Controller (WLC) se<br />
convierta <strong>en</strong> <strong>un</strong> aut<strong>en</strong>ticador, y RADIUS<br />
sea el <strong>servidor</strong> <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong> que<br />
consulte a <strong>un</strong>a máquina con servicio <strong>de</strong><br />
Active Directory para validar la<br />
información <strong>de</strong>l usuario.<br />
La solución que se pres<strong>en</strong>ta, pret<strong>en</strong><strong>de</strong><br />
configurar dicho ambi<strong>en</strong>te, pero hace<br />
falta, <strong>en</strong> primer lugar, <strong>de</strong>terminar las<br />
necesida<strong>de</strong>s <strong>de</strong> la <strong>un</strong>iversidad para este<br />
montaje mediante <strong>un</strong> diagnostico a la red<br />
inalámbrica y posteriorm<strong>en</strong>te la elección<br />
<strong>de</strong>l tipo <strong>de</strong> <strong>servidor</strong> RADIUS a usar,<br />
parti<strong>en</strong>do <strong>de</strong>l abanico <strong>de</strong> opciones que<br />
existe actualm<strong>en</strong>te, <strong>de</strong> forma tal que se<br />
satisfagan dichas necesida<strong>de</strong>s.<br />
27
5. DIAGNOSTICO DE RED<br />
Con el fin <strong>de</strong> conocer cuál es la<br />
infraestructura <strong>de</strong> la red inalámbrica, los<br />
dispositivos que intervi<strong>en</strong><strong>en</strong> <strong>en</strong> ella y el<br />
nivel <strong>de</strong> seguridad que provee, se realizó<br />
<strong>un</strong> diagnóstico a dicha red.<br />
Los resultados <strong>de</strong> los análisis, mostraron<br />
que existe <strong>un</strong>a muy bu<strong>en</strong>a infraestructura,<br />
con gran cobertura <strong>en</strong> el campus y<br />
proporciona sufici<strong>en</strong>te ancho <strong>de</strong> banda a<br />
los usuarios. Sin embargo, es necesario<br />
fortalecer los controles <strong>de</strong> seguridad para<br />
acce<strong>de</strong>r a la red y g<strong>en</strong>erar estadísticas <strong>de</strong><br />
uso <strong>de</strong>l recurso. Este diagnóstico también<br />
permitió vislumbrar el impacto que<br />
t<strong>en</strong>dría la inclusión <strong>de</strong> <strong>un</strong> <strong>servidor</strong><br />
RADIUS <strong>en</strong> la plataforma exist<strong>en</strong>te, al<br />
convertirse <strong>en</strong> <strong>un</strong> p<strong>un</strong>to céntrico para la<br />
integración <strong>de</strong> usuarios y plataformas <strong>de</strong><br />
la <strong>un</strong>iversidad.<br />
Pero el mayor b<strong>en</strong>eficio se pres<strong>en</strong>ta al<br />
reducir la posibilidad <strong>de</strong> materialización<br />
<strong>de</strong> <strong>un</strong>a am<strong>en</strong>aza <strong>de</strong> seguridad informática,<br />
don<strong>de</strong> la <strong>un</strong>iversidad resultaría<br />
perjudicada por no t<strong>en</strong>er mecanismos <strong>de</strong><br />
seguridad apropiados que protejan los<br />
datos que circulan por la red inalámbrica.<br />
6. OPCIONES COMERCIALES<br />
Debido a que <strong>en</strong> el mercado exist<strong>en</strong><br />
muchas implem<strong>en</strong>taciones <strong>de</strong> <strong>servidor</strong><br />
RADIUS [23], se realizó <strong>un</strong> análisis<br />
comparativo <strong>de</strong> las más importantes<br />
(BSDRadius, FreeRADIUS, ACS, NPS)<br />
escogi<strong>en</strong>do la que cumpliera los<br />
28<br />
requisitos mínimos <strong>de</strong> la <strong>un</strong>iversidad y<br />
supliera sus necesida<strong>de</strong>s.<br />
La plataforma abierta, el soporte a los<br />
repositorios <strong>de</strong> usuarios con los que<br />
