INTECO - Estudio Sobre Seguridad Inalámbrica (MMBB)

Instituto Nacional de Tecnologas de la Comunicacin
Estudio sobre la situacin de seguridad y buenas prcticas en dispositivos mviles y redes inalmbricas
OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIN
Edicin: Junio 2008
La presente publicacin pertenece al Instituto Nacional de Tecnologas de la Comunicacin (INTECO) y est bajo una licencia Reconocimiento-No comercial 2.5 Espaa de Creative Commons, y por ello esta permitido copiar, distribuir y comunicar pblicamente esta obra bajo las condiciones siguientes: Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho reconocimiento no podr en ningn caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace de su obra. Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos mientras su uso no tenga fines comerciales. Al reutilizar o distribuir la obra, tiene que dejar bien claro los trminos de la licencia de esta obra. Alguna de estas condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta licencia menoscaba o restringe los derechos morales de INTECO. Texto completo de la licencia: http://creativecommons.org/licenses/by-nc/2.5/es/
Estudio sobre la seguridad y buenas prcticas en dispositivos mviles y redes inalmbricas Observatorio de la Seguridad de la Informacin
Pgina 2 de 181
NDICE
NDICE.................................................................................................................................3 PUNTOS CLAVE .................................................................................................................8 I II III IV V VI 1 Redes inalmbricas y clasificacin segn su cobertura geogrfica.........................8 Situacin y tendencias de las tecnologas mviles e inalmbricas en Espaa .......8 Problemtica de securizacin en redes inalmbricas..............................................9 Soluciones de seguridad con aplicacin a redes inalmbricas..............................10 Dispositivos mviles...............................................................................................11 Recomendaciones de actuacin............................................................................12 INTRODUCCIN Y OBJETIVOS ...............................................................................13 1.1 1.1.1 1.1.2 1.2 Presentacin ......................................................................................................13 Instituto Nacional de Tecnologas de la Comunicacin. ................................13 Observatorio de la Seguridad de la Informacin............................................13 Descripcin y estructura del estudio ..................................................................14
2 REDES INALMBRICAS Y CLASIFICACIN SEGN SU COBERTURA GEOGRFICA...................................................................................................................17 2.1 2.1.1 2.1.2 2.1.3 2.1.4 Taxonoma de redes inalmbricas segn su cobertura geogrfica ...................19 Redes WAN ...................................................................................................20 Redes MAN....................................................................................................24 Redes LAN.....................................................................................................26 Redes PAN ....................................................................................................26
3 SITUACIN Y TENDENCIAS DE LAS TECNOLOGAS MVILES E INALMBRICAS EN ESPAA ......................................................................................................................28 3.1 Visin global del mercado..................................................................................28
Pgina 3 de 181
3.1.1 3.1.2 3.2 3.2.1 3.2.2
Ciudadanos ....................................................................................................30 Pequeas y medianas empresas...................................................................33 Hbitos, usos e incidencias de seguridad de los usuarios mviles en Espaa .36 Ciudadanos ....................................................................................................37 Pequeas y medianas empresas...................................................................42
3.3 Clasificacin de las tecnologas inalmbricas en funcin de su penetracin y potencial de uso en el mercado espaol........................................................................46 3.3.1 3.3.2 4 Tecnologas con bajo nivel de penetracin y potencial de uso......................46 Tecnologas con elevada penetracin y potencial de uso .............................47
Problemas DE SECURIZACIN EN REDES INALMBRICAS .................................69 4.1 4.1.1 4.2 4.2.1 4.2.2 4.2.3 4.2.4 4.2.5 Anlisis de vulnerabilidades de las redes a nivel global ....................................69 Dimensiones de seguridad y vulnerabilidades...............................................70 Anlisis del nivel de vulnerabilidad por tipo de tecnologa inalmbrica .............82 Tecnologa GSM/GPRS .................................................................................84 Tecnologa UMTS/HSPA ...............................................................................87 Tecnologa WLAN/WiMAX .............................................................................89 Tecnologa Bluetooth .....................................................................................94 Tecnologa NFC .............................................................................................98
SOLUCIONES DE SEGURIDAD CON APLICACIN A REDES INALMBRICAS .100 5.1 5.1.1 5.1.2 5.1.3 5.1.4 Dimensiones de seguridad ..............................................................................100 Control de acceso ........................................................................................100 Autenticacin................................................................................................100 Disponibilidad...............................................................................................101 Confidencialidad...........................................................................................101
Pgina 4 de 181
5.1.5 5.1.6 5.2 5.2.1 5.2.2 5.2.3 5.2.4 5.2.5 6
Integridad .....................................................................................................102 No repudio....................................................................................................102 Soluciones por tecnologas inalmbricas.........................................................103 Tecnologa GSM/GPRS/UMTS/HSPA .........................................................103 Tecnologa WiMAX ......................................................................................104 Tecnologa Bluetooth ...................................................................................105 Tecnologa NFC ...........................................................................................107 Protocolo WLAN, IEEE 802.11 o Wi-Fi ........................................................108
DISPOSITIVOS MVILES .......................................................................................112 6.1 6.1.1 6.2 6.3 6.3.1 Tendencias ......................................................................................................112 Cifras relacionadas con la seguridad ...........................................................117 Problemas de securizacin: vulnerabilidades y consecuencias ......................120 Soluciones de seguridad..................................................................................126 Polticas de gestin de asignacin de perfiles de usuarios..........................126
6.3.2 Polticas de gestin de riegos y actuaciones en caso de sustraccin o extravo.....................................................................................................................129 6.3.3 7 Polticas de recuperacin de la informacin ante contingencias .................131
CONCLUSIONES Y RECOMENDACIONES ...........................................................134 7.1 7.2 Conclusiones ...................................................................................................134 Recomendaciones ...........................................................................................137
ANEXO I: SOLUCIONES GLOBALES .....................................................................140 8.1 8.1.1 8.1.2 Soluciones globales .........................................................................................141 Dimensiones de seguridad...........................................................................141 Otras recomendaciones ...............................................................................149
Pgina 5 de 181
ANEXO
II:
MARCO
REGULATORIO
DE
LA
SEGURIDAD
EN
REDES
INALMBRICAS ..............................................................................................................153 9.1 Normativa espaola .........................................................................................153
9.1.1 Ley Orgnica 15/1999, del 13 de diciembre, de Proteccin de Datos de Carcter Personal (LOPD) .......................................................................................153 9.1.2 Real Decreto Legislativo 1/1996, de 12 de abril, de Ley de Propiedad Intelectual .................................................................................................................155 9.1.3 9.1.4 Ley 17/2001, de 7 de diciembre, de Marcas ................................................156 Ley 20/2003, de 7 de julio, de Proteccin Jurdica del Diseo Industrial.....157
9.1.5 Circular 1/2006 del Fiscal General del Estado del 27 de mayo de 2006, sobre los delitos contra la propiedad intelectual e industrial tras la reforma de la Ley Orgnica 15/2003 .....................................................................................................157 9.1.6 Orden PRE/2740/2007, de 19 de septiembre, por la que se aprueba el Reglamento de Evaluacin y Certificacin de la Seguridad de las Tecnologas de la Informacin...............................................................................................................158 9.1.7 Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestacin de servicios de comunicaciones electrnicas, el servicio universal y la proteccin de los usuarios............................158 9.1.8 Orden ITC/912/2006, de 29 de marzo, por la que se regulan las condiciones relativas a la calidad de servicio en la prestacin de los servicios de comunicaciones electrnicas ..............................................................................................................159 9.2 Normativa europea ..........................................................................................160
10 ANEXO III: FUNCIONAMIENTO GENERAL DE LAS REDES DE TRFICO DE DATOS ............................................................................................................................161 11 11.1 ANEXO IV: METODOLOGA Y FUENTES CONSULTADAS ..............................164 Metodologa .....................................................................................................164 Listado de empresas colaboradoras ........................................................164 Panel de expertos ....................................................................................165 Entrevistas a empresas relevantes del sector .........................................166
11.1.1 11.1.2 11.1.3
Pgina 6 de 181
11.1.4 11.1.5
Encuestas a usuarios pertenecientes a hogares conectados a Internet..167 Estudio de informes y fuentes de informacin .........................................169
INDICE ANLITICO.........................................................................................................174 NDICE DE GRFICOS...................................................................................................176 NDICE DE TABLAS........................................................................................................178 INDICE DE FIGURAS......................................................................................................180
Pgina 7 de 181
PUNTOS CLAVE
La movilidad en el puesto de trabajo y en la vida privada es una prctica cada vez ms extendida en la sociedad. Esta situacin se ve favorecida y alentada por los continuos avances en el mbito de las tecnologas inalmbricas, donde cada vez se estn consiguiendo soluciones de mayor velocidad de conexin, con ms utilidades y a unos costes cada vez ms bajos. Sin embargo, la principal ventaja de estas tecnologas, caracterizadas por posibilitar una conexin sin cables y en cualquier lugar donde exista cobertura, implica, a su vez, unas necesidades especficas de seguridad. Ante este panorama, donde los cambios y los avances tecnolgicos se suceden con mucha rapidez, no es difcil prever una posible vulnerabilidad de las pymes y de los particulares en el uso de tecnologas inalmbricas, producto de un conocimiento mnimo en temas tecnolgicos y de la aparicin de nuevas amenazas a partir de estas nuevas formas de comunicacin. I Redes inalmbricas y clasificacin segn su cobertura geogrfica
Aunque no exista una clasificacin universal que catalogue de forma uniforme a todas estas tecnologas, es posible hacerlo segn la cobertura geogrfica de cada una de ellas: WAN (Wide Area Network): red usada para comunicacin de larga distancia (principalmente por operadores de telefona). MAN (Metropolitan Area Network): red con una cobertura menor que la WAN, pero en un entorno ms o menos metropolitano. LAN (Local Area Network): red de rea local. PAN (Personal Area Network): red de proximidad, concebida para trabajar sobre reas reducidas y de corto alcance. II Situacin y tendencias de las tecnologas mviles e inalmbricas en Espaa
En febrero de 2008, el nmero de lneas de telefona mvil se situaba en los 50.903.008, un 7,4% ms que en el 2007. Segn el informe de febrero de 2008 de la Comisin del Mercado de las Telecomunicaciones (CMT), el total de lneas mviles aument en 178.864, cerrndose el mes con un total de 49.748.579, lo que supone un incremento del 6,8% respecto al total registrado en febrero de 2007 y una proporcin de 110,1 lneas por cada 100 habitantes.
Pgina 8 de 181
La penetracin de las tecnologas inalmbricas en el mercado residencial espaol alcanz cotas altas en telefona mvil (90,9%) en el primer semestre de 2007. La distribucin de esta tecnologa en los hogares, segn datos del INE, muestra que en un 17,7% se dispone nicamente de telfono mvil y en un 73,1%, de fijo y mvil. En relacin con los dispositivos inalmbricos, su penetracin es cada vez ms elevada, segn los resultados del panel de hogares de INTECO para mayo de 2008. Ms de la mitad de los encuestados cuenta con porttiles con tecnologa Wi-Fi o Bluetooth. Asimismo, un 50,3% de los hogares espaoles cuenta con un acceso Wi-Fi. En cuanto a las pymes espaolas, el 80% de las empresas de ms de 10 empleados recurre a la telefona mvil para su actividad profesional. Adems, cuatro de cada diez organizaciones utilizan dispositivos mviles avanzados (PDA y BlackBerry). Los hbitos, usos e incidencias de seguridad de los usuarios mviles en Espaa son variables en funcin del tipo de dispositivo que se tenga. En el caso de los ciudadanos, la medida ms utilizada para los dispositivos bsicos es el uso de un PIN o cdigo de seguridad para la tarjeta SIM (79,2%). Respecto a los dispositivos avanzados, en concreto los que cuentan con la posibilidad de utilizar la comunicacin inalmbrica a travs del Bluetooth para la transmisin de datos y voz, su seguridad depende del uso que se les d y de las pautas de seguridad utilizadas. En el mbito de las empresas, las acciones adoptadas en cuanto a actualizacin de los mecanismos de seguridad estn principalmente basadas, aunque depende del tamao de la empresa, en el uso de software de proteccin o chequeo de virus; as lo afirma el 97% de las empresas con conexin a Internet. Otras medidas utilizadas son el uso de cortafuegos y el backup de datos (en el caso de empresas de entre 10 y 49 trabajadores, son utilizadas por un 68,8% y un 56,8%, respectivamente). Debido a la buena aceptacin que las soluciones de movilidad estn teniendo hoy en da, la industria no ceja en su empeo de investigar y desarrollar nuevas soluciones tecnolgicas inalmbricas con nuevas y mejores prestaciones (ancho de banda, seguridad y facilidad de uso) para todo tipo de servicios (voz y datos). En el mundo existen ms de 40 tipos diferentes de tecnologa de comunicacin inalmbrica con distinto grado de cobertura geogrfica, prestaciones y funcionalidades. El anlisis se centra en aquellas que tienen un mayor potencial de uso y/o penetracin en Espaa (GSM, GPRS, UMTS, HSPA, Bluetooth, Wi-Fi, RFID y NFC). III Problemtica de securizacin en redes inalmbricas
La seguridad de las tecnologas y de las redes en general puede ser analizada desde el punto de vista de la cobertura de las dimensiones de seguridad identificadas:
Pgina 9 de 181
Control de acceso. Autenticacin. Disponibilidad.
Confidencialidad. Integridad. No repudio.
Las vulnerabilidades (ataques) de las tecnologas inalmbricas son comunes para todas ellas, ya que comparten las mismas caractersticas al funcionar por ondas de radio. No obstante, la forma de materializar estos ataques es diferente. IV Soluciones de seguridad con aplicacin a redes inalmbricas
Las principales medidas de seguridad disponibles para los usuarios y pymes van encaminadas a proteger los dispositivos de acceso, bien a nivel individual o mediante una gestin centralizada que se materializar en la delegacin de la seguridad intrnseca a la tecnologa a los proveedores (de servicios de telecomunicaciones, fabricantes de terminales y equipos de red), a las polticas y a las normas de seguridad que definen los organismos competentes para las tecnologas inalmbricas. En este contexto, cabe destacar que la tecnologa Wi-Fi es la nica que permite, configurar el grado de seguridad en funcin del criterio de los usuarios. Los terminales de acceso son uno de los eslabones ms importantes a la hora de establecer medidas de seguridad al trabajar con tecnologas inalmbricas. La seguridad abarca muchos ms aspectos que la mera tecnologa, siendo necesario aplicar otras medidas asociadas a las tecnologas y/o buenas prcticas generales asociadas a la auditora y uso responsable de las mismas. Las medidas y soluciones de seguridad deben ser analizadas al margen de la tecnologa, para despus adoptar la solucin especfica para cada una de ellas. A continuacin se presentan las medidas de seguridad ms relevantes para cada una de las tecnologas estudiadas: Todas las tecnologas de comunicaciones provistas por operadores son seguras, como es el caso de GSM/GPRS/UMTS/HSPA, por lo que el usuario debera prestar atencin a la proteccin de su dispositivo, el eslabn ms dbil de la cadena. En cambio, en las tecnologas cuya utilizacin y gestin corresponden al usuario final la seguridad depende en gran medida de: o Una gestin del servicio responsable por parte del usuario y una configuracin para la solicitud de contraseas con cada conexin (Bluetooth).
Pgina 10 de 181
La observacin visual del entorno de validacin y custodia del dispositivo (NFC).
La utilizacin por parte del usuario de al menos un mecanismo de cifrado de los disponibles, siendo el ms recomendable el WPA PSK para pymes y el WPA para usuarios finales (Wireless LAN o 802.11).
Dispositivos mviles
Los dispositivos han pasado de ser simples terminales que permiten la transmisin de voz, a convertirse en verdaderos ordenadores mviles, por lo que su impacto en el estudio de las tecnologas inalmbricas es cada vez mayor. El anlisis de estos dispositivos mviles se realiza bajo una nueva dimensin de seguridad no incluida en la norma anteriormente referida, denominada proteccin de dispositivos, ya que, por sus caractersticas propias, son susceptibles de robo, prdida, o daos y amenazas externas (malware) que puedan perjudicarlo. En cuando a los problemas derivados del malware (virus o software ejecutado sin el consentimiento del usuario), depende en gran medida de los dispositivos utilizados, del software de proteccin instalado y de las polticas de seguridad definidas, sin olvidar la gestin responsable de los usuarios finales. Las soluciones recomendadas para evitar estas vulnerabilidades son las siguientes: Utilizar el PIN/password de arranque en el caso de terminales con acceso a la red de los operadores. Utilizar las opciones de bloqueo de terminal disponibles en la configuracin de estos dispositivos. Utilizar programas de cifrados de datos para evitar que la informacin almacenada en el dispositivo pueda ser leda por una persona ajena. No instalar aplicaciones de las que se desconozca su procedencia o no sean fiables. Configurar el dispositivo para que no se puedan instalar programas que no sean del fabricante sin estar certificados y/o no se conozca la fuente. Utilizar software de proteccin de dispositivos (antivirus). Recurrir a sistemas de gestin centralizada de dispositivos, que posibilitan el bloqueo y borrado remoto de informacin en caso de prdida o robo del terminal
Estudio sobre la seguridad y buenas prcticas en los dispositivos mviles y redes inalmbricas Observatorio de la Seguridad de la Informacin
Pgina 11 de 181
mvil, el control remoto del software instalado por los usuarios y su borrado en caso de que no cumpla las polticas de seguridad establecidas por la empresa. Aplicacin de las polticas de seguridad de los sistemas operativos. Utilizacin del software original, de forma que se puedan realizar las actualizaciones de seguridad pertinentes y recurrir a los departamentos de atencin al cliente que dichas empresas tienen para ayudar a definir medidas de seguridad adecuadas a las pymes. Recomendaciones de actuacin
VI
A partir del conocimiento adquirido a lo largo de la realizacin del presente estudio, INTECO recomienda acciones ligadas a la colaboracin, certificacin y concienciacin de las pymes y ciudadanos y al impulso de un marco regulativo o legislativo: Colaboracin. Fomentar la colaboracin de todos los agentes participantes mediante foros u otras acciones, para lograr la identificacin de soluciones globales de seguridad y ofrecer al usuario final una oferta completa. Certificacin. Es importante que la Administracin regule el cumplimiento de unos mnimos de seguridad en comunicaciones inalmbricas por las pymes y los usuarios finales. Adems, se puede complementar con la certificacin en seguridad de redes inalmbricas, que deberan cumplir las pymes en funcin de la informacin que manejen, su tamao y su sector de actividad, adems de los proveedores de servicios de comunicacin inalmbricas en cuanto al servicio prestado/instalado al usuario final. Concienciacin. La red no es el elemento dbil de la cadena, sino los dispositivos y los puntos de acceso. Se debe, por tanto, trabajar de forma intensa en concienciar a los ciudadanos y a las pymes sobre lo importante que es cumplir con unos mnimos de seguridad en sus comunicaciones inalmbricas para salvaguardar su informacin y/o la de sus clientes. Regulacin/legislacin. No existe ninguna legislacin ni normativa que establezca unos mnimos de seguridad en la instalacin y utilizacin de redes inalmbricas, por lo que se recomienda la definicin de un marco regulatorio y/o legislativo.
Estudio sobre la seguridad y buenas prcticas en los dispositivos mviles y redes inalmbricas Observatorio de la Seguridad de la Informacin
Pgina 12 de 181
1
1.1 1.1.1
INTRODUCCIN Y OBJETIVOS
Presentacin Instituto Nacional de Tecnologas de la Comunicacin.
El Instituto Nacional de Tecnologas de la Comunicacin (INTECO), sociedad estatal promovida por el Ministerio de Industria, Turismo y Comercio, es una plataforma para el desarrollo de la Sociedad del Conocimiento a travs de proyectos del mbito de la innovacin y la tecnologa. Su objetivo es doble: por una parte, contribuir a la convergencia de Espaa con Europa en la Sociedad de la Informacin y, por otra, promover el desarrollo regional, enraizando en Len un proyecto con vocacin global. La misin de INTECO es impulsar y desarrollar proyectos de innovacin relacionados con el sector de las Tecnologas de la Informacin y la Comunicacin (TIC) y en general, en el mbito de la Sociedad de la Informacin, que mejoren la posicin de Espaa y aporten competitividad, extendiendo sus capacidades tanto al entorno europeo como al latinoamericano. El objeto social de INTECO es la gestin, asesoramiento, promocin y difusin de proyectos tecnolgicos en el marco de la Sociedad de la Informacin. Para ello, INTECO desarrollar actuaciones, al menos, en lneas estratgicas de seguridad tecnolgica, accesibilidad y calidad del software. 1.1.2 Observatorio de la Seguridad de la Informacin
El Observatorio de la Seguridad de la Informacin se inserta dentro de la lnea estratgica de actuacin de INTECO en materia de seguridad tecnolgica. El Observatorio nace con el objetivo de describir de manera detallada y sistemtica el nivel de seguridad y confianza en la Sociedad de la Informacin y de generar conocimiento especializado en la materia. De este modo, se encuentra al servicio de los ciudadanos, las empresas y las administraciones pblicas espaolas para describir, analizar, asesorar y difundir la cultura de la seguridad de la informacin y la e-confianza. El Observatorio ha diseado un plan de actividades y estudios con el objeto de producir conocimiento especializado y til en materia de seguridad, as como de elaborar recomendaciones y propuestas que definan tendencias vlidas para la toma de decisiones futuras por parte de los poderes pblicos. Dentro de este plan de accin se realizan labores de investigacin, anlisis, estudio, asesoramiento y divulgacin que atendern, entre otras, a las siguientes estrategias:
Pgina 13 de 181
Elaboracin de estudios e informes propios en materia de seguridad de las tecnologas de la informacin y la comunicacin, con especial nfasis en la seguridad en Internet.
Seguimiento de los principales indicadores y polticas pblicas relacionadas con la seguridad de la informacin y la confianza en el mbito nacional e internacional. Generacin de una base de datos que permita el anlisis y evaluacin de la seguridad y la confianza con una perspectiva temporal.
Impulso de proyectos de investigacin en materia de seguridad TIC. Difusin de estudios e informes publicados por otras entidades y organismos nacionales e internacionales, as como de informacin sobre la actualidad nacional y europea en materia de seguridad y confianza en la Sociedad de la Informacin.
Asesoramiento a las administraciones pblicas en materia de seguridad de la informacin y confianza, as como el apoyo a la elaboracin, seguimiento y evaluacin de polticas pblicas en este mbito. Descripcin y estructura del estudio
1.2
INTECO desarrolla iniciativas para contribuir a un mayor crecimiento y facilidad de acceso a las nuevas tecnologas por parte de los actores de la llamada Sociedad de la Informacin. En este mbito, el Instituto ha puesto en marcha el Estudio sobre la situacin de seguridad y buenas prcticas en dispositivos mviles y redes inalmbricas. Se trata de un anlisis de las diferentes tecnologas inalmbricas del mercado y de sus dispositivos de acceso, considerando las particularidades de cada una de ellas desde el punto de vista de la seguridad e identificando las soluciones ms habituales para evitar los riesgos asociados a su utilizacin. El estudio tiene los siguientes objetivos: Conocer el espectro de tecnologas inalmbricas existentes en el mercado nacional e internacional. Conocer los principales riesgos y vulnerabilidades asociados a la utilizacin de una tecnologa inalmbrica. Identificar las principales soluciones existentes en el mercado para prevenir los riesgos existentes. Fomentar la cultura de seguridad en las pymes y particulares.
Pgina 14 de 181
El propsito final del estudio es lanzar una serie de recomendaciones de actuacin a las pymes y los usuarios finales para prevenir riesgos innecesarios en la utilizacin de las tecnologas inalmbricas. El estudio se ha desarrollado en varias fases: Definicin de su mbito, que se ha limitado a las tecnologas de mayor uso y previsin de crecimiento en el territorio espaol. Identificacin de una cadena de valor de la seguridad, a partir de la cual se reconoce a los principales actores involucrados en ella. Diseo y elaboracin de un cuestionario de entrevistas en base a los objetivos del estudio. Realizacin de entrevistas a expertos en seguridad, entre los que se encuentran algunos de los fabricantes, operadores y proveedores de soluciones de seguridad ms representativos del sector. Recopilacin y estudio de documentacin y fuentes independientes relacionadas con la seguridad y las tecnologas inalmbricas. Asesoramiento de un panel de expertos, formado por profesionales de reconocido prestigio en el mbito de las redes inalmbricas y de la seguridad de la empresa Everis. Elaboracin de un informe final con las conclusiones extradas a partir de la recopilacin de documentacin y realizacin de entrevistas, encuestas a hogares espaoles y consultas al panel de expertos.
La ejecucin de este estudio se ha abordado, segn recomendacin de los expertos consultados, analizando la problemtica de la seguridad desde un plano superior a la tecnologa utilizada, as como la identificacin de las soluciones aplicadas, ya que todas comparten la misma esencia. Adems y con el objetivo de incrementar la profundidad del anlisis, este estudio analiza tambin las particularidades de las principales tecnologas inalmbricas frente a cada una de las problemticas de seguridad identificadas. Estructuralmente, el estudio se divide en seis grandes apartados: Redes inalmbricas y clasificacin segn su cobertura geogrfica: WAN (Wide Area Network, Red de rea Amplia), MAN (Metropolitan Area Network, Red de rea Metropolitana), LAN (Local Area Network, Red de rea Local) y PAN (Personal Area Network, Red de rea Personal).
Pgina 15 de 181
Situacin y tendencias de las tecnologas mviles e inalmbricas en Espaa: incidencias y actuaciones de seguridad en ciudadanos y pymes y anlisis de las tecnologas inalmbricas existentes, agrupadas segn su nivel de penetracin y potencial de uso en el mercado espaol.
Securizacin de redes inalmbricas: vulnerabilidades y consecuencias.
principales
riesgos
asociados,
Soluciones de seguridad con aplicacin a redes inalmbricas, desde un punto de vista global y particular, para evitar las vulnerabilidades. Dispositivos mviles: breve descripcin de cada dispositivo y, ms especficamente, de los ataques existentes y las soluciones propuestas para evitarlos. Conclusiones y recomendaciones a todos los agentes implicados: Administracin, pymes, particulares y empresas proveedoras.
La estructura global de este documento se puede observar en la siguiente figura:

Figura 1: Estructura general del estudio
1
Taxonoma de redes inalmbricas segn su cobertura geogrfica Tendencias de las tecnologas inalmbricas El sector en Espaa Clasificacin de las tecnologas inalmbricas en funcin de su penetracin y potencial de uso Anlisis de vulnerabilidades de las redes a nivel global Securizacin en redes inalmbricas Anlisis del nivel de vulnerabilidad por tecnologa Tecnologas con bajo nivel de penetracin y potencial de uso
Tecnologas con elevada penetracin y alto nivel de uso
Soluciones de seguridad con aplicacin a redes inalmbricas
Dimensiones de la seguridad
Soluciones por tecnologa inalmbrica Dispositivos inalmbricos
Conclusiones y recomendaciones
Fuente: INTECO
Pgina 16 de 181
2 REDES INALMBRICAS Y CLASIFICACIN SEGN SU COBERTURA GEOGRFICA

Las redes inalmbricas o wireless son aquellas que se comunican por un medio de transmisin no guiado (sin cables) mediante ondas electromagnticas. Con una red cableada, un dispositivo tiene que estar en un punto fijo para mantenerse conectado y formar parte de ella. Con un dispositivo inalmbrico, sin embargo, al usuario le basta con estar dentro del radio de cobertura de la red para mantenerse conectado. Con estas ventajas, uno de los avances ms importantes y de mayor valor para el mercado de los ltimos aos ha sido la movilizacin de las comunicaciones de datos mediante la utilizacin de tecnologa inalmbrica como el Bluetooth, el protocolo 802.11 o Wi-Fi y el uso de terminales mviles que soportan este tipo de tecnologas (GSM/GPRS/UMTS/HSPA) 1 . Segn datos obtenidos por Enter (centro del Instituto de Empresa para el anlisis de la Sociedad de la Informacin y las telecomunicaciones) 2 en colaboracin con la consultora francesa Idate 3 , las ventas de dispositivos mviles en todo el mundo crecieron un 15% en 2007, alcanzando los 1.137 millones de unidades. Para el ao 2011, se espera una venta de 1.430 millones de aparatos, de los que un 29,9% corresponder a telfonos 3G, que permiten acceso a Internet a alta velocidad. Este porcentaje duplicara el 14,7% alcanzado en el ao 2007. Segn los datos del e-Business W@tch 4 , el 34% de los hogares (considerando la Europa de los 27) con acceso a Internet dispone de una red Wi-Fi 5 . En el caso de las empresas,
GSM: Global System for Mobile communications o Sistema Global para las Comunicaciones Mviles. Principal estndar para la telefona mvil digital. Se dice que la telefona analgica perteneca a la primera generacin, siendo GSM de 2G. GPRS: General Packet Radio Service o Servicio General de Paquetes por Radio. Esta tecnologa es la extensin de GSM para la transmisin de datos (se cambi de la conmutacin de circuitos en GSM a la conmutacin de paquetes en GPRS). Slo necesita modificaciones en el software de las estaciones de radio para lograrlo. Se considera que est situada entre GSM y UMTS. UMTS: Universal Mobile Telecommunications System o Sistema Mvil de Telecomunicaciones Universal. Esta tecnologa usa multiplexin por divisin en frecuencia por los mviles de tercera generacin, sucesores de GSM, diseada para introducir ms usuarios a la red (mejora en eficiencia) y obtener una alta tasa de envo de datos a dispositivos mviles. HSPA: High Speed Packet Access o Alta Velocidad de acceso de Paquetes. Esta tecnologa es tambin conocida como HSDPA (High speed down-link packet access) correspondiente a 3.5G el y 3.5 plus o 3.75 al HSUPA (High speed up-link packet access). Conjunto de protocolos que mejoran el ancho de banda sobre UMTS, pero mucho ms rpido que sta.
2
ENTER-Idate (2007): DigiWorld Espaa 2007. Disponible en http://www.idate.fr/pages/index.php?pop=ok Es el Observatorio del Comercio Electrnico creado por la Unin Europea para informar sobre la evolucin y las mejores
prcticas desarrolladas en ese mbito. Disponible en http://www.ebusiness-watch.org/
Pgina 17 de 181
el uso de tecnologas inalmbricas ya es una realidad, aunque su nivel de penetracin oscila bastante segn el mbito geogrfico desde el que se acceda. En el caso de la Europa de los 10, los pases ms avanzados en esta rea son Finlandia (46%) y Reino Unido (41%), seguidos de Francia (21%) e Italia (19%) 6 . La European Interactive Advertising Association 7 , en su estudio Mediascope Europa, seala que el 94% de los usuarios europeos de wireless que acceden a Internet a travs de dispositivos mviles como PDA (Personal Digital Assistant, Asistente Personal Digital) u ordenadores porttiles con conexin Wi-Fi, tiene adems conexin de banda ancha en sus puntos de acceso habituales (con un aumento del 9% desde 2005). El 81% tiene ordenador en casa (comparado con el 61% del total de europeos) y el 68, %, reproductor de MP3. Adicionalmente, el 76% de los usuarios catalogados como mviles usa Bluetooth, y el 71% confirma que ha navegado en Internet desde su mvil. Como se aprecia en estos datos, la tendencia del uso de tecnologas inalmbricas y de dispositivos mviles es creciente. Las mejoras producidas en los anchos de banda, las coberturas territoriales y la facilidad de uso han permitido desarrollar nuevas aplicaciones y servicios en este entorno. Estas tendencias alcistas hacen de la tecnologa inalmbrica y los dispositivos mviles un pilar importante en el desarrollo de la Sociedad de la Informacin. No obstante, los avances que han permitido una penetracin tan rpida en el mercado han supuesto un riesgo, al no haber dado tiempo a los usuarios a adquirir un conocimiento profundo sobre las consecuencias que una mala utilizacin de estos dispositivos, a travs de las tecnologas inalmbricas, puede tener para una pyme o un particular. Por este motivo, se hace necesario tener en cuenta algunas consideraciones de seguridad para evitar riesgos innecesarios relacionados con la privacidad de las comunicaciones. La confianza en la seguridad de las comunicaciones inalmbricas es un elemento clave para fomentar su uso por los usuarios finales y las pymes. Con el objetivo de hacer de las telecomunicaciones inalmbricas un entorno ms seguro y evitar riesgos de fcil prevencin, INTECO ha realizado el presente estudio, en el que se analizan la seguridad y las buenas prcticas en el uso de dispositivos mviles y redes inalmbricas.
5
European Commission (2007): E-Communications Household survey. Eurobarmetro 274. Disponible en
http://ec.europa.eu/public_opinion/archives/ebs/ebs_274_en.pdf
6
e-Business W@tch (2007): The European e-Business Report 2006/07. European Interactive Advertising Association (2007): The EIAA Mediascope Europe Study. Disponible en
http://www.eiaa.net/
Pgina 18 de 181
2.1
Taxonoma de redes inalmbricas segn su cobertura geogrfica
Las comunicaciones inalmbricas se caracterizan por poder transmitir informacin (voz o datos) sin necesidad de estar conectadas fsicamente a ningn dispositivo intermedio o receptor (como es el caso de una conexin por cable). Existen al menos dos tipos de medios por los que se pueden propagar, ondas de luz o radio, y varios elementos que influyen en la calidad de la transmisin (las frecuencias, la calidad de las seales, las interferencias, etctera). Aunque no existe una clasificacin universal que discrimine de forma uniforme a todas estas tecnologas, pueden dividirse segn su cobertura geogrfica (ver Figura 2): WAN (Wide Area Network, Red de rea Amplia): red usada para comunicacin de larga distancia (empleada principalmente por operadores de telefona). MAN (Metropolitan Area Network, Red de rea Metropolitana): red con una cobertura menor que la WAN, en un entorno metropolitano. LAN (Local Area Network): red de rea local, caracterizada por cubrir entornos de distancia media. PAN (Personal Area Network, Red de rea Personal): red de proximidad, concebida para trabajar sobre reas reducidas y de corto alcance.
Figura 2: Redes segn cobertura geogrfica
WAN MAN LAN PAN
Fuente: INTECO
Pgina 19 de 181
A continuacin se describe, a partir de la informacin bibliogrfica recopilada y la opinin obtenida de los expertos consultados, cada uno de estos grupos y las tecnologas inalmbricas que los componen. 2.1.1 Redes WAN
Una red WAN se define como una red de rea extensa, cuyas siglas corresponden segn el idioma ingls con Wide Area Network. Este tipo de redes fueron diseadas para satisfacer las necesidades de los usuarios que buscaban mayor movilidad que las que ofrecan las redes inalmbricas de rea local 8 . No existe uniformidad de criterio acerca del alcance geogrfico de este conjunto de redes, pero, en general, se podra establecer que incluyen cualquier tecnologa que cubra un radio de accin de entre 100 y 1.000 kilmetros. No queda suficientemente claro si las comunicaciones va satlite (VSAT) estn dentro de este grupo; en este estudio se considerarn como parte de las redes WAN. De acuerdo a esta descripcin, las tecnologas que forman parte del grupo son las siguientes:
Tabla 1: Tecnologas WAN Nombre Descripcin
Definicin: tecnologas predecesoras de las comunicaciones mviles actuales. Tecnologas de la 0G y 1G
Uso: permiten nicamente transmitir voz. La calidad de la seal es altamente variable, debido principalmente a las interferencias que pueden recibir las seales.
Definicin: Code Division Multiple Access 2000 version o Acceso Mltiple por Divisin en el Cdigo versin 2000. Familia de estndares basados en CDMA pertenecientes a la 3G para comunicacin en telefona mvil.
CDMA2000
Uso: permite la transmisin de voz y datos, ofreciendo aplicaciones de alta capacidad con tan solo un canal de 1,25 MHz de ancho. Tipos: CDMA2000 1X: primer sistema 3G a nivel mundial, permite una transmisin de paquetes de datos hasta 307 Kbps en una portadora (1,25 MHz). CDMA2000 1XVE: permite la transmisin de paquetes de datos hasta 2,4 Mbps en 10 una portadora (1,25 MHz) y voz y datos integrados (1xEV- DV) hasta 3,09 Mbps .
Alejandro Molina, Fabin: Seguridad en Redes Inalmbricas en II Jornadas de Telemtica.
Esta tecnologa es considerada importante en opinin de los expertos y de las fuentes bibliogrficas por su uso y potencial de crecimiento.
10
Mbps: Megabit por segundo Kbps: Kilobit por segundo. 1 Mbps (Megabit-per-second) =1000 Kbps (Kilobit-per-second).
Pgina 20 de 181
Nombre
Descripcin
Definicin: Wideband Code Division Multiple Access o Acceso Mltiple por Divisin en el Cdigo. Predecesor de CDMA2000. Nombre comercial de un estndar de comunicaciones mviles digital usado en Estados Unidos similar al GSM. Se diferencia de GSM principalmente en la forma en que se multiplexan las estaciones (lo hacen usando cdigos ortogonales), ya que transmite todas en la misma frecuencia. Uso: permite en un espacio mnimo de espectro (1,25 Mhz) altas capacidades de voz y datos eficientes en. Tipos: CDMA-ONE (ISO-95A): permite una transmisin de voz y datos hasta 14,4 Kbps. CDMA-ONE (ISO-95B): permite la transmisin de voz y datos hasta 115 Kbps. Definicin: Circuit Switched Data o Conmutacin de Circuito de Datos. Tecnologa usada para la telefona mvil. Fue una de las primeras tecnologas en usar la multiplexin de usuarios por divisin en el tiempo. Uso: Permite transmitir datos por medio de una conexin mvil a una velocidad mxima de 9,6 Kbps. Definicin: Digital Advanced Mobile Phone System o Sistema Telefnico Mvil Avanzado Digital. Fue desarrollado en Estados Unidos como sustitucin del estndar AMPS para telefona mvil, muy extendido en su momento. Uso: permite la transmisin de datos a una velocidad de 48,6 Kbps. Definicin: Enhanced Data Rates for GSM Evolution o Tasas de Datos Mejoradas para la Evolucin de GSM (tambin conocido como EGPRS). Tecnologa para telefona mvil que pretenda ser el puente entre el 2G y la 3G. Mejora la velocidad de transmisin de datos sobre GSM. Esta tecnologa se puede utilizar en redes que tambin soporten GPRS. Es totalmente compatible con redes GSM (un telfono GSM es capaz de funcionar sobre redes EDGE). Uso: permite la transmisin de datos alcanzando los 474 Kbps. Definicin: Freedom of Mobile Multimedia Access/Wideband Code Division Multiple Access o Libertad de Acceso Mvil Multimedia. Es el nombre de la tecnologa 3G usado en Japn. Fue el primer servicio 3G lanzado a nivel mundial en el 2001 y es compatible con UMTS.
cdmaOne
CSD
D-AMPS
EDGE
11
FOMA 12 W-CDMA
Uso: permite la transmisin de datos y voz, pudiendo soportar completamente varias conexiones simultneas como pueden ser una conexin a Internet, una conversacin telefnica, videoconferencia, etctera. Tericamente, tendra tasas de velocidad de hasta 384 Kbps en grandes zonas y hasta 2 Mbps reas ms reducidas. Definicin: General Packet Radio Service o Servicio General de Paquetes por Radio. Esta tecnologa es la extensin de GSM para la transmisin de datos (se cambi de la conmutacin de circuitos en GSM a la conmutacin de paquetes en GPRS). Slo necesita modificaciones en el software de las estaciones de radio para lograrlo. Est situada entre GSM y UMTS. Uso: dada la alta tasa de envo de datos, es usada para conexin inalmbrica a Internet. Permite velocidades de 40 a 115 Kbps por conexin (velocidad emprica obtenida en laboratorio).
GPRS
13
11
Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas.
12
13
Pgina 21 de 181
Nombre
Descripcin
Definicin: Global System for Mobile Communications o Sistema Global para las Comunicaciones Mviles. Principal estndar para la telefona mvil digital. Se dice que la telefona analgica perteneca a la primera generacin, siendo GSM de 2G. Uso: esta tecnologa es usada por el 80,0% de los telfonos mviles en el mundo para sus comunicaciones de voz. La velocidad de transmisin de la tecnologa GSM oscila entre 9,6 Kbps y 14 Kbps en funcin de la cobertura que ofrezca la seal y la saturacin de la red GSM. Definicin: High Speed Circuit Switched Data o Alta Velocidad de Datos en Conmutacin de Circuitos. Es una mejora del CSD. La diferencia proviene de la capacidad de utilizar diferentes mtodos de codificacin y/o mltiples slots de tiempo para aumentar la tasa de datos. Uso: permite la transmisin inalmbrica de datos a 43,2 Kbps en redes GSM. Esto es comparable a la velocidad de transmisin de los mdems utilizados en la actualidad a travs de las redes telefnicas fijas 15 . Definicin: High Speed Packet Access o Alta Velocidad de acceso de Paquetes. Esta tecnologa es tambin conocida como HSDPA (High speed down-link packet access) correspondiente a 3,5G el y 3,5 plus o 3,75 al HSUPA (High speed up-link packet access). Conjunto de protocolos que mejoran el ancho de banda sobre UMTS, pero mucho ms rpido que esta. Uso: permite la transmisin de datos a una tasa de informacin de hasta 14 Mbps en bajada y 2 Mbps en subida. Definicin: High Capacity Spatial Division Multiple Access o Alta Capacidad de Acceso Mltiple por Divisin Espacial. Uso: permite un rea inalmbrica amplia de banda ancha para conexin de datos fijos, porttiles y dispositivos de informtica mvil y electrodomsticos. Es capaz de optimizar el uso del ancho de banda con la ayuda de antenas inteligentes. Las velocidades de datos mximas por usuario varan entre las de sentido descendente, hasta 16 Mbps, y las de sentido ascendente, que llegan a 5,5 Mbps y se logran mediante la agregacin de portadoras 17 . Definicin: Integrated Digital Enhanced Network o Red Digital Integrada Mejorada. Proporciona mltiples servicios en un mismo sistema mvil (llamada, videollamada, GPS, etctera). Uso: permite la transmisin de voz y datos. Las velocidades de datos alcanzadas por una unidad plus iDEN llegan hasta 22 Kbps. Definicin: Long Term Evolution o Evolucin a Largo Plazo. Pretende ser la evolucin de UMTS a un entorno 4G para el acceso a radio. Con esta tecnologa se pretende aumentar la eficiencia, reducir los costes, ampliar y mejorar los servicios ya prestados y mejorar la integracin con los protocolos ya existentes. Uso: permite la transmisin de voz y datos, brindando velocidades mximas tericas de ms de 100 Mbps en sentido descendente y 50 Mbps en ascendente.
GSM
14
HSCSD
HSPA
16
HC-SDMA
iDEN
LTE
18
14
Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas.
Glosario de trminos en la pgina de Nokia. Disponible en http://www.nokia.com/EUROPE_NOKIA_COM_3/r2/support/tutorials/8910/spanish/glossary/index.html

16
15
Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Unin Internacional de Telecomunicaciones, Informe sobre las tecnologas de acceso para las comunicaciones de banda
17
ancha, periodo 2002 2006.

