Seguridad en los sistemas de información desarrollados vía Web
Los códigos secretos provienen de muy antiguo. Los escritores judíos de antaño a veces disfrazaban el significado de sus textos invirtiendo el alfabeto, es decir, utilizaban la última letra de éste en lugar de la primera, la penúltima en vez de la segunda, y así sucesivamente. Este sistema, denominado atbash, aparece en la Biblia, en Jer. 25,26, que escribe ‘Sesac’ en lugar de ‘Babel’, empleando la segunda y duodécima letras contando desde el final, no desde el principio, del alfabeto hebreo. Los éforos de Esparta se comunicaban con sus generales de campo por medio de mensajes escritos en los extremos de una banda de cuero que se enrollaba formando una espiral sobre un bastón llamado escitalo. Una vez desenrollado, el mensaje sólo podía volver a leerse si se enrollaba la cinta sobre un bastón idéntico. El escritor Polibio inventó el cuadro de 5 × 5, que se utilizó mucho en diferentes sistemas criptográficos. Julio César empleó un sistema consistente en adelantar cada letra cuatro posiciones.
Según el sitio Web http://es.wikipedia.org/wiki/Criptograf%C3%ADa
La criptografía (del griego kryptos, «ocultar», y graphos, «escribir», literalmente «escritura oculta») es el arte o ciencia de cifrar y descifrar información utilizando técnicas matemáticas que hagan posible el intercambio de mensajes de manera que sólo puedan ser leídos por las personas a quienes van dirigidos.
Con más precisión, cuando se habla de esta área de conocimiento como ciencia se debería hablar de criptología, que engloba tanto las técnicas de cifrado, la criptografía propiamente dicha, como sus técnicas complementarias: el criptoanálisis, que estudia los métodos que se utilizan para romper textos cifrados con objeto de recuperar la información original en ausencia de la clave.
La finalidad de la criptografía es, en primer lugar, garantizar el secreto en la comunicación entre dos entidades (personas, organizaciones, etc.) y, en segundo lugar, asegurar que la información que se envía es auténtica en un doble sentido: que el remitente sea realmente quien dice ser y que el contenido del mensaje enviado, habitualmente denominado criptograma, no haya sido modificado en su tránsito.
Los mensajes secretos se pueden ocultar o enmascarar de muchas formas. Cifrar o codificar un mensaje significa alterar las palabras, que cualquier persona puede leer y entender, y convertirlas en un conjunto especial o secuencia concreta de símbolos que sólo conocen unas pocas personas. La ocultación es una forma sencilla de criptografía, ya que el mensaje está escrito normalmente y sólo se oculta. Aun cuando resultan difíciles de descifrar, los códigos también son sencillos de utilizar ya que las palabras y los símbolos se hallan prefijados. (La razón por la que los códigos resultan tan difíciles de desentrañar radica en la imposibilidad de analizarlos lógicamente
En la actualidad las empresas se preocupan por garantizar que la información que ellas poseen no sean obtenidas por personal no autorizado, por tal motivo hacen uso de diversas medidas de seguridad que le permitan mantener dicha información en una forma más segura. Para mantener controlados a los intrusos las empresas colocan en prácticas los siguientes mecanismos de seguridad:
- Emplear firewall con el objetivo de bloquear el tráfico no deseado en la red. Este dispositivo debe ubicarse entre una computadora anfitriona y la red.
- Poseer un antivirus actualizado.
- Mantener actualizados los sistemas, servidores y aplicaciones.
- Los servicios de red que no sean usados se deben de desactivar para así disminuir el riesgo de ataques.
- Analizar la red en busca de servicios comunes de acceso furtivo y utilizar sistemas de detección de intrusos los cuales permiten detectar ataques que pasan inadvertidos a un firewall y avisar antes o justo después de que se produzcan.
- Mantener respaldo actualizados de la información.
Ahora bien, si la empresa desea evaluar el comportamiento que tiene su sistemas tendría que hacer uso de una auditoría de seguridad informática que no es más que un estudio que comprende el análisis y gestión de sistemas para identificar y posteriormente corregir las diversas vulnerabilidades que pudieran presentarse en una revisión exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores. Estas auditorias permiten conocer cuál es la situación actual en lo referente a protección, control y medidas de seguridad de los sistemas de información en el momento en el que se realiza dicha auditoria. Los resultados obtenidos se detallan, archivan y reportan a los responsables para que ellos establezcan medidas preventivas de refuerzos, siguiendo siempre un proceso secuencial que permita a los administradores mejorar la seguridad de sus sistemas aprendiendo de los errores cometidos anteriormente.
Para auditar todo sistema desarrollado vía Web se deben cumplir con las siguientes fases:
- Enumerar las redes, topologías y protocolos.
- Identificar los sistemas y dispositivos.
- Identificación de los sistemas operativos.
- Analizar los servicios y aplicaciones.
- Detectar, comprobar y evaluar las vulnerabilidades.
- Especificar medidas de corrección.
- Recomendar medidas preventivas.
- Emplear Listas de Control de acceso, en los Router.
De acuerdo con información obtenida en la página Web http://es.wikipedia.org/wiki/ Auditoría_de_seguridad_de_sistemas_de_información los servicios de auditorias pueden ser:
- Auditoría de seguridad interna. En este tipo de auditoría se contrasta el nivel de seguridad y privacidad de las redes locales y corporativas de carácter interno
- Auditoría de seguridad perimetral. En este tipo de análisis, el perímetro de la red local o corporativa es estudiado y se analiza el grado de seguridad que ofrece en las entradas exteriores
- Test de intrusión. El test de intrusión es un método de auditoría mediante el cual se intenta acceder a los sistemas, para comprobar el nivel de resistencia a la intrusión no deseada. Es un complemento fundamental para la auditoría perimetral.
- Análisis forense. El análisis forense es una metodología de estudio ideal para el análisis posterior de incidentes, mediante el cual se trata de reconstruir cómo se ha penetrado en el sistema, a la par que se valoran los daños ocasionados. Si los daños han provocado la inoperabilidad del sistema, el análisis se denomina análisis postmortem.
- Auditoría de páginas Web. Entendida como el análisis externo de la Web, comprobando vulnerabilidades como la inyección de código sql, Verificación de existencia y anulación de posibilidades de Cross Site Scripting (XSS), etc.
- Auditoría de código de aplicaciones. Análisis del código tanto de aplicaciones páginas Web como de cualquier tipo de aplicación, independientemente del lenguaje empleado
En las páginas Web se deben tomar en consideración los siguientes aspectos de seguridad:
1. Responsabilidad del proveedor y del creador de las páginas.
Tomando en cuenta que la página Web es puesta on-line en Internet por un proveedor del servicio de conexión a Internet y que las actualización y modificación del servicio corren por cuenta del dueño mediante un acceso al sitio del proveedor protegido por algún tipo de sistema de seguridad (por ej: un sistema de passwords), a continuación se resumen las responsabilidades del prestador del servicio y del creador de las páginas en tres aspectos fundamentales de la seguridad:
OPERATIVIDAD
La información que contenga la página debe estar siempre en condiciones operativas para quienes acceden a la misma puedan recorrerla sin problemas, sin encontrar fallas, faltas, o cualquier tipo de anomalía.
Responsabilidad del encargado de la página:La información añadida o modificada por un responsable de la página debe ser colocada en ella en los formatos establecidos y verificado su correcto funcionamiento dentro de la estructura de programación.
Responsabilidad del prestador del servicio: Todo sistema de computadoras está expuesto a fallas de hardware, software y de tipo externo como fallas de suministro eléctrico. Para esto deberá tener un plan de soluciones y un mantenimiento preventivo. También debe garantizar que si una información es colocada en la página según las especificaciones y procedimientos acordados, ésta funcionará correctamente.
Hay que considerar también que el ingreso de un intruso al sistema puede provocar daños que afecten a la operatividad.
El prestador del servicio deberá tener un sistema de seguridad, por ejemplo, en barreras de protección como firewalls, proxis, etc., que impidan los accesos no autorizados.
