NOTICIA INFORMATICA

Actualización urgente de GNUPG

Se ha publicado la versión 1.0.6 del programa GNUPG, que soluciona varios problemas de seguridad.

GNUPG es un programa, disponible para multitud de sistemas operativos, que implementa el protocolo OpenPGP para el intercambio de claves públicas, cifrado y firmas digitales. Se trata de un programa distribuído bajo licencia GNU y con código fuente.

Se soluciona el problema de manipulación de claves privadas, publicado anteriormente, por el cual un atacante con el suficiente nivel de acceso pueda deducir una clave privada. Este problema, era debido a que las versiones anteriores de GNUPG no incorporban un control de integridad del componente público de la clave secreta del usuario, lo que permitía su modificación a cualquier atacante con los privilegios de acceso necesarios.

Se solucionan también problemas de desbordamiento de búfer y errores de formato en los ficheros documentación en los diferentes idiomas que soporta el programa.



Disney distribuye un virus informático

Un juego de Disney Interactive, distribuido en España por Infogrames,
lleva en su interior el virus CIH activado, uno de los más dañinos
de toda la historia. Una "sorpresa" que ambas compañías han tratado
de silenciar.

Tanto Disney como la distribuidora, conocedoras del problema tiempo
atrás, omitieron cualquier comunicado alertando públicamente de este
grave incidente que, a día de hoy, los usuarios siguen sufriendo en
forma de pérdidas irrecuperables de información a base de discos
duros formateados y, en algunos casos, daños en el hardware de sus
equipos.

"La sospecha se originó a finales de Abril cuando dos lectores
tuvieron que reinstalar el sistema del ordenador personal de un
compañero de trabajo cuyo disco duro apareció totalmente
irreconocible, al parecer por la acción de un virus. El compañero
volvió al segundo día con el PC, ya que por un descuido no habían
configurado correctamente el vídeo, fue entonces cuando descubrieron
que el sistema se encontraba de nuevo infectado, concretamente el
archivo "RT4.EXE", perteneciente al juego "El Reino de las
Matemáticas con Aladdin". El desconcierto surge cuando ningún
antivirus detecta presencia alguna del virus en el CD original de
instalación.

En ese punto, y ante la duda, deciden ponerse en contacto con
Hispasec adjuntando el CD motivo de la sospecha. En una rápida
mirada al contenido del CD pudimos confirmar la existencia del
virus CIH, el motivo por el que ningún producto detectaba su
presencia era porque éste se encontraba en un fichero renombrado
y comprimido en un formato no soportado por los antivirus.

Durante el proceso de instalación el archivo infectado se renombra
como ejecutable y es copiado en el disco duro. Cualquier ejecución
del juego a posterior pasa por el archivo infectado, por defecto
en "C:DISNEY\ELREINO\RT4.EXE", lo que provoca que el virus CIH se
quede residente en memoria y comience la infección de todo el
sistema. Cuando un usuario, en el mejor de los casos, detecta la
presencia del virus antes de que éste lleve su a cabo su acción
dañina, es muy probable que el virus haya infectado una gran
cantidad de ficheros por lo que se presenta difícil relacionar al
juego de Disney como origen de la infección. Es mucho más fácil
echar la culpa a los programas "pirata" o al comodín de Internet", publica hipesec.


El virus CIH

Win95.CIH es un virus para Windows 95/98 que lleva a cabo su
"payload", o acción dañina, el 26 de Abril, día al que debe su
alias "Chernobyl", al coincidir con el desastre nuclear de 1986.
Su origen se remonta a junio de 1998, cuando Chen Ing-Hau, cuyas
iniciales dan lugar al nombre del virus, desarrolló el programa
mientras cursaba sus estudios de ingeniería informática en el
Instituto de Tecnología Tatung de Taiwan.

CIH infecta archivos ejecutables en
formato Windows PE (Portable Executable). Al ejecutar un archivo
infectado el virus pasa a memoria quedando residente, a partir
de ese momento infectará cualquier programa que usemos. Además
de ocupar apenas 1 Kb, el virus utiliza una técnica que busca
hospedarse en huecos libres en el programa que va a infectar
por lo que el archivo una vez modificado no aumenta
necesariamente de tamaño. De esta forma oculta su presencia.
Otros de los detalles técnicos que más impactó en su momento
consisten en su capacidad para saltar desde "Ring-3" a "Ring-0",
el anillo de privilegios máximos en Windows.