18
Pgina 22 de 181
Nombre
Descripcin
Definicin: denominacin comercial mejorada del IEEE 802.20 o MBWA (Mobile Broadband Wireless Access o Acceso Inalmbrico de Banda Ancha Mvil). Pretende ser una versin de bajo coste del Mobile WiMAX, pero ms enfocada a la movilidad.
Mobile FI Uso: permite transportar trfico IP y proporcionar conexiones de movilidad en un entorno de hasta 20 Km, utilizando para ello frecuencias por debajo de la banda de 3,5 GHz y con velocidades de transmisin de entre 1 y 16 Mbps. Definicin: Worldwide Interoperability for Microwave Access o WiMAX para movilidad. Mobile 19 WiMAX Uso: permite la conexin a un dispositivo a velocidades mayores que WiMAX y en movimiento de hasta 120 Km/h. El primer lote de productos certificados WiMAX se comercializ en el mercado a finales de 2005 20 . Definicin: Personal Data Cellular o Paquetes de Datos Celular. Tecnologa de segunda generacin para telefona mvil digital. Usa multiplexin por divisin en el tiempo para tratar de aumentar la tasa de datos enviados. Uso: permite la transmisin de datos, con una tasa de transferencia de datos de ms de 2 Mbps. Definicin: Personal Handyphone System o Sistema de Telefona de Mano Personal. Sistema de telefona inalmbrica con la capacidad de cambiar de celda de asociacin sin perder la conexin. Uso: permite la transmisin de voz y datos a una velocidad de 384 Kbps. Definicin: Time Division Synchronous Code Division Multiple Access 21 o Tecnologa CDMA por divisin en el tiempo y de 3G. TD-SCDMA Uso: permite la transmisin de voz y datos. En relacin a la velocidad de transmisin no se han encontrado datos estndares para dar una aproximacin. Definicin: Unlicensed Mobile Access o Acceso Mvil sin Licencia. Conocida como GAN, esta tecnologa permite roaming 23 entre WAN y LAN en escenarios de movilidad para voz y datos. Adems, permite el acceso a GSM y GPRS mediante Bluetooth y Wi-Fi. Uso: permite la transmisin de voz y datos. En relacin a la velocidad de transmisin no se han encontrado datos estndares para dar una aproximacin.
PDC
PHS
UMA
22
19
20
Huawei Technologies Co., Productos y soluciones de HUAWEI. Radio Access Network. Mobile WIMAX. ). Disponible en http://www.huawei.com/es/catalog.do?id=701 Esta tecnologa ha sido desarrollada por la China Academy of Telecommunications Technology (CATT), en colaboracin con Siemens Information and Communication Mobile Group (IC Mobile). Disponible en http://www.3gnewsroom.com/3g_news/nov_01/news_1405.shtml Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas.
21
22
23
En castellano, itinerancia es un concepto utilizado en comunicaciones inalmbricas y est relacionado con la capacidad de un dispositivo para moverse de una zona de cobertura a otra. Cuando se aplica a las redes Wi-Fi, significa que el dispositivo Wi-Fi cliente puede desplazarse e ir registrndose en diferentes bases o puntos de acceso.
Pgina 23 de 181
Nombre
Descripcin
Definicin: Ultra Mobile Broadband o Ancho de Banda Ultra Mvil. Esta tecnologa est basada en CDMA 2000, y pretende ser una mejora para los estndares de telefona mvil para la siguiente generacin de aplicaciones y requisitos, ya que est fundamenta en la tecnologa de red TCP/IP 25 . Uso: permite la transmisin de voz y datos, proporcionando velocidades pico de descarga y carga de 288 Mbps y 75 Mbps, respectivamente, en un ambiente mvil con un ancho de banda de 20 MHz. Definicin: Universal Mobile Telecommunications System o Sistema Mvil de Telecomunicaciones Universal. Esta tecnologa usa multiplexin por divisin en frecuencia por los mviles de tercera generacin, sucesores de GSM. Ha sido diseada para introducir ms usuarios a la red (mejora en eficiencia) y obtener una alta tasa de envo de datos a dispositivos mviles. Uso: permite la transmisin de datos, navegando en Internet desde los terminales mviles con una calidad aceptable: 144 Kbps sobre vehculos a gran velocidad, 384 Kbps en espacios abiertos de extrarradios y 2 Mbps con baja movilidad (interior de edificios). Definicin: Universal Mobile Telecommunications System Time Division Duplexing o UMTS por Divisin en el tiempo de doble sentido. UMTS-TDD es una red de datos mviles basada en el estndar UMTS. Esta tecnologa usa multiplexin por divisin en el tiempo. Uso: permite la transmisin de voz y datos a una velocidad de 4,5 Mbps. Definicin: Very Small Aperture Term o Terminal de Apertura Muy Pequea. Comunicacin va satlite compuesta por estaciones emisor-receptor. Esta comunicacin suele ser del satlite a la antena en tierra, ya que las antenas no disponen de suficiente potencia para comunicarse con el satlite.
UMB
24
UMTS
26
UMTS-TDD
VSAT
27
Uso: permite la transmisin de voz y datos. Las velocidades de transmisin de datos van desde 20 Ka 128 Kbps dependiendo del tipo de sistema que se trate (por ejemplo, 50 a 64 Kbps, con interfaces tipo RS-232, y V28 para tasas menores de 20 Kbps). La transmisin a mayores velocidades (generalmente hasta 128 Kbps) que usan RS-422, RS-449, V11, V35 y X21.
Fuente: INTECO
2.1.2
Redes MAN
Las redes de rea metropolitana MAN fueron diseadas para extender las redes de rea local a un entorno ms metropolitano. Por esta razn, muchas de ellas estn compuestas por elementos de red de rea local interconectados entre ellos para ofrecer una mayor cobertura geogrfica. Dentro de este grupo, se encuentran las siguientes tecnologas:
24
TCP/IP: conjunto de protocolos (Protocolo de Control de Transmisin, TCP, y Protocolo de Internet IP) en el que se basa Internet. Estos protocolos fueron los dos primeros en definirse y son los ms utilizados de la familia.
26
25
Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas.
27
Pgina 24 de 181
Tabla 2: Tecnologas MAN Nombre Descripcin

Definicin: nombre comercial de lo que tambin se conoce por Access Point Base Station, Punto de Acceso en Estacin Base. Esta tecnologa est compuesta de una estacin base pequea, celular, compatible con GSM, situada en espacios pequeos, oficinas y domicilios. Los usuarios de esta tecnologa alternan el uso de GSM con el de WLAN mediante un intercambio. Cuando el terminal detecta una mejora en la calidad de la seal de una de las redes, se conecta a ella. Uso: permite la transmisin de voz y datos a una velocidad de 600 Kbps. Definicin: High Performance Radio Metropolitan Area Network o Red de rea Metropolitana de Radio de Alto Rendimiento. Es la variante europea de WiMAX y WiBRO para proveer de conexin a Internet de banda ancha inalmbrico, ya que est orientada al servicio IP. Este estndar es interoperable con WiMAX. Uso: permite la transmisin de voz y datos a una velocidad de 70 Mbps. Definicin: los sistemas de radio trunking se utilizan para aplicaciones privadas, formando grupos de usuarios. Esta tecnologa describe el proceso de seleccin de un canal de comunicacin libre desde varias posibilidades, un mtodo que utiliza relativamente pocas vas de comunicacin para un gran nmero de potenciales usuarios 29 . Uso: permite la transmisin de voz y datos. En relacin a la velocidad de transmisin, no se han encontrado datos estndares para dar una aproximacin. Definicin: Wireless Broadband o Banda Ancha sin Cables. Es la variante de Mobile WiMAX para Corea y Japn. Esta tecnologa fue ideada para aadir movilidad al acceso a Internet como la tecnologa HSDPA, aunque a un menor coste. WiBro 30 Uso: permite mantener el enlace a Internet desde un dispositivo en movimiento continuo, y lejos del hot spot o punto de enlace a la red. Permite la transmisin de voz y datos a 18 Mbps de bajada y 4 Mbps de subida. Definicin: Worldwide Interoperability for Microwave Access o Interoperabilidad Mundial para el Acceso por Microondas. Tecnologa para el acceso a redes de datos que cubre distancias de hasta 50 Km en su versin fija y de unos 5 Km en su versin mvil, ofreciendo incluso una mayor velocidad que WLAN. Es una alternativa al cable y al DSL, existiendo incluso una adaptacin para escenarios donde se precise movilidad. WiMAX 31 Uso: permite transformar las seales de voz y datos en ondas de radio dentro de bandas de frecuencias. Asimismo, es capaz de ofrecer transmisiones simultneas a varios centenares de usuarios por canal, con calidad de servicio (Qo5), resultando adecuada para transmitir todo tipo de seales, tales como voz sobre IP (VoIP), datos y seales de vdeo 32 .
Femtocell 28
HIPERMAN
Trunking
28
Snchez Castillo, Eric (2004): Redes Celulares, PCs y Trunking. II Jornadas de Telemtica: Redes inalmbricas y aplicaciones mviles. Bogot.
30
29
Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Fundacin OPTI, Observatorio de Prospectiva Tecnolgica Industrial: Tendencias Futuras de Conectividad en Entornos
31
32
Fijos, Nmadas y Mviles. Instituto Cataln de Tecnologa, Barcelona, 2007.
Pgina 25 de 181
Nombre
Descripcin
Definicin: malla sin Cables. Red inalmbrica formada por la unin de diferentes WLAN formando una malla, por lo que la informacin podra llevarse por diferentes nodos. Es un escenario descentralizado, por lo que un error en cualquier nodo no implica la cada de la red. Uso: permite la transmisin de voz y datos. En relacin a la velocidad de transmisin, no se han encontrado datos estndares para dar una aproximacin.
Fuente: INTECO
WirelessMesh 33
2.1.3
Redes LAN
El grupo de redes de rea local est caracterizado por ser capaz de cubrir rangos de hasta 300 metros de cobertura. Sus aplicaciones estn ms bien enfocadas a un uso domstico o a pequeas y medianas oficinas. Este grupo lo componen las siguientes tecnologas:
Tabla 3: Tecnologas LAN Nombre Descripcin
Definicin: High Performance Radio LAN o Red LAN de Radio de Alto Rendimiento. Esta tecnologa es la alternativa europea al protocolo 802.11. Tiene una mayor eficiencia que el estndar WLAN, pero su aceptacin por parte del mercado es casi nula. Adems, la adopcin de WLAN hace que se aproxime rpidamente a su obsolescencia. Uso: permite la transmisin de voz y datos a una velocidad de 54 Mbps en la frecuencia de banda de 5 GHz. Definicin: Wireless LAN (Local Area Network) o Red de rea Local Inalmbrica. Esta es la tecnologa inalmbrica ms extendida a nivel global para acceso a Internet inalmbrico y para la creacin de redes inalmbricas. Uso: permite soluciones de velocidades de datos generalmente de hasta 100 Mbps (dependiendo de los dispositivos que utilicen para la conexin y del nivel de interferencia) 35 .
Fuente: INTECO
HIPERLAN
WLAN
34
2.1.4
Redes PAN
Este grupo de redes se caracteriza por cubrir como mximo hasta 10 metros de cobertura. Son tambin llamadas redes de proximidad. Las tecnologas que componen este grupo son:
33
Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Peafiel, Carlos. Proyecto fin de carrera: Estudio y Evaluacin de un Entorno de Gestin de Calidad de Servicio usando
34
35
NSIS Ligado a Servicios de Autenticacin. Universidad de Murcia, 2006.
Pgina 26 de 181
Tabla 4: Tecnologas PAN Nombre Descripcin

Definicin: nombre del protocolo de transmisin a corta distancia y velocidad media. Tecnologa bastante extendida gracias a su incorporacin en telfonos mviles y en automviles. Es capaz de funcionar a una distancia de hasta 10 metros. Uso: se utiliza para comunicar pequeas cantidades de informacin, permitiendo la transmisin de voz y datos. La velocidad de transmisin actual de Bluetooth es de 1 Mbps. Definicin: telfono tradicional inalmbrico para el hogar conectado mediante ondas de radio a una estacin base y esta, a su vez, a una lnea telefnica. Normalmente la estacin base necesita estar conectada a una toma de corriente, mientras que el terminal telefnico dispone de una batera. Uso: permite la transmisin de voz. Definicin: Infrared Data Association o Asociacin de Datos Infrarrojos. Tecnologa de transmisin de informacin, tanto emisin como recepcin, mediante el espectro de luz infrarroja. IrDA Uso: permite la transmisin de datos a escasa velocidad (no ms de 4 Mbps en condiciones ideales), es necesaria la visin directa del emisor y el receptor para poder llevar a cabo la comunicacin. Definicin: Near Field Communication o Comunicacin de Campo Cercana. Esta tecnologa pretende ser la evolucin de RFID, aunque la distancia con el receptor tiene que ser mucho menor (varios centmetros); esta particularidad se utiliza para hacer ms segura y personal la comunicacin. Est considerado el RFID inteligente. Uso: permite la transmisin de datos a 106, 212 y 424 Kbps. Definicin: Radio Frequency IDentification o Identificacin por Radiofrecuencia. Dependiendo del chip de radiofrecuencia, esta tecnologa es capaz de abarcar distancias de 1 a 10 metros, transfiriendo pequeas cantidades de informacin. RFID 38 Uso: permite la transmisin de datos y se utiliza en comunicaciones de un solo sentido, principalmente para inventariado de almacenes, controles de acceso y pagos en supermercados, entre otros. En relacin a la velocidad de transmisin, no se han encontrado datos estndares para dar una aproximacin.
Fuente: INTECO
Bluetooth
36
Cordless Phone
NFC 37
36
Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas. Tecnologa a destacar por su uso y potencial de crecimiento, en opinin de las fuentes consultadas.
37
38
Pgina 27 de 181
SITUACIN Y TENDENCIAS DE LAS TECNOLOGAS MVILES E INALMBRICAS EN ESPAA
La contextualizacin de las tecnologas inalmbricas en el mercado espaol destaca la importancia que estn alcanzando en la actividad diaria de la sociedad, as como la necesidad de proteger a los usuarios finales, ciudadanos y empresas, de riegos innecesarios. 3.1 Visin global del mercado
En el ao 2006, el nmero de lneas de telefona mvil en Espaa super la cifra de la poblacin espaola. Esta tendencia se mantuvo; en febrero de 2008, el parque total se situ en 50.903.008, un 7,4% ms que en 2007 (Grfico 1). Segn el Informe mensual de febrero de 2008 de la Comisin del Mercado de las Telecomunicaciones (CMT), el parque de lneas mviles aument en 178.864, situndose en 49.748.579. Esto supone un incremento del 6,8% de lneas respecto al total registrado en febrero de 2007 y una proporcin de 110,1 lneas por cada 100 habitantes. 39
Grfico 1: Comparacin entre la poblacin espaola y el nmero lneas de telefona mvil
60.000.000 50.000.000
40.499.791 41.116.842 46.169.424 50.181.109 45.201.000
41.837.894 42.717.064
43.197.684 38.646.796
44.108.530
40.000.000
37.249.421
42.712.701 44.709.000 33.568.812 29.669.461
30.000.000 20.000.000 10.000.000 0 2000

23.328.140
2001
2002
2003
2004
2005
2006
2007
Poblacin Espaola
Clientes de telefona mvil
Fuente: Comisin del Mercado de las Telecomunicaciones (2008)
A tenor de los datos de la CMT, los terminales 3G con tecnologa UMTS han impulsado el mercado: alcanzaron en el ao 2007 la cifra de 9,5 millones de aparatos vendidos, lo que
39
Comisin del Mercado de las Telecomunicaciones (CMT): Informe Anual 2007 y Estadsticas del Sector IV Trimestre
2007. Disponible en http://www.cmt.es/cmt_ptl_ext/SelectOption.do?nav=publi_anuales
Pgina 28 de 181
supone un incremento de 7,6 millones de terminales respecto al ao anterior y un porcentaje del 19,6% sobre el total de clientes mviles (noviembre de 2007). Los datos confirman una tendencia creciente de uso de estos terminales, demostrada adems tanto por la popularizacin de los nuevos servicios telefnicos (melodas polifnicas, videollamadas, etctera) y de aquellos disponibles a travs de Internet (correo electrnico, descargas de vdeo y msica...). En relacin a los puntos de accesos localizados en las principales ciudades espaolas, segn los ltimos datos publicados por el Observatorio Wireless 40 en su VI Informe 41 , existe un crecimiento constante a lo largo de todo el periodo analizado (marzo-juliooctubre de 2006), alcanzando los 102.950, segn los ltimos datos publicados por el Observatorio Wireless.
Tabla 5: Puntos de acceso (2006) Puntos de acceso localizados Marzo Julio Octubre
15.800 14.900 12.150 4.130 9.900 56.880 17.150 20.510 13.400 4.500 13.400 68.960 37.800 23.500 22.000 5.100 14.550 102.950
Ciudad
Madrid Barcelona Sevilla Bilbao Valencia Total
Accesos Comerciales Marzo

500 600 100 200 180 1.580
Accesos Privados Marzo

15.300 14.300 12.050 3.930 9.720 55.300
Julio
630 955 180 445 180 2.390
Octubre 850 1.080 460 450 505 3.345
Julio
16.520 19.615 13.220 4.055 13.200 66.610
Octubre 36.700 22.400 21.500 4.600 14.000 99.200
Fuente: Observatorio Wireless (2006)
Las cifras demuestran el xito de la telefona mvil en Espaa y se justifican en cuanto a los beneficios que aportan a los usuarios en comparacin con la telefona fija:
40
El Observatorio Wireless es una iniciativa creada en el marco del proyecto GOWEX, que es la primera Plataforma Mundial de Roaming de Wireless y Mvil: Wi-Fi (802.11x), WiMAX (802.16x), UMTS y HSDPA., donde se cConcentran a todos los operadores y entidades que quieren beneficiar a sus usuarios con la ubicuidad de servicios y transparencia de uso, potenciando la libre competencia y facilitando la mejora de precios. Disponible en http://www.gowex.com/modules/sections/index.php?op=viewarticle&artid=6
41
IBER WIFI EXCHANGE, S.L.U. (2006): VI Informe Observatorio Wireless. Disponible en
http://www.gowex.com/images/observatorio/informe_6_2006-10.pdf
Pgina 29 de 181
Comunicacin continua en cualquier lugar y/o momento, que redunda en una mejor calidad de vida de las personas.
3.1.1
Mayor competitividad, innovacin y produccin de las empresas. Mejora en la eficiencia y en el servicio a empresas y ciudadanos. Ciudadanos
La penetracin de la telefona mvil en los hogares espaoles mantiene su tendencia de crecimiento: en junio de 2007 haban un dispositivo mvil en el 90,9% de ellos, segn los resultados de la Encuesta sobre equipamiento y uso de tecnologas de la informacin y comunicacin en los hogares 42 publicada por el INE (Grfico 2).
Grfico 2: Penetracin de la telefona mvil en los hogares espaoles
100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 2002 2003 2004 2005 2006 65,0% 73,3% 82,4% 85,3% 88,1%
90,9%
1e r sem estre 2007
Fuente: INE (2007)
Un 17,7% de los hogares dispone nicamente de telfono mvil (Grfico 3), mientras que el 73,1% restante tambin tiene fijo en las viviendas principales. 43
42
INE (2007): http://www.ine.es/jaxi/menu.do?type=pcaxis&path=/t25/p450&file=inebase&L=0 Segn el INE son aquellas en las que figuran inscritas personas con residencia habitual en ella
43
Pgina 30 de 181
Grfico 3: Equipamiento de telfono en las viviendas principales

98,8%
100% 90% 80% 70% 60% 50% 40%
89,1%
20% 10% 0% Viviendas con algn tipo Viviendas con telfono de telfono mvil
Viviendas con telfono mvil nicamente
16,1%
30%
Viviendas con telfono fijo y mvil
Fuente: INE (2007)
El Grfico 4 muestra que el uso de la telefona mvil es ampliamente mayoritario entre la poblacin de 16 a 44 aos, con porcentajes superiores al 90%. En el tramo de edad entre los 55 y los 64 aos, el uso decae hasta el 70%, y entre los mayores de 65 aos est en torno al 45%-50%.
Grfico 4: Uso del telfono mvil por tramos de edad y gnero
98,5% 98,0% 97,4% 96,2%
96,3%
96,4%
93,0%
94,1%
84,9%
91,9%
100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0%
84,6%
70,9%
72,3%
84,3% 69,6%
48,6%
52,9%
73,1%
Ambos sexos
Hombres
Mujeres
De 16 a 24 aos
De 25 a 34 aos
De 35 a 44 aos
De 45 a 54 aos
De 55 a 64 aos
De 65 a 74 aos
Fuente: INE (2007)
Pgina 31 de 181
45,0%
Con respecto a los dispositivos inalmbricos, su penetracin es cada vez ms elevada. Segn los resultados del panel de hogares de INTECO 44 ms de la mitad de los encuestados (51%) cuenta con porttiles con tecnologa Wi-Fi o Bluetooth, un 50,3% de los hogares espaoles cuenta con un router Wi-Fi (Grfico 5). En contraposicin, slo un 5,8% de los encuestados afirma no disponer de ningn dispositivo, y un 19,8% dispone de un terminal de telefona mvil bsico que no les permitira dicho acceso inalmbrico.
Grfico 5: Equipamiento de los hogares en Espaa
Mvil avanzado Porttil con Wi-Fi o Bluetooth Router Wi-Fi en su domicilio Mvil bsico PDA con Wi-Fi o Bluetooth Tengo mvil pero desconozco si tiene funciones avanzadas No tengo ninguno de los dispositivos mencionados 19,8% 15,4% 10,5% 51,0% 50,3%
64,0%
5,8%
90 %
Fuente: INTECO (Mayo 2008)
Una de las principales ventajas de las redes inalmbricas para los hogares, adems de eliminar la necesidad de cables para conectar los equipos, es la de permitir el acceso simultneo a Internet desde varios terminales y sin tener en cuenta la ubicacin fsica del usuario. Estas caractersticas son especialmente relevantes en aquellos hogares en los que sus miembros utilizan la conexin a Internet de banda ancha a travs de varios equipos a la vez.
44
Estudio sobre Seguridad de la Informacin y e-Confianza de los Hogares Espaoles, mayo de 2008.
Pgina 32 de 181
10 0%
60 %
20 %
40 %
30 %
50 %
10 %
80 %
70 %
0%
3.1.2
Pequeas y medianas empresas
A la hora de analizar la influencia que las redes inalmbricas tienen en las pymes 45 se ha de tener en cuenta que en cualquier actividad empresarial existen procesos independientes (produccin, comercial, contable, etctera) que deben estar unidos, ya que forman parte de la cadena de valor de la organizacin. Su interconexin se ve beneficiada con la disponibilidad de redes inalmbricas, que permiten a las empresas desarrollar, por ejemplo, proyectos de gestin logstica a travs de la conexin de los ordenadores a los sistemas sin necesidad de una red fija. Segn datos de la Encuesta de Uso de TIC y Comercio Electrnico de la Empresa Espaola 2006-2007 del INE 46 , la prctica totalidad de las empresas de 250 empleados o ms dispone de red de rea local 47 en sus organizaciones (97,1% del total de grandes empresas). Esta cifra se reduce hasta el 67,9% entre las pequeas empresas. En relacin a la red de rea local sin hilos, las diferencias por tamao de la organizacin se acrecientan. En las grandes empresas, la implantacin supera el 56%, porcentaje que baja de manera apreciable si se analizan las de inferior tamao: slo un 16,8% de las organizaciones de entre 10 y 49 trabajadores dispone de este tipo de redes. En cualquier caso, al menos una de cada cinco empresas dispone de esta tecnologa. Por ltimo, la prctica totalidad de las empresas espaolas dispone de conexin a telefona mvil, como se ve en el Grfico 6.
45
La recomendacin de la Comisin Europea (96/280/CE), de 3 de abril de 1996, sobre la definicin de pequeas y
medianas empresas define a una microempresa como una organizacin con menos de 10 empleados, una facturacin mxima de 2 millones de euros y un valor mximo del activo del balance de 2 millones de euros. Por empresa pequea se entiende una entidad con menos de 50 empleados, una facturacin mxima de 10 millones de euros y un valor mximo del activo del balance de 10 millones de euros. Las empresas medianas tienen menos de 250 empleados, una facturacin mxima de 50 millones de euros y un valor mximo del activo del balance de 43 millones de euros.
46
INE (2007):http://www.ine.es/jaxi/menu.do?type=pcaxis&path=/t09/e02//a2006-2007&file=pcaxis Red de rea Local (LAN), es aquella que permite la interconexin de los ordenadores dentro de la empresa.
47
Pgina 33 de 181
Grfico 6: Porcentaje de empresas que disponan de infraestructura tecnolgica (% sobre el total)
97 ,1 %
90%
67 ,9 %
80% 70% 60% 50% 40%
70 ,9 %
87 ,7 %
100%
20% 10% 0% Red de rea local (LAN) Total De 10 a 49
Red de rea local 'sin hilos' De 50 a 249
16 ,8 %
30%
19 ,3 %
31 ,1 %
56 ,5 %
92 ,9 %
Conexin a telefona mvil De 250 y ms
Por otro lado, el 80% de las empresas de ms de 10 empleados recurre a la telefona mvil en su actividad profesional 48 . Este porcentaje se ha ido incrementando en los ltimos aos, haciendo que el mvil se haya convertido en una herramienta bsica tanto de comunicacin como de localizacin. El crecimiento se ha debido en gran medida al avance de la cobertura de la telefona mvil y al desarrollo de nuevos servicios, no slo destinados a la gestin de voz, sino tambin a la gestin y transmisin de datos para la realizacin de transacciones incorporando ficheros de vdeo, audio, etctera. En el mbito empresarial se ha producido tambin un enorme aumento en la utilizacin de dispositivos mviles avanzados (PDA y BlackBerry). El uso de estos dispositivos mviles est presente en cuatro de cada diez pymes espaolas. Un anlisis por tamao de las mismas muestra que el 42% entre las empresas con menos de 10 empleados, el 45,6% de las microempresas y el 54,5% de las empresas pequeas disponen de ellos. Entre las empresas de mayor tamao, el 62% de las organizaciones de entre 50 y 249 empleados los utiliza cifra que alcanza el 75% entre las de ms de 250 trabajadores (Grfico 7).
48
Fundetec y Red.es: Diagnstico de movilidad en la PYME espaola, 2008. Disponible en
http://www.fundetec.es/UserFiles/File/DOCUMENTACION/Informe%20movilidad.zip
92 ,3 % 96 ,4 %
Fuente: INE (2007)
Pgina 34 de 181
98 ,8 %
Grfico 7: Telefona mvil y uso de dispositivos mviles avanzados en las pymes en Espaa (% sobre el total)
,3 %
80 ,0 %
,5 %
81
54
,3 %
,0 %
,0 %
Autnom os
43
42
50% 40% 30% 20% 10% 0% Te lefona mvil
Dispositivos mviles a va nza dos
Total
Menos de 10
De 10 a 49
De 50 a 249
De 250 y m s
Fuente: Fundetec y Red.es (2008)
Adems, las pymes utilizan en la actualidad varias tecnologas de acceso a Internet. Por un lado, las redes fijas, que proporcionan una menor velocidad de acceso al utilizar un mdem sobre la red telefnica bsica (RTB) o las lneas RDSI; por otro, las de mayor velocidad, fundamentalmente tecnologas de banda ancha, ya sea a travs de xDSL (ADSL, SDSL, RADSL, HDSL...) u otras conexiones fijas (cable, LMDS, etctera); finalmente, aquellas de similares prestaciones, pero soportadas en redes inalmbricas, como es el caso de la telefona mvil (GSM, GPRS y UMTS...). As, como puede observarse en el Grfico 8, la implantacin de tecnologas bajo RTB o lneas RDSI apenas supera el 20% del total de accesos corporativos, salvo el caso de aquellas empresas que disponen de acceso a travs de RDSI y que cuentan con 50 o ms trabajadores. El porcentaje de pymes que utilizan como tecnologa de acceso otras conexiones fijas es slo del 7,6% sobre el total, mientras que, en el caso las empresas de 250 empleados o ms, esta cifra se eleva al 49,2%.
40
Microe mpre sa s
Pgina 35 de 181
45
,6 %
60%
,5 %
62
70%
,5 %
75
80%
76
,0 %
90%
79
80 ,0 %
,0 %
86 ,6 %
100%
90 ,4 %
Grfico 8: Porcentaje de empresas con acceso a Internet por tipo de tecnologa (% sobre el total de empresas con conexin a Internet)
94,6% 98,5% 99,6%
95,2%
92,4%
100% 90% 80% 70% 60% 50%
92,4% 93,0% 88,6%
49,2%
26,6%
21,5%
19,3%
16,9%
17,3%
17,9%
18,7%
13,9%
30% 20% 10% 0%
7,6%
Mdem
RDSI
Banda ancha
XDSL
Otras conexiones fijas
5,2%
17,0%
Telefona mvil
Total
De 10 a 49
De 50 a 249
De 250 y ms
Fuente: INE (2008)
La tecnologa de acceso a Internet que menos presencia tiene entre las empresas es la mvil: slo la utiliza un 24,7%. Las restantes, banda ancha y xDSL, son utilizadas mayoritariamente por las empresas (ms del 90%). En conclusin, la implantacin de tecnologas inalmbricas en las empresas puede resultar clave para su correcto funcionamiento en un mercado cada vez ms competitivo y globalizado. Las organizaciones requieren movilidad, y depender de un enlace fsico puede suponer un obstculo para conseguirla. El uso de tecnologas inalmbricas permite aadir flexibilidad y aumentar la productividad y eficiencia de las actividades. 3.2 Hbitos, usos e incidencias de seguridad de los usuarios mviles en Espaa
En la fase de trabajo de campo cualitativo, basada en la investigacin bibliogrfica y en las entrevistas realizadas, no se han encontrado fuentes pblicas ni privadas que ofrezcan cifras rigurosas sobre el nmero de ataques que han recibidos los usuarios y las pymes por tipo de tecnologa inalmbrica empleada. Posiblemente, las razones que dificultan contar con este tipo de estudios son: El elevado nmero de tecnologas inalmbricas existentes. Esto obliga a la realizacin de un estudio por cada una de ellas, lo que complica la identificacin de un universo representativo.
Pgina 36 de 181
21,7%
40%
24,7%
37,9%
64,2%
Falta de formacin. La rpida penetracin de estas tecnologas y lo novedoso de muchas de ellas no ha permitido a muchos ciudadanos adquirir un conocimiento suficiente para responder a ciertas preguntas tcnicas con rigor.
Falta de concienciacin de los ciudadanos. En la mayor parte de los casos, los ciudadanos y las propias pymes no aprecian suficientemente el valor de la informacin de la que disponen. Ninguno de estos colectivos se considera foco de un ataque dirigido, por lo que no son conscientes de las amenazas.
Falta de denuncias. En general, estos ataques a ciudadanos o pymes no llegan a ser denunciados, por lo que no hay datos fiables sobre ellos.
Todas estas circunstancias hacen que sea muy difcil realizar un estudio cuantitativo sobre los incidentes de seguridad en tecnologas inalmbricas. En cualquier caso, es evidente que los ataques y vulnerabilidades a travs de estos medios existen y se producen constantemente, como se deduce de la informacin facilitada por los expertos y de las entrevistas. 3.2.1 Ciudadanos
Segn el panel de hogares de INTECO, la utilizacin de mecanismos de seguridad aplicados a tecnologas mviles es variable en funcin del tipo de dispositivo que se tenga. As, entre los internautas que afirman disponer de un mvil bsico, slo un 4,3% considera innecesario utilizar algn tipo de medida de seguridad. La ms utilizada, por un 79,2% de los usuarios, es el PIN o cdigo de seguridad para la tarjeta SIM. Adems, un 19% afirma disponer de un cdigo numrico o alfanumrico que hay que introducir tras un periodo de inactividad del terminal. Por ltimo, un 26,2% tiene una copia de seguridad de los contactos de su telfono mvil en su ordenador.
Pgina 37 de 181
Grfico 9: Utilizacin de medidas de seguridad en el telfono mvil por usuarios en Espaa
PIN o cdigo de seguridad para la tarjeta SIM
79,2%
Tengo una copia de seguridad de los contactos de mi telfono
26,2%
Contrasea para acceder al terminal
19,0%
No, no utilizo ninguna, no lo considero necesario
4,3%
70 %
Los usuarios de telfonos mviles avanzados tienen la posibilidad de utilizar la comunicacin inalmbrica a travs de Bluetooth para la transmisin de datos y voz, como se ver en el epgrafe 3.3, Clasificacin de las tecnologas inalmbricas en funcin de su penetracin y potencial de uso en el mercado espaol. Aunque es un dispositivo en principio seguro, puede verse comprometido por los usos o pautas de seguridad utilizadas. Entre los internautas que disponen de un mvil avanzado, cinco de cada diez lo usan para transferir archivos o datos y un 23,9%, para conectarlo al manos libres del coche. Slo un 6,2% seala que, aunque dispone de este recurso, no lo aprovecha. Respecto a las pautas de seguridad seguidas con este tipo de tecnologa, y por consiguiente, las probabilidades de incidencia, slo un 20,9% de los usuarios afirma tener el Bluetooth siempre activado y listo para usar; un 6,6% tiene la precaucin de tenerlo oculto, aun tenindolo siempre encendido. Por el contrario, un 72,5% de los usuarios dice que lo conectan cuando lo necesitan para transferir archivos y despus lo apagan.
Pgina 38 de 181
10 0%
10 %
40 %
60 %
80 %
20 %
30 %
50 %
90 %
0%
Grfico 10: Usos del Bluetooth en telfonos mviles avanzados por usuarios en Espaa
Lo enciendo cuando lo necesito para transferir archivos y luego lo apago
72,5%
Siempre encendido y listo para usar
20,9%
Siempre encendido y listo para usar pero con el dispositivo oculto
6,6%
Dada la propia naturaleza de los telfonos mviles, otra situacin de riesgo respecto a la seguridad de la informacin se deriva de la posibilidad de sustraccin de los dispositivos. As, un 65% de los usuarios no ha sufrido ningn incidente, frente al 16,8% al que le ha sido sustrado el telfono mvil y el 1,4% que ha sufrido un robo del porttil.
Grfico 11: Incidentes en dispositivos mviles de usuarios en Espaa
No he sufrido ninguno de estos incidentes He perdido mi telfono mvil Me han sustrado mi telfono mvil Me han sustrado mi ordenador porttil He perdido mi ordenador porttil
65,0%
18,0%
16,8%
1,4%
0,8%
Los usuarios de dispositivos mviles (PDA, porttil o mvil avanzado) no utilizan redes inalmbricas en lugares pblicos, salvo que conozcan la entidad prestadora del servicio o que la red est protegida por una contrasea. Slo un 23,4% de los usuarios se conecta sin tener en cuenta si la red de acceso est lo suficientemente securizada.
Pgina 39 de 181
10 0%
20 %
10 %
30 %
40 %
50 %
70 %
60 %
80 %
90 %
0%
10 0%
60 %
70 %
10 %
20 %
30 %
40 %
50 %
80 %
90 %
0%
Grfico 12: Usos de las redes inalmbricas en lugares pblicos por usuarios en Espaa
No, nunca uso redes distintas a la de mi domicilio
29,7%
S, siempre que lo necesito
23,4%
No, nunca me conecto a redes inalmbricas No, no tengo ningn dispositivo mvil que permita conexiones S, pero slo si la red pertenece a un local o entidad que conozco S, pero slo cuando es necesario introducir contrasea y la conozco
10 % 0%
14,2%
11,7%
11,4%
9,7%
30 %
En cuanto a la seguridad de los accesos inalmbricos a Internet en el hogar, el 79,9% est protegido por una contrasea, protocolo de acceso u otro medio, mientras que el 12,2% de los usuarios no conoce la configuracin de seguridad de su dispositivo y el 7,9% no considera necesario tener un sistema de seguridad.
Grfico 13: Estado de la proteccin de accesos inalmbricos a Internet en el hogar
S, seguridad con el protocolo WEP
26,1%
S, mi red est protegida pero desconozco el sistema
23,9%
S, seguridad con el protocolo WPA Desconozco si mi red est protegida del acceso de terceros S, mi red est protegida del acceso de terceros con otro sistema No, ninguno, no lo considero necesario
20,0%
12,2%
10,0%
7,9%
10 %
40 %
La ocupacin de la red Wi-Fi por personas ajenas a sus propietarios slo ha sido detectada a travs de la herramienta de configuracin del router. Un 5,2% de los usuarios
30 %
40 %
Pgina 40 de 181
50 %
20 %
0%
50 %
20 %
afirma haber descubierto a alguien usando su conexin sin su consentimiento, mientras que un 18,7% ha sospechado que en alguna ocasin alguien la utilizaba por ser esta muy lenta, sin poder comprobar dicha causa (ver Grfico 14).
Grfico 14: Estado de la proteccin de accesos inalmbricos a Internet en el hogar en Espaa
No, slo a gente que yo he autorizado o que no me importa que se conecte
76,1%
S, he descubierto que alguien estaba usando mi conexin sin mi consentimiento
5,2%
Algunas veces he sospechado que alguien usaba mi conexin a Internet
18,7%
10 %
20 %
30 %
40 %
50 %
60 %
70 %
80 %
90 %
En relacin con el robo de ancho de banda (ver Tabla 6), slo el 14,5% de los internautas ha sufrido esta incidencia durante el ltimo ao, frente a un 80,6% que no lo ha sufrido nunca, y ello a pesar del elevado porcentaje de hogares espaoles conectados a Internet mediante Wi-Fi (53%), frente al 34% de la Europa de los 27 49 .
Tabla 6: Incidencias de seguridad ms recientes detectadas por los usuarios segn momento en que se ha producido (% acumulados)
ltimos tres meses
Incidencias
ltima semana
ltimo mes
ltimo ao
En alguna ocasin
Nunca
Robo de ancho de banda Wi-Fi
8,1
11,7
10,4
14,5
19,4
49
Red.es. Observatorio de las Telecomunicaciones y la Sociedad de la Informacin: Actualidad europea sobre Sociedad de
la Informacin, 2007). Disponible en http://observatorio.red.es/estudios/documentos/128_eurobarometro.pdf
Pgina 41 de 181
10 0%
0%
80,6
3.2.2
Pequeas y medianas empresas
El 77,3% de las pymes espaolas ha declarado haber sufrido incidentes derivados del ataque de troyanos en 2007, y un 58,7%, de la recepcin de spam. En menor medida, slo el 3,1% ha tenido problemas de robos de informacin y un 1,9%, fraudes (ver Grfico 15). La situacin es algo distinta en las grandes empresas. Un 80,4% ha sido atacado con spam, un 66,2% por virus informticos y un 57% por software espa o spyware. En cambio, el mayor problema asociado a las pymes, el ataque de troyanos, ha tenido una incidencia considerablemente menor.
Grfico 15: Comparativa de incidencias de seguridad
Recepcin de spam Virus informticos Software espa o spyware Troyanos Bombas lgicas Intrusiones externas Fraudes Robos de informacin 0,0% PYME 1,9% 12,8% 3,1% 20,0% 40,0% 19,6% 3,9% 16,4% 13,4% 16,4% 19,5% 39,3% 42,7%
80,4% 58,7% 66,2% 57,0%
77,3%
60,0%
80,0%
100,0%
Gran Empresa
Los mecanismos de defensa que las pymes utilizan a nivel interno estn principalmente basados en el software de proteccin o chequeo de virus, aunque depende del tamao de la empresa. As lo afirma el 97% de las organizaciones con conexin a Internet. A este tipo de medida le siguen el uso de cortafuegos y el backup o copia de seguridad de los datos. Sus porcentajes de uso fluctan nuevamente dependiendo del tamao de las empresas; no obstante las empresas medianas recurren a estos mecanismos en un 68,8% y un 56,8%, respectivamente.
Pgina 42 de 181
Grfico 16: Porcentaje de empresas con conexin a Internet que usan servicios de seguridad a nivel interno (por tamao de empresa, % sobre el total de empresas con acceso a Internet)
97,0%
96,8%
98,4%
99,3%
92,7%
82,4%
100% 90% 80% 70% 60% 50% 40%
71,1%
68,8%
73,6%
61,7%
57,7%
58,6%
76,7%
92,8%
45,9%
43,5%
20,0%
30% 20% 10% 0% SW de proteccin o chequeo de virus Cortafuegos Servidor seguro 'Backup' de datos
'Backup' de datos rem oto
Total
De 10 a 49
De 50 a 249
De 250 y ms
Fuente: INE (2007)
Si se analizan las medidas de seguridad adoptadas por las empresas para hacer frente a los problemas derivados de las vulnerabilidades de los sistemas (ver Grfico 17), el 82,4% de las empresas afirma haberlos actualizado en los ltimos tres meses.
Grfico 17: Porcentaje de empresas que han actualizado sus servicios de seguridad en los ltimos tres meses (por tamao de empresa, % sobre el total de empresas con acceso a Internet)
100%
82 ,4 %
90% 80% 70% 60% 50% 40% 30% 20% 10% 0%
Total
De 10 a 49
81 ,2 %
De 50 a 249
88 ,4 %
95 ,6 %
De 250 y ms
Fuente: INE (2007)
17,8%
Pgina 43 de 181
29,4%
52,2%
Entre los posibles motivos que justificaran estos elevados porcentajes estn los problemas de seguridad ocasionados, la labor de concienciacin llevada a cabo por las administraciones pblicas o la importancia concedida a los datos por las propias organizaciones. Un anlisis de los problemas originados en los ltimos doce meses (ver Grfico 18) muestra que, nuevamente, el tamao de las empresas es un condicionante en el caso de los ataques de virus; la media de empresas con conexin a Internet afectadas es de un 14,9%, frente al 21,7% de empresas de ms de 250 empleados. Respecto a los accesos no autorizados al sistema informtico o a los datos de la organizacin y al fraude econmico (por ejemplo, el phishing), no son problemas que en general les afecten, con independencia de su tamao.
Grfico 18: Porcentaje de empresas que han tenido algn problema de seguridad en los ltimos doce meses (por tamao de empresa, % sobre el total de empresas con acceso a Internet)
50% 45% 40% 35% 30% 14,9% 20% 15% 10% 5% 0% Ataque de virus informtico Acceso no autorizado al sistema informtico o a los datos de la empresa De 50 a 249 Fraude econmico (p.e., 'phishing') 14,5% 16,4% 25% 21,7%
1,8%
1,7%
1,7%
2,3%
1,0%
Total
De 10 a 49
0,9%
De 250 y ms
Fuente: INE (2007)
Esta situacin se explica, bsicamente, por el mayor nivel de exposicin de la gran empresa (nmero de usuarios conectados a Internet, uso de las tecnologas de la informacin, etctera) y por la menor proteccin de la pequea empresa respecto a algunos incidentes de seguridad (existe un uso deficiente de las polticas de contraseas y permisos en las pequeas y medianas empresas espaolas, que redunda en una mayor exposicin al riego). Se podra decir que, en general, las amenazas no distinguen entre tamaos de empresas y, por ello, el riesgo que es necesario gestionar, salvando las diferencias, puede ser el mismo.
1,2%
Pgina 44 de 181
1,5%
Otro de los aspectos analizados es el nivel de implantacin de las medidas de proteccin en los distintos tipos de empresas (Grfico 19). La implantacin de las medidas ms tradicionales, como antivirus y cortafuegos, se mantiene en magnitudes muy similares en los distintos tipos de empresas (98,4%-98,9% en el caso de los antivirus y 90,3%-90,9% en el de los cortafuegos). Donde se aprecia una diferencia ms significativa es en el uso de sistemas de copias de seguridad (99,6% para la gran empresa y 66,7% para la pyme) o de control de acceso (98,4%- 66,4%), as como de otras medidas como el filtrado de contenidos o la encriptacin y cifrado de comunicaciones. Estas diferencias pueden explicarse en base al menor conocimiento de la pyme de tales medidas. En general, se aprecia que en las grandes empresas el uso de las distintas medidas de seguridad est muy difundido (ms del 80% de los casos); en cambio, en la pyme se observa una situacin dispar en cuanto a la utilizacin de sistemas de proteccin. Teniendo en cuenta que el nivel de exposicin al riesgo puede ser similar, el punto de partida de las grandes empresas para hacer frente a los problemas de seguridad presenta un mayor avance, a causa, probablemente, de los siguientes factores: En la gran empresa existe una mayor cultura de seguridad en cuanto al uso de las TIC. La gran empresa dispone de ms recursos y personal dedicado a la implantacin y mantenimiento de medidas de seguridad. Para la gran empresa, la oferta de productos y servicios de seguridad es ms accesible desde el punto de vista econmico.
Grfico 19: Comparativa entre las medidas de seguridad utilizadas por pymes y grandes empresas
98,4% 98,9% 90,3% 90,9% 85,4% 67,6% 66,7% 66,4% 46,4% 31,3% 23,0% 82,3% 99,6% 98,4% 91,6% 93,2% 89,2% 97,6%
Antivirus Cortafuegos 'Antispam' Software de evaluacin de vulnerabilidades Copia de seguridad Autenticacin de usuarios Seguridad de contenido VPN/Encriptacin Cifrado de comunicaciones
80 %
Pyme
Gran Empresa
Fuente: INTECO. Estudio sobre incidencias y necesidades de seguridad en las pequeas y medianas empresas espaolas (Enero 2007)
10 0%
70 %
10 %
20 %
30 %
40 %
50 %
60 %
90 %
0%
Pgina 45 de 181
3.3
Clasificacin de las tecnologas inalmbricas en funcin de su penetracin y
potencial de uso en el mercado espaol Una vez identificadas las diferentes tecnologas inalmbricas existentes, se presentan tanto aquellas con bajo nivel de penetracin y bajo potencial de uso en el mercado espaol como las que actualmente tienen un alto nivel de penetracin y alto potencial de uso. No obstante, la clasificacin de las tecnologas en el estudio corresponde a un anlisis de alto nivel de las existentes en los mbitos WAN, MAN, LAN y PAN, en funcin de su nivel de obsolescencia y el potencial de uso en el mercado espaol. Este anlisis, de elaboracin propia, se ha basado en la informacin recopilada en las entrevistas a expertos y en la investigacin bibliogrfica. 3.3.1 Tecnologas con bajo nivel de penetracin y potencial de uso
Actualmente existen diversas tecnologas que no forman parte de la red espaola por diversos motivos: problemas de infraestructura, desarrollo en distintos continentes, falta de publicidad o apoyo, etctera. En la siguiente tabla se justifica brevemente el bajo nivel de penetracin y potencial de uso de estas tecnologas. Es importante destacar la carencia de fuentes de informacin bibliogrfica de prestigio respecto a ellas.
Tabla 7: Tecnologas con bajo nivel de penetracin y potencial de uso en Espaa Nombre
Tecnologas de la 0G y 1G CDMA2000 cdmaOne CSD Cordless Phone D-AMPS EDGE Estn totalmente obsoletas. Se usa nicamente en Estados Unidos como alternativa a la red UMTS. Fue desarrollada por una empresa de Estados Unidos y no tiene presencia en el continente europeo. Se usa nicamente en Estados Unidos y Australia, no en Europa. Tecnologa antigua, muy madura, que slo transmite voz. Actualmente no se utiliza en Europa. No est implantada en Espaa por usar como alternativa UMTS/3G, aunque s se utiliza en gran parte de Europa y en el resto del mundo. No es una tecnologa, sino la unin de dos. Pese a las previsiones (se estiman 17 millones de usuarios en Europa para el 2011 y 2.150 millones de usuarios para el 2012 en todo el mundo, segn Abi Research y Ovum), an es una tecnologa muy
Explicacin
Femtocell FOMA/WCDMA HIPERMAN
incipiente.
Se usa nicamente en Japn. No se comercializa en Espaa.
Pgina 46 de 181
Nombre
HIPERLAN HSCSD HC-SDMA iDEN IrDA LTE Mobile FI
Explicacin
No se utiliza en Espaa y su penetracin en Europa es muy baja. No se utiliza en Europa. Se est empezando a extender en el sudeste europeo, pero actualmente no se comercializa en Espaa. Se utiliza slo en Latinoamrica, no tiene presencia en Europa. Su utilizacin es prcticamente nula, pues la comunicacin necesita tener lnea directa de visin. Se prev su implantacin en Espaa en el ao 2015 50 . An no se ha desarrollado en Espaa y su implantacin se prev para despus de 2015. Actualmente no se comercializa en Espaa, aunque ya existe algn producto para implementar una red WiMAX, pero se espera que en el corto/medio plazo se lancen al mercado soluciones de Internet con esta tecnologa. Actualmente slo se utiliza en Japn. Tiene presencia nicamente en pases asiticos. Slo tiene presencia en una parte del este de Asia. Actualmente su penetracin es Espaa es baja aunque, segn datos de IDC, los proyectos UMA ya son una realidad en los operadores mviles. Actualmente no se comercializa en Espaa. Segn Abi Research 51 , UMB podra tener un nivel de penetracin en el mercado prcticamente nulo. No se comercializa en Espaa, pero s en otros pases europeos como Francia o Alemania. Slo tiene presencia en pases asiticos. No se considera una tecnologa pura, sino ms bien una arquitectura. Actualmente est implantada en los aeropuertos de Madrid, Barcelona, Bilbao y Mlaga y se pretende su utilizacin en los 19 aeropuertos espaoles restantes antes de 2009 52 .
Fuente: INTECO
Mobile WiMAX PDC PHS TD-SCDMA UMA
UMB
UMTS-TDD WiBRO
Wirelessmesh
3.3.2
Tecnologas con elevada penetracin y potencial de uso
Considerando las variables utilizadas para esta clasificacin, la Figura 3 muestra el posicionamiento de las tecnologas segn su nivel de penetracin y potencial de uso 53 .
50
Fundacin OPTI. Op. cit. 32. Disponible en http://www.abiresearch.com/home.jsp
51
52
Strixsystems: Spanish Aviation Authority. Junio 2006. Disponible en http://www.strixsystems.com/corporate/pressreleases/Spanish%20Airport%20Authority%20EPR%206_9_06_EPR%20_3_.p
df
Pgina 47 de 181
Figura 3: Tecnologas con elevada penetracin y potencial de uso en Espaa
NFC
Bluetooth Wi-Fi UMTS HSPA WiMAX GSM GPRS
Potencial de uso en el mercado espaol
Nivel de penetracin +
Fuente: INTECO
A continuacin se describe brevemente cada una de ellas con el objetivo de justificar su adscripcin a este grupo y ayudar al lector a comprender el anlisis que se realizar en captulos posteriores de las vulnerabilidades de estas redes y las soluciones de seguridad propuestas. Los parmetros considerados son su caracterizacin, velocidad, funcionamiento y penetracin de mercado. El anlisis se basa en los resultados obtenidos de las entrevistas a expertos y de la investigacin bibliogrfica realizada. Tecnologa GSM El Sistema Global para las Comunicaciones Mviles GSM se define como aquel servicio portador constituido por todos los medios de transmisin y conmutacin necesarios que permiten enlazar dos equipos terminales mviles mediante un canal digital 54 establecido especficamente para la comunicacin, y que desaparece una vez que se ha completado la misma.
53
La representacin grfica de las mismas en distintos tamaos no supone que tengan ms penetracin ni uso en Espaa. La transmisin de informacin, en ltima instancia, se puede hacer de forma analgica o digital. Un canal/sistema/medio
54
analgico es aquel que puede utilizar toda una gama de valores, propagndose de la misma manera que una onda en un estanque de agua. En cambio, si es digital, los valores que pueden tomar sern 0s o 1s (o una combinacin de estos), como encendido o apagado, vlido o invlido. As, la voz es lgicamente una informacin, a priori, analgica y los archivos o informacin en s son digitales.
Pgina 48 de 181
Figura 4: Comunicacin a travs de tecnologa GMS
GSM
Fuente: INTECO
Caracterizacin Esta tecnologa utiliza modulacin digital, permitiendo un bajo coste y una fiabilidad ms alta. Emplea, sobre todo, las bandas de 900 y 1800 MHz, que se atenan relativamente poco, lo que permite llegar a algunos kilmetros de distancia. GSM es un estndar comn, resultado de un acuerdo entre operadoras de telecomunicaciones europeas, lo que permiti desarrollar un sistema con un gran mercado y muchos telfonos mviles muy baratos y fiables. Este estndar lleg a desplazar a una solucin americana, el sistema AMPS, ms caro y complejo. Aunque es un sistema digital, est optimizado para transmitir voz 55 , en tiempo real. Una de las caractersticas que denota ms flexibilidad es su funcionamiento, basado en el uso de tarjetas SIM (Subscriber Identity Module, Mdulo de Identificacin del Suscriptor), pertenecientes al grupo de tarjetas inteligentes o smart cards, que son las encargadas de almacenar las claves y la identificacin del servicio del operador. Por ello, para cambiar la lnea a otro telfono tan slo es necesario cambiar la tarjeta SIM de terminal. Esta tecnologa ofrece adems servicios suplementarios de telefona, como identificacin del abonado llamante, redireccionamiento de llamadas, llamada en espera, terminacin de llamadas de usuarios ocupados, grupos cerrados de usuarios, tarificacin,
55
Fundacin Telefnica: La Sociedad de la Informacin en Espaa 2007. Disponible en
http://www.fundacion.telefonica.com/publicaciones/memorias/memoria2007/index.html
Pgina 49 de 181
mantenimiento de llamada, transferencia de llamada, multiconferencia, prohibicin de determinadas llamadas desde un terminal o emisin de mensajes cortos SMS. Velocidad La velocidad de transmisin de la tecnologa GSM oscila entre 9,6 Kbps y 14 Kbps en funcin de la cobertura que ofrezca la seal y la saturacin de la red. En la prctica, la cobertura vara considerablemente dependiendo del terreno, la ubicacin de la antena, las barreras que pudieran interferir la seal y los puntos de medicin. Funcionamiento Los sistemas de telefona mvil necesitan conseguir una amplia cobertura y una gran capacidad de trfico con un nmero limitado de frecuencias. La reutilizacin sistemtica de estas frecuencias se logra mediante las estructuras celulares. Como muestra la Figura 5, los sistemas GSM funcionan dividiendo el rea de cobertura geogrfica de sus antenas en celdas distintas, adyacentes entre s, conformando un bloque hexagonal. El terminal se conecta intuitivamente a la antena ms cercana, que le ofrece la cobertura. Cuando un terminal GSM recibe una seal de mejor calidad de otra antena, se desasocia de la primera y se comunica con esa nueva celda. Cuando un usuario cambia de celda al estar realizando una llamada, para no perder la comunicacin por estar en movimiento, se hace imprescindible la comunicacin entre las antenas de las celdas. Las celdas se comunican entre s generalmente mediante cable y, a veces, de forma inalmbrica (es lo que se conoce por roaming entre celdas), para evitar que un terminal mvil pierda la comunicacin al cambiar de celda con el movimiento.
Pgina 50 de 181
Figura 5: Sistemas de celdas hexagonales GSM
Fuente: INTECO
Penetracin Segn los datos presentados en el epgrafe 3.1, Visin global del mercado, se desprende que la penetracin del GSM es muy alta, siendo de 110,1 lneas por cada 100 habitantes. Aun as, su potencial de uso es menor, pues con el paso de los aos esta tecnologa ser sustituida por otras superiores, como las de tercera generacin (3G).
Tabla 8: Anlisis de penetracin y potencial de uso de tecnologa GSM Tecnologa GSM Penetracin Potencial de uso
Alto
Bajo
Fuente: INTECO
Tecnologa GPRS Comparte el rango de frecuencias de la tecnologa GSM, utilizando una transmisin en la que la informacin se fracciona en paquetes que viajan por la red por caminos distintos y posteriormente se reensamblan en la informacin original. La conmutacin de paquetes es una tcnica adecuada para transmitir datos, ya que slo utiliza el canal de comunicacin cuando estn siendo enviados y permite el acceso simultneo de otros usuarios (no se hace una reserva del canal determinado y fijo, como en los sistemas de
Pgina 51 de 181
conmutacin de circuitos 56 ). En cambio, como en una transmisin de voz existe el requisito imprescindible de que la informacin llegue en el mismo instante en el que se produce, se debe realizar mediante conmutacin de circuitos; por ejemplo, en el envo de un correo electrnico existe un margen permisivo de varios segundos o minutos para la recepcin, pero dicho margen es inadmisible cuando se trata de una comunicacin directa con otra persona. Caracterizacin Las caractersticas principales de GPRS son 57 : Conexin permanente. Al no requerir la conmutacin de circuitos, el tiempo de establecimiento de conexin es inferior a un segundo. Un nico canal es compartido por varios usuarios a la vez, mejorando as la eficiencia en la utilizacin de los recursos de red y admitiendo un mayor nmero de conexiones por antena. Posibilita el pago por cantidad de informacin transmitida, en lugar de por tiempo de conexin. Esto permite facturar al cliente de una manera ms acorde a sus necesidades. Por ejemplo, el acceso a un buscador de Internet y la obtencin de una respuesta por palabra clave supondra un consumo de 75 Kbps, y la consulta de la cartelera de cine y reserva de entradas online, entre 25 Kbps y 2 Mbts. Velocidad En GPRS la velocidad de transmisin de datos aumenta respecto a la tecnologa GSM, alcanzando velocidades desde los 40 Kbps hasta un mximo de 115 Kbps por conexin (velocidad emprica obtenida en laboratorio). Funcionamiento Cuando un usuario desea enviar datos por GPRS, estos son encapsulados en paquetes de informacin que se envan indicando el origen y el destino. El proceso se realiza de una manera bastante simple, como se muestra en la Figura 6, siendo apenas necesario aadir infraestructura a la del GSM, tanto electrnica como de software. Los paquetes llegan a travs de la red a su destino, donde se reagrupan para presentar la informacin
56
La conmutacin de circuitos es la tcnica que se suele utilizar en las llamadas telefnicas tradicionales. Su
funcionamiento consiste en reservar una parte de la capacidad de transmisin del canal (el cable) para realizar una llamada; cuando finaliza, la reserva se libera, pero mientras est en curso permanece ocupando dicha parte del canal.
57
Bernel, G.: UMTS/3G, HSDPA y tecnologas inalmbricas. GPRS: el despliegue de la Internet mvil, Universidad Oberta
de Catalunya. Disponible en http://www.umtsforum.net/mostrar_articulos.asp?u_action=display&u_log=44
Pgina 52 de 181
en su forma original. Los paquetes utilizan un rango de frecuencias disponibles, lo que permite que un nmero elevado de terminales GPRS pueda compartir el mismo ancho de banda y la misma celda al mismo tiempo.
Figura 6: Funcionamiento GPRS
Red GRPS
SGSN Nodo de Servicio
SGSN Nodo Gateway Internet
Radio base
GTP Protocolo tunneling

