T9 - SEGURIDAD EN LAS REDES Flashcards

Question

**VPN** ¿Qué protocolo de `VPN` actúa en el **Nivel 7 (Aplicación)** del modelo `OSI`? ¿Qué hace?

Answer 1

- `SSH` (**Secure Shell**) - Crea túneles seguros para acceder a `sistemas remotos` - También se puede usar para redirigir tráfico (como si fuera una VPN sencilla)

Answer 2

`Sitio a sitio`: * Familia IPSec * GRE `Acesso remoto`: * PPTP * L2F * L2TP * SSL * SSH * SSTP

Answer 3

`PAP` (**Password Authentication Protocol**): - El cliente envía **usuario y contraseña en texto claro** - Es el método más simple y menos seguro `CHAP` (**Challenge Handshake Authentication Protocol**): - El servidor envía un **reto (challenge)** - El cliente responde con una contraseña cifrada - Más seguro que `PAP` porque no se envía la contraseña directamente `EAP` (**Extensible Authentication Protocol**): - Protocolo **flexible y extensible** - Permite múltiples métodos: tarjetas inteligentes, `TLS`, `PEAP`, biometría… - Usado en conexiones más modernas y seguras

Answer 4

`AAA` significa **Autenticación, Autorización y Auditoría** - Se usan para controlar el acceso a redes y recursos 1. `Autenticación`: verificar la identidad del usuario 2. `Autorización`: determinar qué puede hacer ese usuario 3. `Auditoría` (o contabilización): registrar lo que hace el usuario **Sistemas que lo implementan**: `RADIUS` (**Remote Authentication Dial-In User Service**): - Muy usado en redes empresariales - Centraliza la autenticación y permite contabilidad - Usa `UDP` `TACACS+` (**Terminal Access Controller Access-Control System Plus**): - Más seguro que RADIUS - Separa autenticación, autorización y auditoría - Usa `TCP` `DIAMETER`: - Evolución moderna de RADIUS - Permite más funcionalidades y mejor seguridad - Usa TCP o SCTP

Answer 5

- Sirve para asegurar las comunicaciones sobre `IP` - Puede garantizar `integridad` o `autenticidad`, pero **NO ambas a la vez** - Protege los `paquetes de datos` de enviados en redes inseguras (como Internet) - La familia `IPSec` incluye dos protocolos principales: - `AH` (**Authentication Header**): garantiza la integridad y la autenticidad, pero no cifra - `ESP` (**Encapsulating Security Payload**): puede cifrar y/o autenticar, según configuración

Answer 6

**Garantiza:** - `Integridad`: asegura que los datos no se modifiquen en el camino - `Autenticación de origen`: verifica que el paquete viene del emisor legítimo - `Protección contra ataques replay`: impide que un atacante reutilice paquetes capturados Añade un **`ICV` (Integrity Check Value)**: - Es un valor que permite comprobar si el contenido fue alterado - Se calcula con funciones como `HMAC`, que combinan los datos con una clave secreta - Si alguien modifica el paquete, el ICV ya no coincide

Answer 7

El `HMAC` se calcula **solo con datos `inmutables`**, es decir, que **no cambian en tránsito** - Ejemplos de datos incluidos: - Dirección `IP` de origen - Dirección `IP` de destino - `Cabeceras` que no pueden ser modificadas (TTL no se incluye, por ejemplo) **Garantiza** - Esto garantiza que el valor `ICV` (Integrity Check Value) **permanezca válido** durante todo el trayecto - Si se modifica algo que estaba protegido, el receptor detectará el cambio

Answer 8

- `Modo Transporte` (**host to host**): - Se usa entre dos **dispositivos finales** - El paquete IP original **se mantiene** - Se añade la cabecera `AH` o `ESP` entre la cabecera IP original y los datos - Ideal para comunicaciones directas entre equipos - `Modo Túnel` (**site to site**): - Se usa para conectar **dos redes** a través de Internet - El paquete IP original **queda encapsulado dentro de un `paquete IP` nuevo** - Se crea una **nueva cabecera IP externa** + el paquete original completo como `payload` - Ideal para `VPNs` entre oficinas o sedes remotas

Answer 9

- El protocolo `ESP` (**Encapsulating Security Payload**) puede garantizar: - `CONFIDENCIALIDAD`: cifra los datos (por ejemplo, con `3DES` o `AES`) - `Integridad`: asegura que los datos no han sido modificados - `Autenticación de origen`: verifica que vienen del emisor legítimo Está compuesto por varios campos importantes: - `Payload`: los datos cifrados (usando algoritmos como `3DES`, `AES`, etc.) - `Sequence Number`: evita ataques `replay` numerando los paquetes - `Campo de Autenticación`: usado opcionalmente para verificar integridad y autenticidad ⚠️ En `modo transporte`, `ESP` **no protege la cabecera IP original**, solo cifra los datos (payload).