Pero lo que ha hecho famoso a este virus son las acciones
dañinas que lleva a cabo al activarse, además de borrar la
información de todos los discos duros, sobrescribiendo la MBR
y los sectores de arranque. CIH es capaz de dañar determinados
tipos de BIOS, siendo la única solución la sustitución de la
pieza de hardware por una nueva, obligando a llevar el
ordenador al servicio técnico.

CONFIGURACION DE IPSec

CONFIGURACION DE IPSEC WINDOWS - WINDOWS

NOTAS:

• Cuando estemos realizando una configuracion y nos aparesca en la mayoria de los casos en el lado inferior derecho marcada la opcion usar Asistente para agregar lo debemos desmarcar para no tener inconvenientes.

• Cuando estamos configurando una regla en la casilla general podemos colocarle el nombre y la descripcion a cualquiera de estas reglas.

• Primero debemos abrir la consola de administracion de ipec

• Inicio.

• Ejecutar.

• Mmc

• ok

Aparecera la siguiente consola en la cual podremos elegir las consolas para la administracion.

• Selecionamos las consola de administracion de ipsec:

• Archivo.

• Agregar o quitar complemento.

• Agragar.

• Seleccinamos las consolas.

• Administrador de las directivas de seguridad IP.

• Monitor de seguridad.

Cuando seleccionamos Administrador de las directivas de seguridad IP nos pide que seleccionemos el equipo o dominio que administrara el complemento.

• En nuestro caso Seleccionamos equipo local.

• Finalizar.

• Cerramos la consola para agregar complementos.

• Ya seleccionadas las consolas damos clic en Aceptar para poderlas administrar.

Si damos clic sobre la consola Administrador de las directivas de seguridad IP podemos observar que en ella hay tres politicas por defecto cada una con sus permisos.

• Damos clic derecho a un lado de la consola.

• Crear una nueva directiva de seguridad.

• Siguiente.

• Nombre que le vamos a asignar a la politica.

• Siguiente.

• Activar la politica cuando termine la configuracion.

• Siguiente.

• Metodo de autenticacion.

• Clic en el tercer icono para colocar una contraseña precompartida.

• Siguiente.

• Editar politica.

• Siguiente.

• Reglas de seguridad para establecer comunicación con equipos.

• Agregar.

• Seleccionamos la ventana de lista de filtros IP.

• Agregar.

• Colocamos el nombre para nuestro nuevo filtro.

• Agregar.

• Seleccionamos de cual IP a cual va a ir la regla.

• Clic en la ventana protocolos.

• Seleccionamos el protocolo al cual vamos a aplicar la regla.

• Si queremos podemos tambien seleccionar los puertos.

• Aceptar.

• Aceptar.

• Clic en la ventana accion de filtrado.

• Agregar.

• Nos abrira una ventana.

• Clic en negociar seguridad.

• Agregar.

• Clic en personalizada.

• Clic en configuracion.

• Configuramos el metodo de seguridad.

• Aceptar.

• Aceptar.

• Aceptar.

• Seleccionamos la regla que acabamos de crear.

• Aplicar.

• Aceptar.

• Aceptar

• Volvemos de nuevo a la consol y solo nos falta asignar nuestra politica.

• Clic derecho sobre la politica.

• Asignar.

Acontinuacion observaremos como es el procedimiento para establecer una comunicacion en IPSec:

En la imagen anterior podemos observar que en el primer paquete de respuesta de ping nos arroja una información diciendo que se esta negociando IP segura, en este paso es donde se comparten la llaves para establecer una conexion segura con IPSec.

Para el establecimiento de la conexión en IPSec se utiliza el protocolo ISAKMP que es el protocolo utilizado para el intercambio de llaves IKE.

Despues de haber sido establecida la conexión el protocolo encargado de brindarle seguridad al la conexio es el ESP que se encarga de asegurar la integridad del paquete.

