Examen de Especialista en Seguridad de la Información, otoño de 2023 (Reiwa 5), pregunta 2 de la tarde — los archivos que salen por el Wi-Fi de invitados

Prohibieron las memorias USB, guardar en el disco local, adjuntar archivos al correo y hasta dieron de baja el servidor de archivos interno. Aun así, seguía habiendo una ruta para sacar los archivos de trabajo.

Lo que pregunta la pregunta 2 de la tarde del examen de Especialista en Seguridad de la Información, otoño de 2023 (Reiwa 5), no es el número de medidas, sino quién puede alcanzar los archivos, desde qué equipo, por qué ruta. Las medidas que actúan sobre un PC de trabajo y las que detienen el acceso desde un PC personal hay que considerarlas por separado.¹

Este artículo es el segundo de una serie que continúa la explicación de la pregunta 1 (XSS almacenado). Cada subpregunta se sigue en el orden «respuesta modelo, luego la evidencia del enunciado, luego el mecanismo», y las precauciones prácticas que van más allá de las premisas del examen se reúnen en el capítulo 10. Las figuras y tablas del cuadernillo no se reproducen tal cual; se usan esquemas simplificados y resúmenes propios. Las fuentes y el alcance de la cita y del resumen figuran al final.¹²

1. Primero, el panorama general — separar al atacante externo del empleado

Esta pregunta encaja si se lee en las tres etapas siguientes.

Un atacante externo tiene que robar credenciales, mientras que un empleado puede iniciar sesión con su propio identificador legítimo. El software de prevención de fugas del PC de trabajo no tiene efecto sobre el PC personal que usa este último. Además, lo que mira la restricción por dirección IP de origen del servicio B no es el equipo, sino la salida NAT. Esa diferencia es lo que ata toda la pregunta.

De una subpregunta al capítulo que corresponda

Si se prepara el examen, fije primero las premisas en el capítulo 2 y pase después a la subpregunta que quiera resolver. Si el objetivo es una revisión de diseño en la práctica, empiece por la comparación de medidas del capítulo 11 y la lista de comprobación del capítulo 12, y compruebe las condiciones y excepciones en el capítulo 10.

En el diagrama, una línea continua marca una relación que siempre se cumple y una línea discontinua una relación condicional (las condiciones están en la explicación de cada relación en la página de detalle). La lista completa de relaciones (24 en total, con evidencia y grado de certeza) y las definiciones de los conceptos principales están reunidas en la página de detalle del mapa de conocimiento (en japonés). Datos: JSON-LD / Turtle

2. Las premisas de la pregunta — qué protegía la empresa M y qué permitía

2.1. El incidente del año anterior y las medidas ya tomadas

La empresa M es una filial de la empresa L, una empresa de confección con 100 empleados. Su edificio de oficinas da a una avenida transitada del centro de Tokio. El año anterior, un empleado guardó archivos de diseño de productos del servidor de archivos interno en una memoria USB y los llevó a un competidor. Siguiendo las indicaciones de su empresa matriz, la empresa M ya ha completado la siguiente revisión.¹

Son medidas coherentes que taponan ambos extremos de la ruta del año anterior «servidor de archivos interno hacia memoria USB». Pero las restricciones sobre el PC solo llegan hasta los PCs de trabajo que tienen ese software instalado.

2.2. Las reglas no cubren igual la sala de reuniones y la zona de oficinas

Hay tres reglas de seguridad.

La LAN inalámbrica de empleados está disponible en la zona de oficinas, y tanto la de empleados como la de invitados lo están en la sala de reuniones. El proyector de la sala de reuniones se configuró de modo que los dispositivos traídos por las visitas (PCs, tabletas, teléfonos) y los PCs de trabajo se conecten a la LAN inalámbrica de invitados para usarlo.

2.3. Las redes están separadas, pero la salida a Internet es la misma

Transcribiendo solo las partes necesarias para la explicación, la configuración es la siguiente.

flowchart LR
    subgraph M["Red interna de la empresa M"]
        direction TB
        G["LAN inalámbrica de invitados<br/>192.168.10.0/24<br/>(solo el AP de la sala de reuniones)"]
        E["LAN inalámbrica de empleados<br/>192.168.20.0/24<br/>(zona de oficinas y sala de reuniones)"]
        S["Red de servidores<br/>192.168.30.0/24<br/>DHCP, DNS, directorio"]
        FW["FW<br/>El NAT traduce el origen<br/>a una sola dirección<br/>IP pública"]
        G --> FW
        E --> FW
        S --> FW
    end
    FW --> B["Servicio B<br/>(almacenamiento en la nube)"]
    FW --> I["Internet"]

Figura 1: Esquema simplificado de la configuración de la empresa M. Las redes de invitados, de empleados y de servidores están separadas, pero el tráfico hacia Internet pasa por el NAT del mismo firewall.

2.4. El «inicio de sesión» y el «uso compartido externo» del servicio B son puertas distintas

Hay dos formas de usar el servicio B.

El enlace de uso compartido no se revela ni al solicitante ni al superior. Contiene una cadena aleatoria difícil de adivinar y caduca al cabo de un día. En cambio, el destinatario externo puede descargar sin iniciar sesión. No deje que la restricción de inicio de sesión de los identificadores de empleado sustituya la explicación de cómo se usa el enlace de uso compartido.

Tomando esta configuración como dada, el señor Y del departamento de sistemas de información y el señor S, especialista en seguridad de la información de la empresa matriz L, tratan primero al atacante externo, luego al empleado y después las medidas adicionales, en ese orden.

3. Preguntas 1(1) y 1(2) — aunque se conecte a un AP falso, el inicio de sesión en el sitio falso se detiene

3.1. Pregunta 1(1): conectarse a la LAN inalámbrica sigue exigiendo un identificador y una contraseña

Respuesta modelo: las casillas a y b son «identificador de usuario» y «contraseña» (en cualquier orden).²

El primer escenario que contempla el señor Y es el de una visita que ya usó la LAN inalámbrica de invitados y que, otro día, se conecta desde las inmediaciones de la empresa M y llega al servicio B. Como el edificio da a una avenida, hay que tener en cuenta la posibilidad de que la señal de radio salga de las instalaciones.

WPA2-PSK es un esquema en el que todos poseen la misma clave precompartida. No hay forma de devolver a una sola parte a la que ya se le dijo a un estado de no conocerla; revocarla significa cambiar la clave para todos. Pero conectarse a la LAN inalámbrica e iniciar sesión en el servicio B son dos cosas distintas. Un atacante externo no tiene el identificador de usuario ni la contraseña de un empleado.

