Vicerrectorado de
Estudios Virtuales
Especialización en
Gerencia Mención Redes y Telecomunicaciones
Fase: 3 - Asignatura: Sistemas
de Información Gerencial
Trabajo 2: Seguridad en
los Sistemas de Información desarrollados vía Web
Autor: Ing. Héctor Marcano C.I.: V-10.754.714
Profesor: Yaros Pérez
Febrero, 2008
Índice
·
Consideraciones de Seguridad
o Los puntos débiles o vulnerabilidades pueden ser
·
La seguridad vista desde el modelo OSI
·
Auditoría a la seguridad de un sistema basado en Web
·
Qué pasa con los datos de las tarjeta de Crédito después
que llegan al servidor
·
Estrategias para generar confianza en los
clientes
·
Otras consideraciones de seguridad
Introducción
Es de vital importancia que un sistema
desarrollado para su uso en la Web posea unas características mínimas de
seguridad con la finalidad de garantizar que los clientes que deseen realizar
transacciones con la empresa que lo publica, sientan confianza al realizar
operaciones de compra-venta de forma electrónica, ya que en la actualidad existen
muchas formas de fraude electrónico, en las cuales se ven afectados tanto los
compradores, como los vendedores; los primeros porque se les realizan cobros
por compras inexistentes a sus cuentas y los segundos porque se han visto
demandados por realizar supuestas ventas electrónicas y no entregar nunca el
producto final a los interesados.
Es por ello que la organización debe
ser el principal garante de la funcionalidad y la seguridad de sus sistemas en
Internet para generar una ola de confianza y seguridad al realizar las
transacciones electrónicas.
Consideraciones de seguridad
La información, por ser uno de los activos
más importantes de una organización, debe considerarse en su justo valor, por
lo que se deben diseñar mecanismos de resguardo de la misma, bien sea tanto la
información física, como la electrónica; esta última debe resguardarse y
protegerse de intrusos, sabotajes, ambientes naturales y agentes internos y
externos, por lo que se deben seguir las recomendaciones al momento de realizar
una auditoría a los sistemas de recolección y almacenamiento de información
tanto internos de la empresa como los que se desarrollan vía Web.
Para ello, siguiendo las
recomendaciones de Technet e Isec (2007), las cuales aplican no solo para el
uso de sistemas de información en la web, sino para garantizar el activo que
constituye la información en toda organización, se deben considerar los siguientes principios básicos en la
seguridad de la información:
Integridad
Garantizar que la información no ha
sido alterada en su contenido de ninguna manera, por lo tanto es íntegra; para
que la información se pueda utilizar, no debe haber sido alterada de forma
indebida.
El receptor debe tener la seguridad de
que la información obtenida, leída u oída, es exactamente la misma que fue
colocada a su disposición para una debida finalidad, ya que si la información
es alterada, puede generar errores y fraudes involuntarios, afectando todo
ello, la comunicación y la toma de decisiones.
Confidencialidad
Su propósito es asegurar que sólo la
persona, ente o división correcta de la organización, tenga acceso a la
información que se quiere distribuir.
La información al tener su carácter de
confidencialidad, es segura y directa para la persona responsable de ella, por
lo tanto, contribuye a conservar la seguridad en una organización. No debe ser divulgada a personas no
autorizadas.
Garantizar la confidencialidad es uno
de los factores determinantes para la seguridad y al mismo tiempo, una de las
tareas más difíciles de implementar, pues involucra a todos los elementos que
forman parte de la comunicación de la información, desde su emisor, el camino que
ella recorre hasta su receptor.
Disponibilidad
La información, además de llegar
íntegra (completa sin alteraciones), a la persona correcta (confidencial), debe
llegar en el momento oportuno, para que se pueda acceder a ella, justo cuando
se requiera.
Para ello, se debe garantizar un
efectivo ambiente tecnológico y humano que permita la continuidad de los
negocios en la organización, más allá de cualquier eventualidad.
La información, además de estar
disponible, debe ser accesible de forma segura e íntegra para el procesamiento
óptimo de la misma, garantizando la confidencialidad y con ello la seguridad en
todo momento.
Amenazas y Puntos Débiles
Se deben considerar las amenazas, que
son los agentes capaces de explotar los fallos de seguridad en los sistemas,
causando pérdida o manipulación de la información.