CONFIGURACION DE IPSEC LINUX - LINUX:

• Para empezar instalamos el paquete de IPSec:

#apt-get install ipsec-tools

Al instalar este paquete el archivo de configuración quedara en /etc/ipsec-tools.conf el cual contiene lo siguiente:

#!/usr/sbin/setkey -f

# NOTE: Do not use this file if you use racoon with racoon-tool

# utility. racoon-tool will setup SAs and SPDs automatically using

# /etc/racoon/racoon-tool.conf configuration.

#

## Flush the SAD and SPD

#

#flush;

#spdflush;

## Some sample SPDs for use racoon

#

# spdadd 10.10.100.1 10.10.100.2 any -P out ipsec

# esp/transport//require;

#

# spdadd 10.10.100.2 10.10.100.1 any -P in ipsec

# esp/transport//require;

#

• En este archivo es que vamos a configurar nuestro ipsec:

# pico /etc/ipsec-tools.conf

• Por defecto vienen comentadas las siguientes dos líneas, las debemos descomentar, así:

#flush;

#spdflush;

Solo quitamos el signo # que esta al principio.

CONFIGURACION CON AH (AUTHENTICATION HEADER)

AH es un protocolo que proporciona en el ámbito de IPSec la autenticación del emisor y la integridad del mensaje mediante el cálculo de un código HMAC.

• Agregamos las siguientes líneas dentro del archivo ipsec-tools.conf, teniendo en cuenta la respectiva configuración para nuestros equipos.

En las siguientes líneas estarán datos muy importantes como:

192.168.1.2 192.168.1.1  La primera es la IP de mi equipo y la segunda es la IP del equipo con el que estableceremos la conexión IPSec.

"1234567890abcdef"  Esta es la clave pre compartida para ambos equipos.

hmac-md5  Tipo de algoritmo que vamos a utilizar.

• Agregamos las siguientes líneas:

add 192.168.1.2 192.168.1.1 ah 0x200 -A hmac-md5 "1234567890abcdef";

add 192.168.1.1 192.168.1.2 ah 0x300 -A hmac-md5 "1234567890abcdef";

# Politicas de seguridad

spdadd 192.168.1.2 192.168.1.1 any -P out ipsec

ah/transport//require;

spdadd 192.168.1.1 192.168.1.2 any -P in ipsec

ah/transport//require;

No debemos olvidar que las líneas anteriores deben estar al contrario en el equipo con el que vamos a establecer la conexión para nuestro ensayo.

• Luego recargaremos IPSec, así para ver si no tenemos mala la configuración dentro del archivo:

#setkey -f /etc/ipsec-tools.conf

• Probamos para ver si nuestra configuración esta buena:

#tcpdump -i eth0 src host 192.168.1.2 or dst host 192.168.1.2  Esta es la IP de nuestro equipo.

Este comando lo debemos ejecutar en nuestro equipo, ahora le pedimos al otro equipo que nos haga ping para que nos pueda arrojar la información que necesitamos.

Nos debe arrojar algo así:

En la imagen anterior podemos ver, que estamos utilizando el protocolo AH y ICMP y de donde a donde hacemos la petición de ping.

CONFIGURACION CON ESP (ENCAPSULATION SECURITY PAYLOAD)

ESP es un protocolo que proporciona en el ámbito IPSec confidencialidad, autenticación y protección de integridad utilizando llaves cifradas.

• Agregamos las siguientes líneas dentro del archivo ipsec-tools.conf, teniendo en cuenta la configuración para cada equipo, pero antes debemos comentar las líneas anteriores de la configuración de AH, estarán marcadas con negrita para un fácil reconocimiento.

#add 192.168.1.2 192.168.1.1 ah 0x200 -A hmac-md5 "1234567890abcdef";

#add 192.168.1.1 192.168.1.2 ah 0x300 -A hmac-md5 "1234567890abcdef";

add 192.168.1.2 192.168.1.1 esp 0x300 -E 3des-cbc "1234567890abcdefghijklmn";
add 192.168.1.1 192.168.1.2 esp 0x200 -E 3des-cbc "1234567890abcdefghijklmn";

# Políticas de seguridad

spdadd 10.3.16.81 10.3.16.84 any -P out ipsec

esp/transport//require;

# ah/transport//require;

spdadd 10.3.16.84 10.3.16.81 any -P in ipsec

esp/transport//require;

# ah/transport//require;

Si comparamos con la configuración para AH nos damos de cuenta que ha cambiado el tipo de protocolo y que en vez de -A ahora es -E para encriptar y que las contraseña ahora es de 24 caracteres, ósea de 2048, alta.

• Volvemos a probar para ver si nuestra configuración esta buena:

#tcpdump -i eth0 src host 192.168.1.2 or dst host 192.168.1.2  Con la IP de nuestro equipo.