Fuente: INTECO
Penetracin En la actualidad, todos los terminales GSM incorporan la tecnologa GPRS para la transmisin de datos. Por tanto, la penetracin de esta tecnologa es la misma que la del GSM. En cuanto al potencial de uso, la mayora de los terminales utilizan tecnologa UMTS/3G para la transmisin/recepcin de paquetes de datos a travs de un operador, por lo que su potencial de uso es bajo.
Tabla 9: Anlisis de penetracin y potencial uso de la tecnologa GPRS Tecnologa GPRS Penetracin Potencial de uso
Alto
Bajo
Fuente: INTECO
Tecnologa UMTS La tecnologa UMTS (Universal Mobile Telecommunications System o Sistema Universal de Telecomunicaciones Mviles) es la utilizada por los mviles 3G en Europa y naci
Pgina 53 de 181
como respuesta a la necesidad de transmisin de datos de alta velocidad. Hasta la fecha, las prestaciones ofrecidas por GPRS no ofrecan la suficiente velocidad como para considerarlo una alternativa de conexin a la red. Caracterizacin Algunas de las ventajas que ofrece UMTS 58 son: Universalidad. Est diseado para funcionar en todo el mundo, es compatible con GSM 900 y 1800y permite la itinerancia entre pases, sin sufrir cortes en la comunicacin (roaming). Lleva integrado un protocolo de transmisin de paquetes, por lo que dispone de conexin permanente a la red y puede facturar por volumen de datos transferidos. El ancho de banda de cada llamada se asigna de forma dinmica, con lo que se optimizan los recursos. Los servicios 3G combinan el acceso mvil de alta velocidad con los servicios basados en el protocolo IP. Esto no slo conlleva una conexin rpida a la web, sino que permite realizar mltiples conexiones simultneamente desde un mismo terminal mvil; por ejemplo, un usuario podra conectarse a una base de datos remota para obtener informacin sin necesidad de interrumpir una sesin de videoconferencia. Velocidad La principal ventaja de UMTS sobre la segunda generacin mvil (2G) es la capacidad de soportar altas velocidades de transmisin de datos de hasta 144 Kbps sobre vehculos a gran velocidad, 384 Kbps en espacios abiertos de extrarradios y 2 Mbps con baja movilidad (interior de edificios). Esta capacidad y el soporte inherente del Protocolo de Internet (IP) se combinan poderosamente para prestar servicios multimedia interactivos y nuevas aplicaciones de banda ancha (vdeo, telefona y videoconferencia). Funcionamiento La tecnologa UMTS usa una comunicacin terrestre basada en una interfaz de radio WCDMA, conocida como UMTS Terrestrial Radio Access (UTRA). Para hacer posible la comunicacin, esta se divide en paquetes de informacin, que viajan mezclados por la
58
Rojo, Iaki: La gran apuesta 3G, 2001. Disponible en
http://www.umtsforum.net/mostrar_articulos.asp?u_action=display&u_log=43
Pgina 54 de 181
red. Cuando llegan a la estacin de distribucin, el anlisis del cdigo de los paquetes permite reunir los datos de cada conexin. El grado de cobertura es menor al utilizar frecuencias en una banda mayor que GSM/GPRS (se puede transportar ms cantidad de informacin, pero la seal se atena mucho ms rpido con la distancia). Por este motivo, el tamao de las celdas es menor y para cubrir la misma zona geogrfica se requieren ms estaciones base (antenas). Pero, a la vez, esta tecnologa utiliza con mayor eficiencia las frecuencias, lo que permite conectar un mayor nmero de usuarios simultneamente por antena. Penetracin A pesar de que su tasa de penetracin se encuentra actualmente en un nivel medio, su potencial de uso en el mercado espaol es alto. Segn datos de la CMT 59 , en el ao 2006 ya existan 3,4 millones de terminales UMTS, con un total de 16.020 estaciones base, y en el tercer trimestre de 2007 se lleg a los 8,7 millones de usuarios 60 .
Tabla 10: Anlisis de penetracin y potencial uso de la tecnologa UMTS Tecnologa UMTS Penetracin Potencial de uso
Alto
Bajo
Fuente: INTECO
Tecnologa HSPA (HSUPA y HSDPA) La tecnologa HSPA la constituyen las tecnologas inalmbricas HSDPA y HSUPA, que se definen por separado haciendo hincapi en la HSPDA, la ms utilizada en Espaa. La tecnologa HSDPA (High Speed Downlink Packet Access) es la optimizacin de la tecnologa espectral UMTS/WCDMA, incluida en las especificaciones de 3GPP Release 5. Consiste en un nuevo canal compartido en el enlace descendente (downlink) que mejora significativamente la capacidad mxima de transferencia de informacin. As como el HSDPA mejora la percepcin del cliente para los servicios de datos que hacen uso de las descargas desde la red al terminal, el High Speed Packet Uplink Access
59
CMT (2007). Op. cit. 39. Del Castillo, I.: La banda ancha mvil supera en nuevos clientes a la fija, Expansin, noviembre de 2007. Disponible en
60
http://www.expansion.com/edicion/exp/empresas/telecomunicaciones/es/desarrollo/1059146.html
Pgina 55 de 181
(HSUPA) hace lo propio con el envo de datos desde el terminal hacia la red. La combinacin de HSDPA y HSUPA se denomina HSPA (High Speed Packet Access); es til para usuarios que envan ficheros multimedia directamente a otros, para quienes deben enviar grandes cantidades de informacin con imgenes o vdeos en tiempo real, como los periodistas, etctera. Asimismo, el retardo global del sistema se reduce tambin, mejorando la percepcin del usuario de los servicios de datos. Caracterizacin La tecnologa HSDPA consigue esta mejora gracias a una serie de tcnicas empleadas en la interfaz radio, como son: Transmisin en canal compartido. Se introduce un nuevo canal de transporte en el enlace descendente denominado HS-DSCH (High Speed Downlink Shared Channel). Con ello, los usuarios comparten una serie de recursos utilizados por la radio (como los cdigos de canal y la potencia) de forma dinmica en el tiempo, con lo que se consigue una mayor eficiencia. Asimismo, los intervalos utilizados para cada transmisin son ms cortos (2 metros). Adaptacin rpida del enlace. La velocidad de transmisin de datos vara de forma rpida segn las condiciones del canal de radio. Este mtodo es ms eficiente para los servicios que pueden tolerar este tipo de variaciones en periodos muy cortos, y para compensar las degradaciones de la radio mediante un aumento de la potencia de la seal (que es lo que se haca hasta ahora). Retransmisiones rpidas. Los datos que se reciben de forma errnea, debido a las condiciones de propagacin, se solicitan de nuevo al transmisor para su correccin. Programacin rpida de transmisiones (fast scheduling). Segn las condiciones radioelctricas en las que se encuentra cada usuario, se programa el orden en que debe transmitir cada uno. Con ello, se consigue un uso ms eficiente de los recursos compartidos.
Al tratarse de servicios de datos, los terminales sern principalmente, como se muestra en la Figura 7, tarjetas PCMCIA o mdem USB para ordenadores porttiles.
Pgina 56 de 181
Figura 7: Dispositivo HSPA
Fuente: UMPC PORTAL
Velocidad Con el HSDPA, la velocidad de transmisin aumenta hasta un mximo terico de 14 Mbps (que, en condiciones normales de funcionamiento supone unos 3 o 4 Mbps), pudindose hablar ya de aplicaciones de alta velocidad en movilidad. Los mecanismos que hacen posible el HSUPA son semejantes a los descritos para el HSDPA. Con ello, se consigue pasar de los 384 Kbps a los 5,76 Mbps (mximo terico posible). Funcionamiento HSPA utiliza la misma estructura que UMTS, pero hace una utilizacin bastante ms eficiente de la infraestructura. Adems, se considera como un UMTS multienlace, pues utiliza varios canales UMTS para transmitir y recibir la informacin, consiguiendo as las altas tasas de transmisin que lo caracterizan. Actualmente no se dispone de una informacin detallada de esta tecnologa en cuanto a descripcin y funcionamiento, debido a que la evolucin del protocolo se encuentra congelada desde marzo de 2002 61 . Penetracin HSPA ofrece cobertura en ciudades pobladas, segn datos de la CMT, en diciembre de 2007 se alcanz un volumen de tarjetas o datacards de HSDPA/UMTS de 324.647
61
Telefnica I+D: Las telecomunicaciones multimedia. Madrid, 2003. Disponible en
http://www.tid.es/documentos/libros_sector_telecomunicaciones/tel_multimedia.pdf
Pgina 57 de 181
unidades para un total de 14 millones de habitantes, de las cuales 276.444 eran de UMTS y 48.203, de HSDPA. Sin embargo, esta tecnologa lleva menos de un ao en el mercado, por lo que an no se disponen de datos fiables de penetracin. Actualmente, HSPDA es ofrecida por todos los operadores a nivel nacional. La clave por la que esta tecnologa se est adoptando cada vez ms es su facilidad para instalarse en la redes actuales, ya que slo se necesita la actualizacin del software; por ello, su potencial de es bastante alto.
Tabla 11: Anlisis de penetracin y potencial de uso de la tecnologa HSPA Tecnologa HSPDA Penetracin Potencial de uso
Alto
Bajo
Fuente: INTECO
Tecnologa WLAN (protocolo 802.11 o Wi-Fi) De forma paralela al desarrollo de la tecnologa GSM, a partir de los aos noventa, tanto en Europa como en Estados Unidos, comenzaron a estandarizarse una serie de sistemas para sustituir a las redes de rea local cableadas con soluciones basadas en radio, bajo la denominacin del estndar IEEE 802.11. El estndar IEEE 802.11 evolucion hacia una familia de estndares que se distinguen con una letra minscula (Ej. 802.11g) y que tienen diferencias entre s, a veces importantes, o que consideran aspectos diversos, como la seguridad o la interconexin 62 . Por otra parte, la Wireless Ethernet Compatibility Alliance 63 (WECA) decidi otorgar un sello de calidad a ciertos productos 802.11. El sello, denominado WiFi o Wi-Fi, se populariz, por lo que el estndar tambin se conoce con este nombre. Caracterizacin Esta tecnologa inalmbrica es en s misma la versin sin cables de las redes de rea local. Su finalidad es ofrecer los mismos servicios, pero con la ventaja de no tener que
62
Fundacin Telefnica (2007). Op. cit. 55.
Organizacin comercial americana de fabricantes creada en 1999 con el fin de fomentar la compatibilidad entre tecnologas Ethernet inalmbricas bajo la norma 802.11 del IEEE. WECA cambi de nombre en 2003, pasando a denominarse Wi-Fi Alliance. Disponible en http://wifialliance.org/
63
Pgina 58 de 181
usar ningn tipo de cableado. Por tanto, y dado que el medio compartido est libre y es accesible por cualquier dispositivo que pueda funcionar en la misma frecuencia, los aspectos referentes a la seguridad cobran una mayor relevancia en esta tecnologa con respecto a las redes de rea local cableadas. Velocidad La velocidad de conexin en una red inalmbrica como mximo alcanza 100 Mbps. Esta velocidad tiene una alta dependencia de los dispositivos que se utilicen para la conexin, que han de ser del mismo fabricante (punto de acceso y tarjeta inalmbrica) y con un nivel de interferencia nulo (sin ruido en el ambiente) 64 . Funcionamiento WLAN ofrece tres modos de funcionamiento: 1) Modo infraestructura. Es el modo ms comn. Consiste en un punto de acceso inalmbrico conectado a una red; los dispositivos inalmbricos (porttiles y PDA) se conectaran a travs de este punto de acceso. Modo ad-hoc. Los dispositivos inalmbricos se asocian entre s, por lo que no existe ningn elemento intermedio. Modo puente o bridge. Esta configuracin permite a los routers compartir la seal, a modo de repetidor, de manera que se ample el rango de cobertura de la seal Wi-Fi. Esta opcin no est muy extendida y desarrollada, y por tanto, no es vlida en todos los escenarios (no funciona entre routers distintos de determinados fabricantes).
2)
3)
64
Peafiel, Carlos (2006). Op. cit. 35.
Pgina 59 de 181
Figura 8: Arquitectura bsica de una red WLAN en modo infraestructura

Router wireless Ubicacin: cualquier punto de la empresa o domicilio
Porttil Ubicacin: cualquier punto de la empresa o domicilio
Servidor Ubicacin: cualquier punto de la empresa o domicilio Pocket PC Ubicacin: cualquier punto de la empresa o domicilio
Porttil Ubicacin: cualquier punto de la empresa o domicilio
Fuente: INTECO
Penetracin Es una tecnologa inalmbrica utilizada prcticamente de forma masiva a nivel mundial. Tanto los equipos intermedios como los terminales y los dispositivos de acceso son desarrollados por muchas y muy diversas empresas. Dada la alta aceptacin de Internet y la facilidad, comodidad y amigabilidad que representa, esta tecnologa se considera clave dentro del grupo de inalmbricas. De hecho, el concepto de red inalmbrica generalmente se asocia a las redes Wi-Fi, olvidando que este concepto engloba tambin otras tecnologas. Segn un informe del Observatorio Wireless, los puntos de acceso en Espaa en octubre del ao 2006 alcanzaron los 102.950, lo que supuso un crecimiento del 80,9% desde marzo de es mismo ao (ver Tabla 5). Estas cifras representan un aumento significativo en el uso de esta tecnologa, lo que podran suponer un importante crecimiento en esta lnea y, por consiguiente, un potencial de uso muy alto.
Tabla 12: Anlisis de penetracin y potencial uso de la tecnologa Wi-Fi Tecnologa Wi-Fi Penetracin Potencial de uso
Alto
Bajo
Fuente: INTECO
Pgina 60 de 181
Tecnologa WiMAX De forma muy general, se puede decir que WiMAX opera de manera muy similar a WLAN, ya que es una alternativa a la comunicacin mediante ondas de radio para el enlace DSL, es decir, para la conexin entre el hogar y el proveedor de servicios de Internet. Por este motivo, se utiliz inicialmente para la telefona y el acceso a Internet, principalmente en entornos rurales o lugares donde un despliegue de cable no resultaba rentable o posible para un operador. Caracterizacin El protocolo WiMAX sigue el estndar IEEE 802.16, nombre que le ha dado el WiMAX Forum 65 . Presenta algunas caractersticas particulares, como el control de calidad del servicio y el uso de espectro reservado, que pueden hacer frente al WLAN en algunos escenarios. Podra ser considerado como un sistema de comunicaciones mviles alternativo de alta capacidad, pero para ello se deberan resolver los problemas de atenuacin y distorsin de las seales y el coste de las infraestructuras. La diferencia fundamentale respecto a WLAN es que WiMAX ofrece una velocidad superior, a grandes distancias, y para un nmero de usuarios mucho mayor. Tericamente hablando, WiMAX elimina las barreras geogrficas que impiden que el proveedor de servicios de Internet pueda desplegar su infraestructura para proporcionar servicio (ya sea por el coste asociado o por limitaciones fsicas reales). Velocidad La tecnologa WiMAX puede transmitir a una velocidad de 75 Mbps en su versin fija (IEEE 802.16a) o de 15 Mbps en la mvil (IEEE 802.16e) 66 . Funcionamiento Una red WiMAX est formada por dos elementos: Una torre WiMAX, que sigue la misma filosofa que las redes celulares GSM. Se estima que este tipo de torre puede proporcionar cobertura de hasta 50 kilmetros de radio. Adems, la torre puede estar conectada directamente a Internet
65
Es un consorcio de empresas (inicialmente 67 y hoy en da ms de 500) dedicadas a disear los parmetros y estndares de esta tecnologa, y a estudiar, analizar y probar los desarrollos implementados. Disponible en http://www.wimaxforum.org/home Fundacin OPTI. Op. cit. 32.
66
Pgina 61 de 181
mediante una banda ancha, o incluso a otra antena WiMAX usando una lnea de visin directa mediante microondas Un receptor WiMAX. El receptor de esta seal puede ser un pequeo receptor o una tarjeta PCMCIA, o incluso puede estar integrado dentro de los ordenadores porttiles, como pretenden hacer varios fabricantes de tecnologa.
En la siguiente figura se puede apreciar el funcionamiento de una red WiMAX.

