Redes de Area Local
Tradicionales
Cuando se
trata de interconectar varios computadores dentro de una organización
la solución tradicional es una Red de Area Locan (LAN) con tarjetas
de red, el cableado y el software que permite la comunicación (netware)
Ese es un proceso que exige tomar
varias decisiones
-
El
netware a usar, para PC los más populares son Windows 2000,
NT, Linux o Unix
-
La
topología, tarjetas de red y el tipo de cables (coaxial o
par trenzado)
-
Los
servicios que entregará la red a los usuarios (mensajería,
tablero electrónico, foros de discusión, etc.)
-
Repartir
los privilegios de acceso y niveles de seguridad
Esto, que
hoy es relativamente fácil de implementar si se trata de unos pocos
equipos dentro de una misma oficina, comienza a complicarse a medida
que la cantidad de equipos conectados crece y se van distribuyendo a
través de todo un edificio o, peor aún, en lugares geográficamente
separados.
Las
dificultades principales en este caso son:
-
El
medio físico de transmisión: al tratarse de cables se
producen pérdidas y limitaciones de ancho de banda que afectan a
la velocidad, mientras más largas las distancias, más largo el
cable y mayores pérdidas, pasados ciertos límites se hace
necesaria la instalación de dispositivos que actúen de
repetidores y amplifiquen la señal y luego solo es factible la
transmisión usando un enlace de fibra óptica o de
radiofrecuencia, con dedicación exclusiva.
-
El
crecimiento de la cantidad de equipos: aumenta los conflictos
de funcionalidad versus seguridad y las políticas de
administración y seguridad se hacen cada vez más complicadas
Una LAN
típica de una organización grande consiste en un cableado
"troncal" (backbone) que atraviesa el edificio y distribuye
salidas para los PC en los distintos departamentos. Cuando hay
dependencias distanciadas geográficamente se usan enlaces de Fibra
óptica, RF o línea telefónica dedicada. Esta solución bien puede
ser arrendada o propia y en ambos casos es costosa y deja abiertas
algunas cuestiones de seguridad importantes:
-
Si es
un enlace arrendado todo el tráfico de información pasa por las
instalaciones del proveedor del servicio, quien tiene óptimas
condiciones para interceptar o coleccionar esta información de
manera transparente
-
Si es
un enlace propio existe la posibilidad de que sea interceptado
("pinchado") de manera similar a como se hace con las
comunicaciones de radio o teléfono normales
Una falla
de seguridad usual es que cuando se tiene un enlace propio o arrendado
no se toman medidas de protección adicionales, como la encriptación,
ya que se considera poco probable que el enlace sea pinchado
Usando
Internet como Backbone
A medida
que la conexión a Internet se ha ido masificando, y que es usual (y
bastante económico) que cada oficina tenga su propia salida para los
servicios de Internet se abre una posibilidad nueva que consiste en
usar la web en modo "privado" como soporte físico de las
comunicaciones. Es decir que en lugar de conectarse mediante enlaces y
backbones las redes pequeñas de cada oficina se conectan entre si
saliendo hacia Internet.