3.2. Pregunta 1(2): el certificado de un sitio falso falla por el emisor y por el nombre del servidor

El escenario siguiente es un ataque que prepara un AP falso configurado de forma idéntica a la LAN inalámbrica de invitados y un sitio falso en la misma URL que el servicio B, y luego altera los ajustes de DNS para robar las credenciales de inicio de sesión. El objetivo es que el PC de trabajo de un empleado se conecte por error al AP falso.

Un AP falso que usa el mismo SSID y la misma clave precompartida se llama evil twin. Lo que WPA2-PSK confirma es que la otra parte conoce la misma clave. Sin la clave no se puede completar el procedimiento de conexión, pero un atacante que conoce la clave entregada a las visitas puede levantar un AP difícil de distinguir del auténtico.

Aun así, conectarse a la URL del servicio B por HTTPS pone en juego la verificación del certificado de servidor. Rellenando las casillas, el detalle del error que da la figura 2 del cuadernillo queda en los cuatro elementos siguientes.

• Este certificado de servidor no es un certificado de servidor emitido por una entidad de certificación de confianza (casilla c)
• El nombre de servidor escrito en este certificado de servidor difiere del nombre de servidor al que se conecta (casilla d)
• Este certificado de servidor ha sido revocado
• Este certificado de servidor ha caducado

Lo que la pregunta 1(2) pide escribir son los dos primeros elementos anteriores (c y d, 40 caracteres o menos cada uno, en cualquier orden). Los ítems de revocación y caducidad aparecen en el enunciado desde el principio.²

sequenceDiagram
    autonumber
    participant U as PC de trabajo del empleado
    participant F as AP falso y sitio falso<br/>(atacante)
    participant B as Servicio B (auténtico)

    Note over F: Levanta un AP con el mismo SSID y<br/>la misma clave precompartida que la LAN inalámbrica de invitados
    U->>F: Se conecta por error al AP falso
    Note over F: Altera el DNS para apuntar el nombre de dominio<br/>del servicio B hacia el sitio falso
    U->>F: Se conecta a la URL del servicio B por HTTPS
    F-->>U: Certificado de servidor del sitio falso
    Note over U: La verificación falla<br/>- No lo emitió una entidad de certificación de confianza<br/>- El nombre de servidor del certificado difiere del destino
    Note over U: Muestra un error de que la conexión no es segura<br/>La pantalla de inicio de sesión no llega a mostrarse
    Note over U,B: De entrada no hay comunicación con<br/>el servicio B auténtico

Figura 2: Incluso después de conectarse al AP falso, sigue la verificación del certificado de servidor HTTPS. Autenticar la LAN inalámbrica y confirmar el sitio al que se llegó son etapas distintas.

3.3. No basta con «error de certificado»: hay que decir qué se verificó

Con un certificado autofirmado la cadena no se puede rastrear hasta una raíz de confianza. Aunque el atacante obtenga de forma legítima un certificado para su propio dominio (por ejemplo, b-service.example.net), no coincidirá con el nombre de dominio del servicio B. Bajo las premisas de la pregunta, el atacante no controla el dominio del servicio B y por tanto no puede obtener un certificado legítimo para ese nombre, y esa es la base de la respuesta.

La validación de la ruta de certificación se describe en RFC 5280 y la coincidencia de nombres en RFC 6125.³⁴

El comentario de calificación de IPA dice lo siguiente sobre la pregunta 1(2).⁵

El índice de aciertos de la pregunta 1(2) fue bajo. Aunque un atacante prepare un sitio falso, la verificación del certificado de servidor falla mientras el acceso sea por HTTPS. Verificar un certificado de servidor es un conocimiento básico para asegurar la comunicación, así que queremos que los candidatos lo comprendan bien, hasta los elementos concretos que se verifican.

Lo que se pide no es solo el resultado de que «aparece un error», sino si se pueden nombrar de forma concreta el emisor y el nombre. En la práctica, no obstante, también hay que comprobar la implementación de la comprobación de revocación y el almacén de confianza del equipo. El punto de que los cuatro elementos no siempre actúan con la misma certeza se trata en las secciones 10.1 y 10.2.

4. Pregunta 1(3) — HSTS reescribe HTTP a HTTPS antes de enviarlo

4.1. La respuesta va desde «reescribir» hasta «recibir el certificado»

La subpregunta pide, en 60 caracteres o menos, cómo se comporta el navegador hasta justo antes de que se muestre el error cuando un empleado conectado al AP falso escribe por error la URL del servicio B como http://.

Respuesta modelo: «Sustituye el acceso HTTP por un acceso HTTPS y se conecta. Después recibe un certificado de servidor del sitio falso».²

HSTS (HTTP Strict Transport Security) es un mecanismo por el cual el navegador recuerda una cabecera Strict-Transport-Security recibida por HTTPS y, a partir de entonces, se conecta a ese host por HTTPS. Está especificado en RFC 6797.⁶

El acceso a un host HSTS conocido sigue este orden.

1. Dentro del navegador, el esquema de la URL se sustituye de http por https. Si el puerto 80 estaba indicado de forma explícita, se convierte a 443.
2. Se conecta por HTTPS. En esta pregunta, no obstante, el DNS ha sido alterado, así que el destino es el sitio falso.
3. Recibe un certificado de servidor del sitio falso.
4. La verificación del certificado falla y se produce el error del capítulo 3.

No se trata de enviar una solicitud HTTP en texto claro y luego cambiar. La sustitución termina antes de que nada salga a la red. Como la subpregunta solo pide lo que ocurre hasta justo antes del error, la respuesta modelo describe solo hasta el paso 3.

4.2. HSTS también impide que se ignore la advertencia y se continúe

La sección 8.4 de RFC 6797 exige que, si ocurre un error al establecer un transporte seguro con un host HSTS conocido, se corte la conexión tanto si el error es una advertencia como si es fatal. La sección 12.1 describe esto como «No User Recourse».⁶

Ante un error de certificado ordinario, la mayoría de los navegadores ofrecen un camino por «Opciones avanzadas» y «Continuar». En un host donde HSTS está activo, esa vía de escape no debe ofrecerse al usuario. Cortar el reflejo de pulsar de largo un error de certificado es lo que importa como defensa frente a sitios falsos.

4.3. La premisa es que el navegador guarda un registro HSTS válido

Que el sitio tenga configurado HSTS no protege por sí solo el primer acceso de todos los equipos. En condiciones normales, el navegador tiene que haber llegado al sitio auténtico por HTTPS y haber recibido la cabecera.