Figura 9: Funcionamiento de la tecnologa WiMAX
Internet Red del proveedor de servicio Torre WiMAX
Comunicacin por lnea de divisin
Red de rea local
Fuente: How WiMAX works. Ed Grabianowski y Marshall Brain 67
El usuario puede conectarse de dos maneras: Conectando una antena a su dispositivo (generalmente ordenador porttil, aunque podra ser cualquiera), que se enlazara directamente con la antena WiMAX. De manera ms eficiente, mediante una antena parablica o router intermedio que se podra colocar por ejemplo, en el tejado de la vivienda y que hara de hub (intermediador) entre la torre WiMAX y el dispositivo. Este escenario es ms comn porque, adems de ser ms eficiente, ofrece al usuario una conectividad WLAN con el router (que acta en modo WiMAX y WLAN). Penetracin Esta tecnologa est implantada en algunas zonas rurales de Andaluca y Aragn, Pas Vasco, Castilla y Len, Alicante y algunas poblaciones de Madrid (como Alcorcn), y se
67
Brain, Marshall y Grabianowski, Ed: How WiMax Works. Disponible en http://computer.howstuffworks.com/wimax1.htm
Pgina 62 de 181
espera que llegue a zonas rurales de Catalua y Navarra, donde ya existe un importante operador global que ha resultado adjudicatario de concursos pblicos para el despliegue de nuevas redes de telecomunicaciones de banda ancha sin cobertura ADS 68 . En el mercado espaol ya existen operadores con ms de 40.000 abonados 69 , y se espera que en el mbito mundial haya 150 millones de usuarios WiMAX en 2008 70 . Por todo ello, esta tecnologa tiene actualmente un nivel medio de penetracin y potencial de uso en Espaa.
Tabla 13: Anlisis de penetracin y potencial uso de tecnologa WiMAX Tecnologa WiMAX Penetracin Potencial de uso
Alto
Bajo
Fuente: INTECO
Tecnologa Bluetooth El Bluetooth vendra a ser el nombre comn de la especificacin industrial IEEE 802.15.1, que define un estndar global de comunicacin inalmbrica que posibilita la transmisin de voz y datos entre diferentes dispositivos mediante un enlace por radiofrecuencia segura, globalmente y sin licencia de corto rango. Esta tecnologa naci a mediados de los noventa como un proyecto para investigar la viabilidad de una interfaz de radio de bajo coste y bajo consumo para la interconexin entre telfonos mviles y otros dispositivos (ordenadores, impresoras, etctera), con la intencin de eliminar cables de conexin entre dispositivos. Conforme este proyecto iba avanzando, se observaba que esta interfaz se poda utilizar en un gran nmero de aplicaciones, ya que el chip de radio (elemento principal y ncleo del dispositivo) era relativamente barato. Caracterizacin
68
Expansin: Iberbanda comienza las pruebas de la tecnologa WiMAX en Espaa. Septiembre de 2006. Disponible en
http://www.expansion.com/edicion/exp/empresas/telecomunicaciones/es/desarrollo/1059146.html Maravedis, Telecom Market Research & Analysis: WiMAX and Broadband Wireless (Sub-11GHz) Worldwide Market Analysis and Trends 2006-2012. 2006.
70 69
Intel (2008): Seminario Consumer Electronics Show (CES).
Pgina 63 de 181
Los dispositivos que con mayor intensidad utilizan esta tecnologa las PDA, telfonos mviles, ordenadores porttiles y personales, impresoras y cmaras digitales y manos libres (telecomunicaciones e informtica personal). Las principales caractersticas de esta tecnologa son: Puede cubrir una distancia de hasta diez metros de radio y transmitir voz y datos. Facilita las comunicaciones entre equipos mviles y fijos. Elimina los cables y los conectores existentes entre ellos. Ofrece la posibilidad de crear pequeas redes inalmbricas y facilita la sincronizacin de datos entre los equipos personales.
Velocidad La velocidad de transmisin actual de Bluetooth es de 1Mbps, aunque existen estudios que sealan que su velocidad podra alcanzar los 100 Mbps 71 . Funcionamiento Bluetooth opera en un rango de frecuencias comprendido entre los 2400 y 2483,5 MHz. Al igual que en IP (Protocolo de Internet), los datos se transmiten en pequeos paquetes. Estas redes estn diseadas para interconectar un mximo de hasta ocho perifricos, tal y como se puede ver en la siguiente figura. Cada dispositivo puede configurarse como maestro o esclavo. Los maestros son los encargados de dirigir el trfico entre ellos mismos y los esclavos; adems, cada maestro puede estar conectado con otras redes Bluetooth y, como puede haber varios maestros en una misma red, se pueden interconectar hasta un mximo de diez redes entre s de forma encadenada. Esto da un mximo de 72 dispositivos Bluetooth que pueden operar simultneamente. Finalmente, hay hasta veinte perfiles distintos y tres tipos de enlaces que pueden actuar de modo distinto. Los perfiles controlan el comportamiento del dispositivo Bluetooth y los enlaces asignan los modos de transmisin entre dispositivos. De todos estos perfiles, slo trece son usados hoy en da. Algunos son genricos, como el que permite que los perifricos se reconozcan entre s, y otros tienen usos ms especficos y pueden ser opcionales. La eleccin del tipo de enlace depender de lo que se quiera transmitir.
71
El Pas: Bluetooth aumenta la velocidad de transmisin a 100 Mbps: Banda ancha en Bluetooth a finales de 2007. La tecnologa inalmbrica aumentar su capacidad de transmisin hasta 100 Mbps para que se pueda enviar audio y vdeo de alta definicin, segn ha anunciado el organismo que regula sus especificaciones. El sistema estar basado en
ultrawideband (UWB), tecnologa de radio desarrollada por la Alianza Wimedia (Microsoft, Intel, HP...).
Pgina 64 de 181
Algunos autores defienden la idea de que el Bluetooth ha sido la evolucin natural de la comunicacin por infrarrojos (IrDA), dados los problemas que esta presentaba por el alcance mximo, que era de dos metros, y porque la comunicacin estaba limitada a slo dos participantes; y que adems necesitaban visibilidad directa para poderse comunicar. La siguiente figura muestra el funcionamiento de esta tecnologa.
Figura 10: Funcionamiento de la tecnologa Bluetooth
Fuente: INTECO
Penetracin Actualmente es una tecnologa con una elevada tasa de penetracin y potencial de uso, pues se utiliza en la mayora de las comunicaciones de manos libres o conexin de dispositivos para conectar al ordenador todo tipo de equipos como las PDA, cmaras fotogrficas, teclados, o simplemente, para conectar los auriculares al telfono. El hecho de que la mayora de los dispositivos mviles lleven incorporada esta tecnologa ha marcado la diferencia a la hora de establecer un mtodo de conexin entre los terminales y los ordenadores personales. Segn datos de MindTree Consulting, se espera que en el ao 2011 haya 1.739 millones de dispositivos Bluetooth en el mundo 72 .
Tabla 14: Anlisis de penetracin y potencial uso de la tecnologa Bluetooth Tecnologa Penetracin Potencial de uso
72
MindTree Consulting. Disponible en http://www.arc.com/configcon/israel/pdfs/wireless-
track/2%20MindTree_ARCv1%202.pdf
Pgina 65 de 181
Bluetooth
Alto
Bajo
Fuente: INTECO
Tecnologa NFC Near Field Communications o NFC es una tecnologa inalmbrica de interconexin de dispositivos que opera a la frecuencia de 13,56 MHz (banda en la que no se necesita licencia administrativa). Se usa para conexiones wireless y permite a un dispositivo leer una pequea cantidad de informacin de otros dispositivos cuando ambos se encuentran muy cerca (aproximadamente 10 centmetros). Esto puede ser interpretado como una ventaja a la hora de utilizar servicios que implican privacidad, como puede ser el caso del pago de un servicio. Surge de la evolucin de la tecnologa de identificacin de dispositivos por radiofrecuencia (RFID 73 ), incluyendo funciones de las tecnologas de interconexin de redes y de tarjetas inteligentes. Como respuesta a la opinin de los expertos consultados, se ha excluido de este anlisis la tecnologa RFID, a pesar de su actual nivel de uso en el mercado espaol y tasa de penetracin, porque corresponde a una comunicacin en un nico sentido. Es decir, tan slo se realiza una lectura por parte de un participante hacia otro, por lo que la capacidad de cmputo de informacin por parte del emisor es escasa y su anlisis no generara la profundidad suficiente en comparacin con las dems tecnologas seleccionadas. Las empresas de gran consumo son las candidatas a utilizar esta tecnologa para agilizar y gestionar sus procesos de inventariado, por lo que, en un futuro, su uso podra aumentar considerablemente. Segn IDtrack 74 , el 30% de las empresas en Espaa ha implementado estas tecnologas, ya sea a nivel de piloto, despliegue, proyecto restringido a un rea o proyecto global. Adems, un 33,3% de las utiliza hace ms de tres aos, por lo que su grado de madurez es suficiente para que un porcentaje significativo plantee su
Radio Frequency Identification (RFID): es como un cdigo de barras sin cables y su propsito fundamental es transmitir la identidad de un objeto (similar a un nmero de serie nico) mediante ondas de radio. Un lector se comunica con una etiqueta con un nmero de identificacin digital en un microchip, por lo que los posibles usos son mucho ms limitados que en NFC, principalmente porque no existe la capacidad de procesamiento de informacin en el lado de la etiqueta. Se agrupan dentro de las denominadas Auto ID (Automatic Identification o Identificacin Automtica).
74
73
IDtrack (2007): El estado actual de RFID en Espaa. En colaboracin con IBM. Disponible en
http://www.idtrack.org/IDtrack/estudios/Estudio_Estado_rfid_espana_IDtrack.pdf
Pgina 66 de 181
implementacin a corto o medio plazo. Para IDTechEx, RFID facturar en 2008 7.000 millones de dlares en etiquetas 75 , cifra que alcanzar los 26.880 millones en 2017 76 . Caracterizacin La tecnologa NFC est principalmente orientada a los telfonos mviles y permite, a travs de un microchip incorporado en una tarjeta, emitir y capturar informacin con receptores cercanos. Las interacciones con el contacto de una base ofrecen al usuario de un terminal mvil una forma sencilla de conectar, procesar y compartir informacin con otros dispositivos, mviles o de cualquier otro tipo 77 . En cuanto a los beneficios de esta tecnologa, permite compartir informacin digital entre dos dispositivos tan slo acercndolos, sin necesidad de conectarlos fsicamente. Velocidad Las velocidades de transmisin soportadas actualmente son de 106, 212 y 424 Kbps. Funcionamiento NFC se compone principalmente de dos partes: un terminal y una fuente. El terminal es un dispositivo mvil (telfono, PDA, etctera) capaz de transmitir (va NFC) y procesar informacin una vez ha detectado que hay un dispositivo fuente cerca de l (a varios centmetros). El dispositivo fuente acta de lector, activando el chip NFC que el dispositivo mvil lleva incorporado.
Cuando se activa la fuente, esta emite una seal de radio de corto alcance que activa un microchip en la etiqueta NFC, lo que permite la lectura de una pequea cantidad de datos que pueden ser almacenados, tal y como se muestra en la Figura 11.
75
PR Newswire Europe Ltd. Febrero 2008. Disponible en http://www.prnewswire.co.uk/cgi/news/release?id=140442 Portillo, J, Bermejo A.B., Bernardos Ana M., Martinez, I: Informe de vigilancia tecnolgica. Tecnologa de identificacin
76
por radiofrecuencia (RFID): aplicaciones en el mbito de la salud. Coleccin de Informes de Vigilancia Tecnolgica madri+d, 2007. Disponible en www.madrimasd.org/tic/Informes/Downloads_GetFile.aspx?id=7913
77
MKM Publicaciones: Tecnologa NFC (Near Fields Communications) para mviles Nokia. Junio 2007. Disponible en
http://www.mkm-pi.com/mkmpi.php?article341
Pgina 67 de 181
Figura 11: Funcionamiento de la tecnologa NFC
Fuente: Vivotech
Un mvil equipado con la tecnologa NFC puede acceder fcilmente a servicios o realizar operaciones con distintas aplicaciones del terminal. El usuario puede compartir informacin o contenido digital, acercando los dos dispositivos que incorporan esta tecnologa a corta distancia. Cuando el usuario aproxima un dispositivo NFC, el lector lee el contenido y lo convierte en accin; el usuario slo tiene que aceptarla. Penetracin A pesar de contar con un nivel de penetracin todava incipiente, el potencial de uso en Espaa es elevado por los mltiples servicios que se pueden desarrollar con esta tecnologa, como el pago a travs del telfono mvil. Segn Abi Research, el 50% de los dispositivos mviles del mundo tendrn NFC en 2009 78 .
Tabla 15: Anlisis de penetracin y potencial uso de la tecnologa NFC Tecnologa NFC Penetracin Potencial de uso
Alto
Bajo
Fuente: INTECO
78
Movilsur.com: El futuro de las tecnologas Near-Field Communications (NFC), 2008. Disponible en
http://www.movilsur.com/index.php/2008/04/29/el-futuro-de-al-tecnologia-near-field-communications-nfc/
Pgina 68 de 181
PROBLEMAS DE INALMBRICAS
SECURIZACIN
EN
REDES
Para entender la problemtica de las redes inalmbricas, se definir en primer lugar qu se entiende por una red segura. Las redes inalmbricas en general presentan una serie de requisitos (en adelante, dimensiones de seguridad) que deben cumplir para ser catalogadas como seguras, aunque la seguridad total slo existira si no hubiese conexin a la red. La seguridad de las redes inalmbricas no debera constituir un esfuerzo mayor que los beneficios que se obtengan de ella, por lo que es necesario analizar correctamente el valor de los datos y de la disponibilidad de la informacin, el coste de las medidas de seguridad y de perder presencia o imagen en el mercado, entre otros. En este captulo se desarrolla la cuestin de la securizacin de las redes en funcin de sus dimensiones de seguridad en general y las vulnerabilidades de cada tecnologa inalmbrica, considerando slo aquellas con elevada penetracin y alto potencial de uso. 4.1 Anlisis de vulnerabilidades de las redes a nivel global
En general, la mayor parte de las fuentes bibliogrficas consultadas establecen que las redes, cableadas o inalmbricas, son seguras cuando cumplen adecuadamente con cuatro dimensiones: autenticacin (A), confidencialidad (C), integridad (I) y disponibilidad (D). Adicionalmente, en la informacin presentada en la norma ISO/IEC 18028-2:2006 y en las entrevistas realizadas a empresas de seguridad nacionales e internacionales se recomienda incorporar dos nuevas variables: control de acceso (CA) y no repudio (NR). Ambas dimensiones se consideran fundamentales para analizar la seguridad de las redes, sobre todo de las inalmbricas. El nivel de seguridad de una red estar determinado en cierta medida por el grado de cobertura de cada una de las dimensiones de seguridad citadas. Si se compara el impacto de estas dimensiones en las redes inalmbricas y cableadas, se puede comprobar que en las inalmbricas el control de acceso y la disponibilidad cobran una mayor importancia: Para detectar una red LAN, las redes cableadas tienen que encontrar un punto de acceso fsico, mientras que las redes inalmbricas slo necesitan una conexin a Internet wireless disponible (control de acceso).
Pgina 69 de 181
En cuanto a la disponibilidad, en el caso de las redes con hilos cualquier asaltante que quiera atacarlas debe conectarse a la red con un cable, pero con una WLAN no es necesario detectar un punto de acceso fsico, sino que basta con que una tarjeta de red lo haga.
La informacin de este captulo se ha basado en las entrevistas realizadas, la opinin de los expertos y las fuentes bibliogrficas consultadas como referencia. 4.1.1 Dimensiones de seguridad y vulnerabilidades
La siguiente tabla presenta las dimensiones de seguridad afectadas por cada posible ataque.
Tabla 16: Ataques por dimensin de seguridad
Control de acceso
Autenticacin
Confidencialidad
Integridad
Disponibilidad
No repudio
Barrido de Frecuencias Sniffing Spoofing Hijacking Mecanismos de ingeniera social Confianza transitiva Creacin de un puente Adivinacin de contraseas Explotacin de errores o fallos (bugs) de software Denegacin de servicio Mensajes de control de red Interferencia/ inhibicin Ataques dirigidos por datos Caballo de troya Enrutamiento fuente Evil Twin Man in the Middle
NO NO S S S S S S
NO S NO NO S NO NO NO
NO NO NO NO NO NO NO NO
S NO NO NO NO NO NO NO
NO
NO
NO
NO
NO NO NO S S S S S
NO NO NO NO NO S NO NO
S S S NO NO NO NO NO
Pgina 70 de 181
Autenticacin
Confidencialidad
Integridad
Disponibilidad
Control de acceso
No repudio
Modificacin de datos
NO
NO
NO
NO
Fuente: INTECO
A continuacin se describen cada una de estas dimensiones, las principales vulnerabilidades asociadas a ellas y las consecuencias de un posible ataque. Autenticacin Se define en mltiples fuentes: Segn el Real Decreto 994/1999, es un procedimiento de comprobacin de la identidad de un usuario. Segn las directrices de la Organizacin para la Cooperacin y el Desarrollo Econmico (OCDE) para una poltica criptogrfica, es una funcin para el establecimiento de la validez de la supuesta identidad de un usuario, dispositivo u otra entidad en un sistema de informacin o comunicaciones. Segn la ISO 7498-2, es un servicio de seguridad que garantiza que el origen de datos, o entidad homloga, son quienes afirman ser. Segn la Metodologa de Anlisis y Gestin de Riesgos de los Sistemas de Informacin (Magerit) del Ministerio de Administraciones Pblicas 79 , es una caracterstica de dar y reconocer la autenticidad de los activos del dominio (de tipo informacin) y/o la identidad de los actores y/o la autorizacin por parte de los autorizadores, as como la verificacin de dichas tres cuestiones. Segn el Consejo Superior de Administracin Electrnica del Ministerio de Administraciones Pblicas 80 , es la capacidad de verificar que un usuario que accede a un sistema o aplicacin es quien dice ser, tras haberse identificado convenientemente; o que un usuario que ha generado un documento o informacin es quien dice ser.
Ministerio de Administraciones Pblicas (2006): Metodologa de Anlisis y Gestin de Riesgos de los Sistemas de Informacin (MAGERIT). Ministerio de Administraciones Pblicas, Versin 2.0, Disponible en http://www.csi.map.es/csi/pdf/magerit_v2/metodo_v11_final.pdf Ministerio de Administraciones Pblicas (2004): Criterios de seguridad, normalizacin y conservacin de las aplicaciones utilizadas para el ejercicio de potestades. Coleccin Informes y Documentacin. Serie Administracin del Estado. Disponible en http://www.csi.map.es/csi/pg5c10.htm
80
79
Pgina 71 de 181
Por tanto, la identificacin de los usuarios y la verificacin de la autenticidad es un requisito previo a la autorizacin del acceso a los recursos del sistema. Existen dos niveles de autenticacin: Autenticacin fuerte: basada en la utilizacin de tcnicas de criptografa asimtrica y en el uso de certificados electrnicos. Tambin suele referirse a la combinacin de algo que el usuario posee (por ejemplo, una tarjeta electrnica) con algo que conoce (como un cdigo PIN). Autenticacin simple: basada en mecanismos tradicionales de usuario y contrasea. En general, las medidas adoptadas para asegurar la proteccin de la autenticacin han de ser proporcionales a la naturaleza de los datos y de los procedimientos, a los riesgos a los que estn expuestos y al estado de las tecnologas. Vulnerabilidades Esta dimensin se ve violada en el momento en que un usuario que se ha identificado no es quien dice ser, por lo que resultar imposible identificar quin ha accedido a ciertos recursos. Los ataques asociados a esta dimensin son el sniffing, el spoofing, el hijacking, los mecanismos de ingeniera social, la confianza transitiva, la creacin de un puente y la adivinacin de contraseas. La siguiente tabla describe cada uno de estos ataques.
Tabla 17: Ataques a la autenticacin Ataques
Spoofing
Descripcin
Se describe generalmente como la suplantacin de identidad de un emisor o de un receptor interviniendo la conexin. Por ejemplo, en el caso en el que una persona introduce en el sistema el usuario y contrasea de otra para acceder a recursos privilegiados. Robo de una conexin despus de una autenticacin exitosa. Por ejemplo, un asaltante roba el canal de comunicacin de un usuario que se ha autenticado con xito dentro de la red corporativa de su empresa, obteniendo los mismos privilegios que el usuario autenticado. Consiste en el aprovechamiento la buena voluntad de los usuarios para solicitarles datos de acceso confidenciales. Por ejemplo, cuando se enva un e-mail a una persona hacindose pasar por el administrador de la red o por una autoridad para acceder a datos importantes, o cuando se le dice, en nombre del soporte TIC de una organizacin, que debe cambiar su clave de acceso por una temporal.
Hijacking
Mecanismos de ingeniera social
Pgina 72 de 181
Ataques
Confianza transitiva
Descripcin
Consiste en el aprovechamiento la confianza entre usuarios y hosts 81 . Por ejemplo, si el usuario A puede introducirse en los archivos del usuario B y B puede acceder a los archivos del usuario C, a un asaltante podra bastarle con acceder como usuario A para conseguir los archivos del usuario C. Consiste en el aprovechamiento de un posible descuido de un usuario que est conectado a Internet a travs de la red cableada y tiene la conexin inalmbrica encendida y sin usar. Si la conexin Wi-Fi no es segura, el asaltante puede aprovechar esa puerta abierta para controlar el PC y acceder a la red fija de la empresa con todos los privilegios del usuario. Consiste en la prueba sistemtica de contraseas relacionadas fundamentalmente con la vida privada del asaltado hasta dar con la que ha introducido (por ejemplo, la fecha de nacimiento de la vctima, el nombre de sus hijos, las fechas de cumpleaos de sus familiares, etctera).
Fuente: INTECO
Creacin de un puente
Adivinacin de contraseas
Consecuencias Vulnerar el control de acceso podra generar, segn la ISO 18028-2:2006, los siguientes riesgos: Robo, borrado o prdida de informacin y otros recursos de la red. Revelacin de informacin.
Confidencialidad Es definida por mltiples fuentes: Segn la metodologa Magerit 82 , es la condicin que asegura que la informacin no puede estar disponible o ser descubierta por o para personas, entidades o procesos. En este sentido la confidencialidad a menudo se relaciona con la intimidad cuando se refiere a personas fsicas. Segn la ISO 798-2, es una propiedad de la informacin que impide que est disponible o sea revelada a individuos, entidades o procesos no autorizados. Segn las directrices de la OCDE para una poltica criptogrfica, es la propiedad de que los datos o la informacin no estn disponibles, ni se revelen, a personas, entidades o procesos no autorizados.
Hosts: nombre nico que se le da a un dispositivo conectado a una red informtica. Puede ser un ordenador, un servidor de archivos, un dispositivo de almacenamiento por red, una mquina de fax, una impresora, etctera. Este nombre ayuda al administrador de la red a identificar las mquinas sin tener que memorizar una direccin IP para cada una de ellas.
82
81
Ministerio de Administraciones Pblicas (2006). Op. cit. 79.
Pgina 73 de 181
Segn las directrices de la OCDE para la seguridad de los sistemas de informacin, es el hecho de que los datos o informaciones estn nicamente al alcance del conocimiento de las personas, entidades o mecanismos autorizados, en los momentos autorizados y de una manera autorizada.
En general, las medidas adoptadas para asegurar la proteccin de la confidencialidad han de ser proporcionales a la naturaleza de los datos y de los procedimientos, los riesgos a los que estn expuestos y el estado de la tecnologa. La confidencialidad de los datos exige tambin medidas especficas a la hora de eliminarlos, transportarlos o almacenarlos en medios fsicos. Vulnerabilidades Un ataque contra este requisito se entendera como el acceso a informacin confidencial por personas o entidades no autorizadas. Esta dimensin versa sobre la posibilidad de ver informacin o acceder a recursos de los que no se est permitido ver ni acceder (documentos confidenciales, datos de carcter personal como el DNI, nmeros de cuentas bancarias, etctera). Los ataques que podran vulnerar la seguridad de esta dimensin son los siguientes:
Tabla 18: Ataques a la confidencialidad Ataques Descripcin
Consiste en escuchar los datos sin interferir la conexin. Debido a la naturaleza de las tecnologas inalmbricas, las comunicaciones dirigidas desde un emisor hacia un receptor muchas veces pueden ser escuchadas por otros dispositivos, ya que la comunicacin se propaga mediante ondas electromagnticas y cualquiera que est en su radio de accin puede verlas o capturarlas. El ataque podra darse en el momento en que un usuario, conectado desde una red inalmbrica, est enviando un correo electrnico confidencial. Si el canal de comunicacin no se encuentra securizado, un sniffer podra verlo. Consiste en aprovechar la buena voluntad de los usuarios para solicitarles datos de acceso confidenciales. Ocurre en escenarios con un cierto nivel de confianza (preexistente o adquirida en el momento). El asaltante usa esta confianza para solicitar documentacin o hace uso de algn tipo de trato de favor para obtener recursos de los que el asaltado dispone, como nmeros de cuentas bancarias, claves de Internet, etctera. Consiste en la ejecucin de cdigo software maligno (por ejemplo, Javascript), por ejemplo, mientras se navega en pginas web poco recomendables.
Sniffing
Mecanismos de ingeniera social
Ataques dirigidos por datos
Caballo troya
de
Consiste en ejecutar un programa malicioso que permanecer en el ordenador sin llamar la atencin. Podra interpretarse como una puerta abierta por el que un intruso se puede introducir dentro del ordenador o dispositivo del usuario original, accediendo a sus datos y recursos.
Pgina 74 de 181
Ataques
Enrutamiento fuente
Descripcin
Consiste en modificar la ruta de vuelta de los paquetes. Dado que la informacin se divide en paquetes de datos, y estos contienen un origen y un destino, el ataque consiste en modificar el destino para que se dirijan al asaltante, el cual los modificara de nuevo para que fuesen a su destinatario Consiste en instalar un punto de acceso ilegtimo en el entorno de actuacin de una red conocida hacindose pasar por un componente ms de la red. De esta forma, se consigue que muchos usuarios se conecten a este punto de acceso. De este modo, el intruso puede visualizar todo el trfico de informacin generado desde el equipo del usuario. Muchos expertos aseguran que muy pocos usuarios pueden protegerse a s mismos de este ataque, aunque los profesionales parecen estar en mejores condiciones 83 . Este tipo de conexiones Wi-Fi fraudulentas pueden establecerse en un ordenador porttil con un simple programa y una llave USB que acte como punto de acceso. Un intruso adquiere la capacidad de leer, insertar y modificar a voluntad los mensajes entre dos partes sin que ninguna de ellas conozca que el enlace entre ellos ha sido violado. Este ataque se emplea tpicamente para manipular activamente los mensajes, ms que para intercepceptar la comunicacin de un modo pasivo y puede incluir subataques como la interceptacin de la comunicacin (eavesdropping), incluyendo el anlisis del trfico y posiblemente un ataque a partir de textos planos (plaintext) conocidos; ataques a partir de textos cifrados escogidos; ataques de sustitucin; ataques de repeticin; ataque por denegacin de servicio (denial of service), etctera. El atacante podra, por ejemplo, bloquear las comunicaciones antes de atacar una de las partes. La defensa en ese caso pasa por el envo peridico de mensajes de estatus autenticados.
Fuente: INTECO
Evil Twin
Man in the Middle
Consecuencias Los ataques a esta dimensin podran generar, segn la ISO 18028-2:2006, los siguientes riesgos para los usuarios: Robo de informacin. Revelacin de informacin.
Integridad Es definida por mltiples fuentes: Segn la metodologa Magerit 84 , es la propiedad de que los datos o la informacin no sean modificados o alterados sin autorizacin. La integridad est ligada a la fiabilidad funcional del sistema de informacin, a su eficacia para cumplir las funciones del sistema.
Herranza, Arantxa: Precaucin antes los Evil Twin, puntos de acceso Wi-Fi de uso fraudulento, mayo de 2007. Pc World, Techworld.
84
83
Pgina 75 de 181
Segn las directrices de la OCDE para una poltica criptogrfica, es la propiedad de que los datos o la informacin no hayan sido modificados o alterados de forma no autorizada.
Segn las directrices de la OCDE para la seguridad de los sistemas de informacin, consiste en que los datos o informaciones sean exactos y completos y en la preservacin de este carcter exacto y completo. Segn el Consejo Superior de Administracin Electrnica del Ministerio de Administraciones Pblicas 85 , es la seguridad de que la informacin, o los datos, estn protegidos contra modificacin o destruccin no autorizada, y la certidumbre de que los datos no han cambiado de la creacin a la recepcin. Segn el Information Technology Security Evaluation Criteria (ITSEC) 86 , es la prevencin de la modificacin no autorizada de informacin.
Segn la ISO 7498-2, es la propiedad de los datos que garantiza que estos no han sido alterados o destruidos de modo no autorizado.
La integridad de los datos garantiza la exactitud o precisin de los mismos. Los datos estn protegidos contra la modificacin no autorizada, eliminacin, creacin y repeticin. En general, las medidas adoptadas para asegurar la proteccin de la integridad han de ser proporcionales a la naturaleza de los datos y de los procedimientos, los riesgos a los que estn expuestos y el estado de la tecnologa. Vulnerabilidades Un ataque a este requisito de seguridad consistira en la modificacin de la informacin por personas que no estn autorizadas a hacerlo. Los posibles ataques se detallan en la Tabla 19.
85
El ITSEC es un conjunto estructurado de criterios para evaluar la seguridad informtica dentro de los productos y sistemas. Es el equivalente europeo del Libro Naranja desarrollado por el National Computer Security Center (NCSC) de la National Security Agency (NSA) del Departamento de Defensa de EE.UU.
86
Pgina 76 de 181
Tabla 19: Ataques a la integridad Ataques

Enrutamiento fuente
Descripcin
Consiste en modificar la ruta de vuelta de los paquetes. Dado que la informacin se divide en paquetes de datos con un origen y un destino, el asaltante puede modificar el destino para que se dirijan a l y modificarlos de nuevo para que vayan a su destinatario Consiste en la alteracin, borrado o repeticin de informacin o parte de ella sin el consentimiento de las personas autorizadas para hacerlo. Por ejemplo, la manipulacin de una imagen fotogrfica mediante programas de edicin avanzada.
Fuente: INTECO
Modificacin de datos
Consecuencias Violar esta dimensin traera, segn la ISO 18028-2006, las siguientes consecuencias: Destruccin de la informacin u otros recursos. Modificacin o corrupcin de la informacin. Interrupcin del servicio.
Disponibilidad Es definida por mltiples fuentes: Segn la metodologa Magerit 87 , es el grado en el que un dato o los elementos que soportan la conexin a una red estn en el lugar, momento y forma en que son requeridos por un usuario autorizado. La disponibilidad est asociada a la fiabilidad tcnica de los componentes del sistema de informacin o de la red de comunicacin. Segn la ISO 7498-2, es la propiedad que requiere que los recursos de un sistema abierto sean accesibles y utilizables a peticin de una entidad autorizada. Segn el ITSEC, es la prevencin de una negacin ilcita de acceso a la informacin o a los recursos. El ITU X.805 10/2003 (Telecommunication Standardization Sector of ITU) 88 y la ISO 18028-2:2006 sealan que la disponibilidad garantiza que no haya denegacin de acceso
87
Ministerio de Administraciones Pblicas (2006). Op. cit. 79. Sector de Normalizacin de las Telecomunicaciones de la UIT (10/2003). Arquitectura de seguridad para los sistemas
88
que prestan de extremo a extremo las comunicaciones.
Pgina 77 de 181
autorizado a los elementos de la red, a la informacin almacenada, a los flujos de informacin, a los servicios ni a las aplicaciones. En esta categora se incluyen las soluciones de recuperacin de desastres. En general, las medidas adoptadas para asegurar la proteccin de la disponibilidad han de ser proporcionales a la naturaleza de los datos y de los procedimientos, los riesgos a los que estn expuestos y al estado de la tecnologa. En la dimensin de la disponibilidad intervienen muchos y muy variados aspectos: instalaciones adecuadas y equipamiento fsico, una adecuada plataforma tecnolgica que permita hacer frente a escenarios variables de carga de trabajo o posibles fallos, procedimientos de explotacin y de mantenimiento, proteccin contra cdigo maligno y frente a intentos de intrusin o ataques de denegacin de servicio y normas y procedimientos referentes a la gestin de la informacin que pueda almacenarse cifrada que garanticen la gestin de claves de seguridad. La eliminacin de errores de codificacin y la adopcin de estndares y especificaciones pblicas de programacin pueden facilitar el control de la aplicacin. Vulnerabilidades Un ataque a este requisito de seguridad se producira cuando la red no estuviera disponible por motivos ajenos al emisor, por ejemplo, por un ataque por inhibidor de frecuencias o un colapso por un nmero elevado de peticiones. Los ataques que pueden romper esta dimensin de seguridad se detallan en la siguiente tabla:
Tabla 20: Ataques a la disponibilidad Ataques Descripcin
Explotar errores o fallos (bugs) de software
Consiste en aprovechar errores de implementacin de software para acceder a recursos sin privilegio.
Denegacin de servicio
Consiste en bloquear un determinado conjunto de servicios para que sus usuarios no puedan acceder a ellos. Se podra denegar el servicio cuando un gran grupo de ordenadores o dispositivos soliciten a la vez y de forma masiva el mismo servicio o recurso sin tener que utilizarlo; esto hara que los usuarios que de verdad lo necesiten no puedan acceder a l, ya que el servidor estara totalmente saturado.
Pgina 78 de 181
Ataques
Mensajes de control de red
Descripcin
Se centra en utilizar mensajes ICMP 89 para aprovechar las implementaciones de la pila TCP/IP 90 . Se podra pensar que este ataque se incluye en los bugs de software pero, dada su naturaleza inherente al protocolo de comunicacin, se debera tener en cuenta separadamente. Consiste en lanzar interferencias de la seal sobre la banda de funcionamiento de la tecnologa objeto del ataque o en inutilizarla con un inhibidor de frecuencias. Este ataque es usado generalmente en entornos cercanos a altos cargos de empresas y polticos, para inhabilitar acciones mediante el uso de tecnologa de radio.
Fuente: INTECO
Interferencia/ inhibicin
Consecuencias Los ataques a esta dimensin de seguridad podran tener las siguientes consecuencias (segn la ISO 18028-2:2006): Destruccin de los recursos de red (el ataque puede daar las antenas de conexin). Interrupcin de servicios, clasificadas segn detalle: o o Menos de una hora, considerndolos fcilmente recuperables. Hasta un da laborable, coincidente con un plazo habitual de recuperacin con ayuda telefnica de especialistas externos o de reposicin con existencia local. o Hasta una semana, coincidente con un plazo normal de recuperacin grave con ayuda presencial de especialistas externos, de reposicin sin existencia local o con el arranque del centro alternativo. Ms de una semana, considerado como interrupcin catastrfica.
Control de acceso Es definida por mltiples fuentes: Segn el Real Decreto 994/1999, es el mecanismo que, en funcin de la identificacin ya autenticada, permite el acceso a datos o recursos.
ICMP (Internet Control Message Protocol, Protocolo de Mensajes de Control de Internet). Corresponde al subprotocolo de control y notificacin de errores del Protocolo de Internet (IP).
90
89
Atenta contra las caractersticas del protocolo de comunicacin, haciendo, por ejemplo, que la red de una organizacin
se colapse por los mensajes de informacin enviadosdesde diversos ordenadores a peticin de un asaltante.
Pgina 79 de 181
Segn la ISO 7498-2, es el servicio de seguridad que previene el uso de un recurso salvo en determinados casos y de manera autorizada.
El control de acceso o autorizacin proporciona los mecanismos o permisos necesarios para la utilizacin de los recursos de la red y garantiza que slo el personal o los dispositivos autorizados pueden acceder a la red, a la informacin almacenada, a los flujos de informacin, a los servicios y a las aplicaciones 91 , como por ejemplo el control de acceso basado en roles (RBAC). El control de acceso es slo un mecanismo para restringir el uso de recursos, pero no permite identificar quin se ha conectado o ha accedido a la red. Por ejemplo, un administrador de red puede proporcionar a varios empleados un nombre de usuario y contrasea de invitado para restringir el acceso; cada vez que alguien intente conectarse, deber conocer el usuario/contrasea asociado para superar el control, si bien el administrador no podr saber cul de los empleados se ha conectado. Bajo estos conceptos, el control de acceso considera: Autorizacin de derechos de acceso a distintos recursos del sistema. Acceso a redes, sistemas, aplicaciones, datos. Control y auditora de acceso.
El acceso por usuarios que no pertenezcan a la organizacin dara lugar a riesgos si se produce desde localizaciones con un nivel de seguridad inadecuado. En algunos casos, se debe llevar a cabo un anlisis de riesgos particular para determinar las medidas que se deben implantar. La profundidad del anlisis de riesgos debera depender de las necesidades propias de la compaa. Vulnerabilidades Esta dimensin es esencialmente vulnerable cuando se quiere encontrar una red inalmbrica para acceder a ella sin autorizacin. El ataque que aplica en esta dimensin es el barrido de frecuencias, es decir, el descubrimiento una red inalmbrica con el fin de acceder a ella y utilizar sus recursos como persona autorizada.
91
ITU X.805 10/2003 e ISO 18028-2:2006.
Pgina 80 de 181
Tabla 21: Ataques al control de acceso Ataques Descripcin

Las redes inalmbricas utilizan cierto intervalo de frecuencias (llamado espectro) de ondas electromagnticas por las que se comunican y puedan funcionar (establecer su cobertura, funcionamiento, etctera). Este ataque consiste en rastrear el aire para descubrir una red inalmbrica y acceder a ella.
Fuente: INTECO
Barrido de frecuencias
Consecuencias Vulnerar esta dimensin podra generar, segn la ISO 18028-2:2006, los siguientes riesgos: Destruccin de la informacin u otros recursos. Modificacin o corrupcin de informacin. Robo, borrado o prdida de informacin y otros recursos. Revelacin de informacin.
No repudio Existen varias maneras de definirlo como criterio de seguridad en sistemas de informacin. Aunque la ITU X.805 10/2003 y la ISO 18028-2:2006 consideran que debe estar catalogada como una dimensin independiente de los requisitos de seguridad, en este estudio, en lnea con la opinin de expertos y entrevistas realizadas, se considera una caracterstica para potenciar la autenticacin, confidencialidad e integridad. Segn la ITU y la ISO, el no repudio proporciona los medios tcnicos para prevenir que una persona o entidad niegue haber realizado una accin. . Vulnerabilidades Por considerarse una caracterstica y no una dimensin de la seguridad, no presenta ataques. A pesar de ello, puede ser evitado si el intruso es lo suficientemente hbil para no dejar rastro. Consecuencias Segn la ISO 18028-2:2006, los riesgos de seguridad asociados al no repudio son: Destruccin de la informacin u otros recursos.
Pgina 81 de 181
4.2
Modificacin o corrupcin de informacin. Robo, borrado o prdida de informacin y otros recursos. Revelacin de informacin. Interrupcin de servicios. Anlisis del nivel de vulnerabilidad por tipo de tecnologa inalmbrica
Una vez que se han definido detalladamente cada una de las dimensiones de seguridad utilizadas para medir el nivel de seguridad de las redes inalmbricas y los posibles ataques para vulnerarlas, se aplica la misma lgica de anlisis para las tecnologas seleccionadas por su mayor potencial de uso en el mbito espaol. Este anlisis incorpora diferentes niveles, dependiendo del tipo de tecnologa, que variarn en base a diversos factores como la seguridad inherente a cada tecnologa, la facilidad econmica de crear una infraestructura para atacar una red, el uso y la amigabilidad de la tecnologa, etctera. Las tecnologas seleccionadas se han agrupado tomando como criterio la similitud que guardan entre ellas: GPRS y GSM, al ser el primero una evolucin natural del segundo y complementarse entre s; GSM se utiliza para transmitir voz y GPRS para datos. UMTS y HSPA, al ser la segunda la optimizacin de la tecnologa espectral UMTS/WCDMA. WLAN y WiMAX, dado que la segunda opera de manera muy similar a WLAN y a que es una alternativa a la comunicacin mediante ondas de radio para el enlace DSL; adems, conceptualmente persiguen un objetivo similar, aunque tienen caractersticas distintas. Bluetooth y NFC se estudiarn independientemente, dado que no existe ninguna similitud tecnolgica entre ellas. Los resultados se han obtenido de las entrevistas realizadas a las empresas colaboradoras, la opinin de los expertos consultados y la investigacin bibliogrfica. La siguiente tabla resumen presenta los ataques sufridos por cada tipo de red inalmbrica y la dimensin de seguridad a la que afectan.
Pgina 82 de 181
Tabla 22: Ataques por tipo de tecnologa inalmbrica Dimensiones de seguridad GSM/ GPRS
S S S NO NO S S S
Ataques
Spoofing Hijacking Mecanismos de ingeniera social Confianza transitiva Creacin de un puente Adivinacin de contrasea Sniffing Mecanismos de ingeniera social Ataques dirigidos por datos Caballo de troya Enrutamiento fuente Evil Twin Man in the Middle Enrutamiento fuente Modificacin de datos Explotar errores o fallos (bugs) de software Denegacin de servicio Mensajes de control de red Interferencia/ inhibicin Barrido de frecuencia No aplica
UMTS/ HSPA/
S S S NO NO S S S
WIMAX
S S NO NO NO NO S NO
WLAN
S S S S S S S S
Bluetooth
S S S NO NO S S S
NFC
NO NO NO NO NO S NO NO
Autenticacin (AU)
S NO S S S S S
S NO S S S S NO
S NO S NO S S S
S S S S S S S
NO NO NO S S NO S
NO NO NO S S NO NO
Confidencialidad (C)
Integridad (I)
NO
NO
NO
NO
Disponibilidad (D)
S NO S S
S NO S S
S NO S S
S S S S
S NO S S
NO NO S NO 92
Control de acceso (CA) No repudio (NR)
Fuente: INTECO
92
A pesar de que se ha especificado que este ataque no afecta a esta tecnologa, realmente s es posible escanearla, si bien, por su corto alcance de emisin (10 cm), obligara al intruso a tener que desplazar el detector de frecuencias
manualmente por toda la superficie de acceso para su identificacin, lo que no lo hace muy prctico.
Pgina 83 de 181
A continuacin se considera cada una de las tecnologas en relacin a los ataques a los que son vulnerables las diferentes dimensiones de seguridad. Y al final de cada una se presenta un cuadro resumen en el que se valora de forma cualitativa la seguridad de cada tecnologa respecto a cada dimensin. Esta valoracin se basa en el trabajo de investigacin realizado durante el proyecto y tiene por objeto posibilitar la comparacin entre las dimensiones de seguridad de una misma tecnologa. 4.2.1 Tecnologa GSM/GPRS
Autenticacin (AU) Bajo esta dimensin de seguridad, estas redes pueden ser vulneradas con diversos ataques como son el spoofing, el hijacking, mecanismos de ingeniera social y adivinacin de contraseas. Por el contrario, los ataques de confianza transitiva y creacin de un puente no aplican, debido a que estas tecnologas no recurren a terceros en ningn momento de su ciclo de vida. Con respecto a los ataques de spoofing y hijacking, existe un artculo escrito por Elad Barkan, Eli Biham y Nathan Keller (Instant Ciphertext Only Cryptanalysis of GSM Encrypted Communication CRYPTO 2003) en el que afirman ser capaces de romper el algoritmo criptogrfico A5 93 ; si esto es as, esta dimensin podra ser vulnerada con cualquiera de los ataques mencionados. Lo cierto es que para ser capaces de descifrar una comunicacin GSM, en primer lugar es necesario capturar la informacin que se ha transmitido, y para esto es necesaria una infraestructura sofisticada, que no se encuentra al alcance de cualquier usuario, por lo que esta tecnologa se considera segura frente a estos posibles ataques. En relacin a los ataques de adivinacin de contraseas e ingeniera social, siempre es posible tratar de adivinar el PIN de la tarjeta SIM, aunque la probabilidad de acierto es baja por el alto nmero de combinaciones posibles. Bajo esta premisa, estas redes son vulnerables, pero aun as se confirma su elevado nivel de seguridad. En general, con la autenticacin en GSM/GPRS se consiguen identificar unvocamente al usuario dentro de la red, proteger el sistema de accesos no autorizados y crear una clave de sesin que permita el posterior cifrado de datos para las comunicaciones, haciendo segura esta tecnologa. Confidencialidad (C) Esta tecnologa, bajo esta dimensin, puede ser vulnerada utilizando diversos ataques, como el sniffing, mecanismos de ingeniera social, ataques dirigidos por datos,
93
Algoritmo utilizado para cifrar las comunicaciones en un entorno GSM.
Pgina 84 de 181
enrutamiento fuente, Evil Twin y Man in the Middle, mientras que el ataque de caballo de troya no aplica por ser exclusivo de la tecnologa WLAN. Un ataque de sniffing es posible, si bien la tecnologa necesaria para hacerlo es muy compleja y sofisticada y no se encuentra al alcance de cualquiera. A da de hoy, slo un operador puede intervenir una comunicacin, y para ello se deben dar dos circunstancias: que el terminal est utilizando su red y que sea bajo requerimiento de una orden judicial. En cuanto a los mecanismos de ingeniera social, siempre es posible tratar de adivinar el PIN de la tarjeta SIM, con lo que estos ataques pueden vulnerar a este tipo de tecnologas inalmbricas. Para llevar a cabo un ataque dirigido por datos, se puede ejecutar un cdigo maligno tras una navegacin web por GPRS. Un ataque por enrutamiento fuente tiene sentido en el momento en el que al terminal se le asigna una direccin IP en GPRS. Los ataques Evil Twin o Man in the Middle, al igual que el sniffing, requieren una infraestructura muy compleja, que debe ser capaz de emular la seal de una antena real de un operador. Esta circunstancia es posible, ya que una red mvil no se identifica. Sin embargo, debido a lo costoso y complejo de este ataque es muy improbable que se dirija a usuarios o pymes; podra darse en guerra o estados de excepcin. En general, para GPRS la mayora de los aspectos de seguridad coinciden con los de GSM, con la diferencia de que se aaden los ataques propios de las redes de datos. Adems, son posibles los ataques de sobrefacturacin, en los que un atacante solicita datos hacindose pasar por un usuario, capturando su direccin IP; el servidor enva a la vctima estos datos, que le son facturados. Adems, un aspecto que proporcionan las tecnologas GSM/GPRS es la proteccin de la identidad del usuario; para garantizar su confidencialidad, no se emplea su identidad usual (nmero de serie de la tarjeta SIM), sino una temporal, vlida nicamente para la conversacin creada en ese momento y para una antena determinada 94 . En cuanto a los ataques sobre redes GSM/GPRS, el cifrado protege la sealizacin y los datos de los usuarios entre el dispositivo mvil y la estacin base, pero no en el resto del trayecto, por lo que los datos viajan en claro (sin cifrar) a travs de la infraestructura de la operadora 95 , pudiendo vulnerarse la confidencialidad.
94
Martnez Marcos, A.: Seguridad en Tecnologas Inalmbricas. Revista SIC, nmero 66. Martnez Marcos, A. Op. cit. 94.
95
Pgina 85 de 181
Integridad (I) Puede ser atacada mediante modificacin de datos o enrutamiento fuente. Dicho ataque es factible, segn el documento mencionado en el apartado de autenticacin, sobre la rotura del algoritmo A5. Adems, un ataque por enrutamiento fuente tiene sentido en el momento en que al terminal se le asigna una direccin IP en GPRS. Disponibilidad (D) Bajo esta dimensin, esta tecnologa podra ser vulnerada utilizando los ataques de denegacin de servicio e interferencia/inhibicin, mientras que los ataques de explotacin de errores o fallos (bugs) de software y los mensajes de control de red no aplican, el primero porque el protocolo no est muy difundido y apenas se han descubierto errores y el segundo, porque no se conoce la especificacin del protocolo y no se sabe cmo atentar con esta tcnica (ni siquiera si sera posible). Los ataques de denegacin de servicio e interferencia/inhibicin se analizados conjuntamente porque, por un lado, es posible saturar una antena para que no acepte conexiones y, por otro, se puede saturar el medio compartido para que se produzcan interferencias en las seales y estas no cumplan con su cometido. En general, a pesar de ser una tecnologa segura en cuanto a la disponibilidad, el ataque ms fcil de realizar es la inhibicin de frecuencias, pues afecta a todo lo que se transmita mediante ondas electromagnticas, haciendo que la red no est disponible. An as, la probabilidad de que se produzca es bastante pequea porque se necesitan dispositivos que no estn al alcance de cualquier usuario. Control de acceso (CA) El control de acceso de una red GSM/GPRS requiere de forma obligatoria la utilizacin de una tarjeta SIM autorizada por un operador. Esta condicin hace imposible realizar la conexin a una red GSM/GPRS sin el consentimiento previo de su propietario, por lo que, en principio, un barrido de frecuencias sera un ataque intil. Sin embargo, dada la alta penetracin en el mercado espaol de la telefona GSM, es bastante sencillo adquirir una tarjeta SIM de un operador para realizar un ataque de este estilo. Conclusin Para estas tecnologas, violar cualquiera de las dimensiones de seguridad requiere una infraestructura prcticamente imposible de conseguir y, aunque tericamente s se puede violar, las caractersticas asociadas de la tecnologa la hacen segura. A su seguridad contribuyen an ms las medidas incorporadas en el protocolo GSM (algoritmo de encriptacin A5). En todo caso, si se quisiera atentar contra estas
Pgina 86 de 181
tecnologas, prcticamente slo se podra llegar a quebrantar de alguna manera su disponibilidad.