Este
enfoque presenta ventajas y dificultades, aunque según mi punto de
vista las ventajas son mayores y a la larga terminará imponiéndose
como el modo de interconexión estándar entre redes pequeñas. Los
problemas se pueden resumir en uno solo: seguridad, pero que tiene
varias aristas:
-
En la
práctica es imposible proteger los paquetes de información
mientras son transmitidos por la web ya que se trata, por
definición un medio abierto e inseguro. El remedio para este
riesgo es el uso de técnicas de encriptación fuerte para toda la
información que circula por la red, típicamente el uso de
PGP
-
Al
conectar una red privada a Internet se está abriendo una puerta
por donde hackers y gente por el estilo podrían entrar de no
existir los resguardos del caso. Contra esto se usan programas
cortafuego (firewalls), perímetros de seguridad (encriptación de
disco) y programas de detección de intrusiones, además de un programa
de auditoria periódica de los log generados
-
Métodos
mejorados de acceso para los usuarios de la red, en lo posible
basados en biométrica antes que en password, ejemplo típico de
esto son los lectores biométricos de huella digital en los
equipos
-
Control
del contenido que entra y sale de la red, este control puede
efectuarse de manera automática y transparente pero debe
auditarse de tiempo en tiempo para detectar posibles fallas de
seguridad. todo el tráfico que entra y sale de la red debe quedar
registrado de manera segura en archivos log
Las
ventajas de usar Internet en lugar de enlaces dedicados y backbones
son varias:
-
Economía,
existe una reducción de costos muy significativa, que crece
exponencialmente en la medida que aumentan las distancias de los
puntos a conectar
-
Mas
servicios disponibles y de mejor calidad, para el usuario final
los servicios de Internet son más y mejores que cualquier
servicio de mensajería o administración ofrecido por los
fabricantes de netware, con la ventaja adicional de que cada vez
más gente está familiarizado con ellos (e-mail, web brwsers, ftp,
etc.)
-
Flexibilidad,
al no existir enlace físico especial (aparte de líneas
telefónicas o de cable modem que están disponibles en casi
cualquier punto) no hay pérdida de instalaciones ni necesidad de
reinstalar o recablear cuando las oficinas se cambian físicamente
de lugar
-
Salida
a Internet, se puede dejar una parte de la red interna con salida
a Internet para que todos tengan libre acceso aella, esto es, una
porción "publica"
Hasta
aquí pareciera que estamos en un conflicto de seguridad versus
prestaciones: salir a Internet otorga más prestaciones pero disminuye
la seguridad. Yo no lo veo así, aunque es cierto que Internet es un
medio inseguro esto no tiene por que afectar la seguridad total de la
red, mas bien podría aumentar la seguridad ya que obliga a emplear
métodos como la encriptación fuerte, cortafuegos y auditorias, cosas
que rara vez se usan en redes de área local convencionales. Lo que la
mayoría de la gente no percibe es que una LAN es también un medio
inseguro por lo que las técnicas mencionadas crean nuevos niveles de
seguridad (siempre y cuando se implementen correctamente)
Una
aproximación intermedia: el correo seguro
Cuando
hablamos de sistemas donde la seguridad es asunto muy crítico
(financieros, sector justicia, policía, etc.) no es recomendable
implementar sin más una red privada virtual con salida a Internet, en
mi opinión este debe ser un proceso gradual que debe ir precedido de
una etapa mas restrictiva y fácil de controlar.
En las
aplicaciones de ofimática el uso de la red se compone en un muy alto
porcentaje de dos clases de aplicaciones: la mensajería electrónica
y la transferencia de archivos. Para llenar ambas necesidades no es
necesario conectar toda la red a Internet durante todo el tiempo,
basta con usar los estándares ya bien establecidos de correo
electrónico (SMPT, POP·) complementados de encriptación fuerte y
monitoreo de tráfico. Se puede desarrollar en este sentido una
"caja cerrada" que solo permita la salida a través de una
aplicación propietaria de correo seguro que use encriptación fuerte
y lleve un registro detallado del tráfico que se intercambia.
Un diseño de esta clase puede verse en el Proyecto
de Correo Seguro para Tribunales de arica.
Esta
solución, acompañada del uso de volúmenes de disco con
encriptación fuerte y políticas adecuadas de seguridad informática
permiten solucionar una parte importante de los problemas en ambientes
que requieran altos niveles de seguridad y control sobre lo que se
está transmitiendo
La
conectividad es un asunto riesgoso y que debe ir implementándose paso
a paso, especialmente en ambientes donde se trabaja con información
crítica y donde no se dispone del recurso humano o los medios para
implementar la seguridad de apoyo requerida. el Correo Seguro es una
solución intermedia fácil de implementar y que requiere un mínimo
de apoyo y mantención en materias de seguridad y auditoría