cu<strong>en</strong>ta la <strong>un</strong>iversidad y la variedad <strong>de</strong> los<br />
mecanismos <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong> a los que da<br />
soporte, hicieron <strong>de</strong> FreeRADIUS la<br />
opción escogida para usar <strong>en</strong> el <strong>de</strong>sarrollo<br />
<strong>de</strong> éste proyecto.<br />
7. IMPLEMENTACIÓN<br />
Una vez elegido FreeRADIUS como<br />
<strong>servidor</strong> AAA, se llevó a cabo su<br />
configuración y posterior <strong>implem<strong>en</strong>tación</strong><br />
<strong>en</strong> <strong>un</strong> ambi<strong>en</strong>te <strong>de</strong> pruebas con las<br />
sigui<strong>en</strong>tes características:<br />
• Servidor AAA: Maquina con<br />
procesador INTEL P<strong>en</strong>tium 4, <strong>de</strong><br />
doble núcleo, a 3 GHz; disco duro<br />
SATA <strong>de</strong> 70 GB; 2 GB <strong>en</strong> RAM y<br />
2 tarjetas <strong>de</strong> red, <strong>un</strong>a para la<br />
com<strong>un</strong>icación con el aut<strong>en</strong>ticador<br />
y otra para la com<strong>un</strong>icación con el<br />
repositorio <strong>de</strong> usuarios. Su sistema<br />
operativo es C<strong>en</strong>tOS 5.5., con <strong>un</strong>a<br />
versión <strong>de</strong> FreeRadius: 2.1.7.<br />
• Aut<strong>en</strong>ticador: CISCO Wireless<br />
LAN Controller (WLC) 4400<br />
series.<br />
• Suplicantes: computadores<br />
portátiles con sistemas operativos<br />
Windoes 7, y XP.<br />
• Repositorio <strong>de</strong> usuarios: Active<br />
Directory instalado sobre <strong>un</strong><br />
<strong>servidor</strong> Windows Server 2003.
• Aut<strong>en</strong>ticación: WPA2-Enterprise<br />
• Mecanismo <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong>:<br />
PEAP/MS-CHAPv2.<br />
• Población <strong>de</strong> prueba: usuarios<br />
pert<strong>en</strong>eci<strong>en</strong>tes al CTIC.<br />
8. RESULTADOS<br />
La integración <strong>de</strong>l <strong>servidor</strong> RADIUS al<br />
ambi<strong>en</strong>te <strong>de</strong> pruebas, resultó exitosa, pues<br />
se obtuvo <strong>un</strong> esc<strong>en</strong>ario <strong>en</strong> don<strong>de</strong> se<br />
ofrecieron los servicios <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong>,<br />
autorización y contabilidad por medio <strong>de</strong><br />
la validación <strong>de</strong> cre<strong>de</strong>nciales personales.<br />
Dicha validación es imprescindible para<br />
acce<strong>de</strong>r a los recursos <strong>de</strong> red,<br />
estableciéndose a así <strong>un</strong> control <strong>de</strong> acceso<br />
estricto.<br />
Mediante los datos arrojados por las<br />
capturas <strong>de</strong> red realizadas, se evi<strong>de</strong>nció la<br />
com<strong>un</strong>icación efectiva <strong>en</strong>tre los actores<br />
<strong>de</strong> red, <strong>en</strong> las difer<strong>en</strong>tes capas <strong>de</strong>l mo<strong>de</strong>lo<br />
OSI, así como el cumplimi<strong>en</strong>to <strong>de</strong> las<br />
especificaciones propias <strong>de</strong>l protocolo<br />
RADIUS.<br />
Los datos sobre el tiempo requerido para<br />
acce<strong>de</strong>r a los recursos <strong>de</strong> red permitieron<br />
establecer <strong>un</strong> promedio <strong>de</strong> <strong>de</strong>mora <strong>en</strong> el<br />
proceso <strong>de</strong> conexión <strong>de</strong> 0.27 seg<strong>un</strong>dos.<br />
Adicionalm<strong>en</strong>te al monitoreo <strong>de</strong> los<br />
equipos <strong>de</strong> red se logró el registro <strong>de</strong><br />
<strong>de</strong>talles <strong>de</strong> contabilidad <strong>en</strong> archivos<br />