Ahora le pedimos al otro equipo que nos haga ping para que nos pueda arrojar la información que necesitamos.

Nos debe arrojar algo así:

En esta imagen a comparación de la de AH podemos observar que estamos utilizando el protocolo ESP y que no nos muestra el protocolo de la petición que acabamos de realizar.

CONFIGURACION CON RACOON

• Para empezar instalamos el archivo de racoon

#apt-get install racoon

• Abre un asistente de configuración elegimos la opción direct.

• Empieza el procedimiento de instalación.

• Al terminar la instalación nos debió haber creado la carpeta racoon y varios archivos dentro de la carpeta:

/etc/racoon

/etc/racoon/psk.txt

/etc/racoon/racoon.conf

/etc/racoon/racoon-tool.conf

• Editamos el archivo psk.txt

#pico /etc/racoon/psk.txt

• Comentamos todas las líneas que hay en este archivo y agregamos las siguientes líneas para que el archivo quede así:

# IPv4/v6 addresses

#10.160.94.3 mekmitasdigoat

#172.16.1.133 0x12345678

#194.100.55.1 whatcertificatereally

#3ffe:501:410:ffff:200:86ff:fe05:80fa mekmitasdigoat

#3ffe:501:410:ffff:210:4bff:fea2:8baa mekmitasdigoat

# USER_FQDN

#foo@kame.net mekmitasdigoat

# FQDN

foo.kame.net hoge

# Direcciones IPv4

192.168.1.1 clave pre compartida simple

192.168.1.2 "1234567890abcdef";

# USER_FQDN

yulian@misena.edu.co Esta es una clave pre compartida para una dirección de correo

# FQDN

www.spenneberg.net Esta es una clave pre compartida

• Ahora editamos el archivo racoon.conf

#pico /etc/racoon/racoon.conf

• Este archivo al final tiene unas líneas comentadas, para ahorrarnos trabajo las vamos a descomentar pero si preferimos agregamos unas nuevas, también vamos que comentar la línea path certificate "/etc/racoon/certs"; por que nosotros no pediremos certificados, para que el archivo quede así:

#

# Please look in /usr/share/doc/racoon/examples for

# examples that come with the source.

#

# Please read racoon.conf(5) for details, and alsoread setkey(8).

#

#

# Also read the Linux IPSEC Howto up at

# http://www.ipsec-howto.org/t1.html

#

path pre_shared_key "/etc/racoon/psk.txt";

#path certificate "/etc/racoon/certs";

remote 192.168.1.1 {

exchange_mode main,aggressive;

proposal {

encryption_algorithm 3des;

hash_algorithm sha1;

authentication_method pre_shared_key;

dh_group modp1024;

}

generate_policy off;

}

sainfo address 192.168.1.2[any] any address 192.168.1.1[any] any {

pfs_group modp768;

encryption_algorithm 3des;

authentication_algorithm hmac_md5;

compression_algorithm deflate;

}

• Para esta configuración dejaremos el archivo ipsec-tools.conf igual que en ESP para probar.

• Luego debemos reiniciar racoon

#/etc/init.d/racoon restart

• Volvemos a probar para ver si nuestra configuración esta buena:

#tcpdump -i eth0 src host 192.168.1.2 or dst host 192.168.1.2  Con la IP de nuestro equipo.

Ahora le pedimos al otro equipo que nos haga ping para que nos pueda arrojar la información que necesitamos.

• Nos debe arrojar algo así:

En el archivo anterior podemos observar las fases de establecimiento de la comunicación entre los dos equipos con la configuración de racoon, como es el procedimiento para el intercambio de llaves y que estamos utilizando el protocolo isakmp.

IPSEC

Las redes se diseñan normalmente para impedir el acceso no autorizado a datos confidenciales desde fuera de la intranet de la empresa mediante el cifrado de la información que viaja a través de líneas de comunicación públicas. Sin embargo, la mayor parte de las redes manejan las comunicaciones entre los hosts de la red interna como texto sin formato. Con acceso físico a la red y un analizador de protocolos, un usuario no autorizado puede obtener fácilmente datos privados.