Tabla 23: Nivel de vulnerabilidad de la tecnologa GSM/GPRS Tecnologa GSMS/GPRS AU C I D CA
Tecnologa muy insegura
Tecnologa muy segura

Fuente: INTECO
4.2.2
Tecnologa UMTS/HSPA
Este grupo tiene prcticamente las mismas caractersticas que la tecnologa GSM/GPRS. Aunque son distintas, los riesgos en cada una de ellas son muy parecidos, principalmente debido a la complejidad de la infraestructura que se necesita para atentar contra ella. Autenticacin (AU) Esta dimensin puede ser atacada mediante el spoofing, el hijacking, los mecanismos de ingeniera social y la adivinacin de contraseas, mientras que los ataques de confianza transitiva y creacin de un puente no aplican, ya que el primero afecta slo a equipos conectados a redes TCP/IP donde hay un servidor que gestiona la red y permisos y la segunda, a equipos con Wi-Fi. Con respecto a los ataques de spoofing y hijacking, existe un parecido ms que razonable con la tecnologa GSM/GPRS, lo que justifica la posibilidad de estos ataques. En relacin con la adivinacin de contraseas y los mecanismos de ingeniera social, siempre es posible tratar de adivinar el PIN de la tarjeta SIM (usada en UMTS y HSPA. Confidencialidad (C) Esta tecnologa puede ser atacada con mecanismos de ingeniera social, ataques dirigidos por datos, enrutamiento fuente, Evil Twin y Man in the Middle, mientras que los ataques de caballo de troya no aplican porque se producen en equipos conectados a redes TCP/IP como las de la tecnologa WLAN. Al igual que en el caso de las tecnologas GSM/GPRS antes descritas el ataque de sniffing, si bien es tcnicamente posible, no es viable porque necesita un equipamiento similar al de un operador.
Pgina 87 de 181
Con respecto a la ingeniera social, siempre es posible tratar de adivinar el PIN de la tarjeta SIM usada para las comunicaciones UMTS y HSPA, con lo que estos ataques tienen bastante sentido aqu. Para un ataque dirigido por datos, se puede ejecutar un cdigo maligno llegado tras una navegacin web. En cuanto al ataque de enrutamiento fuente, cobra sentido en el momento en que se le puede asignar una direccin IP a un dispositivo. Para un ataque Evil Twin o Man in the Middle ocurre lo mismo que para GSM/GPRS, que no tiene sentido en un entorno pyme o particular, pero para grandes empresas, al usar ciertas caractersticas de GSM, es posible la suplantacin de una antena del operador, que no se tiene que autenticar con el terminal. Integridad (I) Esta dimensin puede ser atacada con un enrutamiento fuente, que cobra sentido en el momento en que se le puede asignar una direccin IP a un dispositivo; el cambio de la fuente de enrutamiento se hace basndose en el protocolo IP, utilizado en ltima instancia para que el destinatario reciba la informacin. Al igual que ocurre con las tecnologas GSM/GPRS, el ataque de modificacin de datos, si bien es tcnicamente posible, no es viable, pues para emprenderlo es necesario disponer de un equipamiento similar al de un operador. En general, para UMTS estas medidas de seguridad tienen una base centrada en GSM, y por encima de la cual se encuentra un mecanismo de criptografa y cifrado basado en desafos aleatorios y generacin de claves derivadas, que la hacen mucho ms robusta que el propio GSM. Disponibilidad (D) Esta dimensin puede ser atacada mediante denegacin de servicio e interferencia/inhibicin, mientras que la explotacin de bugs de software y de los mensajes de control de red no aplican, en el primero de los casos por no ser conocidos los errores de programacin del software y en el segundo, por desconocerse la problemtica en estas tecnologas. Los ataques de denegacin de servicio e interferencia/inhibicin en estas tecnologas van de la mano, pues es posible saturar una antena para que no acepte conexiones, y por otro lado, se puede saturar el medio compartido para que se produzcan interferencias en las seales y estas no cumplan con su cometido. A pesar de ser una tecnologa segura en cuanto a la disponibilidad, el ataque ms fcil de realizar es la inhibicin de frecuencias, haciendo que la red no este disponible. A pesar de ello, la probabilidad de que se produzca es bastante pequea, porque necesita dispositivos que no estn al alcance de cualquier usuario. S es ms probable que en
Pgina 88 de 181
determinadas zonas o edificios dotados de mecanismos de seguridad mediante inhibidores de frecuencia, la utilizacin de estos dispositivos impida que haya disponibilidad o cobertura de red en el radio de accin del inhibidor, aunque la antena que emite la seal no se vea afectada. Control de acceso (CA) Sobre esta dimensin de seguridad acta el barrido de frecuencia. Para realizarlo es necesario disponer de un terminal 3G y de una tarjeta SIM, que slo puede ser facilitada por el operador de telecomunicaciones. La presencia de redes UMTS se comprueba con telfonos de tercera generacin, viendo que est activado el icono del 3G. Para HSPA, se necesitara un dispositivo bastante menos comn que un telfono mvil, sin ser especialmente difcil su adquisicin. Conclusin Se concluye que este grupo de tecnologas se considera seguro, incluso ms que el de GSM/GPRS. Ciertamente, su alto grado de proteccin se debe, en parte, a los protocolos de cifrado incorporados, que las hacen ms robustas. Por tanto, y a la vista de todo lo anterior, si se quisiese atentar contra la seguridad en estas tecnologas, prcticamente slo se podra traspasar la dimensin de disponibilidad.
Tabla 24: Nivel de vulnerabilidad de la tecnologa UMTS/HSPA Tecnologa UMTS/HSPA AU C I D CA

Fuente: INTECO
4.2.3
Tecnologa WLAN/WiMAX
Tal y como se he describe en el epgrafe 3.3.2, Tecnologas con elevada penetracin y potencial de uso, existen dos maneras de conectarse a una red WiMAX. Por un lado, el escenario en el que un usuario, a travs de una antena, conecta directamente su dispositivo a la red WiMAX se podra considerar muy seguro, por las caractersticas inherentes al protocolo. Por otro lado, si la conexin se realiza a travs de un router intermedio (en el que el usuario se conecta al router y este a la red WiMAX), la parte del enlace entre el usuario y
Pgina 89 de 181
el router ser una comunicacin WLAN, con la que compartir todos los riesgos y amenazas. La mayora de los proveedores de red prefieren el segundo escenario, ya que: La eficiencia de las comunicaciones es bastante mayor (hay menos interferencias y la calidad del enlace es superior). En el primer escenario se obligara al usuario a disponer de un dispositivo capaz de conectase a una antena WiMAX, mientras que prcticamente todos los ordenadores porttiles de hoy en da incorporan tarjetas inalmbricas WLAN de fbrica. Los problemas de seguridad se solventan en el segundo escenario con varios mecanismos ya existentes; adems, estos routers WiMAX suelen incorporar caractersticas de seguridad.
Por estos motivos, se ha decidido considerar en conjunto los problemas de seguridad de las tecnologas WLAN y WiMAX. Autenticacin (AU) En esta dimensin de seguridad, para la tecnologa WLAN, son factibles los ataques de spoofing, hijacking, los mecanismos de ingerira social, la confianza transitiva, la creacin de un puente y la adivinacin de contraseas. Para WiMAX, aplicaran los riesgos de spoofing y hijacking. En WLAN, los ataques de sniffing, spoofing y hijacking son viables desde el momento en que esta tecnologa slo cambia respecto a las redes tradicionales cableadas la modulacin y el modo de transmisin de la seal; el resto de protocolos de comunicacin son los mismos. La misma justificacin se podra argumentar para el ataque de confianza transitiva. En cambio, en el caso de la creacin de un puente, la propia definicin del ataque hace que sea inherente y exclusivo de esta tecnologa respecto a la dimensin de autenticacin. Con respecto a los ataques de adivinacin de contraseas e ingeniera social, siempre es posible tratar de adivinar la clave de la red, con lo que estos ataques tienen bastante sentido en este entorno. Aunque WiMAX sea vulnerable a los ataques de spoofing y hijacking, lleva incorporados mecanismos de seguridad para solventar estas vulnerabilidades, ya que la autenticacin est basada en certificados digitales.
Pgina 90 de 181
Si se quisiese realizar un ataque de spoofing o hijaking, la dificultad residira en tratar de romper la seguridad que aportan los certificados digitales. El resto de ataques no aplicaran en WiMAX precisamente por la seguridad que confieren los certificados. Para WLAN, en general, cabe destacar que muchos de los dispositivos de conexin tienen desactivada la seguridad para su interfaz inalmbrica. Esta tecnologa se utiliza principalmente en entornos domsticos y, al incrementarse cada vez ms su penetracin en el mercado, los operadores advirtieron que los usuarios no se conectaban a la red inalmbrica que tenan contratada, sino a cualquiera. Para evitarlo, decidieron proveer sus dispositivos de red de clave WEP 96 . Por ltimo, cabe indicar que este tipo de claves no son del todo seguras, pero sirven como medida para evitar el acceso a la red, aunque romper el cifrado no es fcil. Aun as, existen hoy en da muchos paquetes de software gratuitos para descifrar la clave de seguridad WEP en redes inalmbricas. Confidencialidad (C) Con respecto a la confidencialidad, en WLAN son viables los ataques de sniffing, los mecanismos de ingeniera social, los ataques dirigidos por datos, los caballos de Troya, el enrutamiento fuente, el Evil Twin y el Man in the Middle. En WiMAX aplicaran los ataques de sniffing, los dirigidos por datos, el enrutamiento fuente, el Evil Twin y el Man in the Middle. Un ataque de sniffing puede ser realizado desde cualquier equipo con tecnologa WLAN (normalmente un porttil) que, mediante software, es capaz de capturar la seal transmitida para analizarla. En funcin del tipo de cifrado que se haya utilizado (ver epgrafe 5.1.4), la confidencialidad de la informacin ser mayor o menor. Lo mismo ocurrira en el caso de la tecnologa WiMAX. Los mecanismos de ingeniera social, los ataques dirigidos por datos, caballo de troya, el enrutamiento fuente y el Man in the Middle cobran sentido en el momento en que estos ataques son independientes del medio de transmisin, como en el caso de WLAN, y se absorben junto con los de las redes cableadas tradicionales. Lo mismo ocurre para WiMAX, con la excepcin de que no aplican el ataque de caballo de troya ni la ingeniera social. A veces se consigue vulnerar esta dimensin de seguridad a travs de puntos de acceso no autorizados que se hacen pasar por los de la empresa, o por acceso pblicos
96
WEP (Wired Equivalent Privacy o Privacidad Equivalente al Cable). Este tipo de protocolo est ms desarrollado en el
Epgrafe 5.2.5, Protocolo WLAN, IEEE 802.11 o Wi-Fi.
Pgina 91 de 181
gratuitos, con el objetivo de engaar al usuario para que se conecte a ellos y as espiar toda su informacin. En particular, la confidencialidad en WiMAX est basada en el cifrado de datos con los algoritmos Triple DES 97 o EAP, por lo que, para atacar esta dimensin, habra que romper uno de estos algoritmos de cifrado. En general, debido a la gran popularidad de la tecnologa WLAN, existen varios programas de software, tanto de pago como gratuitos, capaces de capturar y manipular la informacin que se est enviando a travs de estas redes, si bien es cierto que no todos los dispositivos de red pueden ser configurados para capturar esa informacin y que esta no suele estar en un formato fcilmente legible. Integridad (I) En esta dimensin, tanto para WLAN como para WiMAX es posible realizar ataques de enrutamiento fuente y modificacin de datos. Estos dos ataques cobran sentido en el momento en que son independientes del medio de transmisin, como en el caso de WLAN, y se absorben juntos con el de las redes cableadas tradicionales. Adems, el ataque de modificacin de datos es posible, pues el medio de transmisin y propagacin puede estar compartido por cualquiera que se encuentre en el radio de cobertura de la comunicacin. En particular, para WiMAX los certificados digitales, junto a los algoritmos de cifrado TLSEAP y 3DES, son suficientes para garantizar esta dimensin de seguridad. Adems, la autenticacin extremo a extremo (mediante TLS-EAP 98 ) garantiza que la informacin llegue al destino solicitado sin ser interceptada. Disponibilidad (D) Con respecto a la disponibilidad, para WLAN son viables los ataques de explotacin de bugs de software, denegacin de servicio, mensajes de control de red e interferencia/inhibicin. Para WiMAX aplican los ataques de denegacin de servicio e interferencia/inhibicin. Con respecto a la explotacin bugs de software y a los mensajes de control de red, cobran sentido en el momento en que son independientes del medio de transmisin, como es en WLAN, y se absorbe junto con el de las redes cableadas tradicionales.
En criptografa, se llama Triple DES al algoritmo que hace triple cifrado del DES. Tambin es conocido como TDES o 3DES. fue desarrollado por IBM en 1978.
98 97
Extensible Authentication Protocol con Transport Layer Security.
Pgina 92 de 181
Dada la popularidad de las redes WLAN, su disponibilidad es fcilmente atacable. Cualquier persona puede intentar conectarse y realizar, entre otros, un ataque de denegacin de servicio. Adems, estas redes tienen los mismos problemas de seguridad que las cableadas, ya que la nica diferencia entre ellas est en el modo en que se conectan a la red (enlace). En general, tanto WLAN como WiMAX, pueden sufrir ataques de denegacin de servicio y de interferencia/inhibicin porque la seal es inalmbrica. Control de acceso (CA) Resulta bastante sencillo saber si existe una red inalmbrica WLAN si se est dentro de su radio de cobertura, por lo que realizar un ataque de barrido de frecuencias resulta trivial. Tan slo habra que disponer de un terminal con interfaz Wi-Fi y escanear el medio en busca de redes inalmbricas. Cierto es que un dispositivo de acceso a estas redes (router o punto de acceso) puede ocultar su nombre de red, pero aun as cualquier detector puede saber si existen o no redes a su alcance, aunque se desconozca su nombre. Adems, est popularizndose la tecnologa WLAN en los mviles, por lo que resulta incluso ms accesible. En cambio, detectar e identificar una red WiMAX resulta ms tedioso, ya que los dispositivos necesarios para hacerlo no suelen ser de uso tan comn . En general, se puede saber si existe o no una red inalmbrica si se dispone de un dispositivo que sea capaz de escanear el medio en busca de ondas operando en determinadas frecuencias, reservadas exclusivamente para estas tecnologas. Conclusin Los diferentes mecanismos de seguridad de los protocolos 802.11 y 802.16 permiten que estas redes puedan ser inseguras, si no se utiliza ningn tipo de cifrado ni de proteccin, o muy seguras, mediante el uso de mecanismos de cifrado, certificados y autenticacin con el protocolo 802.1x). Para WLAN se aprecia que la dimensin de seguridad ms dbil es la autenticacin, seguida de la confidencialidad, la disponibilidad y el control de acceso. El ataque ms sencillo podra ser, para la dimensin de confidencialidad, el sniffing.
Pgina 93 de 181
Tabla 25: Nivel de vulnerabilidad de la tecnologa WLAN Tecnologa WLAN AU C I D CA

Fuente: INTECO
Para WiMAX, la seguridad es inherente al protocolo, por lo que es una tecnologa bastante segura. Respecto a una posible comparacin directa con WLAN, se dira que, al tener WiMAX un rango de cobertura muchsimo ms extenso, la posibilidad de realizar un ataque del tipo interferencia/inhibicin es ms alta que en el caso de la tecnologa Wi-Fi. En cambio, en cuanto al control de acceso, el hecho de que la conexin a una red WiMAX sea ms complicada la convierte en ms segura que la tecnologa WLAN.
Tabla 25: Nivel de vulnerabilidad de la tecnologa WIMAX Tecnologa WiMAX AU C I D CA

Fuente: INTECO
4.2.4
Tecnologa Bluetooth
Autenticacin (AU) Dada la naturaleza de esta tecnologa, son posibles los ataques de spoofing y hijacking, los mecanismos de ingeniera social y adivinacin de contraseas. En cambio, no proceden los ataques de confianza transitiva ni de creacin de puentes, que son del mbito Wi-Fi. Si la comunicacin entre dos terminales Bluetooth no est configurada de manera segura, son posibles los ataques de sniffing y spoofing, mientras que, en caso contrario, la seguridad se puede romper con un ataque de hijacking. Los mecanismos de ingeniera social y adivinacin de contraseas siempre estn presentes. En general, son bastante conocidos los ataques por mecanismos de ingeniera social, que aprovechan el desconocimiento y la buena voluntad de los usuarios. Se pueden
Pgina 94 de 181
evitar simplemente dejando el dispositivo Bluetooth apagado cuando no se vaya a utilizar, o no aceptando elementos y objetos de los que se desconozcan el origen. Confidencialidad (C) En esta dimensin cobran sentido los ataques de sniffing, los mecanismos de ingeniera social, el Evil Twin y el Man in the Middle; en cambio, los ataques dirigidos por datos, los caballos de troya y el enrutamiento fuente no aplican a esta tecnologa, pues no funciona bajo los protocolos TCP/IP que a los que se dirigen. Realizar un ataque de sniffing sobre Bluetooth es bastante complicado debido a que, la tcnica de salto de frecuencias impide a cualquier dispositivo que no est emparejado con el maestro escuchar las comunicaciones, ya que no tiene acceso a la tabla de saltos utilizada para la transmisin de paquetes. Un ataque del tipo Evil Twin puede ejecutarse en el momento en que el punto malicioso puede hacerse pasar por una entidad que desee enviar datos al dispositivo vctima, aunque este tipo de ataque, debido a la naturaleza de Bluetooth, debe pasar junto con el ataque de mecanismo de ingeniera social. Los Man in the Middle pueden llegar a ser posibles debido a ciertas caractersticas del protocolo; aun as, sera necesario conocer parte de la informacin que se est transmitiendo en un momento determinado, lo cual resulta bastante difcil. En general, existe un problema relacionado con la privacidad en Bluetooth. Todos los dispositivos tienen una direccin (o nombre) nico a nivel mundial, otorgado por el Institute of Electrical and Electronics Engineers (IEEE), que es conocido como BD_ADDR. El hecho de que cada dispositivo se identifique usando su BD_ADDR hace que, una vez se conozca qu persona es duea del dispositivo, se pueda hacer un seguimiento de sus comportamientos. El Bluetooth debera usar como mecanismo de seguridad para garantizar la confidencialidad de los datos transmitidos el cifrado. El problema es que su implementacin es opcional y siempre se realizara tras una autenticacin exitosa 99 . Aun as, violar este requisito de seguridad es bastante complejo y requiere conocimientos avanzados de informtica y telecomunicaciones. Integridad (I) Dadas las particularidades de esta tecnologa, no aplica el ataque de enrutamiento fuente, mientras que el ataque de modificacin de datos tiene sentido por estar el medio
99
Moreno Tablado, A. Seminario de Tecnologas Wireless: Seguridad en Bluetooth.
Pgina 95 de 181
de transmisin y propagacin compartido por cualquiera que se encuentre en el radio de cobertura de la comunicacin Bluetooth. Tambin puede darse el ataque denominado Bluebugging 100 es la evolucin del ataque bluesnarfing y consiste en obtener acceso a las funciones del telfono mvil a travs del Bluetooth, sin alertar al usuario de que se est accediendo a su dispositivo. Esta vulnerabilidad otorga al asaltante la capacidad de iniciar llamadas telefnicas, enviar y recibir mensajes de texto, leer y escribir datos en la agenda telefnica, escuchar conversaciones y conectarse a Internet. Disponibilidad (D) La disponibilidad en esta tecnologa puede verse comprometida por ataques de explotacin de bugs de software, denegacin de servicio e interferencia/inhibicin. En cambio, no aplica el ataque de mensajes de control de red, ya que el Bluetooth no utiliza el protocolo TCP/IP sobre el que funciona. Los ataques de explotacin de bugs de software se solan realizar en las primeras implementaciones de Bluetooth, cuando el protocolo estaba desarrollado pensando en el uso y no en la seguridad. En cuando a la interferencia/inhibicin, cobra sentido en cualquier tecnologa inalmbrica, igual que la denegacin de servicio. En cuanto a los mensajes de control de red, no tienen sentido porque el protocolo no est muy difundido, es decir, no se conoce su especificacin y, por consiguiente, no se sabe cmo atentar con esta tcnica. Bluetooth utiliza un esquema de reconocimiento rpido y con saltos rpidos de frecuencia para garantizar la robustez del enlace. Es ms robusto que casi todos los dems sistemas de comunicacin porque salta ms rpido y usa paquetes ms pequeos, por lo que, cuando un paquete se pierde o no llega a su destino (por el motivo que sea), es ms fcil y rpido reenviarlo. Sin embargo, existe un ataque de denegacin de servicio en el que un atacante con un dispositivo Bluetooth y con el software adecuado podra emitir una solicitud constante de respuesta a otro dispositivo, lo que producira una degradacin temporal de la batera en el receptor y una desactivacin temporal de los servicios del dispositivo 101 . En general, es una tecnologa bastante segura, aunque siempre puede sufrir ataques por inhibicin de frecuencias que haran que la red no estuviese disponible. Estos ataques son improbables, ya que estos aparatos no estn al alcance de cualquier usuario.
100
Preguntas y Respuestas de seguridad de www.bluetooth.com. Martnez Marcos, A. Op. cit. 94.
101
Pgina 96 de 181
Adems se podra incluir la vulnerabilidad producida por el ataque bluejacking 102 , que se refiere al envo annimo de anuncios o publicidad usando tecnologa inalmbrica Bluetooth. No modifica ni suprime ningn dato del dispositivo receptor, pero conceptualmente es lo mismo que el envo de correo spam. Los dispositivos en modo invisible no son susceptibles a este tipo de ataques. Control de acceso (CA) En cuanto al control de acceso en Bluetooth, un ataque de barrido de frecuencia siempre es posible, pues es bastante sencillo saber si existe otro dispositivo Bluetooth. Sin embargo, existe la posibilidad de configurar el dispositivo para indicar a otros que est presente y evitar al tiempo que se detecte cuando se escanee el medio. Este mecanismo es el que se utiliza en la comunicacin con vehculos, para que se asocien a determinados telfonos mviles con Bluetooth y luego dejen de darse a conocer al medio, evitando el ataque de car whisperer 103 . El cual es un sistema que permite la recepcin y envo de audio desde dispositivos manos libres con tecnologa Bluetooth instalados en los vehculos. De esta forma un atacante puede comunicarse desde un dispositivo no autorizado, mediante una transmisin desde un ordenador porttil equipado con el sistema car whisperer, enviar contenido sonoro al auricular y recibirlo a travs del micrfono del dispositivo. Otros ataques asociados al control de acceso son el bluesnarfing y el bluebugging. El primer ataque se refiere al acceso no autorizado a un dispositivo inalmbrico a travs de una conexin Bluetooth con el posible robo de informacin. Los dispositivos en modo invisible no son susceptibles a este tipo de ataques. El segundo es la evolucin del primero y consiste en obtener acceso a las funciones del telfono mvil a travs del Bluetooth, sin alertar al usuario de que se est accediendo a su dispositivo. Esta vulnerabilidad otorga al asaltante la capacidad de iniciar llamadas telefnicas, enviar y recibir mensajes de texto, leer y escribir datos en la agenda telefnica, escuchar conversaciones y conectarse a Internet. Conclusin Se concluye, por tanto, que esta tecnologa es poco segura, porque depende en cierta medida de su correcto uso; si el usuario protege adecuadamente los dispositivos de posibles ataques, la tecnologa ser segura. La forma de atacar una comunicacin que use esta tecnologa ira dirigida a la dimensin de autenticacin.
102
Op. cit. 100. Op. cit. 100.
103
Pgina 97 de 181
Tabla 26: Nivel de vulnerabilidad de la tecnologa Bluetooth Tecnologa Bluetooth AU C I D CA

Fuente: INTECO
4.2.5
Tecnologa NFC
Autenticacin (AU) Esta tecnologa no tiene ningn apartado dedicado a la autenticacin en particular por no aplicar. Aun as, los protocolos para realizar transacciones s suelen solicitar alguna clave o contrasea, que podra adivinarse. Confidencialidad (C) En esta dimensin de seguridad, slo es viable un ataque del tipo Man in the Middle, leyendo la tarjeta NFC del usuario sin que este se de cuenta. En cambio, los mecanismos de ingeniera social, los ataques dirigidos por datos, los caballos de Troya y el enrutamiento fuente no cobran sentido en esta tecnologa, ya que no hay contraseas que robar y no utiliza la tecnologa IP. En general, dada la escasa distancia a la que deben estar los integrantes de una comunicacin NFC, se considera que la informacin transmitida de manera inalmbrica es bastante segura, ya que la nica forma de violar la confidencialidad de la comunicacin es que exista otro dispositivo de las mismas caractersticas a la misma distancia, por lo que el usuario se percatara del intento de asalto. Sin embargo, un ataque Evil Twin s es posible; se pueden instalar puntos de acceso NFC falsos hacindolos pasar por lectores autnticos. El principal riesgo es el acceso a datos confidenciales alojados en la tarjeta NFC, si bien no est previsto incorporar datos personales. Integridad (I) En esta tecnologa no aplican ni los ataques por enrutamiento fuente ni la modificacin de datos, dada la escasa distancia a la que se tienen que ubicar los elementos de la comunicacin.
Pgina 98 de 181
Disponibilidad (D) Esta dimensin de seguridad puede ser atacada mediante interferencia/inhibicin, mientras que la explotacin de Bugs de Software, los ataques de denegacin de servicio y los mensajes de control de red no son aplicables. En general, es una tecnologa bastante segura, pero siempre se pueden inhibir las frecuencias para que la red no est disponible. La probabilidad de que esto ocurra es bastante pequea, ya que estos aparatos no estn al alcance de cualquier usuario. Control de acceso (CA) Al ser esta tecnologa bastante novedosa, las estaciones lectoras se identifican con unos dibujos bastante llamativos, formando curvas concntricas sobre un mismo punto. Por tanto, la identificacin de una red NFC es bastante sencilla (ver Figura 11). Para llegar a formar parte de la red o interactuar con ella se debe poseer un chip NFC, de lo que se desprende que un ataque de barrido de frecuencia no es posible, aunque s que se puede saber dnde opera esta tecnologa. Si la intencin no es buena, es posible insertar chips NFC en lugares no identificados y habituales sin posibilidad de deteccin por el usuario, que slo podra constatar la aparicin de un mensaje de confirmacin en el terminal mvil con NFC. Conclusin Dadas las caractersticas que definen esta tecnologa y el uso que se hace de ella (las comunicaciones suelen ser de unos pocos segundos), podra considerarse relativamente segura. No obstante, si alguien estuviese interesado en quebrantar su seguridad, muy probablemente tratara de quebrantar la confidencialidad, ya que un ataque Man in the Middle no resultara extremadamente complejo de implementar. Tambin se podra transgredir la seguridad yendo contra la disponibilidad y el control de acceso, aunque a priori su xito estara menos garantizado. En cuanto a la autenticacin no aplica a esta tecnologa por las propias caractersticas de la misma.
Tabla 27: Nivel de vulnerabilidad de la tecnologa NFC Tecnologa NFC AU C I D CA

Fuente: INTECO
Pgina 99 de 181
SOLUCIONES DE SEGURIDAD CON APLICACIN A REDES INALMBRICAS
Tras el trabajo de campo y la investigacin bibliogrfica, se concluye que para lograr un nivel adecuado de seguridad, tanto para redes cableadas como para inalmbricas, es importante implantar un conjunto de medidas de seguridad tcnicas y organizativas para los datos, la informacin, las aplicaciones y los sistemas que las sustentan y que, adems, se mantengan en equilibrio las dimensiones de seguridad ya descritas: autenticidad, confidencialidad, disponibilidad, integridad y no repudio. En este captulo se exponen las medidas empleadas para garantizar las dimensiones de seguridad en cada tecnologa inalmbrica. Adems, independientemente de la tecnologa, se detalla una serie de recomendaciones que han de seguirse para proteger la red. 5.1 Dimensiones de seguridad
Tomando como referencia las recomendaciones dadas por el Consejo Superior de Administracin Electrnica (CSAE) 104 , se proponen las siguientes medidas generales de seguridad: 5.1.1 Control de acceso Implantar un procedimiento formalizado para regular el acceso a las redes o dispositivos, es decir, no dejar nunca una red abierta sin contemplar algn tipo de validacin previa a la conexin, salvo en casos intencionados por motivos personales o profesionales (por ejemplo, puntos de acceso pblicos en aeropuertos). Autenticacin Establecer algn mecanismo que permita asociar al usuario con el dispositivo conectado a la red, y que permita comprobar que se ha superado correctamente el control de acceso. Los objetivos de esta medida deben ser: o Identificar y autenticar la identidad del usuario para acceder a la aplicacin y a otros recursos, antes de permitirle realizar cualquier accin. Asignar a cada usuario un identificador nico para su uso exclusivo y personal, de forma que cualquier actuacin pueda ser trazada.
5.1.2
104
Pgina 100 de 181
Utilizar contraseas nicas por cada usuario. En caso de requerir una seguridad fuerte, se recomienda utilizar algoritmos para la generacin de claves 105 .
Establecer mecanismos de autenticacin. Se pueden considerar tres niveles: o Autenticacin simple: basada en mecanismos tradicionales de usuario y contrasea. Autenticacin fuerte: basada en la utilizacin de tcnicas de criptografa asimtrica y en el uso de certificados electrnicos. Tambin suele referirse a la combinacin de algo que el usuario posee (por ejemplo, una tarjeta electrnica) con algo que conoce (como las claves PIN).
5.1.3
Disponibilidad
La exposicin de las tecnologas inalmbricas a todo el espectro de frecuencia hace que esta dimensin sea especialmente importante en este entorno. Para garantizarla se recomiendan de forma genrica las siguientes medidas: Adoptar dispositivos de proteccin fsica de los puntos de acceso inalmbricos. Generar mecanismos de prevencin de ataques de denegacin de servicio (control peridico de los protocolos utilizados y recibidos por los puntos de acceso). 5.1.4 Confidencialidad Utilizar mecanismos que permitan cifrar la informacin para que no pueda ser utilizada por terceros, dadas las consecuencias de la exposicin al entorno de la informacin transmitida por una red inalmbrica. Para ello, se recomiendan una serie de mecanismos de cifrado: o Cifrado simtrico: algoritmo en el que la clave para cifrar es igual a la de descifrar. La seguridad del proceso depende del secreto de la clave, no del algoritmo. El emisor y el receptor deben compartir la misma clave, desconocida para cualquier otro individuo, para cifrar y descifrar. Cifrado asimtrico: algoritmo de cifrado que utiliza claves distintas para cifrar y descifrar. De estas dos claves, una es conocida (pblica) y la otra permanece en secreto (privada). Lo fundamental de este sistema reside en la confianza de que una determinada clave pblica corresponde realmente
105
INTECO: Recomendaciones para la creacin y uso de contraseas seguras. Disponible en http://www.inteco.es/Seguridad/Observatorio/Estudios_e_Informes/Notas_y_Articulos/recomendaciones_creacion_uso_cont
rasenas
Pgina 101 de 181
a quien proclama ser su propietario. Habitualmente, se utilizan diferentes pares de claves para distintos fines (firma electrnica, autenticacin electrnica, confidencialidad). o Definicin de funcin resumen o hash: funcin de un solo sentido que, a partir de una cadena de bits de longitud arbitraria, calcula otra, aparentemente aleatoria, de longitud fija, normalmente un resumen. Se utiliza principalmente en la creacin y verificacin de la firma electrnica. Certificado reconocido: certificados electrnicos expedidos por un prestador de servicios de certificacin que cumpla los requisitos establecidos en la Ley de Firma Electrnica 106 en cuanto a la comprobacin de la identidad y dems circunstancias de los solicitantes y a la fiabilidad y las garantas de los servicios de certificacin que presten.
En el trfico de correo electrnico se recomienda utilizar el estndar S/MIME v2 107 (o superior) para garantizar su seguridad. Sobre esta dimensin, es importante destacar que todas las tecnologas tienen ya definidas por defecto su mecanismo de cifrado, siendo Wi-Fi la nica sobre la que los usuarios pueden configurar el nivel de seguridad. Para aquellas tecnologas donde no se tiene la opcin de actuar, la alternativa ms recomendable es implementar las medidas de seguridad sobre el dispositivo para que la informacin ya viaje cifrada, Esto se explica con mayor detalle en el epgrafe 6. 5.1.5 Integridad
No existen soluciones especficas para mantener la integridad de la informacin para redes inalmbricas, no son diferentes de las soluciones inherentes a las redes fijas. En cualquier caso, debido a la facilidad de deteccin de las tecnologas inalmbricas, es recomendable utilizar un doble mecanismo. Por un lado, la definicin y aplicacin de procedimientos para evitar la instalacin de software no autorizado por la organizacin, y por otro, la disposicin de un certificado digital/firma digital. 5.1.6 No repudio
En el caso especfico de las tecnologas inalmbricas, el no repudio se evita aplicando un sistema de autenticacin que permita trazar quin se ha conectado. Para ello, se
106
Ley 59/2003, de 19 de diciembre, de Firma Electrnica. Disponible en
http://www.boe.es/boe/dias/2003/12/20/pdfs/A45329-45343.pdf S/MIMEv2 (Secure Multipurpose Internet Mail Extensin, version 2) o S/MIMEv3 IETF, la cual es el sucesor de normalizacin de la S/MIMEv2 protocolo desarrollado por RSA Inc. Utiliza los mecanismos criptogrficos especificados por CMS para garantizar mensajes con formato MIME.
107
Pgina 102 de 181
recomienda complementar el mecanismo de autenticacin con la creacin y el mantenimiento de un directorio de registro de acceso (log), que registre el momento (fecha y hora) en que un usuario o proceso accede a la red. 5.2 Soluciones por tecnologas inalmbricas
A continuacin se presentan las soluciones recomendadas para cada uno de los grupos de tecnologas inalmbricas identificados. 5.2.1 Tecnologa GSM/GPRS/UMTS/HSPA
Las soluciones para estas cuatro tecnologas se estudian juntas pues, al tratarse todas ellas de tecnologas gestionadas por operadores de telecomunicaciones y de largo alcance, las medidas de seguridad son similares. Control de acceso (CA) Todas estas tecnologas utilizan sistemas de control de acceso muy slidos basados en la existencia de una tarjeta SIM y su registro previo en los sistemas del operador. Es decir, el proceso de acceso a la red de un operador pasa por que sus sistemas de red reconozcan la identificacin generada por la SIM para autorizar su conexin. Por otro lado, esta forma de conectarse impide la suplantacin, al no publicar la SIM su identificador real, sino uno temporal utilizado nicamente durante la comunicacin establecida en ese momento. Tampoco es posible realizar una clonacin de SIM, pues dos tarjetas no pueden estar conectadas al mismo tiempo a una red de telefona. Actualmente no existen medidas al alcance del usuario y/o las pymes para incrementar la seguridad en las dimensiones definidas. Por lo tanto, los aspectos de seguridad especficos de las tecnologas suministradas por los operadores de telecomunicaciones son las referidas a la proteccin del dispositivo de acceso. Autenticacin (A) El registro previo de las tarjetas SIM por parte del operador, el hecho de que sean imprescindibles para establecer la comunicacin y la emisin del dispositivo de su identificador personal permiten asociar estos dispositivos a una persona fsica o jurdica. Si bien esto no es posible en el caso de los mviles prepago (por no requerirse la autenticacin del usuario en el momento del alta), en Espaa esta situacin cambiar en virtud de la Ley de Conservacin de Datos relativos a las Comunicaciones
Pgina 103 de 181
Electrnicas 108 , que obliga a las compaas a guardar los datos de usuarios y llamadas (salvo su contenido) y cederlos en investigaciones criminales. Confidencialidad (C) Los protocolos de transmisin de datos permiten, por una parte, la utilizacin de los mecanismos de cifrado propios del mundo IP (ssl, https, IPSec...). Cuando se trata de protocolos diseados especficamente para la telefona mvil, incorporan protocolos seguros asociados como, en el caso del WAP, el WTLS. Su utilizacin depende de cada operador, ya que es el encargado de operar la red. Disponibilidad (D) La disponibilidad se comprueba constantemente por los operadores, en base a la informacin transmitida por las antenas y el control que de ellas realizan. En caso de que alguna de las antenas quede inutilizada, se alarma al centro de operaciones de red, lo que les permite actuar para su reparacin. Normalmente, si una de las antenas sufre una cada por un ataque, es posible que el dispositivo siga funcionando si la antena ms prxima tiene cobertura suficiente sobre la zona afectada; la red est protegida y cualquier incidencia no afecta al funcionamiento general de la misma. Integridad (I) y no repudio (NR) En cuanto a la integridad, tal y como se describe en el epgrafe 5.1.5, no existen soluciones especficas para garantizarla. La aplicacin de soluciones para el no repudio se basa en las medidas de autenticacin disponibles y en el registro que todos los operadores realizan de las llamadas de los usuarios. 5.2.2 Tecnologa WiMAX
Aunque esta tecnologa comparte muchos de los ataques de la tecnologa WLAN, el anlisis de las soluciones se realiza por separado. Control de acceso (CA) y Autenticacin (A) El controlador de servicio AAA (Authentication Authorization Accounting) es una solucin para operadores que incluye la autenticacin, autorizacin y registro para la implantacin de servicios WiMAX. Este controlador cumple rigurosamente la norma establecida por la
108
Ley 25/2007, de 18 de octubre, de conservacin de datos relativos a las comunicaciones electrnicas y a las redes
pblicas de comunicaciones. Disponible en http://www.boe.es/boe/dias/2007/10/19/pdfs/A42517-42523.pdf
Pgina 104 de 181
especificacin 1.0.0. de la Fase 3 del Grupo de Trabajo en Redes del WiMAX Forum 109 , que contempla funciones como el mtodo de autenticacin EAP 110 , IP mvil y las derivaciones requeridas de adaptacin al WiMAX mvil. Confidencialidad (C) La seguridad WiMAX soporta dos estndares de encriptacin de calidad, DES3 y AES, que hacen que sea considerada una tecnologa de vanguardia. Bsicamente, todo el trfico en redes WiMAX debe ser encriptado empleando el Counter Mode con Cipher Block Chaining Message Authentication Code Protocol (CCMP), que utiliza AES para transmisiones seguras y autenticacin de la integracin de datos. La autenticacin end-to-end de la metodologa PKM-EAP es utilizada de acuerdo con el estndar TLS de encriptacin de clave pblica. Disponibilidad (D) Los operadores de servicio controlan constantemente la disponibilidad y correcto funcionamiento, en base a la informacin transmitida por las antenas y el control que de ellas realizan. En caso de que alguna de las antenas quede inutilizada, se alarma al centro de operaciones de red para que proceda a su reparacin. Integridad (I) y no repudio (NR) En cuanto a la integridad, tal y como se describe en el epgrafe 5.1.5, no existen soluciones especficas para garantizarla. La aplicacin de soluciones para el no repudio se basa en las medidas de autenticacin disponibles, en este caso, en el servidor AAA. 5.2.3 Tecnologa Bluetooth
La principal motivacin de esta tecnologa fue la creacin de un protocolo de comunicacin sencillo, rpido, gil, efectivo y barato, de corto alcance y que consumiese pocos recursos, por lo que inicialmente no se pens en ningn aspecto relativo a la seguridad. El gran xito de esta tecnologa y su uso frecuente hicieron necesario mejorar el protocolo para adaptarlo a los requisitos de seguridad . Por tanto, dependiendo de la versin de Bluetooth que se est utilizando, es posible que tenga o no unas medidas de seguridad implcitas. En este apartado se describen las medidas de seguridad necesarias para la versin ms antigua de Bluetooth.
109
Disponible en http://www.wimaxforum.org/technology/documents/WiMAXNetworkArchitectureStage2-3Rel1.0.0.zip Extensible Authentication Protocol. Protocolo que permite la autenticacin end-to-end y que se basa en protocolos
110
criptogrficos estndares.
Pgina 105 de 181
Control de acceso (CA) y autenticacin (A) En general, y tal y como se ha comentado anteriormente, existen varios niveles de implementacin del protocolo Bluetooth. El acceso a un dispositivo mediante esta tecnologa se realiza a travs de un proceso denominado emparejamiento. Para que un dispositivo pueda emparejarse a otro, se solicita una clave o cdigo PIN que debe ser introducido en ambos dispositivos. A partir de ese momento, el sistema solicita una aceptacin del. Para evitar el riesgo de captura del cdigo PIN durante la comunicacin, la mejor defensa es la longitud de dicho PIN, por lo que se recomienda utilizar claves alfanumricas de al menos ocho dgitos. Para evitar que se empareje un dispositivo no deseado se recomienda seguir las siguientes recomendaciones: No realizar emparejamientos en lugares pblicos. No aceptar ningn mensaje de conexin si no se reconoce el origen o la fuente Apagar la conexin Bluetooth cuando no se est utilizando para evitar ataques de intento de acceso. Configurar el dispositivo en modo oculto, reduciendo as las posibilidades de que un atacante detecte el dispositivo cuando escanee el entorno. No publicar un nombre identificativo del dispositivo que d pistas sobre el modelo y marca del mvil.
Disponibilidad (D) No hay soluciones especficas para garantizar la disponibilidad de una comunicacin Bluetooth ante ataques, ya que la emisin de esta tecnologa depende del dispositivo. Confidencialidad (C) El protocolo Bluetooth no cifra la informacin; por ello, para asegurar la confidencialidad de la informacin se hace necesario configurarlo desde el dispositivo y siempre despus de haber realizado un emparejamiento. Se recomienda tener siempre activada la opcin de cifrado en el dispositivo, aunque la implementacin del protocolo no est disponible en versiones antiguas. Integridad (I) y no repudio (NR)
Pgina 106 de 181
No hay mecanismos especficos para proteger la integridad de la informacin transmitida por Bluetooth. Tampoco hay soluciones especficas a los problemas de no repudio. 5.2.4 Tecnologa NFC
La tecnologa NFC acta a muy corta distancia, lo que le confiera unos niveles de seguridad en la transmisin muy robustos que se detallan a continuacin en base a las diferentes dimensiones de seguridad. Control de acceso (CA) En NFC no se accede a ninguna red, simplemente se intercambia informacin entre un receptor y un emisor. Autenticacin (A) La tarjeta o chip NFC integrado en el dispositivo almacena toda la informacin de autenticacin del dispositivo, por lo que a la hora de realizar una accin se tiene perfectamente identificada qu tarjeta o dispositivo ha emprendido la operacin. Disponibilidad (D) No hay soluciones especficas para garantizar la disponibilidad de una comunicacin NFC ante ataques, ya que la emisin de esta tecnologa depende del dispositivo emisor y receptor. Confidencialidad (C) La informacin a travs de NFC viaja cifrada. Este hecho, unido a la proximidad a la que se realizan las comunicaciones y a su corta duracin (slo se utiliza para el intercambio de datos), hace muy difcil que se puedan interceptar. En este caso, se recomienda como principal medida de seguridad (al igual que en el caso de las tarjetas de crdito) no perder de vista el dispositivo a la hora de realizar la actividad de aproximacin al medio de reconocimiento, y slo aceptar el mensaje de confirmacin si se est seguro de la legitimidad del punto de reconocimiento; si se tiene la sospecha de que ha sido manipulado, lo recomendable es dirigirse a otro punto ms cercano. Integridad (I) y no repudio (NR) No hay mecanismos especficos para proteger la integridad de la informacin que viaja a travs de una comunicacin NFC. Tampoco hay soluciones especficas a los problemas de no repudio.
Pgina 107 de 181
5.2.5
Protocolo WLAN, IEEE 802.11 o Wi-Fi
Sin lugar a dudas, esta es la tecnologa que permite ms opciones de configuracin del nivel de seguridad de la red, ms all de la proteccin del propio dispositivo. En funcin de las necesidades, la red Wi-Fi se puede dejar completamente abierta y sin cifrar para poder acceder a los recursos y datos fcilmente o hacer de ella un entorno muy seguro. Frente a las tecnologas NFC, Bluetooth y GSM/GPRS/UMTS/HSDPA, que no permite actuar a los usuarios sobre sus mecanismos de defensa, el Wi-Fi s ofrece esta posibilidad. Como consecuencia, las soluciones de Wi-Fi engloban, normalmente, ms de una de las dimensiones de seguridad, por lo que el anlisis se har en funcin del tipo de solucin, indicando en cada caso las dimensiones que protege. Protocolos de seguridad Todos los equipos que emiten seal Wi-Fi (routers o puntos de acceso, PC, etctera) permiten configurar el protocolo de seguridad con el que se quiere transmitir, permitiendo as cubrir las dimensiones de control de acceso, confidencialidad y, en algunos casos, autenticacin. Los diferentes protocolos existentes son: WEP (Wired Equivalent Privacy o Privacidad Equivalente al Cable). Fue el primer sistema de cifrado asociado al protocolo 802.11. Utiliza una clave simtrica. Se considera como el menos seguro de todos por su facilidad para romperlo, siempre y cuando la persona que quiera hacerlo tenga los conocimientos informticos adecuados. WPA (Wi-Fi Protected Access o Proteccin de Acceso Wi-Fi). Este protocolo, evolucin del WEP, es ms robusto. Fue diseado inicialmente como protocolo de autenticacin para paliar las deficiencias del cifrado WEP. Aunque su longitud de clave es menor que la de WEP, su mtodo de cifrado es ms robusto. WPA2 (Wi-Fi Protected Access o Proteccin de Acceso Wi-Fi, versin 2). Estndar basado en el IEEE 802.11i. Este mtodo es considerado bastante seguro, ya que utiliza el algoritmo de cifrado AES, por lo que su ruptura es bastante complicada. WPA PSK (Wi-Fi Protected Access Pre-Share Key o Proteccin de Acceso con Clave Precompartida). Segn las entrevistas realizadas, esta opcin de cifrado es la ms segura para una pyme o un particular. Este mtodo difiere del anterior en que existe una clave compartida por todos los integrantes de la red previamente a la comunicacin (desde la configuracin de los dispositivos). La fortaleza de la seguridad reside en el nivel de complejidad de esta clave.
Pgina 108 de 181
Cualquiera de estos protocolos de cifrado de datos y autenticacin de red se configura en dos pasos: En primer lugar, se debe configurar la clave en el router de acceso y, despus, en los dispositivos que vayan a utilizar la red. Es decir se debe a la configuracin del router mediante interfaz web, configurar la seguridad en la interfaz wireless y por ltimo elegir el cifrado del tipo de seguridad que se quiera tener. En WEP, se deber elegir entre una clave de 5 o 13 caracteres o una de 10 o 26 dgitos hexadecimales 111 , dependiendo de que se quiera una clave de 64 o 128 bits de longitud. En cambio, para una clave de la familia WPA, slo se necesita entre 8 y 63 caracteres o 64 dgitos hexadecimales. En segundo lugar, se deber hacer lo mismo en todos los dispositivos que se quieran conectar a la red, usando exactamente la misma configuracin que para el router. En general, los mtodos descritos solucionan muchos de los problemas de seguridad de varias dimensiones, ya que son protocolos de nivel de enlace y hacen posible securizar en primera instancia las comunicaciones inalmbricas, equiparndolas a las cableadas. Aun as, las soluciones ms potentes permiten solventar los ataques derivados del quebrantamiento de varias dimensiones, tales como la autenticacin, la confidencialidad, la integridad y algunos ataques a la disponibilidad. Como todas dependen de una clave compartida, en el momento en que sea conocida (por ser difundida o porque se conozca por ingeniera social o adivinacin) estas dimensiones dejarn de ser seguras. Autenticacin por MAC Estas opciones se pueden incrementar con una autenticacin por direcciones MAC, que consiste en dotar al punto de acceso de la red de una lista con las direcciones MAC de las tarjetas inalmbricas que pueden asociarse a dicho punto. Este mtodo se puede romper, pero para ello se necesitan conocimientos de informtica avanzados. Con esta solucin se preservaran las dimensiones de autenticacin y control de acceso. Servidor AAA (Authentication Authorization Accounting) En el caso de grandes empresas se pueden utilizar servidores de autenticacin centralizados, como Remote Authentication Dial-In User Service (RADIUS). Toda la infraestructura para disponer de un sistema con un servidor RADIUS forma parte del
111
Sistema de numeracin de base 16. El conjunto de sus nmeros van del 0 al 9 y de la A a la F.
Pgina 109 de 181
protocolo 802.1x. Con ello se conseguira solventar todos los problemas de seguridad de las redes inalmbricas asociados a la confidencialidad, autenticacin, accesibilidad e integridad. Proteccin de gestin de tramas o sistemas de identificacin de puntos de acceso no autorizados Esta solucin permite que la red detecte tramas spoofed (de spoofing) de puntos de acceso o usuarios que aparentan serlo. Ante esta situacin, el sistema, mediante una gestin inteligente de la red, es capaz de realizar las siguientes acciones de defensa: Identificar por triangulacin el posicionamiento fsico de dicho punto de acceso en un mapa de la empresa, de forma que puedan evitarse interferencias en la red. Evitar de forma proactiva que ningn ordenador u otro dispositivo de la empresa se conecte a ese punto no permitido, mediante el envo de mensajes de desconexin. El sistema global es capaz de recuperar la conexin de esos equipos a la red autorizada. Proteccin mediante firewall Existen soluciones para controlar, mediante el firewall, los ataques de malware a travs de un dispositivo. El sistema de proteccin es capaz de identificar el equipo del que proviene el ataque y dar una orden al punto de acceso para que proceda a su desconexin. Uso de NAC (Network Access Control) Los sistemas de autenticacin de dispositivos no slo permiten controlar quin se puede conectar, sino tambin desde qu dispositivos se puede realizar dicho acceso y si el dispositivo conectado cumple con las polticas de seguridad de la empresa (incluso puede denegar el acceso a un equipo autorizado que no cumpla dichas medidas). Contar con Virtual Private Network (VPN) Una red privada virtual es una tecnologa de red que permite una extensin de la red local sobre una red pblica o no controlada, como por ejemplo Internet. De esta forma, puede controlar quin y qu mquina se conect y el nivel de acceso. Para asegurar la integridad de la informacin, la VPN utiliza funciones de hash; los algoritmos hash ms comunes son los Message Digest, versiones 2 y 5 (MD2 y MD5), y el Secure Hash Algorithm (SHA). Para asegurar la confidencialidad, se hace uso de algoritmos de cifrado como el DES (Data Encryption Standard), Triple DES (3DES) y EAS (Advanced Encryption Standard).
Pgina 110 de 181
Otras medidas Apagar el acceso Wi-Fi cuando no se est utilizando, para evitar el riesgo de ataques innecesarios. Ocultar la publicacin del nombre de la red SSID para que no pueda ser identificada, aunque esto no evite que sea detectada.
Pgina 111 de 181
DISPOSITIVOS MVILES
Una de las principales ventajas asociadas a las tecnologas inalmbricas es su contribucin a la movilizacin de las comunicaciones. Para ello tambin es necesario contar con dispositivos pequeos y de fcil transporte que permitan el aprovechamiento de las ventajas de conexin que ofrecen estas tecnologas. Los dispositivos mviles se dividen principalmente en dos grupos: Dispositivos mviles bsicos, que permiten la recepcin y envo de llamadas, mensajes de voz y de texto. De ltima generacin o avanzados, que permiten trabajar bajo un sistema operativo (Pocket PC, Linux, Symbian, Palm OS, Windows Mobile o BlackBerry), funcionar como una agenda digital, recibir y enviar correos electrnicos, navegar por Internet mediante conexin GRPRS o Wi-Fi, conectarse va inalmbrica a otros dispositivos o reproducir vdeos, msica y capturar imgenes para enviarlas luego a otro dispositivo. Son, por ejemplo, las PDA, los mviles con acceso a servicios de correo electrnico, los porttiles y los PC de sobremesa. Los dispositivos mviles han pasado de ser simples terminales para la transmisin de voz a complejos dispositivos o smartphones que permiten ejecutar aplicaciones, disponen de un sistema operativo, tienen la capacidad de transmitir datos y/o correos electrnicos y son capaces de almacenar informacin. Todas estas nuevas funcionalidades los convierten en pequeos ordenadores personales, por lo que tambin heredan todos los posibles riesgos asociados a ellos: malware, prdida de informacin, etctera. Considerando esta realidad, junto con la caracterstica de la mayora de ellos de ser el principal medio de acceso y/o utilizacin de las tecnologas inalmbricas objeto de este estudio, los dispositivos mviles son tratados separadamente del anlisis global realizado. Adems, debido a su elevada penetracin y frecuencia de uso, el enfoque del anlisis de este captulo se centra en los dispositivos utilizados principalmente para la telefona, descartando los ordenadores porttiles, cuya problemtica es semejante a la de los PC de sobremesa. 6.1 Tendencias
El telfono mvil se ha convertido en una herramienta de comunicacin imprescindible en la nueva cultura del siglo XXI. Su ndice de penetracin ha crecido de forma espectacular en Espaa en los ltimos aos, como se puede ver en el Grfico 1, lo que ha permitido consolidarla como uno de los lderes mundiales en el uso de esta tecnologa.
Pgina 112 de 181
Segn la Encuesta sobre equipamiento y uso de tecnologas de la informacin y comunicacin en los hogares realizada por el INE 112 , el porcentaje de personas que utiliza el mvil en su vida diaria es del 83,3%.
Grfico 20: Porcentaje de persona que utilizan telfono mvil por edad
100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 10-14 57,7%
98,0%
96,3%
93,0% 84,6% 70,9%
48,6%
16-24
25-34
35-44
45-54
55-64
65-74
Fuente: INE (2007)
Hay que considerar que parte de la poblacin dispone de ms de un terminal (ver Grfico 2), normalmente uno particular y otro de empresa. La telefona mvil es, con diferencia, la tecnologa ms extendida, pero no todos los usuarios responden a ella de la misma manera. Como casi todos los avances tecnolgicos, es la juventud la que ms uso hace de ella, en una curva que decae segn avanza la edad. De mantenerse los actuales niveles de porcentaje de uso en las edades ms tempranas, la tendencia ser la de igualar las bandas superiores de edad al mismo porcentaje, a medida que se vaya produciendo el relevo generacional. Otro factor que hay que considerar en el avance del mvil es la sustitucin que se est produciendo de la telefona fija en los hogares espaoles (Grfico 3). De acuerdo con los datos del INE y extrayendo una evolucin temporal (ver Grfico 21), durante 2006 las viviendas que nicamente disponen de mvil han superado a las que nicamente tienen fijo, que caen por debajo del 11,0%.
112
Disponible en http://www.ine.es/jaxi/tabla.do?path=/t25/p450/a2006s2/l0/&file=04001.px&type=pcaxis
Pgina 113 de 181
Grfico 21: Porcentaje de hogares que disponen nicamente de un tipo de telfono
25% 23,2% 20% 21,3% 18,2% 17,0% 15% 13,4% 10% 8,8% 5% 8,1% 11,2% 10,6% 9,7% 15,5% 16,1%
0% 2003 2004 Mvil 2005 (primer semestre) 2005 (segundo semestre) 2006 (primer semestre) Fijo 2006 (segundo semestre)
Fuente: INE (2007)
Hasta ahora, la primaca de la lnea fija estaba motivada por la banda ancha. La ausencia de red de cable descartaba la posibilidad de una conexin a Internet a alta velocidad, pero esta realidad ha cambiado. Sin duda, 2006 ha sido el ao del 3G/UMTS, la telefona de tercera generacin. Adems, gracias a los beneficios que reporta el HSDPA, el acceso a Internet a travs de la telefnica mvil ir ganando adeptos en los prximos aos. Un estudio realizado por la Asociacin Espaola de Empresas de Consultora (AEC) 113 prev que casi la mitad de los usuarios se conectar a la red a travs de sus telfonos mviles en 2008. Como se ha mencionado en el epgrafe 3, en 2007 se vendieron 9,7 millones de terminales 3G con tecnologa UMTS, cifra que representa un 19,6% sobre el total de los clientes mviles (noviembre de 2007). Y aunque la evolucin de los diferentes tipos de terminales mviles es y ser exponencial, los telfonos mviles avanzados sern los futuros lderes.
113
Estudio sectorial de las telecomunicaciones, 2008. Disponible en
http://www.ae2010.es/Frontals/Detalle_Contenidos/_tYsBraNzHW4UHletc2j0wdIgmi35LQdoFJ8BtAbWx1M
Pgina 114 de 181
Figura 12: Evolucin de unidades vendidas por tipo de dispositivo
Unidades vendidas
USB / Tarjetas de memoria
BlackBerry Smartphones
Palm / PocketPC
Laptops
Desktops
1995
2000
2005
2010
Fuente: Basado en McAfee 114
De la evolucin de los propios dispositivos en el seno de las empresas (ver Grfico 6 y Grfico 7) y el uso que en las pymes se le da a la telefona mvil y a las redes inalmbricas (en parte por las posibilidades que ofrece para la mejora de los procesos de negocio) da cuenta el hecho de que, por ejemplo, ms de la mitad de las empresas las utilizan durante sus viajes de negocio (en concreto, en un 66,3% de las empresas los empleados se conectan a los sistemas TIC corporativos por redes telemticas externas; Grfico 22). A pesar del elevado porcentaje de penetracin el tamao de la empresa influye, una vez ms, en el uso que se da a estas redes externas: el 59,2% de las que tienen entre 10 y 49 empleados las utilizan, frente a un 75,8% de las empresas de entre 50 y 249 trabajadores y un 87,7%, en el caso de las organizaciones con ms de 250 empleados.
114
McAfee Mobile Security: Proteccin del dato y movilidad en Jornada Respuestas SIC. Ponencias puesto final mvil
corporativo. La seguridad en la ltima frontera, febrero de 2008, Madrid.
Pgina 115 de 181
Grfico 22: Empresas con empleados conectados por redes telemticas externas a las TIC corporativas durante viajes de negocio (% sobre el total)
60% 50% 40% 30% 20% 10% 0% Total De 10 a 49
59 ,2 %
70%
66 ,3 %
80%
De 50 a 249
76 ,8 %
90%
87 ,7 %
De 250 y ms
100%
Fuente: INE (2007)
En definitiva, y tomando en consideracin la situacin en los hogares y en las pymes, se prev una evolucin positiva de esta tecnologa, aunque es necesario tomar conciencia de la problemtica de la seguridad wireless. Segn Gartner 115 , las tecnologas clave de la telefona mvil de aqu a 2011 sern: Las redes 3,5G (redes de nueva generacin diseadas para obtener una mayor eficiencia en el uso del espectro para el transporte de voz y de datos de forma simultnea, con el fin de reducir costes de infraestructuras y aunar servicios de trfico de datos) y 3,75G (Long Term Evolution o LTE 116 ), as como las tecnologas del tipo Metro Wirelss Broadband, sobre todo la Wi-Fi Mesh o redes malladas, consistente en la creacin de reas de cobertura en espacios abiertos mediante equipos de radio (nodos). La tecnologa WiMAX alcanzar los 60 millones de usuarios en 2010, y se espera que en 2012 se vean los primeros despliegues de la tecnologa 4G.
115
Wireless & Mobile Summit 2007. Disponible en http://www.gartner.com/2_events/conferences/emob7i.jsp
3GPP Long Term Evolution (LTE) es el nombre dado al proyecto de 3GPP para mejorar el estndar UMTS para hacer frente a las futuras necesidades. Estas mejoras son el aumento de la eficiencia, la reduccin de los costes, la ampliacin y mejora de los servicios prestados y una mayor integracin con los protocolos ya existentes.
116
Pgina 116 de 181
La tecnologa Bluetooth tambin gozar de un lugar privilegiado. En cuanto a los terminales, se confirma el dominio de los dispositivos destinados al gran pblico frente a los especializados para profesionales (uno de cada diez).
Los smartphones abarcarn ms del 60,0% del mercado de la telefona mvil en 2010 en Europa, con una aceleracin de la disponibilidad de nuevas funciones en los terminales mviles (msica, vdeo, DRM 117 , etctera). Ms de la mitad de las empresas destinarn ms del 5,0% de sus presupuestos para TIC a las tecnologas mviles de aqu a 2009.
Por tanto, actualmente se est ante un fenmeno globalizado de movilizacin de las comunicaciones, de forma que cada vez ser ms sencillo y habitual disponer de una conexin inalmbrica en cualquier lugar y a cualquier hora. 6.1.1 Cifras relacionadas con la seguridad
De las entrevistas realizadas se desprende que la mayora de las empresas espaolas subestiman o simplemente no conocen las amenazas derivadas del uso inadecuado de los dispositivos mviles. Esta conclusin tambin se podra extraer del escaso nmero de denuncias por robo y de la escasa difusin de los problemas originados. El anlisis se centra en el robo de los dispositivos, con la consiguiente prdida de datos y el coste que supone recuperarlos, y en el dao que pueden ocasionar las infecciones por ataques de virus. Una aproximacin muestra que un 28,0% de ejecutivos espaoles perdieron alguno de estos dispositivos durante 2007, segn datos de un reciente estudio de mercado encargado por Toshiba a Dynamic Markets sobre el comportamiento de los ejecutivos con sus agendas electrnicas, PDA o smartphones en el ao 2006 118 . El estudio demuestra adems que la medida de seguridad que los ejecutivos consideran ms prctica y efectiva para mantener la informacin de negocios a salvo es el reconocimiento dactilar (26,0%). Por ltimo, el 72% de los ejecutivos afirma que para evitar cualquier prdida protegen la informacin almacenada en sus dispositivos con una contrasea. Por otro lado, la Red de Tecnologa de Wisconsin estima que en 2007 ms de 250.000 telfonos mviles y dispositivos porttiles se extraviaron en aeropuertos en Estados Unidos, de los que solamente el 25-30% fue devuelto a sus dueos. Las autoridades del
Digital Radio Mondiale o DRM es un estndar de radiodifusin sonora de radio digital desarrollado por el Consorcio Digital Radio Mondiale para mejorar la calidad de las transmisiones analgicas de la radio en las bandas de amplitud modulada.
118
117
Disponible en http://www.terra.es/tecnologia/articulo/html/tec15650.htm
Pgina 117 de 181
metro de Londres informan de que alrededor de 100.000 dispositivos son encontrados en sus subterrneos cada ao. Adems, numerosos usuarios no tienen conciencia de los enormes riesgos inherentes a los dispositivos mviles. En 2007, InsightExpress realiz una encuesta online, encargada por Cisco Systems y la Alianza Nacional de Seguridad Ciberntica (NCSA) entre 700 trabajadores de siete pases que usaban estos dispositivos, y descubri que el 73,0% de los usuarios no tena conciencia de los riesgos de seguridad y las mejores prcticas para evitarlos 119 . Segn Jack Heine, analista de Gartner, el costo de cada telfono mvil o PDA no recuperado es de 2.500 dlares debido a los datos que contiene. Gartner anuncia que las empresas con ms de 5.000 empleados podran ahorrar entre 300.000 y 500.000 dlares por ao identificando y siguiendo los dispositivos 120 . Otro de los riesgos inherentes a la prdida o robo de los dispositivos es el robo de los datos. El riesgo de robo de datos es creciente; as lo manifiestan entidades como Identity Theft Resource Center (ITRC) 121 , que afirma que 19 personas son vctimas de robos de identidad cada minuto debido a la fuga de datos ocasionados por el robo de PDA 122 . Otras fuentes, como el Ponemon Institute, sealan que durante un periodo de tres aos, 217 millones de americanos fueron vctimas de robos de identidad o estuvieron expuestos a los mismos 123 . En cuanto a los virus o malware que afectan a este tipo de terminales, datos de un reciente estudio de Informa Telecoms & Media esponsorizado por McAfee 124 sealan que, en el ao 2007, el 83,0% de las 200 operadoras de telefona mvil encuestadas haba sido afectado por diferentes problemas e infecciones. El nmero de incidentes es an muy bajo y afecta a pocos usuarios, si bien en 2006 fue de cinco veces mayor que en 2005; el coste para hacer frente a las amenazas fue de ms de mil horas de trabajo, lo que supuso un incremento de un 700%.
119
Disponible en http://newsroom.cisco.com/dlls/2007/prod_082107b.html
Jack Heine: Cul es el costo de telfonos y PDA perdidos?. Disponible en http://www.techweb.com/wire/story/TWB20010425S0006