específicos <strong>de</strong>l <strong>servidor</strong> RADIUS don<strong>de</strong><br />
se <strong>de</strong>spliega información importante<br />
sobre el uso <strong>de</strong> recursos, por ejemplo<br />
cantidad <strong>de</strong> bytes transmitidos, inicio y<br />
fin <strong>de</strong> uso <strong>de</strong>l servicio, etc.<br />
CONCLUSIONES<br />
Actualm<strong>en</strong>te, la política <strong>de</strong> seguridad <strong>de</strong><br />
la red inalámbrica <strong>un</strong>iversitaria repres<strong>en</strong>ta<br />
<strong>un</strong> reto para las tareas <strong>de</strong> gestión, <strong>de</strong>bido<br />
a su naturaleza <strong>de</strong>p<strong>en</strong>di<strong>en</strong>te <strong>de</strong> la bu<strong>en</strong>a fe<br />
<strong>de</strong> los usuarios. Ante esta infraestructura,<br />
se realizó <strong>un</strong> diagnóstico para evi<strong>de</strong>nciar<br />
las <strong>de</strong>fici<strong>en</strong>cias <strong>en</strong> el esquema <strong>de</strong><br />
seguridad vig<strong>en</strong>te y proponer <strong>un</strong>a<br />
solución especializada.<br />
Como solución a las <strong>de</strong>fici<strong>en</strong>cias<br />
<strong>en</strong>contradas <strong>en</strong> el esquema <strong>de</strong> seguridad,<br />
se implem<strong>en</strong>tó <strong>un</strong> <strong>servidor</strong> AAA<br />
FreeRADIUS <strong>en</strong> <strong>un</strong> ambi<strong>en</strong>te <strong>de</strong> pruebas<br />
que, <strong>de</strong> acuerdo a las necesida<strong>de</strong>s <strong>de</strong> la<br />
<strong>un</strong>iversidad, repres<strong>en</strong>tó la mejor opción.<br />
Esta solución pue<strong>de</strong> ser llevada a <strong>un</strong><br />
ambi<strong>en</strong>te <strong>de</strong> producción gracias a las<br />
características <strong>de</strong> configuración y<br />
escalabilidad <strong>de</strong>l software seleccionado.<br />
La <strong>implem<strong>en</strong>tación</strong> <strong>de</strong> <strong>un</strong> <strong>servidor</strong><br />
RADIUS <strong>en</strong> conj<strong>un</strong>to con el protocolo<br />
WPA2-Enterprise permitió verificar la<br />
aut<strong>en</strong>ticidad <strong>de</strong> las i<strong>de</strong>ntida<strong>de</strong>s provistas,<br />
contra <strong>un</strong> repositorio <strong>de</strong> usuarios, con el<br />
fin <strong>de</strong> ofrecer el servicio <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong>.<br />
Una vez proporcionado el servicio <strong>de</strong><br />
<strong>aut<strong>en</strong>ticación</strong> se estableció <strong>en</strong> el <strong>servidor</strong><br />
la evaluación <strong>de</strong> permisos para el acceso a<br />
los recursos <strong>de</strong> red. Así se garantiza <strong>un</strong>a<br />
mejor prestación <strong>de</strong>l servicio <strong>de</strong><br />
autorización mediante la implantación <strong>de</strong><br />
<strong>un</strong>a estrategia <strong>de</strong> asignación dinámica <strong>de</strong><br />
VLANs fr<strong>en</strong>te a la solución actual <strong>de</strong><br />
segm<strong>en</strong>tar la red mediante difer<strong>en</strong>tes<br />
29
SSID que dificultan las tareas <strong>de</strong> gestión<br />
<strong>de</strong> red.<br />
El servicio <strong>de</strong> contabilidad <strong>de</strong>l <strong>servidor</strong><br />
RADIUS <strong>en</strong>tregó información valiosa<br />
para el seguimi<strong>en</strong>to <strong>de</strong>l uso <strong>de</strong> los<br />
recursos <strong>de</strong> red. El nivel <strong>de</strong> <strong>de</strong>talle que<br />