IPSec autentifica los equipos y cifra los datos para su transmisión entre hosts en una red, intranet o extranet, incluidas las comunicaciones entre estaciones de trabajo y servidores, y entre servidores. El objetivo principal de IPSec es proporcionar protección a los paquetes IP. IPSec está basado en un modelo de seguridad de extremo a extremo, lo que significa que los únicos hosts que tienen que conocer la protección de IPSec son el que envía y el que recibe. Cada equipo controla la seguridad por sí mismo en su extremo, bajo la hipótesis de que el medio por el que se establece la comunicación no es seguro.

IPSec aumenta la seguridad de los datos de la red mediante:

• La autenticación mutua de los equipos antes del intercambio de datos.
• El establecimiento de una asociación de seguridad entre los dos equipos. IPSec se puede implementar para proteger las comunicaciones entre usuarios remotos y redes, entre redes e, incluso, entre equipos cliente dentro de una red de área local (LAN).
• El cifrado de los datos intercambiados mediante Cifrado de datos estándar (DES, Data Encryption Standard), triple DES (3DES) o DES de 40 bits. IPSec usa formatos de paquete IP estándar en la autenticación o el cifrado de los datos. Por tanto, los dispositivos de red intermedios, como los enrutadores, no pueden distinguir los paquetes de IPSec de los paquetes IP normales.

El protocolo también proporciona las ventajas siguientes:

• Compatibilidad con la infraestructura de claves públicas. También acepta el uso de certificados de claves públicas para la autenticación, con el fin de permitir relaciones de confianza y proteger la comunicación con hosts que no pertenezcan a un dominio Windows 2000 en el que se confía.
• Compatibilidad con claves compartidas. Si la autenticación mediante Kerberos V5 o certificados de claves públicas no es posible, se puede configurar una clave compartida (una contraseña secreta compartida) para proporcionar autenticación y confianza entre equipos.
• Transparencia de IPSec para los usuarios y las aplicaciones. Como IPSec opera al nivel de red, los usuarios y las aplicaciones no interactúan con IPSec.
• Administración centralizada y flexible de directivas mediante Directiva de grupo. Cuando cada equipo inicia una sesión en el dominio, el equipo recibe automáticamente su directiva de seguridad, lo que evita tener que configurar cada equipo individualmente. Sin embargo, si un equipo tiene requisitos exclusivos o es independiente, se puede asignar una directiva de forma local.
• Estándar abierto del sector. IPSec proporciona una alternativa de estándar industrial abierto ante las tecnologías de cifrado IP patentadas. Los administradores de la red aprovechan la interoperabilidad resultante.

Características de seguridad de IPSec

Las siguientes características de IPSec afrontan todos los métodos de ataque:

• Protocolo Carga de seguridad de encapsulación (ESP, Encapsulating Security Payload). ESP proporciona privacidad a los datos mediante el cifrado de los paquetes IP.
• Claves basadas en criptografía. Las claves cifradas, que se comparten entre los sistemas que se comunican, crean una suma de comprobación digital para cada paquete IP. Cualquier modificación del paquete altera la suma de comprobación, mostrando al destinatario que el paquete ha sido cambiado en su tránsito. Se utiliza material de claves diferente para cada segmento del esquema de protección global y se puede generar nuevo material de claves con la frecuencia especificada en la directiva de IPSec.
• Administración automática de claves. La claves largas y el cambio dinámico de claves durante las comunicaciones ya establecidas protegen contra los ataques. IPSec usa el protocolo Asociación de seguridad en Internet y administración de claves (ISAKMP, Internet Security Association and Key Management Protocol) para intercambiar y administrar dinámicamente claves cifradas entre los equipos que se comunican.
• Negociación de seguridad automática. IPSec usa ISAKMP para negociar de forma dinámica un conjunto de requisitos de seguridad mutuos entre los equipos que se comunican. No es necesario que los equipos tengan directivas idénticas, sólo una directiva configurada con las opciones de negociación necesarias para establecer un conjunto de requisitos con otro equipo.
• Seguridad a nivel de red. IPSec existe en el nivel de red, proporcionando seguridad automática a todas las aplicaciones.
• Autenticación mutua. IPSec permite el intercambio y la comprobación de identidades sin exponer la información a la interpretación de un atacante. La comprobación mutua (autenticación) se utiliza para establecer la confianza entre los sistemas que se comunican. Sólo los sistemas de confianza se pueden comunicar entre sí. Los usuarios no tienen que estar en el mismo dominio para comunicar con la protección de IPSec. Pueden estar en cualquier dominio de confianza de la empresa. La comunicación se cifra, lo que dificulta la identificación e interpretación de la información.
• Filtrado de paquetes IP. Este proceso de filtrado habilita, permite o bloquea las comunicaciones según sea necesario mediante la especificación de intervalos de direcciones, protocolos o, incluso, puertos de protocolo específicos.