INTEGRIDAD
De nada sirve que una información esté en condiciones operativas si es incompleta o está alterada. Para que una información resulte inútil no es necesario que sea destruida, puede ser suficiente una acción tan sutil como cambiar los unos por ceros. Por lo tanto la integridad de la información que se muestra en una página Web es uno de los factores más importantes de la seguridad, pues de él dependen el interés y la credibilidad de la página. La integridad de la página puede ser dañada por fallas de hardware o software, o atacada por intrusos en el sistema que toman el control sobre algún sector y modifican el contenido de las páginas.
Responsabilidades del dueño de la página: La información que es agregada o modificada en la página debe estar en condiciones de integridad cuando llega a ella, y tratando de que se mantenga hasta que termine, pues puede ser afectada por la transmisión hasta el sitio o por algún problema de su funcionamiento o seguridad.
Responsabilidades del prestador del servicio: Asegurar la integridad de la información que contiene una página Web, en lo que atañe a accesos no autorizados al sistema. Los bugs (errores estructurales) de los programas utilizados también pueden ser la puerta de entrada para los accesos no autorizados. Se debe exigir que el sistema del proveedor esté depurado de este tipo de fallas.
PRIVACIDAD
Es lógico pensar que quien quiere que una información sea privada no debe colocarla en una página Web. Pero puede ocurrir que parte de la información esté reservada a usuarios registrados o que exista algún tipo de restricción.
Responsabilidades del dueño de la página: El dueño de la página debe definir y separar claramente cuál es la información de dominio público y cual de acceso restringido, y manejarlas en zonas separadas en la programación de su página.
Responsabilidades del prestador del servicio: el acceso restringido a parte de la información de una página debe ser sustentado por el prestador del servicio asegurando que los mecanismos de control de acceso de la página funcionen correctamente en su sistema.
2. Aspectos técnicos que se den tener presente para afrontar la presencia en el ciberespacio.
- Mantener una configuración apropiada del Firewall para asegurar integridad y privacidad de las comunicaciones entre su organización y otras a lo largo de las redes no-seguras como la Internet.
- Colocar estratégicamente software de detección de intrusos para complementar la configuración del Firewall.
- Jugar un papel activo en el manejo del sitio Web, desarrollando normas eficaces para controlar cambios que involucren a los accesos de la red y proporcionar apoyo en la etapa de desarrollo de las aplicaciones para la Web.
- Una adecuada política de recursos humanos, que logre retener a las personas con las habilidades técnicas necesarias para los aspectos de la seguridad del ambiente Web.
- Monitorear continuamente la evolución de la tecnología de seguridad de información, los productos y servicios que se ofrecen y su potencial para satisfacer sus necesidades comerciales y ver cómo encajan en su infraestructura técnica.
- Evaluar la posibilidad de utilizar una tercera parte calificada para analizar la seguridad del ambiente Web, incluso haciendo una prueba de penetración de la red.
- Evaluar los mecanismos de acceso, de autenticación y de encripción que se utilizan o que se podrían utilizar.
Mucho tiempo, esfuerzo y especialización son necesarios para manejar la seguridad del ambiente Web con éxito. Lo anterior se hace aún más evidente cuando hay que enfrentar redes corporativas literalmente abiertas al mundo, con un número no imaginado de usuarios potenciales que se conectan a una red , con formas más fáciles de acceder a los datos que se deben proteger, con más oportunidades para el error y más amenazas de exposición. La conclusión inevitable es que la protección de información debe entenderse como una preocupación de primaria importancia en la organización. Es tanto un riesgo de negocio, como una preocupación crítica de la infraestructura tecnológica.
A continuación se detallan cada uno de estos aspectos:
EL FIREWALL
Es considerado el guardián de seguridad de Internet en la puerta de la empresa. Sin una apropiada configuración y sin una ubicación estratégica, resulta imposible proteger la red corporativa adecuadamente.
El papel que juegan los Firewalls depende de factores tales como la naturaleza y tamaño del negocio, la agresividad con la que se utiliza el e-Business y el grado de riesgo que se desea afrontar para proteger los recursos de información. Cada empresa debe determinar su propia definición de lo que es un Firewall apropiadamente configurado. Cualquiera que sea la definición, la configuración del Firewall sigue siendo la parte más vital para la defensa del perímetro contra los accesos no autorizados. Sin embargo, la implementación adecuada de un Firewall, no es la única respuesta a la seguridad en el ambiente Web.
Un Firewall es un dispositivo o conjunto de dispositivos que restringen el acceso y controlan el tráfico entre la red externa y la red interna; también se entiende como cualquier esquema de seguridad entre dos o más redes.
Algunos términos relacionados con los Firewalls son los siguientes:
- Screening router:Puede ser un encaminador (router) comercial o un nodo con capacidad de enrutamiento que posee capacidades de filtrado de paquetes, teniendo la funcionalidad de bloquear o permitir el tráfico entre redes o nodos basados en direcciones, puertos, protocolos, interfases, etc.
- Bastion host:Es un sistema identificado por el administrador del Firewall como el punto más crítico en la seguridad de la red.
- Dual homed gateway: Muchos Firewalls se implementan sin enrutadores de filtrado, simplemente se coloca un sistema con conexiones a ambas redes, de tal forma que las dos redes no se puedan comunicar directamente, actuando como un Bastion Host.
- Screening host gateway:Es una combinación de un enrutador de filtrado y un Bastion Host, usualmente instalado en la red interna y se configura el enrutador de filtrado para que este Bastion Host sea el único sistema alcanzable desde la Internet.
- Aplication level gateway:Son intermediarios entre dos entidades que se desean comunicar; también se les conoce como Proxy Gateway.
Básicamente existen tres tipos de Firewalls, a saber: compuertas del filtrado de paquetes, compuertas de nivel de aplicación tipo Proxy y Gateways a nivel del circuito.
DETECCIÓN DE INTRUSOS
El software de detección de intrusos (IDS - Intrusion Detection Software) es otro ingrediente esencial en el ambiente de seguridad de la Web. Mientras el Firewall actúa como un cerco protector alrededor de la red corporativa, el IDS actúa como un sistema de monitoreo por video y alarma contra ladrones. Aunque se puede considerar un sistema relativamente porque su tecnología y diseño aún continúa madurando, un servidor con un IDS estratégicamente colocado, se transforma en un factor crítico que proporciona protección adecuada para el ambiente Web.
Los sistemas IDS se diseñan para complementar las capacidades del Firewall. Extienden sus capacidades al manejo del monitoreo de la actividad, examinando los paquetes de mensajes para los casos de actividad anormal, identificando patrones de ataques conocidos y su mal uso. Asimismo, proporciona mecanismos de alerta para atraer la atención de manera oportuna. De la misma forma que el Firewall, los sistemas IDS deben colocarse en forma estratégica en la red para aumentar al máximo su efectividad.
Una intrusión es la violación de la política de seguridad del sistema. Los intrusos pueden utilizar fallos en la arquitectura de los sistemas y el conocimiento interno del sistema operativo para superar el proceso normal de autentificación. Existen diferentes tipos de intrusiones que pueden afectar a un determinado sistema:
- Intentos de entrada:Una persona ajena a nuestro sistema intenta acceder de forma no autorizada al mismo. Se detectan normalmente por modelos de comportamiento atípicos, o violaciones de las restricciones dadas por la política de seguridad.
- Ataque enmascarado:A partir de un usuario del sistema se intenta un ataque al mismo. Éste es detectado a partir de modelos de comportamiento atípico o violaciones de inconvenientes de seguridad.
- Penetraciones en el sistema de control:Que son normalmente detectadas a partir de la observación de modelos especiales de actividad.
- Fuga:Cuando se utilizan de manera excesiva los recursos de un sistema. Se detectan normalmente por usos anormales de los recursos de E/S.
- Rechazo de servicio:Detectados por uso atípico de los recursos del sistema.
