Buenas,
Hacía bastante que no enlazaba a Infosecwriters, y no lo hacía por ninguna razón en especial. Simplemente, cuesta dar cobertura a todas las novedades, y las cosas se van quedando, y pierden frescura.
Me gusta Infosecwriters porque es una fuente de información sencilla y clara, muy orientada a personas con nociones nunca superiores a un nivel intermedio. Sus papers suelen ser una lectura cómoda y fácil, pero a la vez instructiva.
Hoy traigo a la portada Extensible Authentication Protocol (EAP) Security Issues, un pequeño documento de seis páginas, donde podemos encontrar desde una definición básica de EAP hasta un resumen bastante correcto de las problemáticas elementales de seguridad que normalmente acompañan al protocolo y los procedimientos de autenticación que en él se basan.
EAP
Sin entrar en mucho detalle, EAP es un protocolo de esos que suenan pero que normalmente no sabemos describir/ubicar. Suena sobre todo por redes inalámbricas, segmento donde EAP ha logrado su mayor tasa de popularidad. Es frecuente confundir EAP con un mecanismo de autenticación en sí, cuando de lo que se trata realmente es de un soporte para mecanismos de autenticación. EAP, como todo buen protocolo que se precie, ofrece funciones para poder negociar entre partes una autenticación determinada.
Así pues, es normal encontrar mecanismos de autenticación powered by EAP como EAP-MD5 (primitivo e inseguro, por la posibilidad de colisiones en MD5), EAP-OTP (One Time Passwords, claves de un sólo uso para accesos mediante tokens y similares) o EAP-TLS (Transport Layer Security) y su variante tunelizada EAP-TTLS (Tunnelled Transport Layer Security), muy habituales en dispositivos inalámbricos. Tenéis toda la ristra de variantes en la Wikipedia. Lo importante es que el adjetivo Extensible de EAP hace referencia a que es factible encontrar múltiples propuestas basadas en este protocolo, especialmente en redes inalámbricas, aunque no todos los mecanismos de autenticación propuestos cumplen los requisitos.
EAP es un protocolo que permite construir a su alrededor arquitecturas de autenticación muy interesantes, como por ejemplo el combo WPA+EAP-TLS+FreeRADIUS, donde el servidor RADIUS empleará la autenticación EAP-TLS, habida cuenta de que RADIUS soporta perfectamente EAP, y WPA será nuestro aliado para ofrecer seguridad a la conexión inalámbrica.
Los problemas que suele llevar EAP consigo
Como no es oro todo lo que reluce, las implementaciones basadas en EAP tienen sus problemas. En el documento Extensible Authentication Protocol (EAP) Security Issues encontraremos algunas, como los ataques de diccionario, los man in the middle, los ataques de texto claro y los de texto cifrado. Un buen documento para darse un primer baño en la seguridad de las autenticaciones basadas en EAP.
Un saludo,
Muy buen aporte.