El proceso de negociación y filtrado

Cuando un equipo configurado con una directiva de IPSec intenta comunicar con otro equipo, comienza el proceso siguiente:

1. Las directivas de IPSec se entregan al controlador de IPSec y el intercambio de clave ISAKMP/Oakley a través de directivas locales o configuraciones de Directiva de grupo desde Active Directory.
2. ISAKMP supervisa las negociaciones entre los hosts y proporciona claves que se usan con algoritmos de seguridad.
3. El controlador de IPSec supervisa, filtra y protege el tráfico entre el nivel de transporte y el nivel de red.

Directivas de seguridad de IP

Las directivas son las reglas de seguridad que definen el nivel de seguridad deseado, el algoritmo de hash, el algoritmo de cifrado y la longitud de la clave. Estas reglas también definen las direcciones, protocolos, nombres DNS, subredes o tipos de conexión a los que se aplica la configuración de seguridad. Las directivas de IPSec se pueden configurar de acuerdo con los requisitos de seguridad de un usuario, grupo, aplicación, dominio, sitio o empresa global.



Configuración de directivas de IPSec

Las directivas de IPSec locales se crean y configuran mediante Directiva de seguridad local. Use Directiva de seguridad del dominio para crear y configurar directivas de IPSec para todo el dominio. También puede agregar el complemento Administración de directivas de seguridad de IP a una consola MMC.

Se pueden definir varias directivas, pero sólo una se asigna a un equipo al mismo tiempo. Para asignar una directiva, en Directiva de seguridad local o la consola de Directiva de grupo apropiada, haga clic con el botón secundario del mouse en la directiva de IPSec y, a continuación, haga clic en Asignar. Recuerde que la configuración del dominio sobrescribe la configuración local.

Directiva de grupo presenta tres entradas de directiva predefinidas:

• La directiva Cliente (sólo responder) permite comunicaciones en texto sin formato, pero responderán a solicitudes de IPSec e intentarán negociar la seguridad. Esta directiva permite la comunicación efectiva en texto sin formato pero intentarán negociar la seguridad si se efectúa una solicitud de seguridad.
• La directiva Servidor (seguridad de petición) permite que los equipos reciban tráfico desde los clientes en texto sin formato y respondan a solicitudes de IPSec. Cada conexión que se inicia intenta negociar la seguridad. Para todas las respuestas que el equipo pueda tener, solicita Seguridad IP con el destino (en general, para todo el tráfico saliente). La directiva Seguridad de petición se reduce de forma predeterminada a texto sin formato si el destino no responde para admitir equipos no habilitados para IPSec. Este comportamiento se puede deshabilitar cuando se hacen pruebas. Esta directiva permite la comunicación efectiva en texto legible pero siempre intenta negociar la seguridad cuando se inicia una conexión.
• La directiva Servidor seguro (requiere seguridad) obliga a la seguridad en todo el tráfico IP entrante y saliente. Requiere que los equipos de destino sean de confianza y que el trónfico se proteja con IPSec. Permite que el equipo responda a solicitudes de IPSec. Esta directiva no permite la comunicación en texto legible.

Para modificar una directiva, haga clic con el botón secundario del mouse en la directiva y, a continuación, haga clic en Propiedades. Para crear una directiva, haga clic con el botón secundario del mouse en el nodo Directivas de seguridad IP, haga clic en Crear directiva de seguridad IP y, a continuación, complete el Asistente para directiva de seguridad de IP.



