seguritecnia 434

112 SEGURITECNIA Septiembre 2016 Artículo Técnico lación a la calidad de la autenticación o del cifrado, como en el empleo de me- canismos de VPN propietarios. Adicional- mente se podrá mirar el “track record” de cada tecnología VPN, en particular, y sus referencias reales (SD-WAN es todavía una tecnología muy reciente) para ana- lizar la robustez y escalabilidad de cada solución, factores ambos que afectan tanto a los costes de despliegue como a los de operación. En segundo lugar, aunque quizás más importante aún que la posibilidad de que nuestro tráfico corporativo sea visto en Internet, está el hecho de que SD- WAN ofrece una puerta de entrada a nuestro datacenter corporativo, a través de Internet, a cualquiera que se logre hacer pasar por un extremo o termina- dor SD-WAN remoto (de oficina). Debido a que la mayoría de las conexiones de Internet de banda ancha residenciales emplean direccionamiento IP dinámico, esto es, no conocido de antemano, las soluciones SD-WAN están preparadas para trabajar en este entorno de cone- xión con direccionamiento IP dinámico. Como cualquier línea de Internet es a priori válida para conectarse a la red cor- porativa, cualquiera que logre simular o disponga de un equipo terminador SD- WAN puede, potencialmente, conec- tarse a la red central corporativa, con to- dos los permisos y salvoconductos de un usuario legítimo. El mayor riesgo ge- nerado por esta característica del SD- WAN es el derivado del robo del equipo terminador SD-WAN original de mi ofi- cina o punto remoto. El ladrón de dicho dispositivo tiene potencialmente acceso a mi red corporativa. Esta situación no ocurre en una red MPLS, ya que el ac- ceso a los sistemas centrales está con- dicionado al uso de la línea WAN MPLS, en particular de cada oficina, por lo que un potencial ladrón del router MPLS no puede acceder a la red conectando el router a cualquier red de banda ancha. Por lo tanto, las soluciones SD-WAN de- ben estar provistas de mecanismos an- tirrobo de equipos, que detecten la uti- lización de los mismos fuera de las ofici- nas corporativas remotas. Una amenaza a proteger, dentro de esta categoría, es la utilización del “botón de reset” dispo- nible en la mayoría de equipos de co- municación, que restaura en el disposi- tivo su configuración “de fábrica” y que un usuario malicioso podría querer uti- lizar también para “reconectar” el termi- nador SD-WAN a la red central desde un punto remoto no autorizado, simulando una primera instalación. Un tercer riesgo, muy relacionado con esto último, es la instalación segura de terminadores SD-WAN en oficinas auto- rizadas. La independencia intrínseca del SD-WAN respecto al proveedor o pro- veedores de red hace mucho más fácil y común el empleo de mecanismos de provisión sin intervención humana en el punto remoto (ZTP o zero touch pro- visioning en inglés), por lo que la mayo- ría de las soluciones SD-WAN del mer- cado dispone de dichos mecanismos ZTP. De esta forma, los terminadores SD- WAN remotos pueden ser enviados por correo ordinario, por ejemplo, y pue- den ser instalados en las oficinas corpo- rativas correspondientes por el propio personal de la oficina, sin que el perso- nal técnico especializado se traslade a dicha oficina y sin necesidad de forma- ción muy específica del personal de la oficina, que simplemente tiene que sa- car el equipo de la caja y conectarlo en- tre los routers existentes y los dispositi- vos de la red local (LAN) de la oficina o switch LAN. Las soluciones SD-WAN de- berán disponer, por lo tanto, de meca- nismos de seguridad en la puesta en marcha o primera instalación del dispo- sitivo en la oficina remota. Se requiere principalmente una autenticación se- gura en ambos sentidos: del terminador SD-WAN remoto al punto central y al re- vés. Las distintas alternativas del mer- cado tratan de solucionar este riesgo de una manera sencilla, que permita el ZTP y podemos encontrar varias respues- tas al problema, como el uso de “tokens” de seguridad por USB, aplicaciones en smartphones , envío de correos electró- nicos o SMS con credenciales para la au- tenticación, etc. Por supuesto, esta au- tenticación mutua deberá mantenerse en el tiempo para sucesivas conexiones, no sólo en la primera conexión de insta- lación. Lo normal para sucesivas cone- xiones es que no se requiera repetir el mecanismo de ZTP, que aunque no re- quiere intervención humana en el punto remoto sí emplea normalmente algún tipo de validación “manual” o específica en el punto central. Para ello, el termi- nador SD-WAN debe almacenar las cre- denciales de conexión al menos durante cierto tiempo. Es aquí donde los meca- nismos antirrobo mencionados, ante- riormente, deben entrar en juego. Como último riesgo, adicionalmente al tráfico corporativo, conviene analizar también la seguridad del mecanismo o protocolo de comunicación entre el ter- minador SD-WAN remoto y el sistema de gestión central o controlador, em-