<strong>en</strong>tregan los dispositivos <strong>de</strong> red con esta<br />
<strong>implem<strong>en</strong>tación</strong> permite a la <strong>un</strong>iversidad<br />
realizar <strong>un</strong> análisis más concreto <strong>en</strong><br />
relación con la plataforma actual.<br />
Con la información <strong>de</strong> contabilidad que<br />
proporciona el <strong>servidor</strong> es posible proveer<br />
el servicio <strong>de</strong> no repudio <strong>en</strong> relación al<br />
comportami<strong>en</strong>to <strong>de</strong> los usuarios <strong>en</strong> la red.<br />
Otro <strong>de</strong> los servicios <strong>de</strong> seguridad que<br />
presta <strong>en</strong> esta <strong>implem<strong>en</strong>tación</strong> <strong>de</strong>l<br />
<strong>servidor</strong> RADIUS es la confi<strong>de</strong>ncialidad,<br />
mediante el esquema <strong>de</strong> seguridad<br />
adoptado.<br />
Las pruebas realizadas permitieron<br />
comprobar la prestación efectiva <strong>de</strong> los<br />
servicios <strong>de</strong> <strong>aut<strong>en</strong>ticación</strong>, autorización y<br />
contabilidad. Esto se verificó <strong>en</strong> <strong>un</strong><br />
ambi<strong>en</strong>te <strong>de</strong> pruebas, mediante el análisis<br />
<strong>de</strong> la transmisión <strong>de</strong> información <strong>en</strong> las<br />
difer<strong>en</strong>tes capas <strong>de</strong> red.<br />
Este proyecto no solam<strong>en</strong>te permite<br />
mejorar el esquema <strong>de</strong> seguridad <strong>de</strong> la red<br />
inalámbrica, sino que también permite la<br />
futura incorporación <strong>de</strong>l <strong>servidor</strong><br />
RADIUS, por pate <strong>de</strong>l CTIC, a la red<br />
cableada para ofrecer servicios AAA <strong>en</strong><br />
toda la red <strong>de</strong> datos <strong>de</strong> la <strong>un</strong>iversitaria.<br />
30<br />
BIBLIOGRAFÍA<br />
[1]. GAST, Mathew. 802.11 Wireless Networks:<br />
The Definitive Gui<strong>de</strong>. Estados Unidos:<br />
O'Reilly, 2002. p.6.<br />
[2]. VILA BURGUETE, Carlos Alberto.<br />
Simulación <strong>de</strong> Zonas <strong>de</strong> Fresnel para Enlaces<br />
<strong>de</strong> Microondas Terrestres [En línea] México:<br />
Universidad <strong>de</strong> las Américas Puebla, 2005.<br />
[Consulta:<br />
Octubre 16 <strong>de</strong> 2010].<br />
[3]. SCHWARTZKOPFF, Michael. Acceso<br />
Seguro a Re<strong>de</strong>s con 802.1X, RADIUS y<br />
LDAP [En línea] España: 2005.<br />
<br />
[Consulta:<br />
Octubre 16 <strong>de</strong> 2010].<br />
[4]. KWAN, Philip. WHITE PAPER: 802.1X<br />
AUTHENTICATION & EXTENSIBLE<br />
AUTHENTICATION PROTOCOL (EAP) [En<br />
línea] Estados Unidos: Fo<strong>un</strong>dry Networks,<br />
Inc., 2003.<br />
<br />
[Consulta: Octubre 15 <strong>de</strong> 2010].<br />
[5]. GEIER, Jim. Implem<strong>en</strong>ting 802.1x security<br />
solutions for wired and wireless networks.<br />
Estados Unidos: Wiley Publishing Inc., 2008.<br />
p.66.<br />
[6]. SÁNCHEZ CUENCA, Manuel y CÁNOVAS<br />
REVERTE, Óscar. Una arquitectura <strong>de</strong> control<br />
<strong>de</strong> acceso a re<strong>de</strong>s <strong>de</strong> área local inalámbricas<br />
802.11. [En línea] España: Universidad <strong>de</strong><br />
Murcia, 2003.<br />
[Consulta: Octubre 16 <strong>de</strong> 2010].<br />
[7]. GEIER, Jim. Op. Cit. p.60.<br />
[8]. SÁNCHEZ CUENCA, Manuel y CÁNOVAS<br />
REVERTE, Óscar. Op. Cit.<br />
[9]. SANTOS, Omar y CISCO PRESS. End to<br />
End Network security <strong>de</strong>f<strong>en</strong>se in <strong>de</strong>pth.<br />
Estados Unidos: CISCO PRESS, 2008. p.23.