121
120
Disponible en http://www.idtheftcenter.org/index.html Disponible en http://www.idtheftcenter.org/artman2/publish/v_fact_sheets/Fact_Sheet_104.shtml GRUPO SIA: La seguridad en el puesto final mvil corporativo: estrategias y estado del arte. en Jornada Respuestas
122
123
SIC. Ponencias puesto final mvil corporativo. La seguridad en la ltima frontera. Febrero de 2008, Madrid. Nota de prensa del estudio disponible en http://www.mcafee.com/us/about/press/corporate/2007/20070212_120001_b.html. El estudio est disponible en http://www.mcafee.com/us/enterprise/products/mobile_security/index.html
124
Pgina 118 de 181
A pesar de estas cifras, y segn un reciente informe de G DATA, la tendencia en el desarrollo de nuevas amenazas por parte de la industria del malware dirigidas a los dispositivos mviles est a la baja. En 2006, las incidencias registradas ascendieron a 73, en 2007 la cifra slo llego a 22 y entre enero y febrero de 2008 slo se han desarrollado seis nuevas amenazas. En la actualidad, segn afirma el director del laboratorio de seguridad de G DATA Ralf Benzmller 125 , tan slo existen 101 virus que afectan a este tipo de dispositivos y ninguno de ellos presenta un potencial daino destacable. No obstante, segn un estudio realizado por SearchMobileComputing 126 sobre los aspectos ms importantes para las organizaciones en materia de seguridad mvil, el tema de los virus slo preocupa al 42,5% de los encuestados (ver Grfico 23). La preocupacin recae principalmente en la prdida o robo de dispositivos mviles (87,5% de los participantes), el acceso no autorizado a la red (65,0%) y el robo de datos en reposo (47,5%).
Grfico 23: Cules son los aspectos ms importantes para su organizacin en materia de seguridad mvil?
100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% Prdida o robo Acceso no Robo de datos de dispositivos autorizado a la en reposo mviles red Virus Robo de datos Incumplimento por el aire de normativas
Fuente: Estudio 2007, SearchMobileComputing.com
Dados los graves impactos que podran generar a las personas y compaas la prdida o el dao de este tipo de dispositivos, la necesidad de protegerlos resulta cada vez ms importante.
125
Benzmller, R.: El miedo: el malware ms daino en seguridad mvil. Revista Auditoria y Seguridad, mayo de 2008. Disponible en http://www.revista-ays.com/DocsNum22/Tribuna/Ralf.pdf Lpez Rebollal, E. y Jarauta Snchez, J. : Seguridad en entornos mviles corporativos. Revista Seguridad en
126
Informacin y comunicaciones (SIC), abril de 2008. Disponible en http://www.sia.es/noticias/SIC79_082-088.pdf
Pgina 119 de 181
6.2
Problemas de securizacin: vulnerabilidades y consecuencias
Considerando las caractersticas propias de estos dispositivos, junto con la importancia que tienen en la sociedad actual, y siguiendo con la estructura de anlisis de la problemtica de las tecnologas inalmbricas, se ha definido una dimensin de seguridad denominada proteccin del dispositivo. Es una realidad que el nmero de trabajadores mviles de las empresas est en continuo crecimiento, como confirma el estudio elaborado por IDC por encargo de Nokia Situacin y tendencias de movilidad en Espaa 2007 127 . Segn el mismo, 8,5 millones de espaoles cumplen con esta condicin, por lo que necesitan un telfono mvil o un porttil con conexin a Internet para llevar a cabo su actividad laboral; de ellos, 230.000 se conectan a Internet utilizando un dispositivo mvil. El informe revela que un 50% de las grandes empresas implementa una estrategia de movilidad, porcentaje que desciende al 40-45% en el caso de las medianas y al 35% en el de las pequeas 128 . La movilidad se constituye en un elemento que reporta importantes ventajas en el mbito profesional y personal de los individuos; de hecho, uno de los factores clave en el xito de la movilidad en las comunicaciones es la capacidad para conciliar la vida profesional y personal como consecuencia de la inmediatez. La mejora en los anchos de banda y las coberturas territoriales ha permitido un crecimiento exponencial de la tecnologa mvil en los ltimos aos, masificando el mercado y generando nuevas aplicaciones y servicios asociados a estos dispositivos. A pesar de estas ventajas y de la actual tasa de penetracin de los dispositivos mviles, estos tienen asociados vulnerabilidades o riesgos que afectan a su funcionamiento y a la informacin almacenada en ellos. La mayor parte de las organizaciones no estn suficientemente preparadas para afrontar estos riesgos, en parte porque la penetracin del uso de dispositivos mviles ha estado impulsada por los propios usuarios, y porque su diversidad hace muy difcil su tratamiento homogneo: en la mayora de los casos existen polticas de seguridad bsicas que impiden mantenerlos en entornos seguros 129 . En un primer momento, en el que el servicio bsico mvil era la comunicacin por voz, la disparidad de modelos no representaba ningn problema para los profesionales, pero ahora que las posibilidades de comunicacin van ms all, empieza a ser un punto delicado.
127
Disponible en http://media.noticias.com/static/tendenciasmovilidad.pdf
Grau, J.: La integridad de la red y de la informacin corporativa en las comunicaciones mviles. Revista Auditoria y Seguridad (SIC,) mayo de 2008. Disponible en http://www.revista-ays.com/DocsNum22/PersEmpresarial/Grau.pdf.
129
128
Lpez Rebollal, E. y Jarauta Snchez, J. Op. cit. 126.
Pgina 120 de 181
El motivo principal es la velocidad de cambio de los terminales, seguida del hecho de que un porcentaje importante de estos terminales se adquieren de forma personal y con un uso compartido. Por ejemplo, las PDA adquiridas por los empleados son utilizados para recibir correos electrnicos, pero a nivel particular utilizan el GPS, la agenda para contactos personales, la cmara fotogrfica, etctera. En el caso de las PDA, como se puede ver en la siguiente figura, el problema se origina al ser mecanismos puentes para el acceso a las redes corporativas, como transmisoras de virus y malware, acceso VPN imperdonado, fuga de informacin confidencial o robo de credenciales.
Figura 13: Fuentes de infeccin de dispositivos mviles
Virus informtico Conexin P2P Bluetooth
Acceso WIFI-LAN
Red comunicaciones SMS, MMS, WAP
Sincronizacin PC Tarjeta de memoria
Red comunicaciones web, correo mvil
Fuente: INTECO
Bajo esta premisa y desde la perspectiva de la seguridad, la mayora de empresas y los individuos no conocen o subestiman las amenazas o riesgos asociados a las tecnologas mviles. La probabilidad de prdida de los dispositivos es cada vez ms elevada, as como el acceso sin autorizacin, la amenaza constante de dispositivos infectados por la generacin de virus o cdigos maliciosos (malware) y la fuga y prdida de informacin. Estas amenazas son inherentes a los propios dispositivos, dado que utilizan la amplia gama de posibilidades de comunicacin (GPRS-UMTS, Bluetooth, WLAN), como vectores de ataque e introduccin de virus y malware. En definitiva, hay que abordar la seguridad considerando la movilidad como un servicio en que el dispositivo es un elemento ms de la cadena de uso. Segn David Fernndez,
Pgina 121 de 181
director de la divisin de movilidad de Microsoft 130 , hay niveles de seguridad implementados en los dispositivo (acceso, uso, instalacin de aplicaciones, etctera), seguridad de la red y seguridad como extensin de las polticas ya existentes en las empresas. Los ataques relacionados con los dispositivos de seguridad se reflejan en la siguiente tabla.
Tabla 28: Ataque a la proteccin de dispositivos Ataques
Robo/prdida/ dao
Descripcin
Consiste en robar el dispositivo de acceso con o sin violencia, o simplemente perderlo o daarlo. Por ejemplo, un asaltante podra acceder a los mismos recursos y a la misma informacin que el dueo legtimo del dispositivo. En caso de prdida o dao, el usuario podra no disponer de la informacin relevante contenida en el dispositivo. Consulta de informacin disponible sin autorizacin del propietario. Se podra realizar simplemente si un usuario se ausenta de su puesto de trabajo y deja sin bloquear la PDA. Infeccin de los dispositivos mediante software con intenciones no claras para el propietario. Se suele asociar principalmente a la introduccin de un virus o un programa espa.
Fuente: INTECO
Acceso no autorizado
Malware
Robo/prdida/dao La naturaleza de estos dispositivos los convierten en objeto de posibles sustracciones por individuos que deseen los propios aparatos o busquen en ellos la informacin que almacenan. Adems, en la mayora de los casos al inters por el propio dispositivo se une el deseo por obtener informacin personal, crediticia y/o bancaria, o corporativa de la empresa en la que el individuo trabaja. Numerosos telfonos avanzados (smartphones) ofrecen importantes capacidades de almacenamiento, conexiones Bluetooth, Wi-Fi y 3G con tasas de transferencia de datos de alta velocidad. Por ello, es mucha la informacin que un solo dispositivo puede contener. Adems, en la medida en que cada vez ms empleados fuera de la oficina acceden a aplicaciones esenciales a travs de pequeos dispositivos, los datos corporativos son susceptibles de prdida, robo o dao son cada vez ms.
130
Seguridad en entornos mviles. Revista Auditoria y Seguridad (SIC), mayo de 2008. Disponible en http://www.revista-
ays.com/DocsNum22/PersEmpresarial/Fernandez.pdf
Pgina 122 de 181
Algunas empresas entrevistadas durante el desarrollo de este estudio han sealado que el nmero de vctimas de estos ataques se mantiene relativamente estable, aunque eso no significa que no se deban tomar medidas al respecto. La divulgacin de datos perdidos o robados de una empresa, sumada al aumento de los robos de dispositivos mviles, hace de ello preocupacin pblica, ya que afecta a los ciudadanos tanto en el plano personal como en el profesional y a las empresas en general. Por este motivo, los individuos y las organizaciones deben ser conscientes de esta realidad y tomar medidas de proteccin al respecto que pasan por el control de accesos, la recuperacin de datos y el cifrado de la informacin confidencial. Acceso no autorizado Por las propias caractersticas de los dispositivos mviles, el acceso no autorizado puede producir importantes daos a los individuos y a las organizaciones. Los ataques externos son caros y arriesgados, por lo que los cibercriminales optan por explotar las debilidades problemas internas de las organizaciones para conseguir la informacin que necesitan. Segn datos de Trend Micro 131 , ms del 80% de las fugas de informacin en las compaas responde a problemas internos ocasionados por polticas de seguridad insuficientes, originadas principalmente por: La falta de capacitacin bsica a los empleados en riesgos de seguridad TIC. El incremento del nmero de usuarios con permisos de acceso excesivos. El trnsito de la informacin confidencial a travs de la red sin el amparo de infraestructuras de seguridad corporativa. La prdida de informacin por terceras partes relacionadas con la compaa.
Para evitar este tipo de ataques se requerirn polticas y procedimientos adecuados. Afortunadamente los criterios recogidos en la ISO 27000 sobre Sistemas de Gestin de Seguridad de la Informacin (SGSI) son perfectamente vlidos para encarar estas necesidades. Pasan, en primer lugar, por la revisin de las polticas de seguridad y la preparacin y revisin de los procedimientos que aplican.
131
Lpez Rebollal, E. y Jarauta Snchez, J. Op. cit. 126.
Pgina 123 de 181
Malware Con ms de 2.500 millones de usuarios de mviles en el mundo y cerca de 1.000 millones de envos de dispositivos mviles en 2006, los servicios para mviles se estn expandiendo con funcionalidades diversas y, a un tiempo, el entorno mvil se est convirtiendo en objetivo de ataques maliciosos. Los cdigos malware para dispositivos mviles funcionan de manera anloga a como lo hacan con los ordenadores porttiles hace unos aos (red, correo, spam, descargas), pero su nivel de avance en este caso es 10 veces superior 132 , lo que tambin se ve incrementado por el uso particular que hacen los empleados de los mviles corporativos. Las caractersticas propias del malware para dispositivos mviles son: Se utilizan comnmente los SMS y MMS como mecanismos de propagacin. Cualquier usuario podra recibir un supuesto ringtone o cualquier otro elemento que puede resultar ser malware. En este caso, el usuario debe encontrarse dentro de la cobertura de los servicios mviles de su proveedor o recibir el virus a travs de alguno de sus contactos que ya est afectado. Otra posible va de difusin de los virus es la sincronizacin de los dispositivos va puerto USB. La posibilidad de combinar el uso personal y profesional en los dispositivos. De esta forma, los ataques de efecto social (como los contactos asociados al dispositivo) pueden ser ms efectivos. Los efectos generales ms comunes del malware para mviles, segn PandaLabs 133 , son los siguientes: Mal funcionamiento del dispositivo, al bloquearse el telfono mvil. Prdida de productividad por agotamiento de la batera. El atacante juega con el estado de encendido o en espera del terminal mvil de la vctima, mediante el envo continuado de mensajes con datos basura que consiguen que el telfono salga del modo standby para tratar de determinar si el mensaje recibido es vlido. Con el cambio constante de estado entre encendido y en espera, la batera se va agotando a un ritmo veinte veces superior al normal.
132
Kay Miller, S.: Defending mobile devices from viruses, spyware and malware, 2007. Disponible en http://searchsecurity.techtarget.com/generic/0,295582,sid14_gci1220595,00.html El adware ha sido el tipo de malware que ms ordenadores ha infectado durante el primer trimestre de 2008, marzo de
133
2008. Disponible en http://www.pandasecurity.com/spain/homeusers/media/press-releases/viewnews?noticia=9196
Pgina 124 de 181
Costes indeseados originados por el envo de SMS a nmeros de tarificacin especial.
Prdida de datos e informacin tras un borrado de carpetas o de mensajes. Robo de datos confidenciales, como los nmeros de telfono de la agenda, los SMS u otra informacin sensible que pueda haber almacenada en el dispositivo.
En el mbito de los fabricantes, operadores mviles, empresas y usuarios, las consecuencias podran ser las siguientes:
Tabla 29: Consecuencias relacionadas con la vulnerabilidad de los dispositivos Fabricantes dispositivos
Operadores mviles
Empresas
Usuarios
Costes de devolucin Prdida de imagen, de los dispositivos descontento del cliente e infectados. inestabilidad de los clientes. Dao a la imagen y reputacin de la Minutos facturables empresa en el perdidos en los mercado. dispositivos infectados por virus.
Prdida de productividad Dispositivo inutilizable. del empleado. Prdida de Impacto en la productividad. productividad global de la empresa. Prdida de informacin personal valiosa e Costes de reponer o de informacin en general. reparar el dispositivo. Devolucin del Llamadas al servicio de Riesgo de prdida de dispositivo para su atencin al cliente por la datos. reparacin o solicitud de infeccin o sus un nuevo dispositivo consecuencias. Servicio interrumpido (por ejemplo, ataque de denegacin de servicio va SMS).
Fuente: Trend Micro
Basndose en la clasificacin ISO 18028-2:2006, los expertos y los entrevistados concluyen que las consecuencias personales y profesionales generales de estos ataques podran ser las siguientes: Destruccin de la informacin u otros recursos. Modificacin o corrupcin de informacin. Robo, borrado o prdida de informacin y otros recursos. Revelacin de informacin por personas no autorizadas.
Pgina 125 de 181
6.3
Soluciones de seguridad
En este apartado se describen las medidas y soluciones de seguridad existentes para proteger los dispositivos mviles en s, independientemente de la tecnologa inalmbrica que utilicen. Todas las soluciones indicadas podrn ser implantadas en mayor o menor medida en funcin de la capacidad de procesamiento del terminal o dispositivo utilizado. 6.3.1 Polticas de gestin de asignacin de perfiles de usuarios
El parque de mviles en las empresas est creciendo cada da ms, lo que conlleva una gestin bastante ms difcil y compleja. Los motivos de este aumento son el abaratamiento de los terminales y de las tarifas y la facilidad y la conveniencia del uso de estos dispositivos para desarrollar un trabajo cada da ms competitivo. Adicionalmente, los empleados utilizan en numerosas ocasiones los mviles de la empresa para fines particulares, por lo que es ms necesario que nunca establecer mecanismos de control sobre ellos. Por regla general, no existen medidas concretas para evitarlo, pero s para controlarlo y evitar as riesgos de seguridad. En general, unas buenas prcticas en seguridad para entornos mviles incluyen las siguientes acciones: Actualizar la poltica de seguridad. Elaborar una gua de buenas prcticas para usuarios, prestando especial atencin a la formacin y concienciacin. Establecer una poltica de realizacin de copias de seguridad peridicas (anuales, semestrales, mensuales, semanales y diarias, segn el volumen de los datos). Implantar mecanismos de reinicio y borrado remoto de los dispositivos. Aplicar el control de acceso a los dispositivos para prevenirlos del uso inadecuado por usuarios no legtimos. Realizar una gestin centralizada de los dispositivos. Cifrar los datos sensibles corporativos o personales para favorecer la confidencialidad. Establecer una proteccin antimalware. Gestionar un control de polticas de puntos de acceso.
Pgina 126 de 181
Prevenir las fugas de informacin.
A continuacin, se identifican las soluciones ms habituales para la resolucin de problemas de seguridad y de gestin en dispositivos mviles. Sistemas de gestin centralizada de dispositivos Estn basados en procesos automticos que, de un modo flexible y rentable, permiten controlar y administrar recursos mviles minimizando los costes administrativos destinados a TIC. Estos controladores suelen ser compatibles con un alto espectro de plataformas para dispositivos mviles y para ordenadores de sobremesa y porttiles. Con esta solucin se puede mantener el control de todos los dispositivos mviles y su informacin de forma centralizada, permitiendo as una mayor eficiencia a la hora de gestionarlos. Las principales caractersticas de estos sistemas son: Control del inventario de terminales mviles de la empresa. Bloqueo y borrado remoto de informacin en caso de prdida o robo del terminal mvil. Los dispositivos ms modernos incluyen cliente OMA MD (Open Mobile Alliance Device Management), que permite varias funciones bsicas de gestin, entre ellas la reinicializacin de los dispositivos. Control remoto del software instalado por los usuarios y borrado si no cumple con las polticas de seguridad establecidas por la empresa. Aplicacin de las polticas de seguridad de los sistemas operativos, desde el control de permisos a los usuarios hasta la denegacin de acceso a determinados entornos o reas privadas. En este caso, la recomendacin efectuada por las empresas entrevistadas es la utilizacin del software original, de forma que se puedan realizar las actualizaciones de seguridad pertinentes, adems de poder recurrir a los departamentos de TIC si fuera necesario. Estas polticas pueden incluir mecanismos que obliguen a los usuarios a aplicar las medidas ms habituales para securizar un dispositivo mvil, como los cdigos de acceso al dispositivo, la realizacin de copias de seguridad peridicas y la encriptacin de la informacin. Los dispositivos de acceso a redes inalmbricas son el activo sobre el que ms capacidad de accin y configuracin de la seguridad tienen los usuarios, por lo que se recomienda ser prudente y aplicar las mejores soluciones para trabajar de forma segura en un entorno inalmbrico.
Pgina 127 de 181
NAC (Network Access Control) Esta solucin trabaja principalmente en la dimensin de la autenticacin y se puede encontrar, principalmente, como una opcin dentro de paquetes comerciales de algunos antivirus. El NAC est orientado a detectar la existencia de malware activo en un terminal para evitar que pase a la red. As es posible controlar y gestionar la autenticacin tanto del usuario como del dispositivo. La fortaleza de esta solucin radica en la posibilidad no slo de identificar el dispositivo, sino tambin de diagnosticar si cumple con los requisitos y polticas de seguridad establecidas a priori por el propietario (la empresa). En caso de no cumplir con estos requisitos, el sistema obliga al dispositivo a actualizarse antes de conectarse a la red, pudiendo llegar incluso a denegarle el acceso. Existen tambin sistemas de proteccin perimetral asociados al NAC en los que las conexiones ya no slo pasan a travs de firewalls, sino que tambin incorporan soluciones tipo IDS (sistema de deteccin de intrusos) o IPS (sistema de prevencin de intrusos) para detectar ataques y anticiparse a ellos. Adems, se puede utilizar un SCM (Secure Content Management) para paliar el malware, el spam y filtrar la navegacin web. La unin de todo ello con una capa de VPN (Virtual Private Network o tnel de cifrado) representara una solucin bastante poderosa en la proteccin de los dispositivos. Adems, el sistema NAC permite controlar y detectar el software instalado en un dispositivo, determinar si est permitido o no y, en el ltimo caso, desinstalarlo en remoto. A este respecto, existen dos filosofas en cuanto a la proteccin de dispositivos: una de ellas consiste en mantener una lista blanca de aplicaciones que se pueden ejecutar, y la otra, opuesta, en mantener una lista negra con las que no tienen permiso. Algunos fabricantes recomiendan la primera de ellas, ya que mantiene la seguridad desde el dispositivo hacia la red, el exterior. Soluciones para mantener la privacidad de los datos almacenados en las PDA y telfonos inteligentes Tanto las agendas electrnicas o PDA como los telfonos de ltima generacin se caracterizan por disponer de una gran capacidad de cmputo y almacenamiento de datos. Por ello suelen contener informacin empresarial o particular de elevado valor y, en algunos casos, de carcter confidencial para sus propietarios, quienes pierden el control sobre ella en el momento en que extravan el dispositivo mvil o son vctimas de un robo. Adems, ciertas aplicaciones, como el correo electrnico, dificultan el
Pgina 128 de 181
seguimiento de la informacin almacenada. Todo esto puede llegar a ser un foco de riesgo para los negocios y los particulares. Para solventar los problemas mencionados anteriormente existen soluciones que actan de forma directa sobre la informacin, protegiendo la propiedad intelectual empresarial y el resto de datos almacenados en el dispositivo mediante una combinacin eficaz de productos de cifrado. Estas soluciones son capaces de funcionar sobre varios sistemas operativos (Symbian, Pocket PC, Windows Mobile Smartphone y Palm). Estas herramientas hacen que la informacin sea ilegible por terceras personas mediante la aplicacin de algoritmos de cifrado. Soluciones para la autenticacin de informacin en la red Los autenticadores suelen ser llaves que se conectan a los dispositivos mviles y son capaces de generar claves para cifrar informacin. Son mecanismos extremadamente fciles de utilizar y llevan asociado un alto grado de seguridad. Entre los posibles usos de estos mecanismos est la ayuda a las empresas a proteger informacin privada a travs de la gestin de las identidades de los usuarios o mediante la firma de transacciones. 6.3.2 Polticas de gestin de riegos y actuaciones en caso de sustraccin o extravo Polticas de gestin de riegos Por parte del departamento de IT, la prevencin y el control de riesgos en entornos mviles se basa en los mecanismos de seguridad tradicionales, como las polticas de seguridad. Estas se deben definir para que minimicen todos los posibles acontecimientos que interrumpan la actividad normal de una empresa. Slo un reducido nmero de organizaciones dispone de polticas de seguridad que consideren los riesgos de los dispositivos mviles. No obstante, son el primer paso para securizar los entornos mviles, por lo que deben llevarse a cabo en base a: Las necesidades de movilidad de los usuarios y de los propios dispositivos. Las polticas han de poder responder a los siguientes interrogantes. o o Quin: usuarios y grupos de usuarios del dispositivo. Qu: acciones realizadas con los dispositivos: emisin y recepcin de emails, actualizacin, descarga, etctera. o Sobre qu: ordenadores o dispositivos mviles, o grupos de ellos.
Pgina 129 de 181
Dnde: qu reas, dnde estn, servidores de datos, de aplicaciones, pantallas tctiles, dispositivos, control de redes, etctera.
Las necesidades de acceso a las redes, sistemas o datos. o Redes: qu redes, quin puede acceder, con qu permisos, para hacer qu. Sistemas: qu sistemas, con qu permisos. Datos: quin puede leer, modificar, escribir o borrar qu datos.
o o
Las acciones que estn permitidas y las que estn expresamente prohibidas (lista blanca y lista negra).
La especificacin de las medidas de seguridad que se tienen que llevar a cabo para tratar de alcanzar las mejores prcticas en este aspecto dentro de la empresa. Para ello, se recomienda dentro de la organizacin 134 : o Incrementar los conocimientos sobre la naturaleza de los diferentes riesgos. Determinar el impacto cuantificado de la prdida de informacin o de los problemas para acceder a sus aplicaciones. Conocer las herramientas disponibles para gestionar los riesgos informticos. o o Ajustar la gestin de riesgos IT al valor de la corporacin. Crear una capacidad sistemtica y corporativa para gestionar los riesgos a la seguridad.
Los procesos de formacin y de auditora. La mejor defensa, sin ningn tipo de duda, es una buena formacin por parte del usuario. A su vez, los procesos de auditora interna y la obligacin de cumplir determinados requisitos de seguridad pueden ayudar a establecer una foto del estado de la seguridad dentro de la empresa, y con ella, ayudar a mejorarla en un proceso continuo.
134
Fuertes, L.: Gestin de riesgos IT. Cmo implantar las mejores prcticas.
Pgina 130 de 181
Actuacin en caso de prdida o sustraccin del dispositivo El riesgo ms frecuente, cuando se utilizan dispositivos mviles, es su prdida o sustraccin. En esta situacin se debe actuar segn la poltica de seguridad de la empresa o de la compaa de telecomunicaciones que presta el servicio. En cualquier caso, y con carcter general, los pasos ms habituales son: Presentar una denuncia ante la polica, informando del hecho. Informar al departamento de IT, si el dispositivo es gestionado por el mismo, para que proceda segn lo establecido. Si dispone de sistemas de proteccin y gestin de dispositivos, los pasos normales seran: o o o Bloqueo del dispositivo. Borrado remoto de la informacin contenida en el dispositivo. Recuperacin de la informacin perdida en un nuevo dispositivo.
Ponerse en contacto directamente con el operador de telecomunicaciones que proporciona el servicio, si ese dispositivo no es gestionado por ningn departamento de IT, para solicitar el bloqueo del terminal. Para ello ser necesario disponer del cdigo IMEI 135 , habitualmente impreso en la parte posterior del equipo, bajo la batera, o marcar la secuencia *#06# para que aparezca en la pantalla. En caso de prdida o robo, este es el dato fundamental que hay que proporcionar al operador de telefona mvil para que bloquee el terminal y no se pueda volver a utilizar, con independencia de la tarjeta SIM que se pretenda utilizar 136 .
6.3.3
Polticas de recuperacin de la informacin ante contingencias
El mecanismo ms extendido para solucionar problemas de prdida de informacin es la definicin de polticas de copias de seguridad o backup. Se suelen establecer en funcin de las necesidades de cada usuario/empresa pero, en general, se recomienda que tengan la suficiente frecuencia para no ocasionar un grave perjuicio a la empresa, en el supuesto de perder toda o parte de la informacin. El otro aspecto clave es que el lugar, soporte o medio en el que se realice el backup o copiado de la informacin, que debe estar bien protegido y, en el mejor de los caso, en un lugar distinto de donde se almacena la informacin original.
El IMEI (International Mobile Equipment Identity) es un cdigo pregrabado en los telfonos mviles GSMque identifica al aparato unvocamente a nivel mundial.
136 135
Red. es: Manuales Plan Avanza: Ciudadana mvil, 2008. Disponible en
http://www.red.es/prensa/pdf/ciudadania_movil.pdf
Pgina 131 de 181
Existe, por otra parte, una metodologa formal, denominada plan de contingencia, que trata de normalizar el proceso por el cual se analizan los riesgos. A travs del mismo se toman medidas preventivas para evitar la prdida de informacin y se definen los planes de recuperacin. Se divide en las siguientes fases 137 : Identificacin de los posibles riesgos y amenazas. Esta fase es crucial, pues el olvido de algn elemento puede ser crtico a la hora de recuperar el sistema. Evaluacin de los riesgos identificados, catalogndolos y asignndoles un grado de importancia. Asignacin de prioridades en la recuperacin de aplicaciones y procesos del negocio. Establecimiento de los requerimientos de la recuperacin. Elaboracin de la documentacin del plan. Verificacin e implementacin del plan. Distribucin y mantenimiento del plan.
Para la evaluacin de los impactos de los riesgos, se deben tener en cuenta los siguientes costes: Costes de reemplazar los equipos, redes y dems infraestructuras. Es el coste ms limpio para el negocio, ya que lo nico que se ver afectado ser la cuenta corriente de la empresa. Costes por falta de produccin. Se basa en estimaciones de la produccin asociada a la informacin disponible (por ejemplo, telfonos de contacto de clientes o proveedores). Generalmente se sabe cunto se produce diariamente, y se puede estimar cunto se dejara de producir si se perdiera la informacin en cuestin. Costes de reputacin. Son sin duda los ms peligrosos y a la vez los ms difciles de evaluar. Los clientes son lo primero dentro de cualquier compaa y su confianza en el negocio es fundamental. Esta confianza puede verse debilitada si se da una imagen de incapacidad para solucionar problemas de prdida de informacin, y si esta sensacin se extiende en el mercado, las consecuencias para la empresa pueden ser irreversibles.
137
Click-off. Seguridad Informtica. Disponible en http://clik-of.com/plancontingencia.htm
Pgina 132 de 181
Para la asignacin de prioridades a las aplicaciones y a los procesos del negocio se deber establecer un orden lgico segn la necesidad de cada rea implicada, por lo que se deber saber qu funcin tiene cada rea y qu hace cada sistema. Se debe poder distinguir entre lo que es ms urgente (accin que se debe realizar en primer lugar) y lo ms importante (impacto que hay que evitar o conseguir) para saber qu se debe restaurar primero, pensando siempre en el peor caso posible para evitar sorpresas. Para el establecimiento de los requerimientos de recuperacin, la clave es definir un periodo de tiempo aceptable y viable para lograr que todo el sistema est de nuevo activo. Este periodo debe ser verificado para comprobar que es realista y factible por toda la organizacin. Para la elaboracin, verificacin y distribucin de la documentacin del plan se debe contar con la siguiente informacin: Nmeros de telfono, direcciones y mapas o planos de localizacin. Aunque resulte obvio, es necesario tener bien apuntado los telfonos generales (como el de los bomberos), as como los mapas de los centros alternativos de trabajo. Responsabilidades, procedimientos y prioridades. Cada persona tiene su responsabilidad dentro del plan y debe tener unos pasos a seguir previamente establecidos. Tambin debe aparecer todos los procesos y sus prioridades. Informacin sobre adquisiciones y compras. En el momento del desastre se debe saber a quin acudir para reabastecerse y el tiempo que llevar hacerlo. Diagramas de las instalaciones. Contar con ellos permite abordar el problema de una manera mucho ms rpida y eficiente. Las redes claramente documentadas y etiquetadas permiten incluso subcontratar la instalacin de los sistemas a empresas especializadas. Sistemas, configuraciones y copias de seguridad en cinta u otros medios. Se debe poseer copias de seguridad actualizadas en otra ubicacin fsica y con el contenido y las configuraciones de los servidores y redes bien documentados. En resumen, la seguridad de los dispositivos mviles debe ser una tarea cuya responsabilidad est compartida entre el usuario y la empresa o prestador del servicio. Con la ayuda de mecanismos, polticas o herramientas existentes en el mercado se pueden paliar la gran mayora de los problemas de seguridad existentes, ya que, como se ha podido comprobar, estas medidas son principalmente correctivas frente a robos, accesos o prdidas de formacin.
Pgina 133 de 181
7
7.1
CONCLUSIONES Y RECOMENDACIONES
Conclusiones
En los captulos anteriores se ha realizado un exhaustivo estudio de las diferentes tecnologas inalmbricas utilizadas en Espaa, as como de los principales riesgos y vulnerabilidades y sus soluciones. En base a estos anlisis, se puede concluir que: Las medidas de seguridad disponibles para los usuarios y las pymes van encaminadas a proteger los dispositivos de acceso, a nivel individual o mediante una gestin centralizada, mientras que los proveedores (de servicios de telecomunicaciones, fabricantes de terminales y equipos de red) asumen la seguridad intrnseca de la tecnologa y los organismos competentes definen las polticas y normas de seguridad. La seguridad de las tecnologas, y de las redes en general, puede ser analizada desde el punto de vista de cobertura de las dimensiones de seguridad identificadas: o o o o o o Control de acceso. Autenticacin. Disponibilidad. Confidencialidad. Integridad. No repudio.
La vulnerabilidades (y, por consiguiente, los ataques) de las tecnologas inalmbricas son comunes a todas ellas, ya que funcionan por ondas de radio, si bien la forma de llevar a cabo los ataques es diferente. o Todas las tecnologas de comunicaciones provistas por operadores, como GSM/GPRS/UMTS/HSPA y WiMAX, son suficientemente seguras, por lo que el usuario debe prestar atencin a la proteccin de su dispositivo, el eslabn ms dbil de la cadena. o En cambio, en las tecnologas cuya utilizacin y gestin corresponden al usuario final la seguridad depende en gran medida de:
Pgina 134 de 181
Una gestin del servicio responsable por parte del usuario y una configuracin para la solicitud de contraseas con cada conexin (Bluetooth).
La observacin visual del entorno de validacin y custodia del dispositivo (NFC). La utilizacin por parte del usuario de al menos un mecanismo de cifrado, siendo los ms recomendables el WPA PSK para pymes y el WPA para usuarios finales (wireless LAN o 802.11).
Por otro lado, tambin se ha constatado que la seguridad es una prioridad en todas las empresas, por lo que las nuevas tecnologas implementan mejores y ms robustas soluciones de seguridad, siendo responsabilidad del usuario final la gestin del dispositivo de acceso. Sin embargo, todas estas medidas de seguridad son instituidas de forma libre por los diferentes fabricantes y actores del sector, sin que exista ninguna normativa, legislacin o regulacin que establezca cuales deben ser los criterios de seguridad que una red inalmbrica tiene que cumplir. Las principales medidas de seguridad van encaminadas a proteger los dispositivos de acceso, bien a nivel individual o mediante una gestin centralizada, delegando la seguridad intrnseca de la tecnologa en los organismos que definen los estndares, las polticas y las normas de seguridad para las tecnologas inalmbricas. En cuanto a los problemas derivados del malware, se concluye que no es responsabilidad de las tecnologas evitar los problemas asociados, sino que dependen en gran medida de los dispositivos utilizados, del software de proteccin instalado y de las polticas de seguridad definidas, sin olvidar la gestin responsable de los usuarios finales. Por ltimo, se puede concluir que los entornos inalmbricos en general son seguros y que basta con seguir una serie de recomendaciones bsicas para evitar riesgos. En cualquier caso, se recomienda acudir a los diferentes proveedores y especialistas en seguridad para solicitar asesoramiento en cada caso particular. Tendencias La globalizacin, junto con la convergencia de redes y la tendencia hacia unas comunicaciones todo-IP 138 , hacen que ahora ms que nunca la seguridad deba entenderse como una necesidad global end-to-end de la red, independientemente de la
138
Disponible en http://vlex.com/vid/322883
Pgina 135 de 181
tecnologa y medio por el que se comunica. Por otro lado, la creciente capacidad de los terminales mviles hace que los problemas y las soluciones cada vez se asemejen ms a los de un PC de sobremesa. Por tanto, frente a un panorama en el que las tendencias en seguridad no deben distinguir ni el dispositivo utilizado para acceder la tecnologa, ni desde dnde se hace, se puede concluir que el futuro de la seguridad en las comunicaciones pasa por establecer mecanismos que garanticen que la informacin enviada llega al destino deseado, sin posibilidad de ser interceptada, descifrada ni modificada. Adems, esta tecnologa deber impedir el acceso no autorizado de cualquier intruso y/o dispositivo no reconocido, adems de garantizar al usuario que se conecta a una red segura, de una forma segura y que esa red es la que dice ser y asegurar en todo momento la disponibilidad de la seal. Respecto a los dispositivos mviles, sus medidas de securizacin tienden a ser las mismas que las de un PC. En el aspecto de la movilidad, la tendencia es la de implementar sistemas de gestin centralizada de los dispositivos mviles, para cubrir incidentes de prdida, robo y recuperacin de informacin. En cuanto a la informacin que viaja por la red, cada da se hace ms necesario asegurar que est limpia de malware. En el futuro, los propios operadores del servicio debern vigilar el trfico y establecer unos mnimos controles de seguridad, si bien la responsabilidad final, basada en la utilizacin de software de seguridad actualizado y de unas buenas prcticas al conectarse a la red, seguir correspondiendo al usuario que se conecta. Por ltimo, cabe destacar que uno de los principales caballos de batalla de los operadores y suministradores de tecnologas de comunicacin inalmbricas ser la garanta de disponibilidad de la red frente a las interferencias existentes en el medio, provocadas en gran medida por otras redes, sistemas de proteccin mediante inhibidores de frecuencia, situaciones de emergencia, situaciones climatolgicas extremas, etctera. Se concluye, por tanto, que la evolucin va encaminada cada vez ms hacia unas tecnologas y dispositivos ms seguros. La industria y los organismos independientes definirn todo tipo de soluciones al alcance de los usuarios. En contra de esta tendencia de evolucin tecnolgica, est la desinformacin general de los usuarios, que no son capaces de absorber y asimilar todos los adelantos tecnolgicos ni sus posibilidades, dejando a veces al descubierto aspectos bsicos de seguridad por mero desconocimiento o despreocupacin.
Pgina 136 de 181
7.2
Recomendaciones
A partir del conocimiento adquirido segn la experiencia previa y lo analizado a lo largo de la realizacin del presente estudio, INTECO recomienda acciones ligadas a la colaboracin, certificacin y concienciacin de las pymes y ciudadanos y al impulso de un marco regulativo o legislativo: Colaboracin. Fomentar mediante foros u otras acciones la colaboracin de todos los agentes participantes para la identificacin de soluciones globales de seguridad, con el objetivo de ofrecer al usuario final una oferta completa. Certificacin. Es importante que la Administracin regule el cumplimiento de unos mnimos de seguridad en comunicaciones inalmbricas para las pymes y los usuarios finales. Esta regulacin, adems, se puede complementar con la certificacin en seguridad de redes inalmbricas, que deberan cumplir las pymes en funcin de la informacin que manejan, su tamao y el sector de actividad y los proveedores de servicios de comunicacin inalmbricas en cuanto al servicio prestado/instalado al usuario final. Concienciacin. La red no es el elemento dbil de la cadena, sino los dispositivos y los puntos de acceso. Se debe, por tanto, trabajar de forma intensa en concienciar a los ciudadanos y a las pymes sobre lo importante que es cumplir con unos mnimos de seguridad en las comunicaciones inalmbricas para salvaguardar su informacin y/o la de sus clientes. Regulacin/legislacin. No existe ninguna legislacin ni normativa que establezca unos mnimos de seguridad en la instalacin y utilizacin de redes inalmbricas, por lo que se recomienda la definicin de un marco regulatorio y/o legislativo.
Colaboracin Del estudio y entrevistas realizadas se extrae que todos los actores trabajan de forma individual la problemtica de la seguridad en el entorno inalmbrico (dispositivos, redes, software, etctera). En algunos casos se han identificado alianzas que permiten combinar esfuerzos con el fin de asegurar unas comunicaciones ms seguras. La seguridad es un requisito que debe cubrirse con unos mnimos ms all de un inters comercial concreto para asegurar la confianza del usuario en la tecnologa y fomentar su utilizacin. La sensacin generalizada de inseguridad puede provocar un descenso en la utilizacin de dichas tecnologas. Para ofrecer soluciones end-to-end mnimamente seguras, es importante fomentar la colaboracin de todos los agentes, con el fin de identificar el mnimo que debe alcanzarse
Estudio sobre la seguridad y buenas prcticas en dispositivos mviles y redes inalmbricas Observatorio de la Seguridad de la Informacin Pgina 137 de 181
para que el usuario final se sienta seguro utilizando las tecnologas inalmbricas. Estas colaboraciones se pueden fomentar mediante la creacin de foros donde participen todas las empresas involucradas. Asimismo, se recomienda que el catalizador de estas colaboraciones entre los diferentes actores sea la propia Administracin Pblica, a travs de organismos independientes que, de forma imparcial y desde la defensa de los intereses de los ciudadanos, involucren a todas las empresas que componen la cadena de valor. El objetivo de estos foros sera establecer criterios comunes de seguridad, utilizando este aspecto como un servicio al ciudadano, y no como un criterio de diferenciacin competitiva entre las diferentes industrias. El fomento de la seguridad generalizada va en beneficio de todos, pues ayuda a incrementar el uso de estas tecnologas y, por consiguiente, su competitividad. Certificacin La seguridad es cuestin de confianza y, por ello, es recomendable definir frmulas que permitan identificar qu comunicaciones y qu empresas/entornos cumplen unos mnimos de seguridad para que se pueda trabajar con ellas de forma tranquila y segura. Para ello, se recomiendan tres vas de certificacin: Proveedores de servicio/dispositivos. Deberan garantizar que el producto que entregan y/o comercializan cumple unos mnimos de seguridad, tanto a nivel de polticas como de software, de forma que el usuario final pueda sentirse respaldado por la experiencia de estos proveedores al contratar el servicio. Intermediarios. Empresas que ponen a disposicin de sus clientes la utilizacin de tecnologas inalmbricas que tienen en propiedad. Los usuarios de accesos inalmbricos de redes deberan tener la certeza de que la utilizacin de dichas comunicaciones inalmbricas no les supone ningn riesgo. Las pymes. Dado que utilizan tecnologas inalmbricas para su actividad laboral, deberan poder asegurar a sus clientes que la informacin que tienen con ellos est protegida incluso en un entorno wireless y que cumple con lo establecido por la Ley Orgnica de Proteccin de Datos Personales y el Reglamento de Medidas de Seguridad.
Al igual que en la recomendacin anterior, se propone que la Administracin Pblica o bien un organismo privado homologado establezca un sello de garanta que certifique que las instalaciones inalmbricas cumplen unos mnimos de seguridad.
Pgina 138 de 181