- Uso malicioso: Detectado normalmente por modelos de comportamiento atípico, violaciones de las restricciones de seguridad, o uso de privilegios especiales.
Esta clasificación se basa en el efecto de las intrusiones y la forma de llevarlas a cabo. Se detectan a partir de la caracterización anómala del comportamiento y del uso que hacen de los recursos del sistema. Este tipo de detección pretende cuantificar el comportamiento normal de un usuario. Para una correcta distinción hay que tener en cuenta las tres distintas posibilidades que existen en un ataque atendiendo a quién es el que lo lleva a cabo:
- Penetración externa:Que se define como la intrusión que se lleva a cabo a partir de un usuario o un sistema de computadores no autorizado.
- Penetraciones internas:Son aquellas que se llevan a cabo por usuarios autorizados de sistemas que no están autorizados al acceso a los datos que están siendo comprometidos.
- Abuso de recursos:Se define como el abuso que un usuario lleva a cabo sobre unos datos o recursos de un sistema al que está autorizado su acceso.
La idea central de este tipo de detección es el hecho de que la actividad intrusiva es un subconjunto de las actividades anómalas. Esto puede parecer razonable por el hecho de que si alguien consigue entrar de forma ilegal en nuestro sistema, seguramente el comportamiento se alejará del de un usuario normal. Sin embargo en la mayoría de las ocasiones una actividad intrusiva resulta del agregado de otras actividades individuales que por sí solas no constituyen un comportamiento intrusivo de ningún tipo. Idealmente el conjunto de actividades anómalas es el mismo del conjunto de actividades intrusivas, aunque esto, no siempre es así:
- Intrusivas pero no anómalas: Se les denomina falsos negativos o errores de tipo I. En este caso la actividad es intrusiva pero como no es anómala no conseguimos detectarla. Se denominan falsos negativos porque el sistema erróneamente indica ausencia de intrusión.
- No intrusivas pero anómalas: Se denominan falsos positivos o errores de tipo II. En este caso la actividad es no intrusiva, pero como es anómala el sistema decide que es intrusiva. Se denominan falsos positivos, porque el sistema erróneamente indica la existencia de intrusión.
- Ni intrusiva ni anómala: Son negativos verdaderos, la actividad es no intrusiva y se indica como tal.
- Intrusiva y anómala:Se denominan positivos verdaderos, la actividad es intrusiva y es detectada.
Los primeros no son deseables, porque dan una falsa sensación de seguridad del sistema; el intruso en este caso puede operar libremente en el sistema. Los falsos positivos se deben minimizar, en caso contrario lo que puede pasar es que se ignoren los avisos del sistema de seguridad, incluso cuando sean acertados. Los detectores de intrusiones anómalas requieren mucho gasto computacional, porque se siguen normalmente varias métricas para determinar cuánto se aleja el usuario de lo que se considera comportamiento normal.
NORMAS DE SEGURIDAD
La introducción de normas de seguridad es otro factor crítico para lograr un adecuado ambiente de protección de la Web.
Es esencial establecer prácticas estándar de cómo dirigir las revisiones de los códigos de las aplicaciones de la Web, el uso de software para la búsqueda (scanneo) de vulnerabilidades en los servidores y requerir razones justificadas y validadas antes de adecuar y permitir el acceso de otras organizaciones por medio del Firewall.
A menos que no existan normas claras, razonables y que puedan ser seguidas por los diseñadores de la Web, se corre el riesgo de que se generen nuevas vulnerabilidades que pueden causar exposiciones serias a la seguridad de información sensible. Estas normas no necesitan ser rigurosamente restrictivas, pero deben ser eficaces y capaces de minimizar los riesgos.
Valoración de la seguridad de la Web
Asegurar el ambiente de la Web también involucra mirar al futuro. Esto significa que continuamente deben estarse analizando las nuevas técnicas y productos que proporcionarán una fuerte autenticación de usuarios, necesarios para afianzar el desenvolvimiento del e-Business.
Parte de esta tarea puede ser llevada a cabo por una comprensión del concepto de la "Infraestructura de Clave Pública" (PKI) y el uso de "Certificados digitales", como un método para proporcionar identificación positiva del usuario y privacidad a través de encriptación de los datos.
PKI puede definirse como un conjunto de políticas, normas, tecnologías y procedimientos que proporcionarán la confianza necesaria, tanto al comercio como al consumidor, para dirigir transacciones en línea seguras. Puesto que los certificados digitales parecen ser un factor importante en el éxito del e-Business, es esencial entender sus fortalezas y debilidades, y comprender los productos y servicios que se ofrecen para administrarlos.
Respuesta de incidentes
Otro factor importante a considerar, es la creación de un "Equipo de la Respuesta a Incidente" para lograr proporcionar una reacción rápida y firme a una intrusión seria en la red, como un ataque de un Hacker o un virus no fácilmente manejable. Un equipo de esta naturaleza apropiadamente organizado involucrará la representación de las áreas técnicas y del negocio.
Un área, normalmente de seguridad de información, administrará el equipo, en el cual se debería incluir a representantes de auditoría interna, legales y relaciones externas, para tratar con el problema y preservar la evidencia. A veces puede ser deseable establecer un acuerdo contractual con una tercera parte calificada para el apoyo inmediato en una base 24x7 (las 24 horas del día, los 7 días de la semana).
POLÍTICA
Una fuerte política corporativa con respecto al uso de Internet por parte de los empleados, merece consideración como otro factor importante para el mantenimiento seguro del ambiente de la Web. Empleados, contratistas y otros que pueden ser autorizados para acceder a la red necesitan entender y seguir las reglas establecidas por la organización para comunicarse vía Internet o cualquier otra red externa. La comunicación clara y el buen entendimiento de las políticas son esenciales para proteger los recursos de información. Un buen método para esto es desarrollar y mantener un programa de entrenamiento sobre el uso de las nuevas tecnologías y enfatizar sobre las responsabilidades en el acceso a la red.
Cuestiones de Privacidad
El uso de Internet para colectar, almacenar y compartir la información personal recibida por un sitio de la Web está generando la preocupación del público mundial. Están promulgándose leyes que regulan el apropiado uso de la información transmitida electrónicamente en los Estados Unidos y en muchos otros países. Independiente de cual fuera la situación, deberían tener una política declarada sobre qué es lo que hacen en su sitio de la Web para proteger el retiro de información personal que se les ha confiado. Éste será claramente otro factor importante en la proporción de aceptación del consumidor del e-Business, lo cual refuerza la necesidad de llevar hacia adelante los pasos necesarios para asegurar su red interna, externa y el ambiente de la Web.
3. Los servicios de seguridad para proteger las comunicaciones de los usuarios en las redes.
El documento de ISO que describe el Modelo de Referencia OSI, presenta en su Parte 2 una Arquitectura de Seguridad. Según esta arquitectura, para proteger las comunicaciones de los usuarios en las redes, es necesario dotar a las mismas de los siguientes servicios de seguridad:
- Autenticación de entidad par. Este servicio corrobora la fuente de una unidad de datos. La autenticación puede ser sólo de la entidad origen o de la entidad destino, o ambas entidades se pueden autenticar la una o la otra.
- Control de acceso. Este servicio se utiliza para evitar el uso no autorizado de recursos.
- Confidencialidad de datos. Este servicio proporciona protección contra la revelación deliberada o accidental de los datos en una comunicación.
- Integridad de datos. Este servicio garantiza que los datos recibidos por el receptor de una comunicación coinciden con los enviados por el emisor.
- No repudio. Este servicio proporciona la prueba ante una tercera parte de que cada una de las entidades comunicantes han participado en una comunicación. Puede ser de dos tipos:
- Con prueba de origen. Cuando el destinatario tiene prueba del origen de los datos.
- Con prueba de entrega. Cuando el origen tiene prueba de la entrega íntegra de los datos al destinatario deseado.