Las amenazas pueden ser:
·
Amenazas Naturales: Condiciones de la
naturaleza y la intemperie que pueden causar daños a los activos, tales como
fuegos, terremotos, tormentas, inundación, etc.
·
Amenazas Intencionales: Amenazas
deliberadas; fraudes, vandalismo, sabotaje, espionaje, invasiones y ataques,
robos y hurtos de información, entre otras.
·
Amenazas Involuntarias: Son amenazas
resultantes de acciones inconscientes de usuarios, virus electrónicos, desconocimiento
de normas en el uso de la información, procedimientos de seguridad, errores y
accidentes.
Entre las principales amenazas, las más
frecuentes son daños por virus, divulgación de contraseñas, ataques de hackers,
phishers entre otros.
Así como se deben considerar las
amenazas, también se deben considerar los puntos débiles para el resguardo de
la información; que son aquellos elementos, que al ser explotados por amenazas,
afectan la confidencialidad, disponibilidad e integridad de la información; estos
puntos débiles deben ser ubicados al realizar una auditoría, para minimizarlos
y reducir con ello los riesgos de seguridad.
Los puntos débiles o vulnerabilidades pueden ser:
·
Físicos:
Tienen que ver con los ambientes donde se encuentra almacenada la información;
tales como instalaciones inadecuadas, inexistencia de sistemas de combate y
extinción de incendios, ausencia de identificación de personas autorizadas y
controles de acceso, desorden en el cableado de conexión de la red eléctrica y
de datos, etc.,
·
Naturales:
Relacionados con las condiciones de la naturaleza que puedan poner en riesgo la
información; entre otros, se encuentran condiciones de humedad, polvo y
contaminación que pueden dañar equipos informáticos y archivos.
·
Vulnerabilidades
de Hardware: Posibles defectos de fabricación o
configuración de los equipos que pueden afectar su funcionamiento y permitir el
ataque o alteración de los mismos; falta de configuración de respaldos,
tolerancia a fallas en energía y datos, falta de previsión para aumento de
espacios de almacenamiento y renovación de equipos, procesadores, memoria, etc.
·
Vulnerabilidades
de Software: Permiten que existan accesos indebidos
a los sistemas por fallas en la configuración de la seguridad en los mismos,
establecimiento de claves genéricas inseguras o compartir claves, ejecución de
códigos maliciosos por medio de e-mails u otras formas de acceso a la red.
·
Vulnerabilidades
de medios de almacenamiento: Si los soportes
de almacenamientos tales como disquetes, Cds, Dvds, pen drives, cintas
magnéticas o discos duros no se utilizan de forma adecuada, su contenido puede
ser vulnerable y afectar la seguridad de la información.
·
Vulnerabilidades
de comunicación: Donde sea que la información transite,
ya sea por ondas, cables, fibra óptica o satélite, deben existir
consideraciones de seguridad, puesto que está susceptible a ataques que la
pueden dañar o alterar en su integridad, confidencialidad y disponibilidad. Por ello se deben prever sistemas de
seguridad física y lógica para garantizar la seguridad de la información.
·
Vulnerabilidades
Humanas: Se refiere a los daños que las
personas pueden causar a la información y al ambiente tecnológico que la
soporta; estos puntos débiles pueden ser inconscientes (falta de conocimiento,
capacitación y no establecer normas de seguridad) o intencionales, como
estafas, vandalismo, venganza, sabotaje, etc.
La seguridad vista desde el modelo OSI
El modelo OSI es el estándar de
referencia cuando se habla del establecimiento de una conexión o comunicación
entre redes, por eso es importante y valioso, considerar los aspectos que
conciernen a la seguridad de un sistema de información basado en Web, donde se
contemplen las distintas capas del modelo y las vulnerabilidades que se puedan
encontrar, así mismo como la forma de prevenirlas.
Figura 1
La Pila OSI
Para ello se elaboró una tabla
comparativa, donde tanto el auditor de seguridad, como los responsables de la
toma de decisiones en la empresa, puedan verificar la debilidad que puedan
tener no solo en su sistema de información Web, sino en la estructura general
de la red y poder decidir, si les conviene mejorarla en alguno de esos
aspectos.