El registro no está disponible en el primer acceso desde un PC de trabajo nuevo, cuando se borró junto con un perfil de navegador reconstruido o datos de navegación borrados, o cuando ha caducado el max-age del registro. Lo que cubre el hueco del primer acceso es la lista de precarga HSTS del navegador. Los requisitos de registro y lo difícil que es la baja se explican en la sección 10.3.

5. Pregunta 2(1) — la función de uso compartido legítima también es una ruta de sustracción si nadie comprueba el destinatario

5.1. El fundamento de la respuesta es que los superiores no comprueban el destinatario

A partir de aquí el tema es un empleado que posee un identificador de usuario legítimo. La pregunta 2(1) pide, en 40 caracteres o menos, cómo se puede abusar de la función de uso compartido para que un archivo se pueda descargar desde fuera de la empresa M.

Respuesta modelo: «Indicar la propia dirección de correo personal como dirección de correo del destinatario externo».²

El servicio B tiene aprobación del superior, y el enlace de uso compartido no se revela ni al solicitante ni al superior. También hay una cadena difícil de adivinar y una caducidad de un día. Aun así, hacer del destinatario la propia dirección personal significa que uno mismo recibe el enlace como destinatario externo. No hace falta adivinar el enlace ni adjuntar un archivo al correo desde el PC de trabajo.

En el enunciado, el señor Y responde que hay superiores que no están comprobando la dirección de correo del destinatario ni el archivo. Lo que falta no es el mecanismo de aprobación en sí, sino la premisa operativa de que quien aprueba comprueba el destinatario.

5.2. Que exista aprobación y que se compruebe su contenido son preguntas distintas

Un flujo de aprobación presupone que quien aprueba mira lo que se aprueba. Si nadie mira, deja de ser un mecanismo para bloquear un uso compartido inadecuado y se convierte en una ruta de entrega del enlace.

En la práctica, el número de aprobaciones, el material con el que juzga quien aprueba, los plazos de negocio y la revisión a posteriori de los resultados de la aprobación se diseñan juntos. Una tabla concreta de revisión figura en la sección 10.4.

6. Pregunta 2(2) — un PC personal llega al servicio B desde la sala de reuniones

6.1. Lo que ambos métodos tienen en común es que no usan el PC de trabajo

Traer un PC personal estaba prohibido solo en la zona de oficinas; se puede traer a la sala de reuniones. El método 1 y el método 2 del enunciado son ambos rutas que descargan los archivos en un PC personal y se llevan el PC.

El destino de la descarga queda fuera del control del software de prevención de fugas. Prohibir las memorias USB y el guardado local en el PC de trabajo no tiene efecto sobre esta ruta.

6.2. Pregunta 2(2): lo que se cambia es la dirección MAC

Respuesta modelo: la casilla e es «dirección MAC».²

En el método 1 se cambia la dirección MAC de la interfaz inalámbrica del PC personal por la de un PC de trabajo. Como el empleado es usuario de un PC de trabajo, está en posición de conocer la clave precompartida compartida. Una dirección MAC también se puede cambiar en los ajustes del equipo o en las propiedades del controlador y, como no va cifrada en las tramas de la LAN inalámbrica, recibirlas cerca basta para conocer una dirección registrada.

Ocultar el SSID tampoco es una medida frente a conocer el SSID a partir del intercambio que ocurre cuando un equipo se conecta. El filtrado por dirección MAC y un SSID oculto pueden servir como orden que reduce las conexiones accidentales, pero no son un mecanismo para autenticar a quien se conecta a propósito.

6.3. El método 2 es simplemente conectarse a la LAN inalámbrica de invitados

Usando la clave precompartida que se entrega a las visitas, un empleado también puede conectar un PC personal a la LAN inalámbrica de invitados. Solo queda iniciar sesión en el servicio B con su propio identificador de usuario y descargar.

¿Por qué deja pasar la restricción de «solo desde la dirección IP pública de la empresa M»? La respuesta está en la configuración NAT del firewall.

La dirección IP de origen que ve el servicio B es la misma en todos los casos. Esta configuración por sí sola no puede distinguir un PC de trabajo en la LAN inalámbrica de empleados de un PC personal en la LAN inalámbrica de invitados.

Una restricción por dirección IP de origen no permite un equipo, sino todo lo que comparte esa salida. Eso no quiere decir que la restricción sea innecesaria; hay que saber qué permite de verdad y superponerla con autenticación de equipo y autenticación de usuario. Ejemplos prácticos figuran en la sección 10.5, y las medidas dentro de la pregunta en los capítulos 8 y 9.

7. Preguntas 3(1) a 3(4) — EAP-TLS y el TPM limitan qué equipos pueden conectarse

7.1. Pregunta 3(1): entre el AP y el servidor de autenticación es RADIUS

Como medida frente al método 1, la LAN inalámbrica de empleados pasa a EAP-TLS y se instala un servidor de autenticación. La pregunta 3(1) pide el protocolo sobre UDP que el servidor de autenticación usa con EAP, y la respuesta modelo es «RADIUS».²

Entre el PC de trabajo y el AP es IEEE 802.1X (EAP over LAN); entre el AP y el servidor de autenticación es RADIUS. RADIUS está especificado en RFC 2865 y el procedimiento de EAP-TLS en RFC 5216. Cuando el servidor de autenticación se construye en Windows Server, Network Policy Server (NPS) asume ese rol.⁷⁸⁹

En la última fila de la tabla, el interlocutor contra el que el cliente verifica un certificado es el servidor de autenticación, no el AP. Configurar en el cliente qué entidad de certificación y qué nombre de servidor se van a confiar forma parte de la premisa; elegir EAP-TLS no basta por sí solo. La sección 10.6 entra en el detalle.

7.2. Pregunta 3(2): lo que se protege es la clave privada, no la pública

Se instala un servidor CA para emitir certificados de cliente y se colocan en los PCs de trabajo mediante la función del servidor de directorio, no a mano por los empleados. La casilla f es lo que corresponde a ese certificado y lo protege el TPM, y la respuesta modelo es «clave privada».²

La clave pública está contenida en el certificado y es información que se puede entregar a la otra parte. Lo que la autenticación demuestra es la posesión de la clave privada correspondiente. La posesión se muestra firmando con esa clave, así que si la clave privada se duplica, otro equipo puede usar la misma credencial.