Para proporcionar estos servicios de seguridad es necesario incorporar en los niveles apropiados del Modelo de Referencia OSI los siguientes mecanismos de seguridad:
CIFRADO
El cifrado puede hacerse utilizando sistemas criptográficos simétricos o asimétricos y se puede aplicar extremo a extremo o individualmente a cada enlace del sistema de comunicaciones.
El mecanismo de cifrado soporta el servicio de confidencialidad de datos al tiempo que actúa como complemento de otros mecanismos de seguridad.
FIRMA DIGITAL.
Se puede definir la firma digital como el conjunto de datos que se añaden a una unidad de datos para protegerlos contra la falsificación, permitiendo al receptor probar la fuente y la integridad de los mismos. La firma digital supone el cifrado, con una componente secreta del firmante, de la unidad de datos y la elaboración de un valor de control criptográfico.
La firma digital descrita por ITU y OSI en el Entorno de Autenticación del Directorio utiliza un esquema criptográfico asimétrico. La firma consiste en una cadena que contiene el resultado de cifrar con RSA aplicando la clave privada del firmante, una versión comprimida, mediante una función hash unidireccional y libre de colisiones, del texto a firmar.
Para verificar la firma, el receptor descifra la firma con la clave pública del emisor, comprime con la función hash al texto original recibido y compara el resultado de la parte descifrada con la parte comprimida, si ambas coinciden el emisor tiene garantía de que el texto no ha sido modificado. Como el emisor utiliza su clave secreta para cifrar la parte comprimida del mensaje, puede probarse ante una tercera parte, que la firma sólo ha podido ser generada por el usuario que guarda la componente secreta.
El mecanismo de firma digital soporta los servicios de integridad de datos, autenticación de origen y no repudio con prueba de origen. Para proporcionar el servicio de no repudio con prueba de entrega es necesario forzar al receptor a enviar al emisor un recibo firmado digitalmente.
Las funciones principales de las firmas digitales son:
- Garantizar que el mensaje no ha sido alterado durante su transmisión asegurando así su integridad.
- Acreditar que el emisor es quien dice ser garantizando la autenticación.
- Garantizar que el mensaje ha sido enviado por el emisor y no por otro.
CONTROL DE ACCESO.
Este mecanismo se utiliza para autenticar las capacidades de una entidad, con el fin de asegurar los derechos de acceso a recursos que posee. El control de acceso se puede realizar en el origen o en un punto intermedio, y se encarga de asegurar si el enviante está autorizado a comunicar con el receptor y/o a usar los recursos de comunicación requeridos. Si una entidad intenta acceder a un recurso no autorizado, o intenta el acceso de forma impropia a un recurso autorizado, entonces la función de control de acceso rechazará el intento, al tiempo que puede informar del incidente, con el propósito de generar una alarma y/o registrarlo.
El mecanismo de control de acceso soporta el servicio de control de acceso.
INTEGRIDAD DE DATOS.
Es necesario diferenciar entre la integridad de una unidad de datos y la integridad de una secuencia de unidades de datos ya que se utilizan distintos modelos de mecanismos de seguridad para proporcionar ambos servicios de integridad.
Para proporcionar la integridad de una unidad de datos la entidad emisora añade a la unidad de datos una cantidad que se calcula en función de los datos. Esta cantidad, probablemente encriptada con técnicas simétricas o asimétricas, puede ser una información suplementaria compuesta por un código de control de bloque, o un valor de control criptográfico. La entidad receptora genera la misma cantidad a partir del texto original y la compara con la recibida para determinar si los datos no se han modificado durante la transmisión.
Para proporcionar integridad a una secuencia de unidades de datos se requiere, adicionalmente, alguna forma de ordenación explícita, tal como la numeración de secuencia, un sello de tiempo o un encadenamiento criptográfico.
El mecanismo de integridad de datos soporta el servicio de integridad de datos.
INTERCAMBIO DE AUTENTICACIÓN.
Existen dos grados en el mecanismo de autenticación:
- Autenticación simple. El emisor envía su nombre distintivo y una contraseña al receptor, el cual los comprueba.
- Autenticación fuerte. Utiliza las propiedades de los criptosistemas de clave pública. Cada usuario se identifica por un nombre distintivo y por su clave secreta. Cuando un segundo usuario desea comprobar la autenticidad de su interlocutor deberá comprobar que éste está en posesión de su clave secreta, para lo cual deberá obtener su clave pública.
Para que un usuario confíe en el procedimiento de autenticación, la clave pública de su interlocutor se tiene que obtener de una fuente de confianza, a la que se denomina Autoridad de Certificación. La Autoridad de Certificación utiliza un algoritmo de clave pública para certificar la clave pública de un usuario produciendo así un certificado.
Un certificado es un documento firmado por una Autoridad de Certificación, válido durante el período de tiempo indicado, que asocia una clave pública a un usuario.
El mecanismo de intercambio de autenticación se utiliza para soportar el servicio de autenticación de entidad par.
4. La Criptografía
La criptografía es una ciencia que se basa en el cifrado de mensajes utilizando técnicas matemáticas con la finalidad de proteger una información.
La criptografía que actualmente se conoce y se utiliza, data de los años 70 aunque ya se utilizaban técnicas criptográficas en la segunda guerra mundial e incluso pueblos de la antigüedad como los Griegos y Romanos utilizaban mecanismos para enviar mensajes “cifrados” en sus campañas militares.
El objetivo principal es garantizar la privacidad de un mensaje emitido de una entidad a otra utilizando canales no seguros.
Otro de los objetivos de la criptografía es garantizar que la entidad que recibe el mensaje es “quien dice ser”.
Por ultimo su utilidad para conservar los mensajes intactos, protegiéndoles de modificaciones de contenido no deseadas.
Una figura importante en el mundo de la criptografía es el holandés Kerckhoff su estudio de los sistemas criptográficos le llevo a afirmar que:
- Los mensajes no deben poder ser descifrados ni las claves averiguadas.
- Que los sistemas asimétricos son mas recomendables (Clave publica y privada).
- A la hora de escoger una clave esta debe ser sencilla fácil de recordar.
- La comunicaron del criptograma por los medios actuales debe ser factible.
- El beneficio producido por la recuperación de un texto encriptado debe ser acorde al nivel de complejidad.
TIPOS DE CRIPTOGRAFÍA
Criptografía simétrica: Este tipo de cifrado emplea una clave única para cifrar y descifrar el mensaje. El emisor cifra el mensaje con la clave y el receptor descifra el mensaje usando la misma clave. El único requisito previo es que ambas partes deben conocer dicha clave.
Es un algoritmo de cifrado muy rápido, pero plantea dos inconvenientes, el primero es que la clave común debe ser enviada por un canal seguro y el segundo inconveniente es que debe ser mayor de 40 bits para que sea robusto.
Criptografía asimétrica o de clave pública: Este tipo utiliza un par de claves para el envío de mensajes cifrados. Existe una clave pública y una clave privada. La clave pública es conocida por todos y la clave privada solo por el propietario, y permanece siempre en secreto. El emisor solicita la clave pública al receptor y cifra el mensaje con esa clave publica, el receptor descifra el mensaje con su clave privada.
Uno de los problemas relacionado con este tipo de cifrado es la acreditación de la clave pública.
Es más lento en proceso que las claves simétricas y los mensajes resultantes son de mayor tamaño.
Es a través de una Autoridad de Certificación o CA, una tercera parte de confianza como se acredita que ambas partes son quien dicen ser.
La entidad certificadora se encarga de firmar digitalmente la identidad de los participantes.
Criptografía de curva elíptica CCE:Este tipo es una variante de la asimétrica y en lugar de usar la matemática de los números primos para generar las claves de cifrado, utiliza curvas elípticas.
Criptografía hibrida: Es una combinación de cifrado simétrico y asimétrico. Utiliza una clave pública para cifrar el mensaje en el que envía una clave para el cifrado simétrico.
Para darle mayor seguridad la clave simétrica, es diferente para cada sesión.
¿Hasta que punto es efectivo?