Tabla 1
Seguridad en las capas del modelo OSI
|
Capa |
Funcionamiento |
Vulnerabilidad |
Atacado por |
Forma de prevenirlo |
|
1.- Capa física |
Se
encarga de las conexiones físicas de la computadora hacia la red. |
Falta de redundancia
en red y energía, caída de sistemas |
Delincuentes,
saboteadores |
Instalando
equipos de redundancia y tolerancia a fallas en la red de la empresa. |
|
2.- Capa de enlace |
Se
ocupa del direccionamiento físico, de la topología de la red, acceso a la
red, notificación de errores, distribución ordenada de tramas y control del
flujo. |
Posibilidad
de descubrir las MAC o direcciones IP fijas |
Sniffers
(escuchas) |
Aumentar la Seguridad utilizando equipos de conexión confiables (tarjetas
de red o NIC, Hub y Switchs). Uso de direcciones Ip dinámicas (DHCP). |
|
3.- Capa de red |
Permite
que los datos lleguen desde el origen al destino, aún cuando ambos no estén
conectados directamente; además, gestiona la congestión
de red. |
Ping 2 Ip
Spoofing |
Hackers
|
Los
firewalls actúan sobre esta capa, para descartar direcciones de maquinas. Configurar
de forma segura los Firewalls y Routers. Uso de
VPN (túneles de acceso) |
|
4.- Capa de
transporte |
Efectúa
el transporte de los datos (que se encuentran dentro del paquete) de la
máquina origen a la destino, independizándolo del tipo de red física que se
esté utilizando. |
Falta
de confidencialidad de la información, uso de contraseñas públicas |
Hackers Phishers |
Usar Protocolos SSL y TLS con cifrados basados en AES (RSA), para
encriptar la información. |
|
5.- Capa de sesión |
Se
encarga de mantener el enlace entre los dos computadores que estén
trasmitiendo archivos |
Caída
de conexión con la consecuente pérdida de datos. Acceso
a puertos abiertos |
Debilidades
naturales Hackers,
intrusos |
Los
firewalls actúan sobre esta capa, para bloquear los accesos a los puertos de
un computador. Crear
redes robustas, tolerantes a fallas |
|
6.- Capa de
presentación |
Encargada
de manejar las estructuras de datos abstractas y realizar las conversiones de
representación de datos necesarias para la correcta interpretación de los
mismos. |
Fallas
de seguridad de software. Existencia
de virus, keyloggers y código malicioso |
Hackers Phishers |
Protección
por medio de antivirus, antispyware, actualización de protección física y
lógica |
|
7.- Capa de
Aplicación |
Ofrece
a las aplicaciones(de usuario o no) la posibilidad de acceder a los servicios
de las demás capas y define los protocolos que utilizan las aplicaciones para
intercambiar datos |
Uso de
conexiones y autenticación por Telnet por no tener ninguna característica de
cifrado |
Sniffers
Hackers |
SSH
(Secure Shell): Protocolo que sirve para acceder a máquinas de forma remota,
usando técnicas de cifrado, por lo que ningún atacante podrá conocer el
nombre de usuario, contraseña, ni lo que se escribe |
En el modelo
de Internet y para conservar la seguridad en el enlace se deben considerar los
siguientes protocolos:
Tabla 2
Protocolos de Seguridad para Internet
|
Nivel |
Protocolo |
|
Enlace |
WEP - WPA Autenticación de claves |
|
Red |
IPSec VPN |
|
Transporte |
SSL/TLS SSL/VPN |
|
Aplicación |
SSH
HTTPS |
Auditoría a la seguridad de un sistema basado en Web
Al
realizar una auditoría a un sistema basado en Web, se deben considerar aspectos
relacionados con la seguridad en Internet que puedan afectar, tal como se
mencionó anteriormente, la integridad, confidencialidad y disponibilidad de la
misma; para ello, es recomendable, verificar que el sistema posea todos o cada
uno de los siguientes aspectos:
·
Gestión
de claves
(incluyendo negociación de claves y su almacenamiento): Antes de que el tráfico
sea enviado/recibido, cada router/cortafuegos/servidor (elemento activo de la
red) debe ser capaz de verificar la identidad de su interlocutor.
·
Confidencialidad: La información debe ser
manipulada de tal forma que ningún atacante pueda leerla. Este servicio es
generalmente prestado gracias al cifrado de la información mediante claves
conocidas sólo por los interlocutores.