El comentario de calificación de IPA también señala lo importante que es distinguir la clave privada de los demás elementos.⁵

El índice de aciertos de la pregunta 3(2) fue algo alto, pero se vieron algunas respuestas como «clave pública» y «certificado de servidor». PKI es una tecnología importante que sostiene un amplio abanico de tecnologías de seguridad, así que queremos que los candidatos comprendan bien dónde y cómo se usa.

7.3. Pregunta 3(3): guardarla en el TPM para que no se pueda extraer del PC de trabajo

La casilla g pide, en 20 caracteres o menos, el propósito de guardarla en el TPM. La respuesta modelo es «para que no se pueda extraer del PC de trabajo».²

Si la clave privada se deja en el equipo como archivo, es un dato que se puede copiar. Cópiela a un PC personal y ese PC pasa la autenticación como un PC de trabajo. Cree haber cerrado el método 1 (suplantación de dirección MAC), pero simplemente se sustituye por una «suplantación de certificado».

El TPM puede generar una clave en su interior y mantenerla en un estado en el que no se puede extraer. Operaciones como la firma se realizan dentro del TPM, y la clave en sí no se entrega ni al sistema operativo, ni a las aplicaciones, ni a malware. El resultado es que la clave privada queda fijada a un solo componente físico de una sola máquina.

Para implementarlo en Windows, indique Microsoft Platform Crypto Provider como proveedor de almacenamiento de claves (KSP) en la plantilla de certificado. Este proveedor protege las claves usando el TPM y no se puede seleccionar mientras esté marcada «Allow private key to be exported» en la plantilla de certificado¹⁰. Es la restricción obvia: no tiene sentido proteger una clave que de todos modos se puede exportar.

El rol del TPM como componente se trata desde el ángulo del cifrado de disco en la guía práctica de BitLocker. La idea de no dejar nunca que una clave privada salga del dispositivo es el mismo pensamiento que está detrás del diseño del autenticador explicado en Por qué las passkeys son seguras.

7.4. Pregunta 3(4): explicar juntos el destino de distribución y la protección de la clave

Esta subpregunta pide, en 40 caracteres o menos, por qué el señor S respondió que no había problema si se usaba ese método de almacenamiento.

Respuesta modelo: «Porque las credenciales que exige EAP-TLS solo se pueden guardar en un PC de trabajo».²

El razonamiento es el siguiente.

1. Los certificados de cliente se distribuyen desde el servidor de directorio a los PCs de trabajo y no pasan por las manos de los empleados.
2. La clave privada correspondiente la protege el TPM de modo que no se pueda extraer del PC de trabajo.
3. Como las credenciales no se pueden mover a un PC personal, suplantar una dirección MAC no supera la autenticación EAP-TLS.

Lo que importa es la condición «si se usa ese método de almacenamiento». Entregar la clave privada como un archivo que se puede copiar y ya no se sigue la misma conclusión. Por otro lado, lo que el TPM detiene es la duplicación de la clave; llevarse el equipo, la suplantación del usuario y el malware en el equipo son problemas distintos. La sección 10.7 expone los límites.

8. Pregunta 3(5) — cambiar solo la salida NAT de la LAN inalámbrica de invitados

Dos propuestas abordan el método 2: cambiar la configuración NAT y separar la red de invitados en otro servicio de LAN inalámbrica (servicio D).

La pregunta 3(5) pide, en 70 caracteres o menos, qué cambiar en la configuración NAT. El sentido de la respuesta modelo es «hacer que la dirección IP de origen usada al acceder a Internet desde la LAN inalámbrica de invitados sea una dirección IP distinta de la dirección IP pública que se usa ahora». El enunciado denota la dirección actual como a1.b1.c1.d1.²

No es un cambio de la restricción por dirección IP del lado del servicio B. Solo la LAN inalámbrica de invitados se traduce a otra dirección IP pública, sacándola del alcance permitido existente.

Lo que hace posible esta propuesta es que la máscara de subred del lado WAN del firewall de la pregunta es 255.255.255.248 (/29), así que hay más de una dirección IP pública disponible. Que la misma propuesta esté disponible en la práctica depende del contrato de línea; si solo hay una dirección IP pública, esta propuesta queda fuera de la mesa. En ese caso, considere la propuesta de aislamiento del capítulo siguiente.

9. Preguntas 3(6) y 3(7) — aislar la red de invitados y borrar también la configuración antigua

9.1. Lo adoptado fue el servicio D, que sale a Internet directamente por SIM

Lo que la empresa M eligió al final fue el servicio D. Se coloca en la sala de reuniones un Router D en préstamo, con sus funciones de servidor DHCP y de servidor de caché DNS activadas. Los dispositivos traídos por las visitas se conectan a Internet a través de la SIM del Router D sin pasar por la red de la empresa M. El proyector también se cambia para conectarse por un cable HDMI en lugar de por la LAN inalámbrica de invitados.

flowchart LR
    subgraph M["Red interna de la empresa M (tras las medidas)"]
        direction TB
        E["LAN inalámbrica de empleados<br/>EAP-TLS + RADIUS<br/>clave privada dentro del TPM"]
        S["Red de servidores"]
        FW["FW"]
        E --> FW
        S --> FW
    end
    subgraph K["Sala de reuniones"]
        T["Dispositivos traídos por las visitas"]
        D["Router D<br/>a Internet directamente por SIM"]
        T --> D
    end
    FW --> B["Servicio B"]
    D --> I["Internet"]

Figura 3: Esquema simplificado de la configuración tras las medidas. El lado de empleados refuerza la autenticación de equipo, y el de invitados se separa hacia una ruta que no usa la misma salida que la empresa M.

9.2. Pregunta 3(6): el destino que deja de hacer falta es el servidor DNS

La subpregunta pregunta cuál de los servidores de la empresa M dejan de usar los dispositivos traídos por las visitas: el servidor DHCP y el servidor de la casilla h. La respuesta modelo es «DNS».²

Como el propio Router D ofrece ambas funciones, los dispositivos de las visitas ya no necesitan hablar con los servidores DHCP y DNS de la red de servidores de la empresa M.

9.3. Pregunta 3(7): el ítem 1 de la tabla 3, y los ítems 1 y 4 de la tabla 4

La subpregunta pide enumerar todos los números de ítem que hay que borrar de cada uno de los ajustes de interfaz VLAN del firewall y de sus ajustes de filtrado.²

La configuración del SSID de invitados también se borra del AP. Tenga en cuenta, no obstante, que los números de ítem que se escriben para la pregunta 3(7) son los de la tabla 3 y la tabla 4 anteriores. No los confunda con el borrado del SSID en el AP.