El criptoanálisis consiste en descifrar mensajes cifrados de los que se desconoce el algoritmo aplicado en el cifrado.
Estos ataques tienen como finalidad comprobar el sistema de cifrado y sus vulnerabilidades.
Los elementos que intervienen son un texto plano es decir sin cifrar un algoritmo de cifrado una clave y un texto cifrado.
Hay distintos tipos de ataques al criptograma dependiendo de la información que el cripto-analista posea para ejecutar el ataque, entre los más conocidos:
Ataque de Fuerza bruta o exhaustivo: Consiste en probar todas las posibles claves de cifrado del mensaje hasta dar con la correcta. Este sistema solo es efectivo cuando el cifrado no es robusto.
Ataque con sólo texto cifrado: En este tipo de ataque el cripto-analista solo conoce el texto cifrado, la información que se puede extraer es escasa apenas alguna palabra o bloque de palabras de carácter fijo en todos los mensajes cifrados o palabras predecibles de uso en la mayoría de los mensajes.
Ataque solo con texto original conocido: El cripto-analista en este caso posee textos sin cifrar y sus equivalentes cifrados. Se pueden averiguar las claves usadas o el algoritmo que encriptación usado en el mensaje.
Ataque a texto original elegido: En este caso tenemos fragmentos cifrados de cualquier texto con la misma clave que el mensaje que queremos descifrar.
La finalidad es aplicar diferentes patrones que se producen tras el cifrado, y esta información se emplea para elegir o descartar una posible clave.
Ataque con texto cifrado elegido: En este caso el atacante obtiene los textos originales correspondientes a textos cifrados elegidos previamente.
Ataque por intromisión o “man-in-the-middle”: En este ataque el cripto-analista se coloca en el medio de un proceso de transmisión de intercambio de claves.
Cuando se inicia el intercambio de claves, el atacante realiza un intercambio de claves con cada parte “suplantando” al emisor y al receptor de la transmisión, esto produce que tanto emisor como receptor utilicen claves diferentes conocidas por el atacante, que podrá descifrar perfectamente las comunicaciones.
Recibe el mensaje que descifra con la clave que posee y vuelve a cifrarlo para enviárselo al receptor sin levantar sospechas.
Para evitar este tipo de escuchas se utilizan las firmas digitales.
Ataques de diccionario: Son ataques usados en sistemas para averiguar las claves de acceso. Este ataque es para obtener el texto en original directamente, no se preocupa por averiguar la clave que lo ha cifrado.
Se basa en “diccionarios de claves” que usa para comparar el texto cifrado con loe existe en el diccionario.
5. Algoritmos de cifrado tipos
DES y 3DES: Es uno de los primeros métodos de cifrado simétrico que se emplearon en criptografía. Se considera un algoritmo estándar. Aunque este algoritmo por sus características es vulnerable a ataques por fuerza bruta (probar todas las claves posibles) se usa mucho en la actualidad.
DES actúa cifrando en bloques.
¿Como funciona?
El algoritmo utiliza un texto claro con tamaño fijo de bloque de 64 bits, es decir coge bloques de 64 bits para cifrar. Aplicando procesos matemáticos y una clave de cifrado conocida por ambas partes, el texto plano se transforma en texto cifrado de la misma longitud.
Los procesos son denominados rondas y realiza hasta 16. De los 64 bits del bloque se utilizan solo 56 ya que los ocho restantes se usan para el control de errores, estos son descartados al descifrarse el mensaje y es por este motivo que la clave de cifrado efectiva es de 56 bits 3DES es una variación de DES para hacer este mas robusto ante ataques de fuerza bruta ya que computacionalmente hablando esta claves es vulnerable. Este cifrado en lugar de usar una clave de 64 bits utiliza una de 128 bits. Y se aplica tres veces el proceso.
AES: Este algoritmo de cifrado simétrico se creo para sustituir a DES convirtiéndose en un nuevo estándar. De nuevo el cifrado esta basado en bloques, pero la particularidad de este es que soporta distintas longitudes de claves y es fácilmente implementable. El tamaño de las claves puede variar entre 128, 192 o 256 bits
RSA ALGORITMO DE RIVEST, SHAMIR Y ADELMAN: Este algoritmo es de cifrado asimétrico o de clave pública, El cifrado se basa en la función C=M^e (mod N) y para ello utiliza números de gran tamaño. Se emplean números primos y el algoritmo de Euclides. Su principal utilidad son las firmas digitales.
IDEA ALGORITMO INTERNACIONAL DE ENCRIPTAMIENTO DE DATOS:Este algoritmo es anterior DES. Utiliza bloques de 64 bits una clave de 128 bits para cifrar y se considera un algoritmo de cifrado simétrico. Este algoritmo es muy seguro ante ataques de fuerza bruta debido a la longitud de su clave.
DSA ALGORITMO DE FIRMA DIGITAL: Este algoritmo no se usa para cifrado de datos, se utiliza sólo para las firmas digitales. Este algoritmo es similar a RSA también se basa en números aleatorios para sus cálculos pero este tipo de algoritmo utiliza más variables que hacen que sea mas complejo que RSA.
ROT-13: Es uno de los algoritmos de cifrado más simples que existen por su funcionamiento y ofrece poca seguridad.
El cifrado se realiza intercambiando cada carácter del texto plano por el carácter correspondiente a 13 posiciones adelante del alfabeto, por ejemplo a la A le corresponde la N.
6. Protocolos de cifrado
El protocolo de cifrado son todas las reglas que se establecen a la hora de comunicarse dos entidades en una red usando conexiones seguras para el intercambio de información.
SSH (Secure SHell)
Se emplea para establecer conexiones seguras entre dos sistemas remotos. Existen dos versiones de SSH, SSH v1 y SSH v2, la diferencia radica en el algoritmo que utilizan para el cifrado de las conexiones.
SSH v1 usa RSA y SSH v2 utiliza RSA y DSA para el algoritmo de clave publica. Se emplea tanto para autentificar a los usuarios de un host mediante firma digital como para cifrar los datos relativos a la conexión una vez establecida esta. El cifrado empleado es fuerte, lo que hace que la conexión sea segura.
Permite a los usuarios registrarse en sistemas de host remotamente a través de la shell
Encripta la sesión de registro no permite que alguien pueda obtener contraseñas no encriptadas
Reemplaza a métodos menos seguros como telnet, rsh y rcp
El cliente puede verificar que se está conectando a un mismo servidor
Información de autenticación encriptada con 128 bits
Datos enviados y recibidos encriptados con 128 bits
Posibilidad de enviar aplicaciones lanzadas desde el
intérprete de comandos (reenvío por X11)
SSl (Secure Sockets Layer)
Este protocolo fue diseñado por Netscape Navigator Comunication Corpotaration en 1994, su primera version no sue tan efectiva en cuanto a seguridad, hasta que salio su tercera versión SSl v3.0. Este protocolo proporciona un cifrado de datos, autenticación de servidores, integridad de mensajes, autenticación de clientes para sus conexiones TCP/IP.
SSL viene soportado por Netscape Navigator v3.0 e Intenete Explorer v3.0 o superior.
Función
Para que SSI cumpla con su funcion basta con ejecutar el explorador Netscape, o Internet Explorer y abrir una pagina cuya direccion empiece por hhttps. Es necesario que el navegador tenga habilidado los protocolos SSL.
SSL esta ubicado en el odelo OSI en la capa de transporte y de aplicación, donde se encuentran los conocidos protocolos http para la Web, FTP para la transferencia de archivos, SMTP para e-mail, Telnet para las conexiones entre maquinas remotas.
Este protocolo cifra los datos intercambiados entre el servidor y el cliente con un algoritmo de cifrado simetrico, que puede elegir entre DES, Triple-DES, RC2, RC4 o IDEA, cifran la clave de sesion de los algoritmos anteriores mediante un algoritmo de cifrado de clave publica tipicamente RSA. La clave de sesion es la que se utiliza para cifrar los datos que vienen a el y van al servidor. Se generara una clave distinta por cada transacción, lo cual permite que aunque sea capturada por un atacante en en una transacción dada, no le sirva para descifrar futuras transacciones. MD5 o SHA .