·
Imposibilidad
de repudio:
Ésta es una forma de garantizar que el emisor de un mensaje no podrá
posteriormente negar haberlo enviado, mientras que el receptor no podrá negar
haberlo recibido.
·
Integridad: La autenticación valida
la integridad del flujo de información garantizando que no ha sido modificado
en el tránsito emisor-receptor.
·
Autenticación: Confirma el
origen/destino de la información -corrobora que los interlocutores son quienes
dicen ser.
·
Autorización: La autorización se da
normalmente en un contexto de autenticación previa. Se trata un mecanismo que
permite que el usuario pueda acceder a servicios o realizar distintas
actividades conforme a su identidad.
Dependiendo de en qué capa de la pila
de protocolos OSI se implemente la seguridad, es posible prestar todos o sólo
algunos de los servicios mostrados anteriormente. En algunos casos tiene
sentido proveer algunos de ellos en una capa y otros en otra diferente.
Certificados de Seguridad
Los certificados de seguridad permiten
establecer una relación de confianza más creíble entre el vendedor electrónico
y el comprador, puesto que establece una configuración encriptada en la que se
garantiza que el tráfico de la información que se transmite y recibe, no puede
ser interpretado por algún ente que pueda interceptarla.
Es por ello que las empresas que desean
tener un sistema de ventas implantado vía Web, adquieren dicho certificado, el
cual es proporcionado por diversos fabricantes y validado por empresas u organismos
internacionales, por medio de acuerdos de colaboración; entre ellos, la empresa
Thawte, reconocida a nivel mundial como una de las más prestigiosas en el
sector de autentificación y seguridad en Internet. Otra de las organizaciones líderes en este
ramo en Verisign, la cual garantiza sobre la seguridad e implantación de
certificados de seguridad de sus principales proveedores.
Los certificados de seguridad permiten
al mismo tiempo que el propio cliente valide la autenticidad del mismo, ya que
contienen información del fabricante, del organismo de seguridad que lo valida (tales
como los mencionados Verisign, Thawte, Geotrust, entre otros), el cliente o
empresa que suministra el servicio de ventas electrónicas, al cual se ha
concedido dicho certificado y la fecha de vigencia del mismo.
Secure Socket Layer (SSL) es
un sistema de protocolos de carácter general diseñado en 1994 por la empresa
Nestcape Communications Corporation, y está basado en la aplicación conjunta de
Criptografía Simétrica, Criptografía Asimétrica (de llave pública),
certificados digitales y firmas digitales para conseguir un canal o medio
seguro de comunicación a través de Internet. De los sistemas criptográficos
simétricos, motor principal de la encriptación de datos transferidos en la
comunicación, se aprovecha la rapidez de operación, mientras que los sistemas
asimétricos se usan para el intercambio seguro de las claves simétricas,
consiguiendo con ello resolver el problema de la Confidencialidad en la
transmisión de datos.
SSL implementa un protocolo
de negociación para establecer una comunicación segura a nivel de socked
(nombre de máquina más puerto), de forma transparente al usuario y a las
aplicaciones que lo usan.
Actualmente es el estándar
de comunicación segura en los navegadores web más importantes (protocolo HTTP),
como Nestcape Navigator e Internet Explorer, y se espera que pronto se saquen
versiones para otras otros protocolos de la capa de Aplicación (correo, FTP,
etc.).
La identidad del servidor
web seguro (y a veces también del usuario cliente) se consigue mediante el
Certificado Digital correspondiente, del que se comprueba su validez antes de
iniciar el intercambio de datos sensibles (Autenticación), mientras que de la
seguridad de Integridad de los datos intercambiados se encarga la Firma Digital
mediante funciones hash y la comprobación de resúmenes de todos los datos
enviados y recibidos.
Desde el punto de vista de
su implementación en los modelos de referencia OSI y TCP/IP, SSL se introduce
como una especie de nivel o capa adicional, situada entre la capa de Aplicación
y la capa de Transporte, sustituyendo los sockets del sistema operativo, lo que
hace que sea independiente de la aplicación que lo utilice, y se implementa
generalmente en el puerto 443.
SSL proporciona servicios
de seguridad a la pila de protocolos, encriptando los datos salientes de la
capa de Aplicación antes de que estos sean segmentados en la capa de Transporte
y encapsulados y enviados por las capas inferiores. Es más, también puede aplicar
algoritmos de compresión a los datos a enviar y fragmentar los bloques de tamaño
mayor a 214 bytes, volviendo a reensamblarlos en el receptor.