El comentario de calificación de IPA dice lo siguiente sobre la pregunta 3(7).⁵

El índice de aciertos de la pregunta 3(7) fue alto. Responder exigía comprender todos los ajustes de filtrado del firewall y el impacto de la revisión del entorno de LAN inalámbrica, y eso se comprendió de forma adecuada.

El firewall de esta pregunta evalúa las reglas desde el número de ítem más bajo hacia arriba y aplica la primera que coincide. Esto no es, no obstante, una especificación común a todos los productos. El peligro de los borrados olvidados y las diferencias entre esquemas de evaluación se tratan en la sección 10.8.

10. Notas prácticas — no generalice las respuestas del examen tal cual

A partir de aquí hay puntos que conviene confirmar por separado de las respuestas de las subpreguntas. Este capítulo expone las condiciones bajo las que los certificados, HSTS y la autenticación de equipo surten efecto, y las rutas que quedan en la operación cotidiana.

10.1. La comprobación de revocación del certificado varía de un navegador a otro

En este punto conviene separar la respuesta del examen de cómo se comportan de verdad los navegadores. Los cuatro elementos de la sección 3.3 son lo que la figura 2 del enunciado enumera como «el detalle del error que puede mostrarse»; no hay que leerlos como que todos los navegadores comprueban los cuatro con la misma fiabilidad.

El emisor, el nombre de servidor y la fecha de caducidad se pueden decidir todos a partir de información que ya se tiene en el momento en que llega el certificado, así que siempre se verifican. Estos tres son también lo que detiene el ataque de esta pregunta.

Solo la comprobación de revocación es de otra naturaleza. Si un certificado ha sido revocado no está escrito dentro del certificado, así que hay que ir a buscar otra información, lo que la hace dependiente de la implementación y de la configuración.

• Chrome normalmente no realiza comprobaciones OCSP o CRL en línea. En su lugar distribuye una lista limitada llamada CRLSet, cuyo objeto principal es bloquear certificados con rapidez en una emergencia, y solo entra en ella una parte de lo que hay en la lista de revocación de una CA¹¹
• Incluso en implementaciones que sí consultan OCSP, se usa mucho una configuración que deja pasar la conexión cuando no se obtiene respuesta (soft-fail)

Así que no haga de «si se filtra la clave privada, basta con revocarla» el pilar de las medidas. La revocación es algo que hay que hacer, pero no es un mecanismo cuya eficacia esté garantizada en el navegador de todos los usuarios. El acortamiento de los períodos de validez de los certificados en los últimos años es, en parte, la respuesta de la industria a que la revocación no sea fiable. Cuando sospeche una filtración de clave propia, hay que pasar a sustituir el certificado e invalidar lo que esa clave protegía (sesiones, claves de API, etc.) en paralelo con presentar la solicitud de revocación.

10.2. Compruebe el contenido del almacén de confianza y el dominio que el usuario pretendía

Lo que sigue está fuera del enunciado. La primera fila de la tabla de la sección 3.3 depende de en qué confía ese equipo. La lista de emisores de confianza la tiene el navegador o el sistema operativo; en Windows es el almacén de certificados Entidades de certificación raíz de confianza.

Es decir, la primera comprobación se supera en situaciones como estas.

• El certificado raíz de una entidad de certificación interna (una CA privada) se distribuye a los PCs de trabajo, y la clave privada de esa CA o su procedimiento de emisión de certificados ha sido tomado por un atacante
• Un proxy o un producto de seguridad que inspecciona el tráfico ha instalado su propio certificado raíz en el equipo para terminar TLS, y ese producto o su operación ha sido tomado por un atacante
• Alguien en el pasado registró una excepción, o metió un certificado autofirmado en las raíces de confianza, porque «no paraba de aparecer un error de certificado»

La tercera se ve de verdad en el terreno: algo añadido a mano una vez para que desapareciera el error de certificado de un sistema interno, que luego vive en una imagen heredada del PC de un empleado que se fue. El contenido del almacén Entidades de certificación raíz de confianza es una declaración literal de en quién cree ese equipo, así que hágalo objeto de sus inventarios. Decidir qué corresponde a cada almacén se trabaja en Guía práctica del almacén de certificados de Windows.

Hay una salvedad práctica distinta sobre la segunda comprobación (la coincidencia del nombre de servidor). Un certificado no puede nada frente a un ataque en el que el usuario lee mal el nombre de dominio. Si un atacante registra un dominio confusamente parecido como b-serv1ce.example.com y obtiene de forma legítima un certificado para él, el navegador no muestra error. Lo que un certificado garantiza es que «el nombre de servidor de destino y el nombre de servidor del certificado coinciden», no que «ese nombre de servidor es la parte que el usuario pretendía». El mecanismo que quita este último paso de los ojos del usuario es uno que verifica el origen en el autenticador, como hacen las passkeys (WebAuthn). Esto se trata en Por qué las passkeys son seguras.

10.3. Antes de usar la precarga HSTS, compruebe el impacto en los subdominios y en la baja

Lo que cubre este hueco del primer acceso es la lista de precarga HSTS. Si el dominio está en la lista integrada de antemano en el navegador, HTTPS se impone incluso para un host que nunca se ha visitado.

Si contempla registrar su propio sitio, no obstante, compruebe primero las condiciones. Los requisitos de registro son los siguientes¹².

• Servir un certificado válido
• Si se escucha en el puerto 80, redirigir de HTTP a HTTPS en el mismo host
• Servir todos los subdominios por HTTPS (incluido www si existe un registro DNS para él)
• Devolver en el dominio base una cabecera Strict-Transport-Security con un max-age de 31536000 segundos (un año) o más, más includeSubDomains y preload

El que muerde es el tercero, combinado con includeSubDomains. Si un subdominio interno antiguo es solo HTTP, o no tiene certificado preparado, queda inalcanzable en el momento de registrar. Haga inventario de todos los subdominios antes de registrar.

Y la baja no es fácil. Las solicitudes de baja se aceptan en general, pero tarda meses en que el cambio llegue a los navegadores de los usuarios, y no hay garantía para navegadores distintos de Chrome¹². Es más seguro abordar la precarga como un ajuste que no se puede deshacer sin más si se equivoca.

Visto desde el lado que consume, si un servicio en la nube que se usa para el trabajo admite HSTS es un ítem razonable que añadir a la lista de selección.

10.4. Diseñe con qué material juzga el aprobador y la revisión posterior a la aprobación

Cuando la aprobación se vuelve formalidad en la práctica, la causa suele ser una de las siguientes.

