[HACK] Re: [HACK] Seguridad wireless (práctica y casera) :-)

[Roman Medina]

On 05 Mar 2003 01:05:25 +0000, you wrote:

>joder, pues lo pones dificil. yo propondria 

 :-) Muchos son "obstáculos" más que medidas de eficiencia "real". Y
aparte, me gustaría centrarme en el escenario wireless referido. Me
explico...

>-Habilitar el WEP
 El WEP se puede romper

>-Usar los filtros de los distintos AP
¿Qué filtros? Cualquier filtro, ya sea de nivel 2 o 3, se puede saltar
(ya que el atacante se puede poner la MAC o la IP que quiera).

>-Utilizar una politica de denegacion por defecto y habilitar a los
>usuarios validos

 Me remito un poco a lo anterior.

>-Establecer un firewall con iptables (no tiene pq ser complicado)

 Idem anterior: los filtrados aquí valen de poco.

>-Deshabilitar el brodcast de SSID

 Tampoco vale de mucho. Me parece que con sniffar el tráfico de la
wlan, sacas el SSID

>-Utilizar un sistema de tunel VPN com FreesWan que esta basado en IPsec
>y no creo que tengas problemas en implentarlo en otros SO como Windows o
>MAC

 Esta es, por ahora, la única solución infalible que veo, y que
también apuntaron otros contertulios. En realidad, cualquier
tunelización con encriptación (p.ej. Cipe) tb valdría, no ha de ser
sólo IPSec. Lo que no tengo muy claro es el tema de autentificar
posibles usuarios, etc. Me parece que IPSec puede autentificar contra
Kerberos y cosas así. Me tengo que mirar el manual del freeswan, pero
mientras tanto, si os animais a hablar sobre este tema en la lista,
creo que nos beneficiará a todos :-)

>-Segementar la red de forma que solo viaje por la wireless el trafico
>imprescindible 

 Esto tb lo he implementado: he puesto toda la wlan en un VLAN
específica. El router (un linux) que interconecta la lan normal y la
wlan lo tengo que pulir un poquito. Ahí meteré un fw que filtre todo
el tráfico excepto el de Ipsec. Tb tengo que configurar freeswan en
dicha máquina.

>-si tienes tiempo implenta sistemas de deteccion de intrusos 

 Tb sería ideal la máquina/router anterior para colocar un NIDS como
snort.

>vamos que en general, parece todo apabullante pero tampoco hay que
>complicarse mucho para hacer las cosas bien  y sobre todo:

 En realidad todo esto ya lo sabía. Mi intención de este thread,
aparte de repasar ideas, era ver qué otras opciones quizás más "raras"
pueda haber. Por ejemplo, estilo LEAP de Cisco, que tampoco se muy
bien como funciona...

>Planteate hasta que punto te merece la pena poner una determinada medida
>de seguridad y que es lo que arriesgas

 Arriesgar no arriesgo demasiado. Es la LAN de mi casa :-))

>Espero que te sirva como comienzo

 Gracias a tí, y a los demás que han contestado (tampoco se han
herniado algunos, ¿eh Jesús? xD).

 Saludos,
 --Roman

--
PGP Fingerprint:
09BB EFCD 21ED 4E79 25FB  29E1 E47F 8A7D EAD5 6742
[Key ID: 0xEAD56742. Available at KeyServ]