Por la gama de algoritmo que emplea SSL lo dota de una gran flexibilidad criptografica.
Fases
- Fase HOLA, empleada para ponerse de acuerdo sobre el conjunto de algoritmos para mantener la intimidad y para la autenticación.
El navegador le informa al servidor de los algoritmos que posee disponibles, normalmente utilizan los mas fuertesque puedan acordar entre ambas partes.
- Fase de autenticación, el servidor envia al navegador su certificado x509v3 que contiene su clave publica y solicita a su vez a su cliente su certificado x509v3.
- Fase de creación de clave de sesion, el cliente envia al servidor una clave maestra a partir de la cual se genera a clave de sesión para cifrar los datos intercambiados posteriormente haciendo uso del algoritmo de cifrado simétrico acordado en la fase 1. El navegador envía cifrada esta clave maestra usando la clave pública del servidor que extrajo de su certificado en la fase 2. Posteriormente, ambos generarán idénticas claves de sesión a partir de la clave maestra generada por el navegador.
- La fase fin, verifica la autenticidad de las partes implicadas y que el canal seguro ha sido correctamente establecido, para que la sesion sea segura.
SET (Transacciones Electrónicas Seguras)
Es un protocolo estandarizado para asegurar las compras realizadas en Internet con tarjeta de credito, desarrollado por Visa y MasterCard en 1995, con la colaboración de empresas como Microsoft, IBM, Netscape, RSA, VeriSign, entre otras.
Servicios que ofrece
Autenticación: las partes implicadas pueden autenticarse con certificados digitales y asi, el comerciante puede asegurarse de la identidad del titular de la tarjeta y el cliente, de la identidad del comerciante. Se evitan así fraudes debidos a usos ilícitos de tarjetas y a falsificaciones de comercios en Internet imitando grandes web comerciales. Por su parte, los bancos pueden verificar así las identidades del titular y del comerciante.
Confidencialidad: la información de pago se cifra para que no pueda ser espiada. Es decir, solamente el número de tarjeta de crédito es cifrado por SET, de manera que ni siquiera el comerciante llegará a verlo, para prevenir fraudes. Si se quiere cifrar el resto de datos de la compra, como por ejemplo qué artículos se han comprado, debe recurrirse a un protocolo de nivel inferior como SSL.
Integridad: garantiza que la información intercambiada, como número de tarjeta, no podrá ser alterada de manera accidental o maliciosa mientras viaja a través de la red. Para lograrlo se utilizan algoritmos de firma digital.
Gestión del pago: SET gestiona tareas asociadas a la actividad comercial de gran importancia como registro del titular y del comerciante, autorizaciones y liquidaciones de pagos, anulaciones, etc
Entidades implicadas en el pagos con tarjeta de crédito
El pago mediante tarjeta es un proceso complejo en el cual se ven implicadas varias entidades:
- El banco emisor: emite la tarjeta del cliente, extiende su crédito y es responsable de la facturación, recolección y servicio al consumidor.
- El banco adquiriente: establece una relación con el comerciante, procesando las transacciones con tarjeta y las autorizaciones de pago.
- El titular de la tarjeta: posee la tarjeta emitida por el banco emisor y realiza y paga las compras.
- El comerciante: vende productos, servicios o información y acepta el pago electrónico, que es gestionado por su entidad financiera (adquiriente).
- La pasarela de pagos: mecanismo mediante el cual se procesan y autorizan las transacciones del comerciante. La pasarela puede pertenecer a una entidad financiera (adquiriente) o a un operador de medio de pago, el cual procesa todas las transacciones de un conjunto de entidades.
- El procesador (redes de medios de pago): proporciona servicios adicionales operando la infraestructura de telecomunicaciones sobre las que se realizan las transacciones.
- Autoridad de certificación: certifica las claves públicas del titular de la tarjeta, del comerciante y de los bancos (en España, ACE).
El funcionamiento de SET en 10 pasos
Una transacción SET típica funciona de forma muy parecida a una transacción convencional con tarjeta de crédito y consta de los siguientes pasos:
- Decisión de compra del cliente. El cliente está navegando por el sitio web del comerciante y decide comprar un artículo. Para ello rellenará algún formulario al efecto y posiblemente hará uso de alguna aplicación tipo carrito de la compra, para ir almacenando diversos artículos y pagarlos todos al final. El protocolo SET se inicia cuando el comprador pulsa el botón de Pagar.
- Arranque del monedero. El servidor del comerciante envía una descripción del pedido que despierta a la aplicación monedero del cliente.
- El cliente comprueba el pedido y transmite una orden de pago de vuelta al comerciante. La aplicación monedero crea dos mensajes que envía al comerciante. El primero, la información del pedido, contiene los datos del pedido, mientras que el segundo contiene las instrucciones de pago del cliente (número de tarjeta de crédito, banco emisor, etc.) para el banco adquiriente. En este momento, el software monedero del cliente genera un firma dual, que permite juntar en un solo mensaje la información del pedido y las instrucciones de pago, de manera que el comerciante puede acceder a la información del pedido, pero no a las instrucciones de pago, mientras que el banco puede acceder a las instrucciones de pago, pero no a la información del pedido. Este mecanismo reduce el riesgo de fraude y abuso, ya que ni el comerciante llega a conocer el número de tarjeta de crédito empleado por el comprador, ni el banco se entera de los hábitos de compra de su cliente.
- El comerciante envía la petición de pago a su banco. El software SET en el servidor del comerciante crea una petición de autorización que envía a la pasarela de pagos, incluyendo el importe a ser autorizado, el identificador de la transacción y otra información relevante acerca de la misma, todo ello convenientemente cifrado y firmado. Entonces se envían al banco adquiriente la petición de autorización junto con las instrucciones de pago (que el comerciante no puede examinar, ya que van cifradas con la clave pública del adquiriente).
- El banco adquiriente valida al cliente y al comerciante y obtiene una autorización del banco emisor del cliente. El banco del comerciante descifra y verifica la petición de autorización. Si el proceso tiene éxito, obtiene a continuación las instrucciones de pago del cliente, que verifica a su vez, para asegurarse de la identidad del titular de la tarjeta y de la integridad de los datos. Se comprueban los identificadores de la transacción en curso (el enviado por el comerciante y el codificado en las instrucciones de pago) y, si todo es correcto, se formatea y envía una petición de autorización al banco emisor del cliente a través de la red de medios de pago convencional.
- El emisor autoriza el pago. El banco emisor verifica todos los datos de la petición y si todo está en orden y el titular de la tarjeta posee crédito, autoriza la transacción.
- El adquiriente envía al comerciante un testigo de transferencia de fondos. En cuanto el banco del comerciante recibe una respuesta de autorización del banco emisor, genera y firma digitalmente un mensaje de respuesta de autorización que envía a la pasarela de pagos, convenientemente cifrada, la cual se la hace llegar al comerciante.
- El comerciante envía un recibo al monedero del cliente. Cuando el comerciante recibe la respuesta de autorización de su banco, verifica las firmas digitales y la información para asegurarse de que todo está en orden. El software del servidor almacena la autorización y el testigo de transferencia de fondos. A continuación completa el procesamiento del pedido del titular de la tarjeta, enviando la mercancía o suministrando los servicios pagados.
- Más adelante, el comerciante usa el testigo de transferencia de fondos para cobrar el importe de la transacción. Después de haber completado el procesamiento del pedido del titular de la tarjeta, el software del comerciante genera una petición de transferencia a su banco, confirmando la realización con éxito de la venta. Como consecuencia, se produce el abono en la cuenta del comerciante.
- A su debido tiempo, el dinero se descuenta de la cuenta del cliente (cargo).
CyberCash
Desarrollado en 1994 por CyberCash Corporation, constituye un mecanismo de pago muy similar a SET, que ofrece a los comerciantes una solución rápida y segura para procesar los pagos con tarjeta de crédito a través de Internet.