Lo que más le falta a la empresa M en esta pregunta son los dos últimos. Una vez que se pone un mecanismo para conceder la aprobación, hace falta un mecanismo para mirar después lo que se aprobó. Solo con poder listar cuántos usos compartidos externos fueron a dominios de correo gratuito en un mes, esta técnica se vuelve mucho más fácil de detectar.

El panorama más amplio de por dónde debería empezar una pyme se trata en Medidas de seguridad para pymes, por dónde empezar.

10.5. Calcule qué permite una restricción por dirección IP de origen, partiendo de la salida

Este patrón aparece una y otra vez también fuera del examen. Una restricción por dirección IP de origen no significa «solo desde este equipo». Significa «desde todos los que salen por esta dirección IP pública». Aquí van casos típicos en los que el alcance que cree haber permitido y el que realmente se permite divergen.

Nada de esto dice que una restricción por dirección IP de origen no tenga sentido. Dice no use la restricción sola como una sola capa. Solo cuando se estrecha por dirección IP y luego se superpone un mecanismo que identifica el equipo (un certificado de cliente o un certificado de dispositivo) y un mecanismo que identifica al usuario (autenticación multifactor) se puede expresar «esta persona, en este equipo». Las medidas de los capítulos 7 a 9 siguen el mismo pensamiento.

10.6. En EAP-TLS, lo que se verifica es el servidor de autenticación

La última fila de la tabla comparativa de la sección 7.1 necesita una nota. En EAP-TLS, el interlocutor contra el que el cliente verifica un certificado es el servidor de autenticación, no el AP. El AP es solo un autenticador que retransmite el intercambio EAP; el cliente no está confirmando la identidad del AP en sí.

Aun así protege frente al evil twin del capítulo 3 porque el material de clave que se genera solo cuando la autenticación tiene éxito se entrega solo a un AP legítimo que posee el secreto compartido de RADIUS. Un AP que un atacante ha levantado por su cuenta no puede llevar el procedimiento hasta el final a menos que tenga detrás un servidor de autenticación legítimo. La estructura es que lo que el cliente verifica de forma directa es el servidor de autenticación, y la legitimidad del AP se sigue de forma indirecta de eso.

Esto, no obstante, viene con una condición. A menos que el cliente esté configurado con la emisión de qué entidad de certificación y qué nombre de servidor va a confiar en un certificado de servidor, no puede distinguir cuando un atacante levanta un servidor de autenticación propio. Existen de verdad configuraciones en las que se ha desplegado EAP-TLS pero la verificación del certificado de servidor está desactivada en el perfil del cliente. Una vez que lo despliegue, compruebe hasta ahí.

10.7. El TPM no resuelve el abuso del propio equipo ni la autenticación del usuario

Por otro lado, poner la clave en el TPM no lo deja todo seguro. Todo lo que el TPM garantiza es que «la clave no se duplica en otro equipo». No protege frente a lo siguiente.

• Que se lleven el equipo. Llevarse el PC de trabajo es llevarse el TPM con él. Las reglas de la empresa M prohíben sacar un PC de trabajo de las instalaciones, pero una regla y la imposición técnica son cosas distintas. Hacen falta por separado el cifrado de disco (incluida la autenticación previa al arranque) y un proceso operativo para revocar el certificado cuando se pierde un equipo
• La suplantación del usuario. El TPM identifica el equipo, pero no garantiza nada sobre quién lo está operando. La autenticación de usuario hace falta por separado
• Malware que se ejecuta en el equipo. La clave privada no se puede leer, pero el código que corre en ese equipo sí puede pedir al TPM que firme. Se impide la duplicación de la clave, pero no el abuso mientras ese equipo está bajo el control de otro

10.8. Elimine los permisos antiguos. Compruebe el esquema de evaluación de cada firewall

El índice de aciertos de esta subpregunta fue alto, pero no son muchas las organizaciones que llegan tan lejos en la práctica. El trabajo de poner un mecanismo nuevo viene con presupuesto y plazo; el de borrar la configuración antigua no viene con ninguno de los dos. Y lo que se olvida borrar aparece de formas como estas.

El firewall de esta pregunta usa el esquema de evaluar las reglas desde el número de ítem más bajo hacia arriba y aplicar la primera que coincide (el enunciado lo dice de forma explícita). Bajo ese esquema, dejar una regla de permiso en desuso cerca de arriba es lo mismo que dejar abierto un hueco que impide que el tráfico llegue nunca a la regla de denegación del final.

No generalice, no obstante, este esquema de evaluación a todos los firewalls. Cómo se decide difiere según el producto.

Sea cual sea el esquema, el hecho de que dejar permisos sin usar es peligroso no cambia. Lo que cambia es por qué es peligroso y cómo corregirlo. Confirme qué esquema usa su propio equipo y añada después la pregunta de si el origen y el destino todavía existen a lo que mira el inventario periódico.

La cuestión del firewall del host de cómo gestionar las reglas de entrada que necesita una aplicación empresarial se trata en El firewall de Windows y las aplicaciones empresariales.

11. Haga corresponder las medidas con las rutas y revise el conjunto

11.1. ¿Hasta dónde llegaban las medidas existentes?

HTTPS y HSTS detienen la ruta hacia el sitio falso que plantea la pregunta. Añadir más restricciones operativas al PC de trabajo, en cambio, deja en pie las rutas que usan un equipo no gestionado o la función de uso compartido legítima.

11.2. ¿Qué rutas cierran las medidas adicionales?

Muchas de las medidas que se superaron prohíben un medio, como las memorias USB o los adjuntos de correo. La medida que funcionó y las medidas adicionales cambian la ruta o la naturaleza de la credencial. Bloquear las memorias USB deja la sustracción en pie mientras quede una ruta hasta los archivos, y alargar una clave precompartida no deja de hacerla un secreto compartido.