Concienciacin Una de las principales conclusiones de este estudio es que la seguridad depende en gran medida del usuario final. En muchos casos son las propias polticas de seguridad que el usuario define, as como las buenas prcticas en la utilizacin de los dispositivos, las que permiten mantener un nivel de seguridad de los dispositivos y comunicaciones inalmbricas adecuado. Esta situacin hace que sea de vital importancia que las empresas facilitadoras de los servicios inalmbricos (operadores o instaladores de Wi-Fi) conciencien mediante planes de comunicacin, tanto a las pymes como a los usuarios finales, de lo importante que es mantener y cumplir unos mnimos de seguridad para garantizar una utilizacin satisfactoria de las tecnologas inalmbricas de comunicacin. Para ello se puede recurrir a diversos mecanismos como campaas publicitarias, manuales de instalacin de los productos en cuestin, inclusin en las diferentes guas de usuario utilizadas por los clientes, etctera. Por su parte, las administraciones o algn organismo con competencia en la materia pueden contribuir a esta concienciacin, con la publicacin continuada en sus sitios web de recomendaciones sobre seguridad. Regulacin/legislacin La ausencia de una normativa o regulacin especfica provoca que los proveedores de servicios de comunicacin inalmbrica no se vean obligados a cumplir ningn tipo de mnimos, aunque sea de su propio inters por el bien de su negocio. A este respecto, se hace necesario que la Administracin como poder legislativo establezca y promueva el cumplimiento de unos mnimos de seguridad (informacin en el momento de la instalacin, de los riesgos que existen y las recomendaciones de seguridad, la configuracin de seguridad mnima obligatoria o WAP, etctera) en todas las instalaciones inalmbricas (sobre todo Wi-Fi), de forma que los usuarios estn protegidos.
Pgina 139 de 181
ANEXO I: SOLUCIONES GLOBALES
Las soluciones de seguridad deben estar enfocadas hacia 139 : Identificar, autenticar y, cuando corresponda, autorizar el acceso a los sistemas de informacin. Identificar al remitente y receptor de las comunicaciones electrnicas. Controlar el acceso a las personas autorizadas para la utilizacin de datos e informacin y para proteger los procesos informticos frente a manipulaciones no deseadas. Mantener la integridad de la informacin y elementos del sistema, para prevenir prdidas o alteraciones. Garantizar la disponibilidad de la informacin y de las aplicaciones. Prevenir la interceptacin, alteracin y acceso no autorizado a la informacin. Gestionar las incidencias de seguridad. Auditar y controlar la seguridad.
Las soluciones recomendadas en este captulo para asegurar ptimos niveles de seguridad se estructuran bajo el siguiente esquema:
Figura 14: Soluciones de seguridad
Dimensiones de la seguridad Control de acceso Autenticacin Confidencialidad Integridad Disponibilidad No repudio Proteccin de dispositivos
Soluciones globales Soluciones de securizacin
Soluciones por tecnologa
Otras recomendaciones Polticas de seguridad Auditoras de seguridad Anlisis y gestin de riesgos Organizacin y personas
Fuente: INTECO
139
Ministerio de Administraciones Pblicas. Consejo Superior de Administracin Electrnica (2004). Op. cit. 80.
Pgina 140 de 181
8.1
Soluciones globales
Las soluciones de seguridad presentadas a continuacin se consideran a nivel global, independientemente del tipo de red (cableada o inalmbrica) y de las tecnologas que la compongan, y son recomendaciones que permiten responder adecuadamente a los objetivos que engloba el concepto de seguridad. Existen tres principios unificados de seguridad 140 : 1) Primer principio de seguridad: El intruso utilizar cualquier artilugio que haga ms fcil su acceso al sistema y posterior ataque. Existe una diversidad de frentes desde los que se puede producir un ataque. Esto dificulta el anlisis de riesgos, porque el delincuente aplicar la filosofa del punto ms dbil. Segundo principio de seguridad: Los datos deben protegerse slo hasta que pierdan su valor. Aqu se habla, por tanto, de la caducidad del sistema de proteccin, del tiempo en que debe mantenerse la confidencialidad o secreto del dato. Tercer principio de seguridad: Las medidas de control se implantan para ser utilizadas de forma efectiva. Deben ser eficientes, fciles de usar y apropiadas al medio. Es decir, deben funcionar en el momento oportuno, optimizando los recursos del sistema y pasando desapercibidas para el usuario.
2)
3)
La aplicacin de estas recomendaciones depender del tamao de la empresa. Por su parte, los ciudadanos debern aplicar aquellas medidas que mejor se ajuste a sus necesidades. 8.1.1 Dimensiones de seguridad
En este captulo se describirn las soluciones que, a lo largo de este estudio, se han identificado para proteger de manera efectiva cada una de las dimensiones de seguridad identificadas en el epgrafe 4.1.1, Dimensiones de seguridad y vulnerabilidades: Control de acceso: corresponde a la capacidad esencial de proteger los accesos a la red. Autenticacin: es la capacidad de verificar que un usuario que accede a un sistema o a una determinada informacin es quien dice ser. Confidencialidad: es la condicin que asegura que la informacin slo pueda estar disponible y ser analizada por personas autorizadas para ello.
140
Martnez Barber, H.umberto: Seguridad en Redes de Ordenadores. Universidad de Murcia.
Pgina 141 de 181
Integridad: condicin que asegura que la informacin puede ser modificada, entendiendo por tal su creacin y borrado, por personas autorizadas para ello.
Disponibilidad: es aquel estado en el que el dato o la informacin est en el lugar, la forma y el modo debido cuando es requerida por la persona autorizada. No repudio: es la capacidad de demostrar que se ha realizado un hecho determinado. A pesar de ser una caracterstica que potencia las dimensiones de autenticacin, confidencialidad e integridad, se incluye en este anlisis para evitar las vulnerabilidades.
Proteccin de dispositivos: entendida tambin a nivel transversal, corresponde al riesgo de que el dispositivo de acceso a la red caiga en manos no autorizadas o bajo amenazas de software externo.
Para asegurar los conceptos propios de cada una de las dimensiones de seguridad y tomando como referencia las recomendaciones dada por el Consejo Superior de Administracin Electrnica (CSAE), se podran ofrecer las siguientes recomendaciones a nivel general: Control de acceso (CA) Implantar un procedimiento formalizado de registro de altas y bajas de acceso de usuarios a todos los servicios de la aplicacin y del sistema. Informar a cada usuario de todos sus derechos de acceso, siendo necesaria su comprensin y aceptacin de las condiciones. Mantener actualizado el registro de todas las personas con acceso a ciertos servicios, revisndolo peridicamente para evitar duplicados o sobrantes. Eliminar de forma inmediata las autorizaciones de acceso a los usuarios que dejen la compaa. No permitir la utilizacin de claves compartidas o multiusuario. Asociar el control de acceso con los requisitos de autenticacin, confidencialidad, integridad y disponibilidad exigidos por el recurso al cual se intenta acceder. Establecer polticas de autorizacin de acceso a usuarios. Revisar peridicamente los accesos privilegiados (por ejemplo, cada tres meses).
Pgina 142 de 181
Exigir a los usuarios el cumplimiento de las recomendaciones relativas a las dimensiones de identificacin y autenticacin (contraseas, certificados, tarjetas, etctera) y a los equipos no atendidos (desconexin de sesiones, proteccin si procede con bloqueador de teclado o llave).
Adoptar medidas en relacin con el trabajo desde fuera de las instalaciones de la organizacin (teletrabajo). Establecer procedimientos de proteccin de los activos, medidas de proteccin fsica y medidas contra la introduccin y propagacin de virus o de otro cdigo daino. Implementar sistemas de identificacin de puntos de acceso no autorizados. Existen sistemas de gestin topogrfica de la red wireless desplegada que permiten monitorizar la existencia de frecuencias no autorizadas en el radio de accin de la empresa. Mediante una gestin inteligente, estos sistemas posibilitan la identificacin mediante triangulacin de la posicin del punto de acceso no autorizado y evitan que otros dispositivos se conecten a l.
Desconectar el punto de acceso cuando se detecta que desde l se est produciendo un ataque con malware. Elaborar y mantener una lista de usuarios autorizados; estos deben tener un conjunto de atributos de seguridad que puedan ser mantenidos individualmente.
Asignar a cada usuario un identificador nico para su uso exclusivo y personal, de forma que cualquiera de sus actuaciones pueda ser trazada. Implantar en el sistema el requisito de identificacin de los usuarios y autenticacin de su identidad para acceder a la aplicacin y a otros recursos antes de que se les permita realizar cualquier accin.
En relacin con la identificacin y el uso de contraseas: o Los usuarios deberan seleccionar sus propias contraseas; el sistema debe permitirlo y ayudar al usuario a elegirla. El sistema debera exigir para la contrasea al menos ocho caracteres alfanumricos. Adems, convendra que la almacenase de forma cifrada. Se debe establecer un mecanismo de control de acceso al sistema o a la informacin que lo bloquee, por ejemplo, en el momento en que se introduzca tres veces una contrasea incorrecta, y un registro de los logs.
Pgina 143 de 181
La contrasea debera ser cambiada regularmente y denegarse el acceso al usuario en caso de que no cumpla los plazos establecidos (caducidad de la contrasea).
Hay que concienciar al usuario de que las contraseas no deben tener informacin de fcil composicin (por ejemplo, fechas asociadas con el usuario o series regulares, nmeros de telfono, nombres de familiares, repeticin de caracteres seguidos, etctera), no deben ser compartidas o dadas a conocer a otros usuarios y nunca deben quedar escritas en un lugar de fcil acceso 141 .
Respecto a la autenticacin, se pueden considerar dos niveles: o Autenticacin simple: basada en mecanismos tradicionales de usuario y contrasea. Autenticacin fuerte: basada en la utilizacin de tcnicas de criptografa asimtrica y en el uso de certificados electrnicos. Tambin suele referirse a la combinacin de algo que el usuario posee (por ejemplo, una tarjeta electrnica) con algo que conoce (como las claves PIN). Un modelo de autenticacin fuerte es el certificado o firma digital, conjunto de datos en forma electrnica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificacin del firmante 142 .
Si lo que se quiere es establecer un control de acceso a la red basado en polticas definidas por el administrador, se recomienda utilizar un NAC (Network Access Control). De esta forma, no slo se determina quin se puede conectar, sino que tambin se controla los dispositivos desde los que se puede realizar dicho acceso. Esta solucin tambin permite registrar si el dispositivo conectado cumple con las polticas de seguridad de la empresa. De esta forma, se puede incluso denegar el acceso a un equipo autorizado cuando no cumpla con dichas medidas de seguridad.
En relacin con los accesos remotos al sistema, se debera contar con una VPN (Virtual Private Network). Una red privada virtual es una tecnologa de red que permite una extensin de la red local sobre una red pblica o no controlada; es el caso de Internet, que permite controlar quin y qu mquina se conect y conocer el nivel de acceso.
141
INTECO:
Recomendaciones
para
la
creacin
uso
de
contraseas
seguras.
Disponible
en
http://www.inteco.es/Seguridad/Observatorio/Estudios_e_Informes/Notas_y_Articulos/recomendaciones_creacion_uso_contrasenas
142
Pgina 144 de 181
Confidencialidad (C) Cifrar la informacin cuando la naturaleza de los datos y de los tratamientos y los riesgos a los que estn expuestos lo requiera. o Cifrado simtrico: algoritmo de cifrado en el que la clave para cifrar y descifrar es la misma. La seguridad del proceso depende del secreto de la clave, no del secreto del algoritmo. El emisor y el receptor deben compartir la misma clave, que debe ser desconocida para cualquier otro individuo. Cifrado asimtrico: algoritmo de cifrado en el que la clave utilizada para cifrar es distinta a la utilizada para descifrar. De estas dos claves, una es conocida (pblica) y la otra permanece en secreto (privada). Lo fundamental de este sistema reside en la confianza de que una determinada clave pblica corresponde realmente a quien proclama ser su propietario. Habitualmente, se utilizan diferentes pares de claves para distintos fines (firma electrnica, autenticacin electrnica, confidencialidad). o Definicin de funcin resumen o hash: funcin de un solo sentido que, a partir de una cadena de bits de longitud arbitraria, calcula otra, aparentemente aleatoria, de longitud fija, normalmente un resumen. Se utiliza principalmente en la creacin y verificacin de la firma electrnica. Certificado reconocido: los certificados electrnicos expedidos por un prestador de servicios de certificacin que cumpla los requisitos establecidos en la Ley de Firma Electrnica, en cuanto a la comprobacin de la identidad y dems circunstancias de los solicitantes y a la fiabilidad y las garantas de los servicios de certificacin que presten.
Los algoritmos deberan permitir una longitud mnima de claves de 128 bits (al menos 16 caracteres alfanumricos).
Utilizar el estndar S/MIME, v2143 o superior, para contar con un correo electrnico seguro. Implantar procedimientos de apoyo a los mecanismos de cifrado (control de acceso fsico y lgico, autenticacin, gestin de claves, etctera) para evitar la divulgacin no autorizada de la informacin almacenada en dispositivos y soportes electrnicos o en trnsito a travs de redes de telecomunicaciones.
143
S/MIMEv2 (Secure Multipurpose Internet Mail Extensin version 2). Op. cit. 107.
Pgina 145 de 181
Contar con una VPN (Virtual Private Network). Para asegurar la confidencialidad se hace uso de algoritmos de cifrado como DES (Data Encryption Standard), Triple DES y AES (Advanced Encryption Standard).
Integridad (I) Implantar procedimientos de explotacin de la aplicacin y de los sistemas adecuados a la proteccin de la integridad. Implantar procedimientos de copias de respaldo de ficheros y bases de datos, y de proteccin y conservacin de informacin en soportes reescribibles como CDROM o DVD. Proteger los archivos de informacin mediante el atributo de slo lectura. Realizar un anlisis peridico de los accesos y de los recursos utilizados. Adoptar medidas de proteccin frente a cdigo daino en los servidores de aplicacin, en los equipos de los usuarios y en los soportes circulantes (por ejemplo, CD-ROM, disquetes, USB, etctera). Definir y aplicar procedimientos para evitar la instalacin de software no autorizado por la organizacin. Disponer de una VPN (Virtual Private Network). Para asegurar la integridad de la informacin, la VPN utiliza funciones de hash. Los algoritmos de hash ms comunes son los Message Digest, versiones 2 y 5 (MD2 y MD5), y el Secure Hash Algorithm (SHA). Disponer de un certificado o firma digital, conjunto de datos en forma electrnica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificacin del firmante144. Este medio de identificacin es el certificado digital. Establecer un mecanismo de suma de comprobacin o checksum. Es un sistema que se utiliza para comprobar rpidamente que ciertos datos no han sido modificados (aunque no detecta cules han sido los cambios). Su versin ms simple consiste en sumar byte a byte la informacin y guardar esta suma. Para saber si la informacin ha sido modificada bastar con volver a calcular su suma y
144
Pgina 146 de 181
comprobar el resultado. En una versin ms til se usa un resumen digital mediante el algoritmo MD5145. Contar con un cifrado de datos. Es un mecanismo de seguridad consistente en modificar la informacin de tal manera que el resultado de esa modificacin no se pueda interpretar y que slo se pueda llegar a la informacin original mediante una clave secreta. Existen dos tipos de cifrado aplicables, el simtrico y el asimtrico. Contar con un plan de contingencia, documento que describe con un alto nivel de detalle qu se debe hacer en caso de que ocurra cualquier desastre que afecte al sistema de informacin y de datos. Debe cubrir problemas como el robo de servidores de informacin, su borrado o prdida, incendios, inundaciones, recuperacin por copias de seguridad, etctera, y contener informacin relativa tanto a mquinas y dispositivos como a la infraestructura. Disponibilidad (D) Adoptar procedimientos de explotacin que garanticen la fiabilidad de la aplicacin y de los soportes en los que resida la informacin y adoptar medidas de seguridad fsica. Adoptar medidas de proteccin fsica de los puntos de acceso inalmbricos. Actualizar peridicamente o cuando sea necesario el software de base y aplicar correcciones a sus debilidades. Proteger los equipos que soporten la aplicacin contra fallos de suministro elctrico mediante sistemas de alimentacin ininterrumpida (SAI o UPS, Uninterruptible Power Supply), ya que pueden originar una alteracin o la prdida de datos. Contar, dependiendo del tamao de la organizacin y de sus necesidades, con suministro elctrico y hardware duplicados. Adoptar medidas apropiadas de seguridad fsica en el entorno donde se encuentren los equipos que den soporte a la aplicacin.
145
Este algoritmo resume cualquier documento, independientemente de su tamao o naturaleza, en una fila de 128 bits. En el momento en el que se modifique cualquier cosa (palabra, forma, letra, figura, color, etctera), su resumen digital MD5 dar una hilera de 128 bits totalmente distinta.
Pgina 147 de 181
Implantar procedimientos de proteccin y vigilar el funcionamiento de mecanismos capaces de evitar la instalacin de software no autorizado y otros que la evolucin de las amenazas o de la tecnologa hagan necesarios.
Ejecutar bateras de test y comprobar las listas CERT (esta opcin est ms enfocada a los desarrolladores de software). Las bateras de test consisten en crear bateras de pruebas (entradas de datos) a un software ya implementado para ver los resultados que se obtienen (salidas de datos) y cerciorarse de que realmente deben salir esos datos. Las listas CERT se publican indicando errores de programas que, generalmente, no han sido todava corregidos. Consultando esas listas se puede saber qu entradas provocan qu errores.
Generar mecanismos de prevencin de ataques de denegacin de servicio mediante un control peridico de los protocolos utilizados en los puntos de acceso.
No repudio (NR) Disponer de un certificado o firma digital: es el conjunto de datos en forma electrnica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificacin del firmante146 (certificado digital). Crear y mantener un directorio de registro de acceso (log) que registre el momento (fecha y hora) en que un usuario o proceso crea, modifica o borra un archivo o datos y los datos del usuario o del proceso.
Proteccin del dispositivo Actualizar la poltica de seguridad segn vaya transcurriendo el tiempo. Elaborar una gua de buenas prcticas para usuarios, prestando especial atencin a la formacin y concienciacin. Establecer una poltica de realizacin de copias de seguridad peridicas (anuales, semestrales, mensuales, semanales y diarias, dependiendo del volumen de los datos). Implantar mecanismos de reinicio y borrado remoto del dispositivo. Aplicar el control de acceso al dispositivo para prevenirlo del uso por usuarios no legtimos.
146
Pgina 148 de 181
Realizar una gestin centralizada de dispositivo. Cifrar los datos sensibles corporativos o personales para favorecer la confidencialidad. Establecer una proteccin antimalware. Gestionar un control de polticas de puntos de acceso. Prevenir las fugas de informacin. Otras recomendaciones
8.1.2
En este apartado se describen acciones adicionales a los aspectos tecnolgicos, que deben ser consideradas para implementar una solucin de seguridad completa y efectiva. Polticas de seguridad Incluyen todas aquellas normas, reglas o prcticas de seguridad que afecten a las dimensiones de seguridad anteriormente descritas (autenticacin, confidencialidad, integridad, disponibilidad de la informacin), a todos los actores implicados (responsable o propietario de la aplicacin o los datos de carcter personal y usuarios) y a la regulacin del modo en que los bienes que contienen informacin sensible son gestionados, protegidos y distribuidos en el seno de las organizaciones. Para cumplir con los objetivos descritos anteriormente, el contenido de la poltica de seguridad de una compaa debe incluir: El objeto del documento. El mbito de aplicacin de la poltica. Los recursos que se encuentran protegidos. Las funciones y obligaciones del personal. Las normas, procedimientos, reglas, estndares y medidas para garantizar la autenticidad, confidencialidad, integridad, disponibilidad y conservacin de la informacin. El procedimiento de identificacin, autenticacin y control de accesos. El procedimiento para la gestin de incidencias de seguridad. La gestin de soportes y copias de respaldo.
Pgina 149 de 181
La poltica o el procedimiento de control de los accesos a travs de las redes. Los planes de contingencia y de continuidad del servicio. Los controles peridicos de verificacin del cumplimiento de las normas y procedimientos establecidos.
Auditoras de seguridad Se refiere a un proceso, basado en las normas ISO 9000:2000, sistemtico, independiente y documentado con el fin de obtener informacin para evaluar de manera objetiva los resultados obtenidos en materia de seguridad. Cada empresa en funcin de su tamao debera incluir las siguientes recomendaciones en sus procedimientos: La auditora a la seguridad debe ser objetiva y peridica para asegurar que la organizacin ejecuta los procedimientos correctamente. La aplicacin informtica que sustente la seguridad de las redes debe estar dotada de un registro de eventos o pista de auditora que permita identificar al menos los usuarios, fechas, horas y procesos mediante los cuales se ha realizado, o intentado realizar, alguna modificacin de la informacin sensible. Se ha de revisar peridicamente que los usuarios cumplen con los requisitos de seguridad establecidos por la compaa, por ejemplo, con el cambio peridico de contraseas, la conservacin de la informacin relacionada con el puesto de trabajo o los backup peridicos. Es necesario revisar peridicamente las medidas organizativas y tcnicas de seguridad para mejorar su eficacia. Hay que realizar peridicamente anlisis de vulnerabilidades de las redes mediante la utilizacin de herramientas disponibles en el mercado para detectar y corregir problemas de seguridad. Anlisis y gestin de riesgos Se refiere a la seleccin y clasificacin de los activos que hay que proteger de las amenazas a las cuales son vulnerables y, a su vez, a la seleccin e implementacin de las medidas de seguridad adecuadas para conocer, prevenir, impedir, reducir o controlar los riesgos identificados y as minimizar su potencialidad o sus posibles perjuicios.
Pgina 150 de 181
Es recomendable realizar y mantener un inventario de los activos a proteger (informacin, equipamiento del sistema, soportes e informacin, otros equipos como los de climatizacin y alimentacin, etctera).
Para cada activo se debe identificar a su propietario, as como su valor e importancia en trminos cuantitativos o cualitativos, en funcin de los requisitos de autenticidad, integridad, confidencialidad y disponibilidad que le son aplicables. En relacin a la informacin, se debe documentar a qu usuarios se autoriza el acceso y los atributos relacionados con el referido acceso. Es necesario definir procedimientos de etiquetado y manipulacin de la informacin para cada uno de los distintos niveles en los que se clasifica y las diferentes actividades: acceso, modificacin, copia, almacenamiento, transmisin y destruccin.
Organizacin y personas Se contemplan las principales actividades que deberan desarrollar las personas dedicadas a la seguridad de las redes dentro de una compaa, con dedicacin completa o compartida con otras funciones. Incluye, por ejemplo, la aplicacin de la poltica de seguridad, el desarrollo de normas, sistemas y procedimientos de deteccin de amenazas, la proteccin de activos y la accin ante eventos, as como la administracin de la seguridad y de las correspondientes salvaguardas, preventivas o correctivas frente a anomalas. Definir y documentar las funciones y obligaciones del personal, en particular en relacin con el acceso y la utilizacin de los sistemas de informacin y a los datos de carcter personal. Definir las responsabilidades relacionadas con la seguridad en cada puesto de trabajo. Dar a conocer al personal las medidas de seguridad que afecten al desarrollo de sus funciones y que en su caso deban aplicar, as como las consecuencias de su incumplimiento. Formar y concienciar al personal respecto a sus obligaciones en materia de seguridad. Suministrar al personal que maneje datos de carcter personal u otra informacin que haya de protegerse el mobiliario adecuado para almacenar la informacin (en soporte papel o electrnico).
Pgina 151 de 181
Controlar peridicamente que el personal que tenga relacin con la seguridad de la informacin de la compaa cumpla con las obligaciones establecidas.
Establecer criterios de confidencialidad de la informacin manipulada en los casos de personal con contratos temporales o pertenecientes a empresas subcontratadas. Garantizar que el usuario est sensibilizado respecto de los riesgos que puede implicar un tratamiento incorrecto de la informacin de carcter personal.
Pgina 152 de 181
ANEXO II: MARCO REGULATORIO SEGURIDAD EN REDES INALMBRICAS
DE
LA
El desarrollo de redes inalmbricas y su seguridad, hasta el da de hoy, no se ha visto acompaado de un marco regulador especfico. Los expertos consultados, las entrevistas y la investigacin bibliogrfica han confirmado esta situacin. Actualmente no existe una legislacin especfica que regule la actuacin de las redes inalmbricas respecto a su seguridad, por lo tanto, las directrices a seguir deben enfocarse a la legislacin actual que mejor se ajuste al caso de estudio. A pesar de eso, la comisin de cualquier delito haciendo uso de medios informticos o electrnicos (delito informtico) generar sanciones dependiendo de las rdenes jurisdiccionales que se apliquen en cada caso. Estas sanciones pueden ser: Sanciones va administrativa. Sanciones por va civil. Sanciones aplicando el derecho laboral. Sanciones va penal, que tendrn preferencia sobre las de tipo administrativo.
Para tener una visin general de la normativa existente, en este captulo se analiza brevemente la normativa espaola y europea relacionada de una forma u otra con el entorno de redes inalmbricas. 9.1 Normativa espaola
Actualmente existen en Espaa leyes o normativas relacionadas con la tecnologa, incluyendo aspectos como la neutralidad tecnolgica, la proteccin de datos, el cumplimento de estndares, etctera. Estas normas son las siguientes: 9.1.1 Ley Orgnica 15/1999, del 13 de diciembre, de Proteccin de Datos de Carcter Personal (LOPD) Se complementa con el reglamento estipulado en el Real Decreto 1720/2007 147 .
Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgnica 15/1999, de 13 de diciembre, de Proteccin de Datos de Carcter Personal. Disponible en http://www.boe.es/boe/dias/2008/01/19/pdfs/A04103-04136.pdf
147
Pgina 153 de 181
El objetivo de esta ley es garantizar y proteger, en lo concerniente al tratamiento de los datos personales (automatizados o no), las libertades pblicas y los derechos fundamentales de las personas fsicas y, especialmente, su honor e intimidad personal y familiar. La LOPD es de aplicacin a los datos de carcter personal registrados en soporte fsico (incluyendo el papel) que los haga susceptibles de tratamiento, y a su uso posterior por sectores pblicos y privados. El personal que tenga acceso a estos datos est obligado al secreto profesional respecto a ellos y, por tanto, no podr comunicarlos a terceras personas para un fin distinto de aquel para el que fueron recabados. Asimismo, el personal deber mantener en las bases de datos la informacin necesaria para el desarrollo de sus funciones, es decir, los datos no deben ser excesivos en relacin con el mbito y las finalidades determinadas. Los datos de carcter personal sern exactos y puestos al da, de forma que respondan con veracidad a la situacin actual del afectado. Los interesados a los que se soliciten datos personales debern ser previamente informados de modo expreso, preciso e inequvoco: De la existencia de un fichero o tratamiento de datos de carcter personal, de la finalidad de la recogida de estos y de los destinatarios de la informacin. Del carcter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. De las consecuencias de la obtencin de los datos o de la negativa a suministrarlos. De la posibilidad de ejercitar los derechos de acceso, rectificacin, cancelacin y oposicin. De la identidad y direccin del responsable del tratamiento o, en su caso, de su representante. Con el fin de mantener la confidencialidad, integridad y disponibilidad de la informacin, la LOPD exige la existencia de un documento de seguridad con las normas y procedimientos para cumplir los puntos anteriores. Los afectados, personas de las que se almacenan datos de carcter personal, tienen una serie de derechos amparados por esta ley:
Pgina 154 de 181
Derecho de informacin. Cuando el afectado proporciona sus datos, debe ser informado de lo expuesto en los puntos anteriores.
Derecho de acceso, cancelacin, rectificacin y oposicin. El afectado puede ver la informacin que se dispone de l, cambiar esos datos para que sean correctos y exactos, cancelar la informacin y oponerse a que se almacene, en este caso, con perjuicio de la funcionalidad para la que fueron recabados.
9.1.2 Real Decreto Legislativo 1/1996, de 12 de abril, de Ley de Propiedad Intelectual 148 Esta ley se complementa con la Ley 23/2006, de 7 de julio 149 , por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril. La Ley de Propiedad Intelectual establece que la propiedad intelectual de una obra literaria, artstica o cientfica corresponde al autor por el solo hecho de su creacin. La propiedad intelectual est integrada por derechos de carcter personal y patrimonial, que atribuyen al autor la plena disposicin y el derecho exclusivo a la explotacin de la obra, sin ms limitaciones que las establecidas en la ley. Son objeto de propiedad intelectual todas las creaciones originales literarias, artsticas o cientficas expresadas por cualquier medio o soporte, tangible o intangible, actualmente conocido o que se invente en el futuro, comprendindose entre otras las siguientes. Los libros, folletos, impresos, epistolarios, escritos y discursos. Conferencias, informes forenses, explicaciones de ctedra y cualesquiera otras obras de la misma naturaleza. Los proyectos, planos, maquetas y diseos de obras arquitectnicas y de ingeniera. Los grficos, mapas y diseos relativos a la topografa, la geografa y, en general, a la ciencia. Las obras fotogrficas y las expresadas por procedimiento anlogo a la fotografa.
148
Real Decreto Legislativo 1/1996, de 12 de abril, de Ley de Propiedad Intelectual. Disponible en
http://www.boe.es/boe/dias/1996/04/22/pdfs/A14369-14396.pdf Ley 23/2006, de 7 de julio, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril. Disponible en http://www.boe.es/boe/dias/2006/07/08/pdfs/A2556125572.pdf
149
Pgina 155 de 181
Los programas de ordenador.
Tambin son objeto de propiedad intelectual en los trminos del libro I de la presente ley las colecciones de obras ajenas, de datos o de otros elementos independientes como las antologas y las bases de datos que por la seleccin o disposicin de sus contenidos constituyan creaciones intelectuales, sin perjuicio, en su caso, de los derechos que pudieran subsistir sobre dichos contenidos. La proteccin reconocida en el presente artculo a estas colecciones se refiere nicamente a su estructura en cuanto a la forma de expresin de la seleccin o disposicin de sus contenidos, no siendo extensiva a estos. A efectos de la presente ley, y sin perjuicio de lo dispuesto en el apartado anterior, se consideran bases de datos las colecciones de obras, de datos o de otros elementos independientes dispuestos de manera sistemtica o metdica, y accesibles individualmente por medios electrnicos o de otra forma. La proteccin reconocida a las bases de datos en virtud del presente artculo no se aplicar a los programas de ordenador utilizados en la fabricacin o en el funcionamiento de bases de datos accesibles por medios electrnicos. 9.1.3 Ley 17/2001, de 7 de diciembre, de Marcas 150
Para la proteccin de los signos distintivos se concedern, de acuerdo con la presente ley, los siguientes derechos de propiedad industrial: Las marcas. Los nombres comerciales.
La solicitud, la concesin y los dems actos o negocios jurdicos que afecten a los derechos sealados en el apartado anterior se inscribirn en el Registro de Marcas, segn lo previsto en esta ley y en su reglamento. El Registro de Marcas tendr carcter nico en todo el territorio nacional y su llevanza corresponder a la Oficina Espaola de Patentes y Marcas, sin perjuicio de las competencias que en materia de ejecucin de la legislacin de propiedad industrial corresponden a las comunidades autnomas, segn se desarrolla en esta ley. El derecho de propiedad sobre la marca y el nombre comercial se adquieren por el registro vlidamente efectuado de conformidad con las disposiciones de la presente ley.
150
Ley 17/2001, de 7 de diciembre, de Marcas. Disponible en http://www.boe.es/boe/dias/2001/12/08/pdfs/A45579-
45603.pdf
Pgina 156 de 181
Esta ley tiene el mismo problema que la propiedad intelectual. Los productores de contenidos ignoran los requisitos de esta ley y utilizan indebidamente marcas y nombres comerciales, lo cual puede acabar en una demanda de la empresa afectada. 9.1.4 Ley 20/2003, de 7 de julio, de Proteccin Jurdica del Diseo Industrial 151
Esta ley tiene por objeto establecer el rgimen jurdico de la proteccin de la propiedad industrial del diseo. Todo diseo que cumpla los requisitos establecidos en esta ley podr ser registrado mediante su inscripcin, vlidamente efectuada, en el Registro de Diseos. La solicitud, la concesin y los dems actos o negocios jurdicos que afecten al derecho sobre el diseo solicitado o registrado se inscribirn en el Registro de Diseos, segn lo previsto en esta ley y en su reglamento. El Registro de Diseos tendr carcter nico en todo el territorio nacional y su llevanza corresponder a la Oficina Espaola de Patentes y Marcas, sin perjuicio de las competencias que en materia de ejecucin de la legislacin de propiedad industrial corresponden a las comunidades autnomas, segn se establece en esta ley. 9.1.5 Circular 1/2006 del Fiscal General del Estado del 27 de mayo de 2006, sobre los delitos contra la propiedad intelectual e industrial tras la reforma de la Ley Orgnica 15/2003 152 La Circular se aborda a partir del importante cambio que la reforma llevada a cabo por la Ley Orgnica 15/2003, de 25 de noviembre, del Cdigo Penal ha supuesto en la configuracin de los delitos contra la propiedad intelectual e industrial, que se han trasformado de dos delitos semipblicos, sujetos al rgimen de denuncia previa del ofendido, en delitos pblicos perseguibles de oficio. La reforma introduce adems otras novedades en la regulacin de estos tipos delictivos, que requieren establecer unos criterios de interpretacin y actuacin unitaria del Ministerio Fiscal en la persecucin eficaz de las conductas vulneradoras de esos derechos que el legislador ha considerado como merecedoras de un reproche de naturaleza penal.
151
Ley 20/2003, de 7 de julio, de Proteccin Jurdica del Diseo Industrial. Disponible en
http://www.oepm.es/cs/Satellite?c=Normativa_C&cid=1150364394370&classIdioma=_es_es&pagename=OEPMSite%2FNo rmativa_C%2FtplContenidoHTML
152
Circular 1/2006 del Fiscal General del Estado del 27 de mayo de 2006, sobre los delitos contra la propiedad intelectual e
industrial tras la reforma de la Ley Orgnica 15/2003. Disponible en http://aui.es/IMG/pdf_CIRCULAR1-2006-FISCALIA.pdf
Pgina 157 de 181
9.1.6
Orden PRE/2740/2007, de 19 de septiembre, por la que se aprueba el
Reglamento de Evaluacin y Certificacin de la Seguridad de las Tecnologas de la Informacin 153 Este reglamento regula el marco de actuacin, y crea los organismos necesarios, para poner en marcha los procesos de evaluacin y certificacin al alcance de la industria y la Administracin. Bajo este esquema se incluye el CCN (Centro Criptogrfico Nacional) y el CC (Common Criteria): Centro Criptolgico Nacional: tiene por funcin elaborar y difundir normas, instrucciones, guas y recomendaciones para garantizar la seguridad de los sistemas de las tecnologas de la informacin y las comunicaciones de la Administracin, as como coordinar la promocin, el desarrollo, la obtencin, la adquisicin y puesta en explotacin y la utilizacin de la tecnologa de seguridad de los sistemas mencionados. Tambin tiene por objeto formar al personal de la Administracin especialista en el campo de la seguridad de los sistemas de las tecnologas de la informacin y las comunicaciones, velar por el cumplimiento de la normativa relativa a la proteccin de la informacin clasificada en su mbito de competencia, constituir el organismo de certificacin del esquema nacional de evaluacin y certificacin de la seguridad de las tecnologas de informacin, de aplicacin a productos y sistemas en su mbito, y establecer las necesarias relaciones y firmar los acuerdos pertinentes con organizaciones similares de otros pases. Common Criteria (ISO/IEC 15408): establecen un conjunto de requisitos para definir las funciones de seguridad de los productos y sistemas de la tecnologa de la informacin y los criterios para evaluar su seguridad. 9.1.7 Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestacin de servicios de comunicaciones electrnicas, el servicio universal y la proteccin de los usuarios 154 Se presta especial atencin a la proteccin de los datos personales en la prestacin de servicios de comunicaciones electrnicas. A este respecto, conviene sealar que esto se realiza a travs de la regulacin desde un triple punto de vista: el tratamiento de los datos que obren en poder de los operadores relativos al trfico, facturacin y localizacin de los abonados y usuarios, la elaboracin de las guas telefnicas de nmeros de abonados y
ORDEN PRE/2740/2007, de 19 de septiembre, por la que se aprueba el Reglamento de Evaluacin y Certificacin de la Seguridad de las Tecnologas de la Informacin. Disponible en http://www.boe.es/boe/dias/2007/09/25/pdfs/A3878138805.pdf Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestacin de servicios de comunicaciones electrnicas, el servicio universal y la proteccin de los usuarios. Disponible en http://www.boe.es/boe/dias/2005/04/29/pdfs/A14545-14588.pdf
154 153
Pgina 158 de 181
la prestacin de servicios avanzados de telefona, como la identificacin de la lnea de origen y el desvo automtico de llamadas. Se regulan tambin los dems derechos de los usuarios de servicios de comunicaciones electrnicas, en aspectos tales como el contenido de los contratos entre los usuarios finales y los operadores, el derecho de desconexin de determinados servicios, el derecho a indemnizacin por la interrupcin del servicio o el procedimiento de suspensin o interrupcin de aquel ante situaciones de impago. 9.1.8 Orden ITC/912/2006, de 29 de marzo, por la que se regulan las condiciones relativas a la calidad de servicio en la prestacin de los servicios de comunicaciones electrnicas 155 El objeto de esta orden es el establecimiento de las condiciones relativas a la calidad de servicio en la prestacin de los servicios de comunicaciones electrnicas y a otros aspectos afines, en desarrollo de lo previsto en el Reglamento sobre las condiciones para la prestacin de servicios de comunicaciones electrnicas, el servicio universal y la proteccin de los usuarios, aprobado por el Real Decreto 424/2005, de 15 de abril. Dichas condiciones se refieren a: La informacin a los usuarios sobre los niveles de calidad de servicio relativos a los servicios de telefona disponible al pblico, acceso a Internet y consulta telefnica sobre nmeros de abonado. El contenido de los contratos con los usuarios en lo relativo a la calidad de servicio. Los niveles mnimos para el servicio universal. El aseguramiento de la calidad en la precisin de la facturacin a los usuarios finales. El tratamiento de los sucesos que conlleven una degradacin importante de la calidad de servicio. El desglose de la facturacin detallada. Las modalidades de presentacin de la facturacin desglosada a efectos de la proteccin de los datos de carcter personal.
Orden ITC/912/2006, de 29 de marzo, por la que se regulan las condiciones relativas a la calidad de servicio en la prestacin de los servicios de comunicaciones electrnicas. Disponible en http://www.boe.es/boe/dias/2006/03/31/pdfs/A12469-12484.pdf
155
Pgina 159 de 181
9.2
Normativa europea
Actualmente, en Europa la normativa ISO 1799:2005 marca las lneas generales en cuanto al fomento del uso de mejores prcticas en la gestin de la seguridad de la informacin. Esta normativa tiene por funcin identificar controles independientes de la tecnologa que sean de aplicacin general para organizaciones pequeas, medianas y grandes y a diferentes aplicaciones, sistemas y plataformas tecnolgicas, facilitar la adopcin de controles proporcionados al riesgo, atender la demanda relativa al desarrollo, implantacin y medida de prcticas de seguridad efectivas y proporcionar principios y recomendaciones de gestin en los que basar la poltica de seguridad de la informacin en cualquier soporte, sin restringirse nicamente a los aspectos especficos de seguridad de tecnologas de la informacin y de las comunicaciones. En general, los estados miembros deberan incorporar soluciones eficaces e interoperables en materia de seguridad de la informacin como requisito bsico para sus actividades.
Pgina 160 de 181
10
ANEXO III: FUNCIONAMIENTO GENERAL DE LAS REDES DE TRFICO DE DATOS
A nivel general, las redes de trfico de datos siguen una especificacin comn y estndar denominada pila OSI (Open System Interconnection), que define cmo debera ser una comunicacin. La divide en siete capas (hay una versin que la divide en cinco, agrupando las tres ltimas en una sola) segn la funcionalidad que debera tener cada una, permitiendo que cuando se desee mejorar algn punto en particular, tan slo se deba cambiar o modificar una capa, respetando las especificaciones para las dems. Estas capas, por orden, son las siguientes: Capa fsica: es la encargada de la transmisin de la informacin a nivel puramente fsico, es decir, mediante la modulacin de las ondas (electromagnticas, haz de luz, etctera). En este nivel operan los denominados hubs. Capa de enlace: gracias a esta capa es posible un direccionamiento fsico de un dispositivo. Se encarga de transmitir sin errores los datos al nivel fsico y solventar los problemas de la prdida, duplicidad o deterioro de la informacin. Adems, se encarga del direccionamiento fsico, de la topologa y el acceso a la red y del control de la distribucin ordenada de las tramas. En este nivel operan los denominados switchers. Capa de red: es la encargada de hacer que la informacin llegue de un origen a un destino, aun cuando no estn conectados directamente, como es en el caso de Internet. A este nivel operan los routers. Capa de transporte: normalmente, cuando se enva un flujo de informacin (denominado paquete) este no viaja de forma ntegra por la red, sino que se suele fraccionar en fragmentos ms pequeos. La misin es esta capa es recoger todos estos fragmentos ms pequeos y ensamblarlos en uno solo, para pasarlo a la capa de sesin. Los dos modos principales de comunicacin a nivel de transporte son TCP y UDP. Con TCP, el destinatario se asegura que la informacin le va llegar correctamente al cien por cien y en orden, pero dentro de un intervalo de tiempo de aceptabilidad. UDP asegura que la informacin llegar en un periodo escaso de tiempo, pero no toda. TCP es utilizado para el envo de datos y UDP para envo de multimedia como voz y vdeo en tiempo real. Capa de sesin: tiene como misin establecer y gestionar las conexiones entre usuarios o procesos finales.
Pgina 161 de 181
Capa de presentacin: gestiona cmo debe representarse al usuario final la informacin enviada o recibida (formatos, colores, estilos, bytes, etctera).
Capa de aplicacin: en ella se definen los protocolos de alto nivel para las comunicaciones de las entidades. Estos protocolos son los ms conocidos; algunos de ellos son HTTP (HyperText Markup Language, lenguaje de marcas de hipertexto) para navegar por Internet, POP3 (Post Office Protocol, protocolo de servicio postal) y SMTP (Simple Mail Transfer Protocol, protocolo para transferir correo simple) para recibir y enviar correos electrnicos, FTP (File Transfer Protocol, protocolo de transferencia de ficheros) para transferir ficheros, etctera.
La arquitectura de una red corresponde con el siguiente dibujo:

Figura 15: El camino entre capas OSI de un flujo de informacin
Data
Aplicacin Transporte Red Link Fsico

Puente
Data
Aplicacin Transporte Red Link Fsico Link Fsico

Router
Red Link Fsico
Fuente: INTECO
Un paquete de informacin es enviado a travs de una red hasta un destino. Los recursos intermedios necesarios para que llegue dicha informacin no tienen por qu implementar todas las funcionalidades de la pila OSI, tan slo las capas ms bajas. De todo ello se puede deducir que para convertir un sistema cableado en uno inalmbrico, si las capas tienen una funcionalidad correctamente delimitada, tan slo habra que cambiar las dos primeras (el nivel de enlace y el fsico). Esta es la idea de las comunicaciones inalmbricas, aunque la modificacin de estas dos capas no deja de ser extremadamente complicada, ya que la definicin de una capa inalmbrica debe tener en cuenta problemas y dificultades muy importantes que no se tienen en medios cableados o guiados.
Pgina 162 de 181
Por tanto, si la capa de una tecnologa es igual a la de otra, las ventajas e inconvenientes sern tambin los mismos. As pues, los peligros que se puedan llegar a presentar a nivel de aplicacin, de transporte o a nivel de red sern generalmente los mismos en una tecnologa inalmbrica que en una cableada. De hecho, todas las soluciones utilizadas para las tecnologas cableadas se pueden utilizar en las inalmbricas (aunque no siempre tendrn el mismo efecto), y la mayora de las soluciones existentes para securizar las redes inalmbricas son protocolos que securizan el nivel de enlace.
Pgina 163 de 181
11
ANEXO IV: METODOLOGA CONSULTADAS
FUENTES
11.1 Metodologa En base a los objetivos y resultados buscados en el informe se ha definido una metodologa de trabajo basada en la realizacin de entrevistas cualitativas, en el anlisis y bsqueda de informacin en fuentes independientes y en la participacin de una panel de expertos cuya principal misin es asesorar al equipo de trabajo en el enfoque y avance del trabajo realizado. 11.1.1 Listado de empresas colaboradoras
Para la realizacin de este estudio se ha contado con la participacin de empresas de reconocido prestigio, que han aportado su conocimiento y experiencia en el mbito de la seguridad en redes inalmbricas. Las empresas participantes han sido las siguientes: Aladdin Alcatel-lucent Cisco Check Point cija Abogados Ericsson everis HP Magirus Microsoft Mobipay Mossec Nokia Ono Panda Software Sun Symantec Telefnica Trend Micro Vodafone Zitralia
Pgina 164 de 181
Figura 16: Metodologa y resultados del informe

ESTUDIO DE INFORMES Y FUENTES DE INFORMACIN Identificacin de las fuentes Anlisis de la informacin disponible RESULTADOS PANEL DE EXPERTOS Identificacin de los componentes Realizacin de reuniones de consulta Anlisis de las recomendaciones Caracterizacin de las tecnologas inalmbricas
ENTREVISTAS A EMPRESAS RELEVANTES DEL SECTOR Identificacin de la cadena de valor Diseo del cuestionario de entrevistas Realizacin de entrevistas Vulnerabilidades y soluciones de seguridad
ENCUESTAS DE UTILIZACIN DE INALAMBRICAS EN HOGARES Lanzamiento Diseo Elaboracin de la Obtencin de y captacin de la encuesta y resultados de la recopilacin diagnstico muestra encuesta de datos Realizacin de auditoras de seguridad Obtencin de conclusiones de encuestas
Recomendaciones para la Administracin y la industria
Fuente: INTECO
11.1.2
Panel de expertos
El panel, formado por un grupo de gerentes y socios de la consultora everis, ha tenido como fin asesorar al equipo de trabajo, tanto en el enfoque como en la validacin de las conclusiones y resultados obtenidos. La composicin del panel de expertos ha sido la siguiente: Pablo Argaiz, socio del sector Telecom. Luciano Moyano, gerente senior del rea de Redes. Conrad Lpez, gerente senior del rea de Redes. Jess Martin Tello, gerente senior del sector Telecom.
Pgina 165 de 181
11.1.3
Joaqun Guerrero, gerente Telecom. Miguel ngel Thomas, gerente de Seguridad. Entrevistas a empresas relevantes del sector
Como paso previo a la realizacin de las entrevistas a las empresas del sector ms relevantes, se ha definido una cadena de valor de la seguridad en las redes inalmbricas, a partir de la cual identificar a los principales actores del sector.
Figura 17: Cadena de valor de securizacin en redes inalmbricas
Proveedores de contenidos y servicios
Facilitadores de servicios de acceso y conectividad
Fabricantes de elementos de red
Fabricantes de terminales Fabricantes de terminales Fabricantes y/o proveedores de software
Usuarios
Empresas de seguridad Organismos independientes

Fuente: INTECO
Proveedores de contenidos y servicios: cualquier empresa que toma la determinacin de poner informacin a disposicin de terceros mediante su conexin a la red (estos actores tambin pueden ser usuarios).
Facilitadores de servicios de acceso y conectividad: operadores de telecomunicaciones y proveedores de soluciones inalmbricas para pymes y particulares. Fabricantes de elementos de red: empresas del sector encargadas de fabricar o proveer de elementos de red (routers, switches, hub, puntos de acceso wireless, antenas de comunicacin, etctera) a los propios facilitadores de servicios de acceso y conectividad o a las pymes.
Fabricantes de terminales: empresas fabricantes o proveedoras de terminales con la capacidad de conectarse a las tecnologas inalmbricas definidas en este estudio: GSM/GPRS/UMTS/HSPA, RFID, NFC, Bluetooth, 802.11. Fabricantes y/o proveedores de software: empresas proveedoras o
desarrolladoras de sistemas operativos, que permiten el funcionamiento de los diferentes dispositivos de acceso.
Pgina 166 de 181
Usuarios: personas fsicas o pymes que se conectan a una red inalmbrica. Empresas de seguridad: empresas desarrolladoras, proveedoras o mayoristas de soluciones hardware y software de seguridad: antivirus, soluciones especficas, etctera. Organismos independientes: organismos, incluida la propia Administracin, que a partir de normativas, estndares o leyes promueven y regulan los aspectos de la seguridad en las comunicaciones inalmbricas.
Una vez definido el listado de empresas que iban a ser entrevistadas para ampliar el alcance y profundidad del estudio, se dise un cuestionario donde se recogan las siguientes cuestiones cualitativas: Identificacin de la lista de requisitos de seguridad. Identificacin de los ataques y soluciones existentes en el mercado. Listado de tecnologas que estudiar. Legislacin y normativa relevante. Recomendaciones y tendencias.
A partir de este cuestionario se realizaron las entrevistas a las empresas ms relevantes del sector. 11.1.4 Encuestas a usuarios pertenecientes a hogares conectados a Internet
Realizacin y anlisis de resultados de 3.233 encuestas a usuarios pertenecientes a hogares conectados a Internet sobre dispositivos mviles y redes inalmbricas 156 . Las caractersticas del trabajo de campo son: Universo: Usuarios espaoles de Internet, con acceso frecuente a Internet desde el hogar, mayores de 15 aos. Para delimitar con mayor precisin el concepto de usuario, se exige una conexin a Internet desde el hogar de al menos una vez al mes. Tamao y distribucin muestral: se ha extrado una muestra representativa de 3.233 usuarios de Internet, mediante afijacin muestral segn un modelo polietpico:
156
Los datos de los resultados cuantitativos obtenidos de la muestra, tienen su base en opiniones y percepciones de los
usuarios encuestados.
Pgina 167 de 181
Estratificacin por comunidades autnomas para garantizar un mnimo de sujetos en cada una de estas entidades.
Muestreo por cuotas de tamao del hogar, edad, sexo, actividad laboral y tamao del hbitat 157 .
Tabla 30: Distribucin muestral por CC.AA. (%) Muestra Obtenida 15,7 3,4 3,7 1,9 1,9 1,9 3,1 6,2 15,1 5,5 1,2 6,7 18,4 2,4 0,9 0,6 9,2 Muestra Terica 15,2 3,0 2,5 2,7 4,7 1,3 2,9 5,4 18,5 4,7 1,4 4,5 18,6 2,5 1,4 0,7 10,0
CC.AA. Andaluca Aragn Asturias Baleares Canarias Cantabria Castilla-La Mancha Castilla y Len Catalua Pas Vasco Extremadura Galicia Madrid Murcia Navarra La Rioja Comunidad Valenciana
Fuente: INTECO. Mayo 2008
Aunque las desviaciones entre la muestra obtenida (mayo de 2008) y la terica (enero de 2008) han sido pequeas, la muestra de esta oleada (que incluye el total de encuestas recogidas con sus escaneos correspondientes) se ha equilibrado al universo en base a los datos poblacionales por comunidades autnomas, para el universo descrito anteriormente, y a las variables de cuota, para alcanzar un ajuste ms perfecto. Captura de informacin: entrevistas online a partir de un panel de usuarios de Internet, con un total 3.233 encuestados. Trabajo de campo: realizado en mayo de 2008.
Estas cuotas se han obtenido de datos representativos a nivel nacional de internautas mayores de 15 aos que se conectan ms de una vez al mes desde el hogar facilitados por Red.es, entidad pblica empresarial del Ministerio de Industria, Comercio y Turismo (Las TIC en los hogares espaoles: 11 Oleada-Octubre 2006).
157
Pgina 168 de 181
Error muestral: de acuerdo con los criterios del muestreo aleatorio simple para variables dicotmicas en las que p=q=0,5 y para un nivel de confianza del 95,5%, se establece el siguiente clculo del error muestral: muestra total n=3.233, error muestral 1,72%.
Tabla 31: Distribucin muestral por categoras sociodemogrficas (%) Muestra Obtenida 81,7 4,3 5,8 4,6 3,5 6,2 20,6 23,4 49,8 47,1 52,9 27,3 24,2 48,5 20,7 41,7 27,9 9,7 Muestra Terica 71,7 4,6 16,1 3,0 4,6 3,2 15,4 28,7 52,7 53,7 46,3 24,8 24,1 51,1 23,4 28,2 31,8 16,6
Fuente: INTECO. Mayo 2008
Concepto Actividad Ocupado Parado Estudiante Jubilado Otros inactivos Tamao hogar 1 2 3 4 y ms Sexo Hombre Mujer Hbitat Hasta 20.000 De 20.001 a 100.000 Ms de 100.000 y capitales Edad Hasta 24 25-35 35-49 De 50 y mas
Base muestra terica= 3.523 Base muestra obtenida=3.233
Dado que tanto los datos finales de la encuesta de enero de 2008 como los de mayo de 2008, que son objeto de comparacin en este informe, se han ponderado para ajustarse al mismo universo de estudio, son perfectamente homogneos en cuanto a distribucin geogrfica, sexo, edad, tamao del hogar y otras variables sociodemogrficas relevantes. Es decir, no presentan variacin en tales dimensiones a efectos del anlisis. 11.1.5 Estudio de informes y fuentes de informacin
Este estudio se ha abordado a partir de tres vas:
Pgina 169 de 181
Anlisis del mercado de las telecomunicaciones en Espaa, taxonoma de las tecnologas inalmbricas existentes en el mbito mundial y su proyeccin de uso en el mercado espaol.
Informacin sobre los principales riesgos, ataques y soluciones de seguridad de las diferentes redes inalmbricas. Informacin sobre normativa, estndares y regulacin de aplicacin a la seguridad de las tecnologas estudiadas.
Para ello se han consultado fuentes de toda ndole, desde organismos y empresas independientes hasta informacin de foros de Internet de sitios especializados en el tema. A continuacin se listan las fuentes consultadas en este estudio: 3G Amrica Aaron E. Publications Abi Research Afina Aladdin Albalia Interactiva Android Apple Arm Asociacin de Usuarios Internet (http://www.aui.es) Asociacin Multisectorial de de Earle, Auerbach Birdstep Enterprise Division Blog Bits de Actualidad (http://actualidad.insightnetworks.net) Blogwimax Bluehack: the Spanish Bluetooth Security Group Bluesocket Bluetooth.com British Telecom Calypso Wireless Cloakware Cloudmark Comisin del Mercado de las Telecomunicaciones (CMT) Banda Ancha
(http://www.bandaancha.es)
Empresas Espaolas de Electrnica y Comunicaciones AT&T, Seguridad Informacin Ayuntamiento de Mijas de la
Pgina 170 de 181
Comisionado Europea
de
la
Unin
IBM ID Techex Ltd IDATE IDG Communications IDTrack INE-Instituto Estadstica Iniciativa FON INTECO INTEL Inteligentis ltd. International Organization - ISO Ironport ITU-International Telecommunication Union Kaspersky Lansur Magirus MaisMedia, Soluciones Integrales para Internet (http://www.Maismedia.com) Standard Nacional de
Converting Magazine CSIC-Consejo Superior de
Investigaciones Cientficas Department of Defense Standard Diarios 5 Das, ABC, Cibersur, El Mundo, El Pas, The Independent Enisa everis F-Secure Fundacin Auna (http://www.fundacionauna.com) Fundacin OPTI (Observatorio de Prospectiva Industrial) Fundacin Orange Fundacin Telefnica Gaptel-Red.es (http://www.Gaptel-Red.es) Gartner GSM Association GSM Forum GSM (http://www.gsmspain.com/) http://www.wikio.es Huawei Spain Tecnolgica
Maravedis, Telecom Research & Analysis mBalance Microsoft
Market
Pgina 171 de 181
Ministerio
de
Administraciones de
Phonemag (http://www.phonemag.com)
Pblicas-Consejo Superior Administracin Electrnica MKM Publicaciones Editorial Motorola
Praesidium Services LTD. Radware Red.es Reuters Revista Macworld Communication IDG
Mvil Data Chile (http://www.moviladmin.cl/) National Institute of Standard And Technology-NIST
National Mobile Phone Crime Unit (UK) Netasq News.com (http://www.news.com) Nordea bank Nortel Noticas de Consultoras (http://Consultant-News.com) Nova kbm O2 Observatorio Wireless Open Mobile Terminal Platform (OMTP) Orange
Revistas ON World, PCActual, PCWorld, Prensa.Com, Red RFC Group RIM (BlackBerry http://www.blackberry.com) Safenet Snchez Castillo, Ericc. Redes Celulares PCS y Trunking SanDisk Corporation Secretara de Estado Telecomunicaciones de
Seguridad Informtica en Banco de Colombia
Serious Organized Crime Agency (SOCA) SGI Soluciones Globales Internet Siemens Sky Mobilemedia Solaiemes
Palm Partner Company ltd. Communications
Pgina 172 de 181
SonicWALL Distributed Wireless Solution
Universidad de Colombia Universidad de Deusto Universidad de Murcia Universidad de Nebrija, Madrid Universidad de Ruhr Universidad de Valencia Universidad Valencia Universidad Comillas, ICAI Politcnica de
Sophos Security Strix Systems Swisscom Mobile Symbian Telecentros.es (http://www.telecentros.es/) Telecom (http://www.telecom.com) Telecom Italia Telecom.com (http://www.telecoms.com) Teliasonera Tendencias Tecnolgicas (http://www.tecnotendencias.com/) Tonse Telecom. Research UMTS Forum Universidad Carlos III Madrid Universidad de Bremen Universidad de Cambridge Universidad Mancha de Castilla-La
Pontificia
de
Universitat Oberta de Catalunya University of Auckland University of Austin, Texas Vnunet.com (http://www.vnunet.com)
Web de tecnologa de Terra (http://www.terra.es/tecnologia) Wi-Fi Alliance Wikipedia WiMax Elche WiMAX Forum ZDNnet
Pgina 173 de 181
INDICE ANLITICO
1G, 20, 46 2G, 21, 22, 54 3G, 17, 20, 21, 23, 28, 47, 51, 52, 53, 54, 89, 114, 122, 170 3GPP, 55, 116 ISO, 21, 69, 71, 73, 76, 77, 80, 81, 123, 125, 150, 158, AES, 105, 108, 146 Bluetooth, 4, 5, 9, 11, 17, 18, 23, 27, 32, 38, 39, 63, 64, 65, 66, 82, 83, 94, 95, 96, 97, 98, 105, 106, 108, 116, 121, 122, 134, 166, 170 CDMA2000, 20, 21, 46 cdmaOne, 21, 46 Cordless Phone, 27, 46 CSD, 21, 22, 46 D-AMPS, 21, 46 DES, 92, 110, 146 EDGE, 21, 47 OCDE, 71, 73, 74, 76 Femtocell, 25, 47 PAN, 3, 8, 15, 19, 26, 27, 46, 48 FOMA/W-CDMA, 47 PDC, 23, 47 GPRS, 4, 5, 9, 10, 17, 21, 23, 35, 51, 52, 53, 54, 55, 82, 83, 84, 85, 86, 87, 88, 89, 103, 108, 121, 134, 166 GSM, 4, 5, 9, 10, 17, 21, 22, 23, 24, 25, 35, 49, 50, 51, 52, 53, 54, 55, 58, 61, 82, 83, 84, 85, 86, 87, 88, 89, 103, 108, 131, 134, 166, 171 HC-SDMA, 22, 47 HIPERLAN, 26, 47 HIPERMAN, 25, 47 HSCSD, 22, 47 HSDPA, 22, 25, 29, 52, 55, 56, 57, 108, 114 HSPA, 4, 5, 9, 10, 17, 22, 55, 56, 57, 58, 82, 83, 87, 88, 89, 103, 134, 166 PHS, 23, 47 RFID, 9, 27, 66, 67, 166 SSID, 110 ssl, 104 TD-SCDMA, 23, 47 Trunking, 25, 172 UMA, 23, 47 UMB, 24, 47 UMTS, 4, 5, 9, 10, 17, 21, 22, 24, 28, 29, 35, 46, 47, 52, 53, 54, 55, 57, 82, 83, 87, 88, 89, 103, 108, 114, 116, 121, 134, 166, 173 160, 171 ITU, 77, 80, 81, 171 LAN, 3, 8, 11, 15, 19, 23, 26, 33, 46, 69, 70, 135 LTE, 22, 47, 116 MAN, 3, 8, 15, 19, 24, 25, 46 MD5, 110, 146, 147 Mobile FI, 23, 47 Mobile WiMAX, 23, 25, 47 NFC, 4, 5, 11, 27, 66, 67, 68, 82, 83, 98, 99, 107, 108, 135, 166 HSUPA, 22, 55, 57 iDEN, 22, 47 IPSec, 104 IrDA, 27, 47, 65
Pgina 174 de 181
UMTS-TDD, 24, 47 VPN, 110, 121, 128, 144, 146 VSAT, 20, 24 WAN, 3, 8, 15, 19, 20, 23, 46
Wi-Fi, 5, 9, 10, 17, 18, 23, 29, 32, 40, 41, 58, 59, 60, 75, 87, 91, 93, 94, 102, 107, 108, 110, 112, 116, 122, 139, 167, 173 WiMAX, 4, 5, 23, 25, 29, 47, 61, 62, 63, 82, 89, 90, 91, 92, 93, 94, 104, 105, 116, 134, 173 Wireless-Mesh, 26
WAP, 104 WLAN, 4, 5, 25, 26, 58, 59, 61, 62, 70, 82, 83, 85, 87, WCDMA, 55, 82 WEP, 91, 108, 109 WiBro, 25 89, 90, 91, 92, 93, 94, 104, 107, 121 WPA, 108, 109 WPA PSK, 11, 108, 135 WPA2, 108
Pgina 175 de 181
NDICE DE GRFICOS
Grfico 1: Comparacin entre la poblacin espaola y el nmero lneas de telefona mvil ...........................................................................................................................................28 Grfico 2: Penetracin de la telefona mvil en los hogares espaoles ............................30 Grfico 3: Equipamiento de telfono en las viviendas principales.....................................31 Grfico 4: Uso del telfono mvil por tramos de edad y gnero........................................31 Grfico 5: Equipamiento de los hogares en Espaa .........................................................32 Grfico 6: Porcentaje de empresas que disponan de infraestructura tecnolgica (% sobre el total) ...............................................................................................................................34 Grfico 7: Telefona mvil y uso de dispositivos mviles avanzados en las pymes en Espaa (% sobre el total) ..................................................................................................35 Grfico 8: Porcentaje de empresas con acceso a Internet por tipo de tecnologa (% sobre el total de empresas con conexin a Internet)...................................................................36 Grfico 9: Utilizacin de medidas de seguridad en el telfono mvil por usuarios en Espaa...............................................................................................................................38 Grfico 10: Usos del Bluetooth en telfonos mviles avanzados por usuarios en Espaa ...........................................................................................................................................39 Grfico 11: Incidentes en dispositivos mviles de usuarios en Espaa ............................39 Grfico 12: Usos de las redes inalmbricas en lugares pblicos por usuarios en Espaa40 Grfico 13: Estado de la proteccin de accesos inalmbricos a Internet en el hogar .......40 Grfico 14: Estado de la proteccin de accesos inalmbricos a Internet en el hogar en Espaa...............................................................................................................................41 Grfico 15: Comparativa de incidencias de seguridad ......................................................42 Grfico 16: Porcentaje de empresas con conexin a Internet que usan servicios de seguridad a nivel interno (por tamao de empresa, % sobre el total de empresas con acceso a Internet) ..............................................................................................................43
Pgina 176 de 181
Grfico 17: Porcentaje de empresas que han actualizado sus servicios de seguridad en los ltimos tres meses (por tamao de empresa, % sobre el total de empresas con acceso a Internet) ..............................................................................................................43 Grfico 18: Porcentaje de empresas que han tenido algn problema de seguridad en los ltimos doce meses (por tamao de empresa, % sobre el total de empresas con acceso a Internet) .............................................................................................................................44 Grfico 19: Comparativa entre las medidas de seguridad utilizadas por pymes y grandes empresas ...........................................................................................................................45 Grfico 20: Porcentaje de persona que utilizan telfono mvil por edad ........................113 Grfico 21: Porcentaje de hogares que disponen nicamente de un tipo de telfono ....114 Grfico 22: Empresas con empleados conectados por redes telemticas externas a las TIC corporativas durante viajes de negocio (% sobre el total) ........................................116 Grfico 23: Cules son los aspectos ms importantes para su organizacin en materia de seguridad mvil?.........................................................................................................119
Pgina 177 de 181
NDICE DE TABLAS
Tabla 1: Tecnologas WAN................................................................................................20 Tabla 2: Tecnologas MAN ................................................................................................25 Tabla 3: Tecnologas LAN .................................................................................................26 Tabla 4: Tecnologas PAN.................................................................................................27 Tabla 5: Puntos de acceso (2006).....................................................................................29 Tabla 6: Incidencias de seguridad ms recientes detectadas por los usuarios segn momento en que se ha producido (% acumulados) ..........................................................41 Tabla 7: Tecnologas con bajo nivel de penetracin y potencial de uso en Espaa .........46 Tabla 8: Anlisis de penetracin y potencial de uso de tecnologa GSM..........................51 Tabla 9: Anlisis de penetracin y potencial uso de la tecnologa GPRS .........................53 Tabla 10: Anlisis de penetracin y potencial uso de la tecnologa UMTS .......................55 Tabla 11: Anlisis de penetracin y potencial de uso de la tecnologa HSPA ..................58 Tabla 12: Anlisis de penetracin y potencial uso de la tecnologa Wi-Fi.........................60 Tabla 13: Anlisis de penetracin y potencial uso de tecnologa WiMAX .........................63 Tabla 14: Anlisis de penetracin y potencial uso de la tecnologa Bluetooth ..................65 Tabla 15: Anlisis de penetracin y potencial uso de la tecnologa NFC..........................68 Tabla 16: Ataques por dimensin de seguridad ................................................................70 Tabla 17: Ataques a la autenticacin.................................................................................72 Tabla 18: Ataques a la confidencialidad ............................................................................74 Tabla 19: Ataques a la integridad ......................................................................................77 Tabla 20: Ataques a la disponibilidad ................................................................................78 Tabla 21: Ataques al control de acceso.............................................................................81 Tabla 22: Ataques por tipo de tecnologa inalmbrica.......................................................83
Pgina 178 de 181
Tabla 23: Nivel de vulnerabilidad de la tecnologa GSM/GPRS........................................87 Tabla 24: Nivel de vulnerabilidad de la tecnologa UMTS/HSPA ......................................89 Tabla 25: Nivel de vulnerabilidad de la tecnologa WLAN.................................................94 Tabla 26: Nivel de vulnerabilidad de la tecnologa Bluetooth ............................................98 Tabla 27: Nivel de vulnerabilidad de la tecnologa NFC....................................................99 Tabla 28: Ataque a la proteccin de dispositivos ............................................................122 Tabla 29: Consecuencias relacionadas con la vulnerabilidad de los dispositivos...........125 Tabla 30: Distribucin muestral por CC.AA. (%) .............................................................168 Tabla 31: Distribucin muestral por categoras sociodemogrficas (%)..........................169
Pgina 179 de 181
INDICE DE FIGURAS
Figura 1: Estructura general del estudio............................................................................16 Figura 2: Redes segn cobertura geogrfica ....................................................................19 Figura 3: Tecnologas con elevada penetracin y potencial de uso en Espaa................48 Figura 4: Comunicacin a travs de tecnologa GMS .......................................................49 Figura 5: Sistemas de celdas hexagonales GSM..............................................................51 Figura 6: Funcionamiento GPRS.......................................................................................53 Figura 7: Dispositivo HSPA ...............................................................................................57 Figura 8: Arquitectura bsica de una red WLAN en modo infraestructura ........................60 Figura 9: Funcionamiento de la tecnologa WiMAX...........................................................62 Figura 10: Funcionamiento de la tecnologa Bluetooth .....................................................65 Figura 11: Funcionamiento de la tecnologa NFC .............................................................68 Figura 12: Evolucin de unidades vendidas por tipo de dispositivo ................................115 Figura 13: Fuentes de infeccin de dispositivos mviles.................................................121 Figura 14: Soluciones de seguridad ................................................................................140 Figura 15: El camino entre capas OSI de un flujo de informacin...................................162 Figura 16: Metodologa y resultados del informe.............................................................165 Figura 17: Cadena de valor de securizacin en redes inalmbricas ...............................166
Pgina 180 de 181

http://www.inteco.es
http://observatorio.inteco.es

INTECO - Estudio Sobre Seguridad Inalámbrica (MMBB)

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

INTECO - Estudio Sobre Seguridad Inalámbrica (MMBB)

Uploaded by

Copyright:

Available Formats

Instituto Nacional de Tecnologas de la Comunicacin

OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIN

Instituto Nacional de Tecnologas de la Comunicacin

Edicin: Junio 2008

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

3.1.1 3.1.2 3.2 3.2.1 3.2.2

Instituto Nacional de Tecnologas de la Comunicacin

5.1.5 5.1.6 5.2 5.2.1 5.2.2 5.2.3 5.2.4 5.2.5 6

Instituto Nacional de Tecnologas de la Comunicacin

INALMBRICAS ..............................................................................................................153 9.1 Normativa espaola .........................................................................................153

11.1.1 11.1.2 11.1.3

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Control de acceso. Autenticacin. Disponibilidad.

Confidencialidad. Integridad. No repudio.

Instituto Nacional de Tecnologas de la Comunicacin

La observacin visual del entorno de validacin y custodia del dispositivo (NFC).

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Securizacin de redes inalmbricas: vulnerabilidades y consecuencias.

La estructura global de este documento se puede observar en la siguiente figura:

Tecnologas con elevada penetracin y alto nivel de uso

Soluciones de seguridad con aplicacin a redes inalmbricas

Soluciones por tecnologa inalmbrica Dispositivos inalmbricos

Instituto Nacional de Tecnologas de la Comunicacin

2 REDES INALMBRICAS Y CLASIFICACIN SEGN SU COBERTURA GEOGRFICA

prcticas desarrolladas en ese mbito. Disponible en http://www.ebusiness-watch.org/

Instituto Nacional de Tecnologas de la Comunicacin

European Commission (2007): E-Communications Household survey. Eurobarmetro 274. Disponible en

Instituto Nacional de Tecnologas de la Comunicacin

Taxonoma de redes inalmbricas segn su cobertura geogrfica

WAN MAN LAN PAN

Instituto Nacional de Tecnologas de la Comunicacin

Alejandro Molina, Fabin: Seguridad en Redes Inalmbricas en II Jornadas de Telemtica.

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Glosario de trminos en la pgina de Nokia. Disponible en http://www.nokia.com/EUROPE_NOKIA_COM_3/r2/support/tutorials/8910/spanish/glossary/index.html

ancha, periodo 2002 2006.

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Instituto Nacional de Tecnologas de la Comunicacin

Tabla 2: Tecnologas MAN Nombre Descripcin

Fijos, Nmadas y Mviles. Instituto Cataln de Tecnologa, Barcelona, 2007.

Instituto Nacional de Tecnologas de la Comunicacin

NSIS Ligado a Servicios de Autenticacin. Universidad de Murcia, 2006.

Instituto Nacional de Tecnologas de la Comunicacin

Tabla 4: Tecnologas PAN Nombre Descripcin

Instituto Nacional de Tecnologas de la Comunicacin

SITUACIN Y TENDENCIAS DE LAS TECNOLOGAS MVILES E INALMBRICAS EN ESPAA

42.712.701 44.709.000 33.568.812 29.669.461

30.000.000 20.000.000 10.000.000 0 2000

Clientes de telefona mvil

Fuente: Comisin del Mercado de las Telecomunicaciones (2008)

2007. Disponible en http://www.cmt.es/cmt_ptl_ext/SelectOption.do?nav=publi_anuales

Instituto Nacional de Tecnologas de la Comunicacin

Accesos Comerciales Marzo

Accesos Privados Marzo