Componentes de las reglas de seguridad

Las reglas gobiernan cómo y cuándo se invoca una directiva de IPSec. Una regla proporciona la capacidad para iniciar y controlar una comunicación segura en función del origen, el destino y el tipo de tráfico IP. Cada directiva de IPSec puede contener una o varias reglas; una o todas ellas pueden estar activas de forma simultánea. Se proporcionan reglas predeterminadas que se adaptan a una amplia gama de comunicaciones entre cliente y servidor. Para satisfacer los requisitos de una red, puede crear reglas nuevas o modificar las predeterminadas.
Componentes de las reglas

Una regla se compone de 6 elementos:

1. Lista de filtros IP. Define qué tráfico se va a proteger con esta regla. Puede utilizar los filtros predeterminados o crear filtros específicos de directiva para ciertos tipos de tráfico IP o para subredes especónficas.
2. Acciones de filtrado. Enumera las acciones de seguridad que se tomarán cuando el tráfico cumple los criterios de un filtro. La acción especifica si el tráfico se bloquea, se permite o si se negocia la seguridad de la conexión.
3. Métodos de seguridad. Especifica cómo los equipos que se comunican tienen que proteger el intercambio de datos. Puede utilizar los métodos predefinidos Medio y Alto, o definir métodos de seguridad personalizados.
4. Configuración de túneles. En algunas situaciones, como entre encaminadores que sólo están conectados por Internet, debe considerar habilitar el modo de túnel en IPSec. El extremo final del túnel es el equipo del túnel más próximo al destino del tráfico IP, como se especifica en la lista del filtro asociado. Para definir un túnel IPSec tiene que haber dos reglas, una para cada sentido.
5. Métodos de autenticación. El método de autenticación define cómo cada usuario se va a asegurar de que el otro equipo o el otro usuario son realmente quienes dicen ser. Windows acepta tres Métodos de autenticación:

• Kerberos. El protocolo de seguridad Kerberos V5 es la tecnología de autenticación predeterminada. Este método se puede usar en cualquier cliente que ejecute el protocolo Kerberos V5 (sean o no clientes de Windows) que sean miembros de un dominio de confianza.
• Certificados. Este método requiere que se haya configurado al menos una entidad emisora de certificados (CA, Certificate Authority). Windows 2000 acepta certificados X.509 Versión 3, incluidos los generados por entidades emisoras de certificados comerciales.
• Clave previamente compartida (precompartida). Es una clave secreta, compartida, que dos usuarios acuerdan de antemano y que configuran manualmente antes de usarla.

6. Tipos de conexión. Permite que el administrador de la red elija si la regla se aplica a todas las conexiones de la red, a la red de área local o a las conexiones de acceso remoto.


Modos

Así pues y dependiendo del nivel sobre el que se actúe, podemos establecer dos modos básicos de operación de IPsec: modo transporte y modo túnel.


Modo transporte
En modo transporte, sólo la carga útil (los datos que se transfieren) del paquete IP es cifrada y/o autenticada. El enrutamiento permanece intacto, ya que no se modifica ni se cifra la cabecera IP; sin embargo, cuando se utiliza la cabecera de autenticación (AH), las direcciones IP no pueden ser traducidas, ya que eso invalidaría el hash. Las capas de transporte y aplicación están siempre aseguradas por un hash, de forma que no pueden ser modificadas de ninguna manera (por ejemplo traduciendo los números de puerto TCP y UDP). El modo transporte se utiliza para comunicaciones ordenador a ordenador.

Una forma de encapsular mensajes IPsec para atravesar NAT ha sido definido por RFCs que describen el mecanismo de NAT-T.


Modo túnel
En el modo túnel, todo el paquete IP (datos más cabeceras del mensaje) es cifrado y/o autenticado. Debe ser entonces encapsulado en un nuevo paquete IP para que funcione el enrutamiento. El modo túnel se utiliza para comunicaciones red a red (túneles seguros entre routers, p.e. para VPNs) o comunicaciones ordenador a red u ordenador a ordenador sobre Internet.

Virus, Del disquete al USB

Solucion contra los virus autorun

A finales de la década de los 80 se empezaron a popularizar los virus del sector de arranque, que tenían la particularidad de que se propagaban a través de disquetes. Si introducías un disquete en un ordenador infectado el virus se copiaba al disquete, y a su vez ese disquete podía infectar cualquier otro ordenador donde fuera utilizado.
Hoy en dia estamos viviendo el mismo problema, con el disquete en des uso, las memorias USB han tomado el relevo como portadoras de una nueva generación de malware que aprovechan la "promiscuidad" con la que utilizamos el dispositivo.

La memoria USB, esa tan socorrida, que no dudamos en introducirla en cualquier ordenador. Para intercambiar documentos, para enseñar las últimas fotos, para llevarnos trabajo a casa, para que nos hagan una copia de ese programa, para una presentación, para pasarnos unos MP3,... sin tener previa revisison a nuestro dipositivo.