12. Una lista de comprobación para aplicar a su propia configuración

1. ¿Puede escribir las medidas contra la sustracción como rutas y no como medios? En lugar de una lista de medios como memorias USB, adjuntos de correo y webmail, construya una lista de los equipos y las redes que pueden alcanzar los archivos de trabajo. Si aunque sea una ruta deja que un equipo no gestionado los alcance, una prohibición del medio se eludirá
2. ¿Las reglas de entrada y salida de equipos se limitan a un lugar? «No traer equipos a la zona de oficinas» permite la sala de reuniones, la recepción y los espacios compartidos. Compruebe si la zonificación física y la zonificación de red coinciden
3. ¿Puede decir qué permite realmente su restricción por dirección IP de origen? Cuente todo lo que sale por esa dirección IP pública: Wi-Fi de invitados, la red de visitas, VPN entre sedes, pasarelas de agregación para el teletrabajo, entornos de prueba
4. ¿Las credenciales de la LAN inalámbrica son por equipo? Una clave precompartida es un secreto compartido que todos poseen por igual, así que si una persona la filtra se filtra la de todos, y tampoco se puede bloquear solo una máquina
5. ¿Está contando el filtrado por dirección MAC y un SSID oculto entre las medidas? Ambos son orden que reduce las conexiones accidentales, no autenticación
6. ¿La clave privada del certificado de cliente está en un estado en el que no se puede extraer del equipo? Una clave privada dejada como archivo se puede duplicar. Indique un proveedor de almacenamiento de claves que use el TPM y no permita la exportación
7. ¿Los clientes que pasó a EAP-TLS verifican el certificado del servidor de autenticación? Desactive esto y se pierde la resistencia a un servidor de autenticación falso
8. ¿Pueden los usuarios superar un error de certificado de servidor pulsando «Continuar»? Configure HSTS en sus propios sitios. No deje sin corregir los errores de certificado de los sistemas internos y enseñe a los usuarios que un error es algo que se pulsa para seguir
9. ¿Hace inventario del contenido del almacén Entidades de certificación raíz de confianza? Lo que hay ahí es precisamente el conjunto de partes respecto de las cuales el equipo declara «un certificado emitido por esta entidad cuenta como auténtico»
10. ¿Quien aprueba en el flujo de aprobación recibe material con el que juzgar? ¿Y alguien mira después los resultados de la aprobación? Revise una lista periódica de usos compartidos enviados a dominios externos y a direcciones de correo gratuitas
11. ¿Está borrando la configuración de las rutas dadas de baja? Interfaces VLAN, reglas de filtrado, SSID, entradas de lista permitida. Trate el borrado igual que el trabajo de poner algo nuevo y póngale también un plazo

Conclusión — escriba una lista de rutas, no una lista de medidas

Si la pregunta 1 preguntaba qué etapa de qué ataque se detiene, la pregunta 2 pregunta qué alcance protege una medida dada.

El software de prevención de fugas llega hasta el PC de trabajo, la prohibición de traer equipos llega hasta la zona de oficinas, el filtrado por dirección MAC llega hasta quien no suplanta. Lo que permite una restricción por dirección IP de origen es todos los que salen por la misma dirección IP pública. Compruebe el alcance de cada medida individual y los huecos de las uniones se hacen visibles.

La empresa M es una empresa que había ido trabajando las medidas tras el incidente del año anterior. Quedan huecos no porque los responsables no se esforzaran lo bastante, sino porque añadir medidas una a una hace difíciles de encontrar los huecos entre sus alcances. La forma de leer que hay que llevarse al propio trabajo es la que hacen el señor Y y el señor S: separar al atacante externo del empleado y comprobar las rutas hasta los archivos una a una.

Fuentes y alcance de la cita y del resumen

La pregunta que se trata es la siguiente.

Fuente: Examen de Especialista en Seguridad de la Información, otoño de 2023 (Reiwa 5), tarde, pregunta 2

IPA indica que, salvo que las leyes dispongan otra cosa, no se necesita permiso ni tasa de uso para las preguntas de exámenes anteriores que publica. No ha renunciado, no obstante, a los derechos de autor: exige que se indique la fuente en la forma «año fiscal, convocatoria, categoría de examen, franja horaria, número de pregunta, etc.», y exige que cualquier modificación parcial de una pregunta se indique como tal¹³.

Este artículo no reproduce las figuras y tablas impresas en el cuadernillo tal cual. En la medida necesaria para explicar los mecanismos, se sustituyen por esquemas simplificados y resúmenes que elaboramos nosotros. Los textos de las subpreguntas y las respuestas modelo también se tratan en forma de resumen. El cuadernillo original, las respuestas modelo y el comentario de calificación se pueden descargar de forma gratuita en las páginas de IPA, así que se recomienda leerlos abiertos al lado^{1 2 5}.

Tabla para cotejar el cuadernillo con este artículo

Áreas de consultoría relacionadas

KomuraSoft LLC aborda revisiones de diseño basadas en una configuración existente de red y de equipos, y la implementación de la distribución de certificados y de la protección de claves en entornos Windows.

• Consultoría técnica y revisión de diseño
• Desarrollo en Windows
• Investigación de fallos y análisis de causas
• Contacto

Referencias

Artículos relacionados

Artículos recientes con las mismas etiquetas para profundizar en temas cercanos.

Temas relacionados

Estas páginas sitúan el tema en un contexto más amplio de servicios y decisiones.

Servicios relacionados con este tema

El artículo está directamente relacionado con los siguientes servicios.

Preguntas frecuentes

Preguntas habituales en las consultas sobre el tema del artículo.

Prohibimos conectar memorias USB y guardar en el disco local. ¿Por qué se pueden sacar los archivos de todos modos?

Porque lo prohibido fue una capacidad del PC de trabajo que entrega la empresa, no la ruta hasta el lugar donde están los archivos. El empleado de esta pregunta usa su propio PC personal. Sin tocar en absoluto el PC de trabajo, conecta ese PC personal a la LAN inalámbrica de la sala de reuniones, inicia sesión en el almacenamiento en la nube (servicio B) con su propio identificador de usuario, descarga los archivos y se lleva el PC personal. La configuración del software de prevención de fugas instalado en el PC de trabajo no tiene ningún efecto sobre un PC personal. La empresa M sí prohibía traer PCs personales, pero la prohibición cubría solo la zona de oficinas; la sala de reuniones quedaba fuera. Bloquear los medios uno a uno (memorias USB, adjuntos de correo, webmail) deja la sustracción en pie mientras quede una ruta hasta los archivos.

El servicio B restringía el inicio de sesión a la dirección IP pública de la empresa M. ¿Por qué la LAN inalámbrica de invitados sortea esa restricción?

Porque el tráfico de la LAN inalámbrica de invitados también pasa por el NAT del mismo firewall y se traduce a la misma dirección IP pública antes de salir a Internet. Desde el punto de vista del servicio B, el acceso desde un PC de trabajo interno y el acceso desde un PC personal conectado a la LAN inalámbrica de invitados en la sala de reuniones se ven como la misma dirección IP de origen. No se pueden distinguir. Una restricción por dirección IP de origen hay que entenderla como una configuración que no permite «solo este equipo», sino «todos los que comparten esta salida». Wi-Fi de invitados, VPN entre sedes, pasarelas de agregación para el teletrabajo: todo lo que sale por la misma dirección IP pública entra en el alcance permitido.