Cómo pagar con CyberCash en 6 pasos
El proceso de pago con CyberCash, que implica al consumidor, al comerciante, el banco emisor y el banco del comerciante, es como sigue:
- El usuario recorre la tienda virtual hasta que decide comprar un artículo. Entonces se le presenta una página detallando el precio de venta del artículo, gastos de envío y otras condiciones.
- El consumidor acepta las condiciones al pulsar el botón de pago con CyberCash. En este momento se lanza la aplicación de cartera, en la cual el usuario puede seleccionar la tarjeta con la que pagar. Toda la información del usuario se envía al servidor del comerciante cifrada y firmada, de manera que no resulte accesible ni manipulable por el comerciante.
- El comerciante se queda con los datos de envío y de los productos comprados, y envía firmada al servidor de CyberCash la información de pago del cliente, que al estar cifrada por la cartera no ha podido leer.
- El servidor de CyberCash recibe la petición de transacción y, detrás de su cortafuegos y desconectado de Internet, obtiene del paquete de datos la información de pago del consumidor. Verifica la integridad del pedido recibido del comerciante, verifica la identidad del consumidor y del comerciante, extrae el número de tarjeta del cliente y si todo está en orden, reexpide la transacción al banco del comerciante a través de líneas dedicadas.
- El banco del comerciante envía una petición de autorización al banco emisor a través de los canales de comunicación tradicionales de las redes de medios de pago, y retransmite a CyberCash la respuesta, afirmativa o negativa del banco del cliente, que autoriza o no el cargo en función del monto de la compra, el crédito disponible y dispuesto, y alguna otra información, como por ejemplo si existen informes de que la tarjeta haya sido robada.
- CyberCash pasa al comerciante la respuesta del banco, de manera que si es afirmativa, el banco del comerciante recibe el pago del emisor, mientras que si es negativa, se anula la compra, sin riesgo para el comerciante
TLS (Internet Engineering Task Force)
Es un protocolo creado por el IETF basado en SSL y otros protocolos. Este protocolo en muchos círculos es considerado un estandart para transacciones electrónicas seguras.
El uso del protocolo Seguridad de la capa de transporte (TLS, Transport Layer Security) sobre el Protocolo simple de transferencia de correo (SMTP, Simple Mail Transfer Protocol) permite la autenticación basada en certificados y contribuye a mejorar la seguridad de la transferencia de datos mediante claves de cifrado simétricas. En el cifrado de clave simétrica (también conocido como secreto compartido), se utiliza la misma clave para cifrar y para descifrar el mensaje. TLS aplica un código de autentificación de mensajes basado en hash (HMAC, Hash-based Message Authentication Code). HMAC utiliza un algoritmo hash en combinación con una clave secreta compartida para ayudar a asegurarse de que los datos no se han modificado durante la transmisión. La clave secreta compartida se anexa a los datos a los que se va a aplicar el algoritmo hash. Esto ayuda a mejorar la seguridad del hash porque ambas partes deben tener la misma clave secreta compartida para verificar que los datos son auténticos.
Un certificado de servidor X.509 es un formulario digital de identificación que suele emitir una entidad de certificación (CA) y que contiene información de identificación, un período de validez, una clave pública, un número de serie y la firma digital del emisor. Puede ayudar a proteger la comunicación aumentando el nivel de cifrado del par de claves de 40 bits (el valor predeterminado) a 128 bits. Cuanto mayor sea el número de bits, mayor será la dificultad para descifrar el elemento. Debido a restricciones de la exportación, la característica de cifrado con una seguridad de 128 bits está disponible únicamente en Estados Unidos y Canadá.
IPSEC (Internet Protocol Security)
Es un conjunto de servicios de protección y protocolos de seguridad basados en criptografía. Como no requiere cambios en las aplicaciones o en los protocolos, IPSec se puede instalar fácilmente en las redes existentes.
Proporciona autenticación en el nivel de equipo y cifrado de datos para conexiones VPN que utilicen el protocolo L2TP. La negociación de IPSec se realiza entre el equipo y un servidor VPN basado en L2TP antes de establecerse una conexión L2TP. Esta negociación protege las contraseñas y los datos.
L2TP utiliza protocolos de autenticación estándar basados en PPP, como EAP, MS-CHAP, MS-CHAP v2, CHAP, SPAP y PAP con IPSec.
El cifrado viene determinado por la asociación de seguridad IPSec o IPSec SA. Una asociación de seguridad es una combinación de una dirección de destino, un protocolo de seguridad y un valor de identificación único, denominado Índice de parámetros de seguridad (SPI).
El protocolo también proporciona las ventajas siguientes:
- Compatibilidad con la infraestructura de claves públicas. También acepta el uso de certificados de claves públicas para la autenticación, con el fin de permitir relaciones de confianza y proteger la comunicación con hosts que no pertenezcan a un dominio Windows 2000 en el que se confía.
- Compatibilidad con claves compartidas. Si la autenticación mediante Kerberos V5 o certificados de claves públicas no es posible, se puede configurar una clave compartida (una contraseña secreta compartida) para proporcionar autenticación y confianza entre equipos.
- Transparencia de IPSec para los usuarios y las aplicaciones. Como IPSec opera al nivel de red, los usuarios y las aplicaciones no interactúan con IPSec.
- Administración centralizada y flexible de directivas mediante Directiva de grupo. Cuando cada equipo inicia una sesión en el dominio, el equipo recibe automáticamente su directiva de seguridad, lo que evita tener que configurar cada equipo individualmente. Sin embargo, si un equipo tiene requisitos exclusivos o es independiente, se puede asignar una directiva de forma local.
- Estándar abierto del sector. IPSec proporciona una alternativa de estándar industrial abierto ante las tecnologías de cifrado IP patentadas. Los administradores de la red aprovechan la interoperabilidad resultante.
A continuación se presenta una lista parcial de los ataques a las redes más comunes:
- Rastreo. Un rastreador de red es una aplicación o un dispositivo que puede supervisar y leer los paquetes de la red. Si los paquetes no están cifrados, un rastreador de red obtiene una vista completa de los datos del paquete. El Monitor de red de Microsoft es un ejemplo de rastreador de red.
- Modificación de datos. Un atacante podría modificar un mensaje en tránsito y enviar datos falsos, que podrían impedir al destinatario recibir la información correcta o permitir al atacante conseguir la información protegida.
- Contraseñas. El atacante podría usar una contraseña o clave robadas, o intentar averiguar la contraseña si es fácil.
- Suplantación de direcciones. El atacante usa programas especiales para construir paquetes IP que parecen provenir de direcciones válidas de la red de confianza.
- Nivel de aplicación. Este ataque va dirigido a servidores de aplicaciones al explotar las debilidades del sistema operativo y de las aplicaciones del servidor.
- Intermediario. En este tipo de ataque, alguien entre los dos equipos comunicantes está supervisando activamente, capturando y controlando los datos de forma desapercibida (por ejemplo, el atacante puede estar cambiando el encaminamiento de un intercambio de datos).
- Denegación de servicio. El objetivo de este ataque es impedir el uso normal de equipos o recursos de la red. Por ejemplo, cuando las cuentas de correo electrónico se ven desbordadas con mensajes no solicitados
7. Infraestructura de clave publica PKI (Public Key Infrastructure)
El concepto de PKI se refiere a un conjunto de elementos Hardware y software que operan con la finalidad de establecer una comunicación segura basada en claves publicas.
Los elementos que pueden participar son:
- Autoridad certificadora (CA): Emite y revoca certificados. Estos certificados aseguran que la clave pública de una entidad pertenece a esta y no a un posible atacante.
- Autoridad de registro: (RA): Establece el enlace Clave publica y propietario.
- Repositorios: Almacena la información relativa a la PKI (clave publica).
- Autoridad de validación (VA): Se encarga de comprobar la validez de los certificados.