Una de las familias más representativas de esta nueva epidemia es denominada por los antivirus como "AutoRun", con el prefijo de "Win32" y "Worm".

El diseño de estos especímenes, que deberíamos catalogar como "gusanos" en vez de "virus" puesto que se reproducen con copias de sí mismos pero no pueden infectar a otros ficheros, es realmente simple. Toda la lógica se basa en aprovechar la funcionalidad AutoRun de Windows que automáticamente interpreta y ejecuta el archivo autorun.inf si se lo encuentra en el raíz de un medio removible, como un CD, DVD u otro tipo de memorias, incluyendo USB.

Los creadores de malware están aprovechando esta funcionalidad por defecto de Windows Explorer. Basta con introducir una memoria USB en un sistema para que automáticamente se ejecute el autorunf.inf que, típicamente, han diseñado para que lance a su vez un ejecutable con el código del gusano. El gusano se instala en el sistema e intenta copiar la pareja de ficheros, autorun.inf y ejecutable del gusano, en todas las unidades existentes. Esta forma de expandirse un tanto indiscriminada abarca la infección de discos duros, unidades de red, dispositivos removibles, etc, por lo que este tipo de gusanos se pueden encontrar más allá de en las propias memorias USB.

Las buenas noticias son que hay formas de intentar mitigar este tipo de gusanos configurando Windows para evitar el AutoRun automático, por ejemplo a través de la entrada del registro NoDriveTypeAutoRun. Sin embargo se ha detectado que la configuración de ese valor no es suficiente en Windows Vista para prevenir la ejecución, debido a AutoPlay, otra funcionalidad por defecto.

Otro método más efectivo consiste en "trucar" Windows para que haga caso omiso de los archivos autorun.inf, indicándole que en vez de interpretar los comandos que incluya en su interior utilice unos valores alternativos, en concreto unos valores no existentes. Por lo que Windows no ejecutará nada.

Para ello se debe configurar una entrada en el registro de Windows. La forma más simple es copiar las siguientes líneas en el bloc de notas y guardarlas con la extensión .REG, por ejemplo noautorun.reg

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

A continuación hacer doble click en el fichero noautorun.reg, Windows nos preguntará si estamos seguros de querer agregar esta información al registro, y elegiremos que Sí.

Recordar que con esta modificación también evitaremos la ejecución de los autorun.inf legítimos, por ejemplo esos que hacen que al introducir un CD o DVD automáticamente se ejecute un programa. En esos casos tendremos que hacer doble click en el programa para ejecutarlos. Si bien pensamos que esta "pequeña molestia" compensa si con ello evitamos la infección de nuestros sistemas.

Ataque DoS sobre el sistema operativo Linux

Ataque DoS sobre el sistema operativo Linux

"Las instalaciones LINUX con kernel de la serie 2.4.* (la actual) son susceptibles a un ataque DoS remoto que permite consumos de CPU arbitrariamente elevados y, eventualmente, la caída de la máquina.

El ataque se basa en explotar colisiones en la función HASH que se emplea para la caché de rutas de red en el kernel. Mediante el envío de datagramas con direcciones de retorno cuidadosamente elegidas (algo posible mediante tecnologías de "IP Spoofing"), un atacante puede obtener una gran degradación en la calidad de servicio de la máquina
y, finalmente, su caída.

El ataque es efectivo contra todas las versiones 2.4.* no parcheadas.
Todas las grandes distribuciones de Linux han publicado ya versiones
actualizadas de sus kernel.

Los usuarios que no pueda actualizar su kernel mediante las funciones de actualización, y necesiten hacerlo de forma manual, pueden obtener el "parche" correspondiente en los enlaces al final de este documento.
Como medida cautelar, se puede limitar el tamaño de la caché de rutas de forma manual, ejecutando los siguientes comandos como administrador o "root":

# echo 4096 > /proc/sys/net/ipv4/route/max_size
# echo 2048 > /proc/sys/net/ipv4/route/gc_thresh

Estos comandos fijan un tamaño máximo en la caché de rutas, evitando el ataque. Pero en máquinas con mucho tráfico de muchas fuentes distintas, el cambio puede provocar una sensible pérdida de rendimiento."

Esta noticia fue publicada el dia 26/05/2003 en hispasec la cual debido publicar debido a su gran importancia.