La LAN inalámbrica de empleados tenía filtrado por dirección MAC. ¿Eso no es una medida?

No. Una dirección MAC se puede reescribir libremente en el equipo. El método 1 de esta pregunta consistía en cambiar la dirección MAC de la interfaz inalámbrica del PC personal por la de un PC de trabajo registrado y conectarse. Como las direcciones MAC de las tramas de la LAN inalámbrica viajan sin cifrar, recibir la señal cerca también basta para conocer una dirección MAC registrada. Lo mismo aplica a ocultar el SSID. Aunque se desactive la difusión del SSID, este se revela en el intercambio que ocurre cuando un equipo se conecta. El filtrado por dirección MAC y un SSID oculto pueden reducir las conexiones accidentales, pero no son un mecanismo de autenticación que detenga a quien se conecta a propósito.

Aunque se monten un punto de acceso falso y un sitio falso, ¿por qué se puede afirmar que el empleado no caerá en el engaño?

Porque, mientras la conexión sea por HTTPS, el sitio falso no puede superar la verificación del certificado de servidor. La figura 2 del enunciado enumera cuatro elementos como detalle del error que puede mostrarse: no emitido por una entidad de certificación de confianza; el nombre de servidor escrito en el certificado difiere del nombre de servidor al que se conecta; revocado; y caducado. El atacante no puede obtener un certificado legítimo para el nombre de dominio del servicio B, así que un certificado autofirmado falla en el primer punto, y un certificado obtenido de forma legítima para el propio dominio del atacante falla en el segundo. Según el comentario de calificación de IPA, el índice de aciertos de la subpregunta sobre este contenido de verificación fue bajo. Tenga en cuenta que los cuatro elementos no actúan con la misma fuerza. Lo que detiene el ataque son los dos primeros (emisor y nombre) más la fecha de caducidad, que los navegadores siempre verifican. La comprobación de revocación, en cambio, depende de la implementación y de la configuración. Chrome, por ejemplo, está diseñado para no realizar comprobaciones OCSP o CRL en línea en circunstancias normales, y usa en su lugar una lista limitada llamada CRLSet cuyo objeto principal es el bloqueo de emergencia. No dé por hecho que revocar un certificado garantiza bloquearlo. Y si el certificado raíz de una entidad de certificación interna se ha distribuido a los PCs de trabajo, y la clave privada o el procedimiento de emisión de esa entidad han sido tomados por un atacante, la primera comprobación también se supera.

¿Qué ocurre si se escribe la URL como «http://» por error? ¿Qué hace realmente HSTS?

El navegador sustituye HTTP por HTTPS antes de conectarse, así que el resultado vuelve a ser un error de certificado de servidor. HSTS es un mecanismo por el cual el navegador recuerda el contenido de una cabecera recibida la última vez que se conectó a ese sitio por HTTPS. RFC 6797 exige que, cuando una URL hacia el host de destino contenga el esquema http, el agente de usuario lo sustituya por https y convierta el puerto 80 en 443 si estaba indicado de forma explícita. Es decir, la solicitud HTTP en texto claro desaparece antes de llegar a la red. Aún más importante: si la verificación del certificado falla al comunicar con un host en el que HSTS está activo, la especificación exige cortar la conexión tanto si el error es una advertencia como si es fatal. Indica de forma explícita que no debe ofrecerse al usuario una opción del tipo «esta conexión no es segura, ¿continuar de todos modos?». Ahora bien, HSTS presupone que el navegador llegó al menos una vez al sitio auténtico por HTTPS y recibió la cabecera. No tiene efecto si el primer acceso desde un equipo nuevo va directo a un sitio falso. Lo que cubre ese primer acceso es la lista de precarga integrada en el navegador.

¿Qué cambia cuando la clave privada de un certificado de cliente se guarda en el TPM?

La clave privada ya no se puede extraer de ese PC de trabajo. Una clave privada dejada en el equipo como archivo se puede copiar a un PC personal, y ese PC pasa entonces la autenticación como un PC de trabajo. Si la clave se genera dentro del TPM y se deja en un estado en el que no se puede exportar, operaciones como la firma se realizan por completo dentro del TPM, y la clave en sí no se entrega ni al sistema operativo ni a malware. El resultado es que solo los PCs de trabajo entregados por la empresa pueden pasar la autenticación EAP-TLS. Por eso el señor S pudo decir que no había problema si se usaba ese método de almacenamiento. Para implementarlo en Windows, indique Microsoft Platform Crypto Provider como proveedor de almacenamiento de claves de la plantilla de certificado y configure la plantilla para no permitir la exportación de la clave privada. Tenga en cuenta, no obstante, que todo lo que el TPM protege es que la clave no se duplique en otro equipo; no cambia el hecho de que quien tenga el equipo puede usarlo. La pérdida o el robo del equipo exige cifrado de disco y revocación del certificado, preparados por separado.

¿Qué hay que llevarse de esta pregunta a la propia práctica?

Cuatro cosas. Primera, pensar las medidas contra la sustracción en términos de rutas, no de medios. Bloquear memorias USB, adjuntos de correo y webmail uno a uno no sirve de nada si queda un equipo que puede alcanzar los archivos. Segunda, escribir qué permite realmente una restricción por dirección IP de origen. Si el Wi-Fi de invitados o una VPN usan la misma salida, eso también entra en el alcance permitido. Tercera, hacer de la autenticación de la LAN inalámbrica una credencial por equipo. Una clave precompartida es un secreto compartido que todos poseen por igual, así que si una persona la filtra, se filtra la de todos. EAP-TLS con certificados de cliente, en una configuración que nunca deja salir la clave privada del TPM, fija la credencial al equipo. Cuarta, borrar la configuración que ya no se usa. La última subpregunta de este problema pide enumerar todos los ajustes de interfaz VLAN y todas las reglas de filtrado del firewall que quedan tras retirar la LAN inalámbrica de invitados; según el comentario de calificación de IPA el índice de aciertos fue alto, y sin embargo no son muchas las organizaciones que llegan tan lejos en la práctica.

Perfil del autor

Página de presentación del autor del artículo.

Go Komura

Representante de KomuraSoft LLC

Especializado en desarrollo de software para Windows, consultoría técnica e investigación de fallos, sobre todo en proyectos con sistemas existentes y errores difíciles de reproducir.