Answer 10

- `IKE` (**Internet Key Exchange**) es el protocolo que se usa en `IPSec` para **negociar y establecer claves seguras** - Sirve para: - Autenticar a los extremos que se conectan - Acordar qué algoritmos usar (cifrado, hash, etc.) - Generar las claves compartidas de forma segura 🧩 Funciona en dos fases: 1. **Fase 1**: - Se crea un canal seguro (túnel IKE) - Se usa para autenticar a los extremos (por contraseña, certificado, etc.) 2. **Fase 2**: - Se negocian los parámetros de `IPSec`: - Si se usará `AH` o `ESP` - Qué modo (`Túnel` o `Transporte`) - Qué algoritmos de cifrado y hash - Las claves y duración de la conexión - Se crean las **`SA`** (Security Associations) para cifrar y proteger los datos reales

Answer 11

- `IKEv2`: versión moderna de `IKE`, más rápida y segura - `ISAKMP`: define **cómo se ’`negocian` las claves y las SA** - `OAKLEY`: define **cómo se intercambian las claves de forma segura** 👉 `IKE` usa `ISAKMP` + `OAKLEY` para funcionar

Answer 12

- `SSL` (**Secure Sockets Layer**) es un **protocolo de seguridad** - Se utiliza para **crear túneles seguros entre aplicaciones** sobre redes inseguras como Internet - Garantiza: - `Confidencialidad`: los datos van cifrados - `Integridad`: asegura que los datos no se modifiquen - `Autenticación`: verifica la identidad del servidor (y opcionalmente del cliente) - 🔐 **Trabaja a nivel de `Transporte`** (nivel 4 del modelo OSI)

Answer 13

- `POODLE` (**Padding Oracle On Downgraded Legacy Encryption**): - Manipula los bloques de relleno en el cifrado para recuperar partes del mensaje original - `FREAK` (**Factoring RSA Export Keys**): - Obliga al servidor a usar claves débiles - El atacante puede romper esas claves y descifrar los datos - `BEAST` (**Browser Exploit Against SSL/TLS**): - Inyecta código y escucha la respuesta del servidor - Permite recuperar datos cifrados, como contraseñas o cookies - `Heartbleed`: - Aprovecha un fallo en la función “heartbeat” - El atacante puede leer fragmentos de memoria del servidor, incluyendo datos sensibles - `CRIME` (**Compression Ratio Info-leak Made Easy**): - Usa la compresión para adivinar datos secretos (como cookies) - Compara el tamaño de los mensajes comprimidos con y sin datos manipulados

Answer 14

- `SSL` trabaja **entre `HTTP` y `TCP`** - Su función es **cifrar los datos que genera `HTTP` antes de que se envíen por `TCP`** - Así se protege la información en tránsito sin modificar ni `HTTP` ni `TCP`

Answer 15

- Sí, ambos forman parte de cómo funciona internamente `SSL/TLS` - **`TLS Record Protocol`**: - Es la capa base del protocolo - Fragmenta, comprime, cifra y añade un MAC a los datos - Se encarga del transporte seguro de todo lo demás - **`High Layer Subprotocols`**: - Se transportan dentro del `Record Protocol` - Incluyen: - `Handshake`: negociación de claves y autenticación - `ChangeCipherSpec`: activa el cifrado - `Alert`: envía avisos y errores - `Application Data`: transmite los datos cifrados 👉 El `Record Protocol` es la base 👉 Los `High Layer Subprotocols` se mueven dentro de él

Answer 16

- Un `certificado de servidor` permite que el cliente pueda: - **Verificar la identidad del servidor** (evita suplantaciones) - **Establecer una conexión segura**, confiando en que el servidor es legítimo - Contiene: - El **nombre del servidor** - Su **clave pública** - La **firma digital** de una autoridad certificadora (`CA`) de confianza

Answer 17

- El `Handshake` usa **criptografía asimétrica** al principio: - El cliente cifra la **clave pre-maestra** con la **clave pública del servidor** - Después del `Handshake`, se usa **criptografía simétrica**: - Ambos lados generan la misma **clave de sesión** - Esa clave se usa para cifrar y descifrar todos los datos de forma rápida y eficiente 👉 El `Handshake` inicia con **asimetría** 👉 La comunicación posterior es **simétrica**

Answer 18

- **#1** El cliente envía un `Client Hello`: - Indica los **algoritmos de cifrado** que soporta - Incluye un **número aleatorio** - **#2** El servidor responde con `Server Hello`: - Selecciona el **algoritmo de cifrado** (`selected cipher`) - Envía su **propio número aleatorio** - **#2B** El `servidor` envía su **certificado digital** obligatoriamente: - El cliente lo usará para **verificar su identidad** - Contiene la 🕵🏻‍♀️**clave pública del servidor** - **Solo el servidor** posee la **clave privada** correspondiente (nunca se transmite) - **#3** El cliente genera una **clave pre-maestra**: - La cifra con la 🕵🏻‍♀️|**clave pública del servidor** y la envía - Esta clave sirve como base para generar la **clave de sesión**, pero no se reutiliza - Así se evita transmitir la clave de sesión directamente - **#4** Ambos generan la misma **clave de sesión** usando: - La clave pre-maestra - El número aleatorio del cliente - El número aleatorio del servidor - **#5** Se envían mensajes `Finished` para confirmar que todo fue correcto 🔒 A partir de aquí, todo se cifra con la **clave de sesión** de manera `simétrica` porque ambos poseen la `misma clave de sesión`.

T9 - SEGURIDAD EN LAS REDES Flashcards

(42 cards)