- Autoridad de sellado de tiempo (TSA): Confirman que un documento existía antes de un determinado momento en el tiempo.
- Los usuarios: Poseen las claves publica y privada y un certificado asociado a su clave pública que le autentifica.
8. Vulnerabilidades principales en aplicaciones Web
Entrada no validada: La información de llamadas Web no es validada antes de ser usadas por la aplicación Web. Los agresores pueden usar estas fallas para atacar los componentes internos a través de la aplicación Web.
Control de Acceso Interrumpido: Las restricciones de aquello que tienen permitido hacer los usuarios autentificados no se cumplen correctamente. Los agresores pueden explotar estas fallas para acceder a otras cuentas de usuarios, ver archivos sensitivos o usar funciones no autorizadas.
Administración de Autenticación y Sesión Interrumpida: Las credenciales de la cuenta y los tokens de sesiones no están propiamente protegidos. Los agresores que pueden comprometer las contraseñas, claves, cookies de sesiones u otro token, pueden vencer las restricciones de autenticación y asumir la identidad de otros usuarios.
Fallas de Cross Site Scripting (XSS): La aplicación Web puede ser usada como un mecanismo para transportar un ataque al navegador del usuario final. Un ataque exitoso puede comprometer el token de sesión del usuario final, atacar la maquina local o enmascarar contenido para engañar al usuario.
Desbordamiento del Búfer Los componentes de aplicaciones Web en ciertos lenguajes que no validan adecuadamente las entradas de datos pueden ser derribados y, en algunos casos, usados para tomar control de un proceso. Estos componentes pueden incluir CGI, bibliotecas, rutinas y componentes del servidor de aplicación Web.
Fallas de Inyección: La aplicación Web puede pasar parámetros cuando accede a sistemas externos o al sistema operativo local. Si un agresor puede incrustar comandos maliciosos en estos parámetros, el sistema externo puede ejecutar estos comandos por parte de la aplicación Web.
Manejo Inadecuado de Errores: Condiciones de error que ocurren durante la operación normal que no son manejadas adecuadamente. Si un agresor puede causar que ocurran errores que la aplicación Web no maneja, éste puede obtener información detallada del sistema, denegar servicios, causar que mecanismos de seguridad fallen o tumbar el servidor.
Almacenamiento Inseguro: Las aplicaciones Web frecuentemente utilizan funciones de criptografía para proteger información y credenciales. Estas funciones y el código que integran a ellas han sido difíciles de codificar adecuadamente, lo cual frecuentemente redunda en una protección débil.
Negación de Servicio: Los agresores pueden consumir los recursos de la aplicación Web al punto de que otros usuarios legítimos no puedan ya acceder o usar la aplicación. Los agresores también pueden dejar a los usuarios fuera de sus cuentas y hasta causar que falle una aplicación entera.
Administración de Configuración Insegura
Tener una configuración de servidor estándar es crítico para asegurar una aplicación Web. Estos servidores tienen muchas opciones de configuración que afectan la seguridad y no son seguro desde la instalación original del software.
Algunos programas para encriptar datos
CryptoForge
Software que garantiza la seguridad, privacidad de los archivos, directorios, o mensajes, empleado algoritmos de encriptación de encriptación, para luego transmitir ese archivo, mensaje a través de la red abierta que es el Internet, luego puede ser desencriptada
CryptoForge soporta tamaños de archivo de 64 bits, por lo que puede encriptar archivos de hasta 8.589.934.591 GB. Otras características únicas incluyen la encriptación múltiple, encriptación de nombre de archivo, medidor de velocidad de los cifradores, y caché de contraseña. La instalación estándar incluye los idiomas español e inglés, tanto en la interfaz de las aplicaciones como en la ayuda.
CryptoForge provee cuatro robustos algoritmos criptográficos: Blowfish de 448 bits, Rijndael (AES) de 256 bits, Triple DES de 168 bits, y Gost de 256 bits. También incluye potente compresión para reforzar aún más la seguridad criptográfica.
File Waster
Sólo apto para ficheros de pequeño y mediano tamaño. Nos encontramos ante una de las herramientas que han pasado con peor nota las pruebas a las que hemos sometido a cada una de las aplicaciones en el Laboratorio de PC Actual, por lo que únicamente es recomendable en caso de que la información que queramos salvaguardar no sea excesivamente grande. Al igual que otras soluciones de este tipo, File Waster 5.2 permite encriptar y descifrar archivos sencillos o carpetas completas, codificando todos los ficheros contenidos en la misma y las subcarpetas definidas dentro de ella.
Contempla una serie de herramientas muy útiles, como la eliminación segura de información y la posibilidad de crear lotes de archivos y carpetas denominados cabinets, que permiten simplificar el tratamiento de la seguridad cuando se trata de un conjunto de información que manejamos habitualmente. Nos encontramos ante una solución que únicamente permite la protección utilizando AES 128 bits y que, además, posee una interfaz no demasiado agradable, visualmente hablando, a la par que poco intuitiva. Uno de los elementos que más se echa en falta es una barra de progreso que permita monitorizar el proceso de cifrado y estimar en todo momento el tiempo que queda para su finalización.
HandyBits EasyCrypto Deluxe
Es un programa de seguridad y encriptación potente para Windows.
Desde el explorador de Windows podrás encriptar ficheros y carpetas directamente como así también desencriptar.
Cuando envíes un fichero encriptado el receptor solo deberá saber la clave para poder abrirlo y entonces es la forma más segura d enviar mensajes sin que los vea otro por el camino.
Advanced Firewall
Protección activa a nivel de KERNEL
Control activo de acceso a Websites
Protege los datos personales e información de su ordenador de los intrusos on-line.
Automática y continuamente se actualiza el Firewall protegiéndole de nuevas amenazas
Complemento Ideal de cualquier Antivirus y Antispyware como SIN ESPIAS
PGP
PGP combina la comodidad del criptosistema de clave pública de Rivest-Shamir-Adleman (RSA) con la velocidad de la criptografía convencional, resúmenes de mensajes para firmas digitales, compresión de datos antes de encriptar, un buen diseño ergonómico y una completa gestión de claves. Por otra parte, PGP realiza las funciones de clave pública con más rápidez que la mayoría de las demás implementaciones informáticas. PGP es criptografía de clave pública para todos.
Conclusión
Conforme van creciendo las redes informáticas van creciendo los tipos de fraudes en ellas,
Estamos en la era de la automatización de las actividades y usuarios del Internet estamos expuesto a fraudes, debido a que estamos reemplazado tareas que se realizaban de forma tradicional como por ejemplo las compras en una tienda o transacción directamente en una entidad bancaria, por mayor comodidad realizamos estas tareas por la rede de redes que es la Internet, así como también los organismos oficiales, los bancos y muchas empresas transmiten gran cantidad de información confidencial, en forma de comunicación de datos y almacenan información en bases de datos que deben ser confidenciales e íntegros.
La seguridad informática va adquiriendo una importancia creciente con el aumento del volumen de información importante que se halla en las computadoras distribuidas. En este tipo de sistemas resulta muy sencillo para un usuario experto acceder subrepticiamente a datos de carácter confidencial. La norma Data Encryption System (DES) para protección de datos informáticos, implantada a finales de la década de 1970, se ha visto complementada recientemente por los sistemas de clave pública que permiten a los usuarios codificar y descodificar con facilidad los mensajes sin intervención de terceras personas.
La solución es, protegerse y tomar una posición proactiva antes de que suceda un fraude.
Una empresa o institución debe contar con recursos humanos, de software y hardware para capacitado para brindar un seguridad.
La empresa debe esta conciente que algunas de las ejecuciones de fraudes pueden provenir dentro de ella es por esto que la empresa de emplear auditorias de los sistemas de forma regular, para así minimizar éste riego.
Al garantizar la seguridad de la red la empresa se hace más confiable resultando una buena y segura alternativas para los usuarios el uso de la Web para confiar datos tan confidenciales como por ejemplo de una tarjeta de crédito
|