[10]. MIGGA KIZZA, Joseph. A gui<strong>de</strong> computer<br />
to network security. Estados Unidos: Springer.<br />
2009. p.48.<br />
[11]. NAKHJIRI, Madjid y NAKHJIRI, Mahsa.<br />
AAA and Network security for mobile access.<br />
Radius, Diameter, EAP, PKI and IP mobility.<br />
Inglaterra: John Wiley & Sons, Ltd., 2005. p.8.<br />
[12]. RIGNEY, Will<strong>en</strong>s y otros. RFC 2865:<br />
Remote Auth<strong>en</strong>tication Dial In User Service<br />
(RADIUS). [En línea] IETF Network Working<br />
Group, 2000. <<br />
http://www.ietf.org/rfc/rfc2865.txt ><br />
[Consulta: J<strong>un</strong>io 29 <strong>de</strong> 2010].<br />
[13]. COHEN, Beth y DEUTSCH, Debbie.<br />
RADIUS: Secure Auth<strong>en</strong>tication Services at<br />
Your Service [En línea] 2003.<br />
[Consulta: Octubre 16 <strong>de</strong> 2010].<br />
[14]. WELCH-ABERNATHY, Dameon. Ess<strong>en</strong>tial<br />
Check Point FireWall-1 NG. Estados Unidos:<br />
Addisson-Wesley, 2004. p.197.<br />
[15]. VOLLBRECHT, John. The Beginnings and<br />
History of RADIUS [En línea] Estados<br />
Unidos: Interlink Networks, 2006.<br />
[Consulta:<br />
Octubre 15 <strong>de</strong> 2010.]<br />
[16]. NAKHJIRI, Madjid y NAKHJIRI, Mahsa.<br />
Op. Cit. p.148.<br />
[17]. FAJARDO, V; ARKKO, J; LOUGHNEY, J.<br />
y ZORN, G. DIAMETER Base Protocol [En<br />
línea] Estados Unidos: IETF - DIME, 2010.<br />
<br />
[Consulta:Octubre 16 <strong>de</strong><br />
2010].<br />
[18]. Análisis <strong>de</strong> <strong>de</strong>sempeño y evaluación <strong>de</strong><br />
requerimi<strong>en</strong>tos AAA <strong>en</strong> protocolos <strong>de</strong><br />
seguridad sobre re<strong>de</strong>s inalámbricas IEEE<br />
802.1 . En: revista <strong>de</strong> Ing<strong>en</strong>iería<br />
Neogranadina, Bogotá. Universidad Militar<br />
Nueva Granada. 2006.<br />
[Consulta: Octubre 16 <strong>de</strong> 2010].<br />
[19]. RIGNEY, Will<strong>en</strong>s y otros. Op. Cit.<br />
[20]. NAKHJIRI, Madjid y NAKHJIRI, Mahsa.<br />
Op. Cit. p.127.<br />
[21]. RIGNEY, Will<strong>en</strong>s y otros. Op. Cit.<br />
[22]. RIGNEY, C. RFC 2866: RADIUS<br />
Acco<strong>un</strong>ting [En línea] IETF Network Working<br />
Group, 2000.<br />
<br />
[Consulta: Octubre 16 <strong>de</strong> 2010].<br />
[23]. FREERADIUS WIKI. Others RADIUS<br />
servers [En línea] 2007.<br />
[Consulta: Octubre 16 <strong>de</strong> 201<br />
31