Redes  Privadas Virtuales por Internet

 

Redes de Area  Local Tradicionales

Cuando se trata de interconectar varios computadores dentro de una organización la solución tradicional es una Red de Area Locan (LAN) con tarjetas de red, el cableado y el software que permite la comunicación (netware)

Ese es un proceso que exige tomar varias decisiones 

  • El netware a usar, para PC los más populares son  Windows 2000, NT, Linux o Unix

  • La topología, tarjetas de red  y el tipo de cables (coaxial o par trenzado)

  • Los servicios que entregará la red a los usuarios (mensajería, tablero electrónico, foros de discusión, etc.)

  • Repartir los privilegios de acceso y niveles de seguridad

Esto, que hoy es relativamente fácil de implementar si se trata de unos pocos equipos dentro de una misma oficina, comienza a complicarse a medida que la cantidad de equipos conectados crece y se van distribuyendo a través de todo un edificio o, peor aún, en lugares geográficamente separados.

Las dificultades principales en este caso son:

  • El medio físico de transmisión: al tratarse de cables se producen pérdidas y limitaciones de ancho de banda que afectan a la velocidad, mientras más largas las distancias, más largo el cable y mayores pérdidas, pasados ciertos límites se hace necesaria la instalación de dispositivos que actúen de repetidores y amplifiquen la señal y luego solo es factible la transmisión usando un enlace de fibra óptica o de radiofrecuencia, con dedicación exclusiva. 

  • El crecimiento de la cantidad de equipos: aumenta los conflictos de funcionalidad versus seguridad y las políticas de administración y seguridad se hacen cada vez más complicadas

Una LAN típica de una organización grande consiste en un cableado "troncal" (backbone) que atraviesa el edificio y distribuye salidas para los PC en los distintos departamentos. Cuando hay dependencias distanciadas geográficamente se usan enlaces de Fibra óptica, RF o línea telefónica dedicada. Esta solución bien puede ser arrendada o propia y en ambos casos es costosa y deja abiertas algunas cuestiones de seguridad importantes:

  • Si es un enlace arrendado todo el tráfico de información pasa por las instalaciones del proveedor del servicio, quien tiene óptimas condiciones para interceptar o coleccionar esta información de manera transparente

  • Si es un enlace propio existe la posibilidad de que sea interceptado ("pinchado") de manera similar a como se hace con las comunicaciones de radio o teléfono normales

Una falla de seguridad usual es que cuando se tiene un enlace propio o arrendado no se toman medidas de protección adicionales, como la encriptación, ya que se considera poco probable que el enlace sea pinchado

 Usando Internet como Backbone

A medida que la conexión a Internet se ha ido masificando, y que es usual (y bastante económico) que cada oficina tenga su propia salida para los servicios de Internet se abre una posibilidad nueva que consiste en usar la web en modo "privado" como soporte físico de las comunicaciones. Es decir que en lugar de conectarse mediante enlaces y backbones las redes pequeñas de cada oficina se conectan entre si saliendo hacia Internet.

Este enfoque presenta ventajas y dificultades, aunque según mi punto de vista las ventajas son mayores y a la larga terminará imponiéndose como el modo de interconexión estándar entre redes pequeñas. Los problemas se pueden resumir en uno solo: seguridad, pero que tiene varias aristas:

  • En la práctica es imposible proteger los paquetes de información mientras son transmitidos por la web ya que se trata, por definición un medio abierto e inseguro. El remedio para este riesgo es el uso de técnicas de encriptación fuerte para toda la información que circula por la red, típicamente el uso de PGP 

  • Al conectar una red privada a Internet se está abriendo una puerta por donde hackers y gente por el estilo podrían entrar de no existir los resguardos del caso. Contra esto se usan programas cortafuego (firewalls), perímetros de seguridad (encriptación de disco) y programas de detección de intrusiones, además de un programa de auditoria periódica de los log generados

  • Métodos mejorados de acceso para los usuarios de la red, en lo posible basados en biométrica antes que en password, ejemplo típico de esto son los lectores biométricos de huella digital en los equipos

  • Control del contenido que entra y sale de la red,  este control puede efectuarse de manera automática y transparente pero debe auditarse de tiempo en tiempo para detectar posibles fallas de seguridad. todo el tráfico que entra y sale de la red debe quedar registrado de manera segura en archivos log

Las ventajas de usar Internet en lugar de enlaces dedicados y backbones son varias:

  • Economía, existe una reducción de costos muy significativa, que crece exponencialmente en la medida que aumentan las distancias de los puntos a conectar

  • Mas servicios disponibles y de mejor calidad, para el usuario final los servicios de Internet son más y mejores que cualquier servicio de mensajería o administración ofrecido por los fabricantes de netware, con la ventaja adicional de que cada vez más gente está familiarizado con ellos (e-mail, web brwsers, ftp, etc.)

  • Flexibilidad, al no existir enlace físico especial (aparte de líneas telefónicas o de cable modem que están disponibles en casi cualquier punto) no hay pérdida de instalaciones ni necesidad de reinstalar o recablear cuando las oficinas se cambian físicamente de lugar

  • Salida a Internet, se puede dejar una parte de la red interna con salida a Internet para que todos tengan libre acceso aella, esto es, una porción "publica" 

Hasta aquí pareciera que estamos en un conflicto de seguridad versus prestaciones: salir a Internet otorga más prestaciones pero disminuye la seguridad. Yo no lo veo así, aunque es cierto que Internet es un medio inseguro esto no tiene por que afectar la seguridad total de la red, mas bien podría aumentar la seguridad ya que obliga a emplear métodos como la encriptación fuerte, cortafuegos y auditorias, cosas que rara vez se usan en redes de área local convencionales. Lo que la mayoría de la gente no percibe es que una LAN es también un medio inseguro por lo que las técnicas mencionadas crean nuevos niveles de seguridad (siempre y cuando se implementen correctamente)

Una aproximación intermedia: el correo seguro

Cuando hablamos de sistemas donde la seguridad es asunto muy crítico (financieros, sector justicia, policía, etc.) no es recomendable implementar sin más una red privada virtual con salida a Internet, en mi opinión este debe ser un proceso gradual que debe ir precedido de una etapa mas restrictiva y fácil de controlar.

En las aplicaciones de ofimática el uso de la red se compone en un muy alto porcentaje de dos clases de aplicaciones: la mensajería electrónica y la transferencia de archivos. Para llenar ambas necesidades no es necesario conectar toda la red a Internet durante todo el tiempo, basta con usar los estándares ya bien establecidos de correo electrónico (SMPT, POP·) complementados de encriptación fuerte y monitoreo de tráfico. Se puede desarrollar en este sentido una "caja cerrada" que solo permita la salida a través de una aplicación propietaria de correo seguro que use encriptación fuerte y lleve un registro detallado del tráfico que se intercambia.  Un diseño de esta clase puede verse en el Proyecto de Correo Seguro para Tribunales de arica.

Esta solución, acompañada del uso de volúmenes de disco  con encriptación fuerte y políticas adecuadas de seguridad informática permiten solucionar una parte importante de los problemas en ambientes que requieran altos niveles de seguridad y control sobre lo que se está transmitiendo

La conectividad es un asunto riesgoso y que debe ir implementándose paso a paso, especialmente en ambientes donde se trabaja con información crítica y donde no se dispone del recurso humano o los medios para implementar la seguridad de apoyo requerida. el Correo Seguro es una solución intermedia fácil de implementar y que requiere un mínimo de apoyo y mantención en materias de seguridad y auditoría