Adicionalmente a estos
protocolos, también existen algoritmos de autenticación o de generación de
claves de acceso que son muy poderosos y constituyen un excelente complemento
de la aplicación de medidas de seguridad con certificados y SSL; entre ellos, SSH:
Permite copiar datos de forma segura, gestionar claves RSA para no escribir
claves.
La versión más actual de
SSL es la 3.0. que usa los algoritmos simétricos de encriptación DES, TRIPLE
DES, RC2, RC4 e IDEA, el asimétrico RSA, la función hash MD5 y el algoritmo de
firma SHA-1.
Durante el proceso de
comunicación segura SSL existen dos estados fundamentales, el estado de sesión
y el estado de conexión. A cada sesión se le asigna un número identificador
arbitrario, elegido por el servidor, un método de compresión de datos, una
serie de algoritmos de encriptación y funciones hash, una clave secreta maestra
de 48 bytes y un flag de nuevas conexiones, que indica si desde la sesión
actual se pueden establecer nuevas conexiones. Cada conexión incluye un número
secreto para el cliente y otro para el servidor, usados para calcular los MAC
de sus mensajes, una clave secreta de encriptación particular para el cliente y
otra para el servidor, unos vectores iniciales en el caso de cifrado de datos
en bloque y unos números de secuencia asociados a cada mensaje.
Para saber si se está utilizando un
certificado, basta con verificar en la parte inferior del navegador, ya que al
inicio de la sesión aparece un ícono con un candado abierto, que indica que se
está efectuando la comprobación entre los equipos y estableciendo la conexión
segura, una vez se ha establecido, aparecerá el candado cerrado, indicando que
se está en presencia de una conexión segura proporcionada por el certificado.
Además, las páginas que proceden de un servidor SSL vienen
implementadas mediante protocolo HTTP seguro, por lo que su dirección, que se
puede visualizar en la barra de direcciones del navegador, empezará siempre por
https, como por ejemplo:
https://www.evidaliahost.com
Finalmente, cuando se establece una conexión segura, se puede ver
el certificado del servidor acudiendo al menú "Archivo" del
navegador, haciendo click en "Propiedades". En la parte inferior la
opción "Certificados", que mostrará el del servidor actual.
Figura 2
Candado de seguridad en Internet
Al
utilizar un certificado; en la parte inferior de la ventana del navegador,
aparecerá un candado, el cual, al darle doble clic o clic derecho, mostrará las
propiedades de la institución y fabricante del certificado, con lo que se puede
verificar la autenticidad del mismo.
Figura 3
Página de una institución bancaria
El siguiente
certificado está asignado a la página Web del banco mercantil: www30.todo1-com,
validado por CPS Incorp.by y Verisign, con la respectiva dirección Web y está
vigente desde el 28 de marzo de 2007 hasta el 28 de marzo de 2008.
Figura 4
Certificado de seguridad en Internet
Qué pasa con los datos de las tarjetas de Crédito después que llegan al
servidor
Dependiendo
del tipo de configuración de seguridad y contrato de servicio con los entes
financieros y de validación de estructuras de cobranzas, la ruta,
direccionamiento y procesamiento de la información de pago de los clientes al
realizar transacciones electrónicas, puede ser de dos formas:
Caso 1
El servidor del vendedor, ofrece y
proporciona una conexión y autenticación segura al cliente, posee un
certificado de seguridad que es instalado en el cliente al momento de
establecerse la conexión para efectuar la compra, en tal sentido, el cliente
puede navegar por los diferentes servicios y objetos de la página Web,
verificar productos, precios e ir seleccionando los productos y características
de su compra y sólo se establece la conexión por medio del certificado una vez
que el cliente escoge la opción de comprar o pagar.
Utilizando el protocolo SET (Secure Electronic
Transaction), el cual fue diseñado para proporcionar una encriptación y
relación de confianza entre proveedor, cliente y entidades bancarias, porque
garantiza que en ningún momento el proveedor tendrá o mejor dicho, podrá
descifrar la información de la tarjeta de crédito suministrada por el cliente,
sino que la misma será transmitida de forma confidencial a la institución
bancaria.
En esta transacción, el cliente elabora
su pedido, introduce los datos de identificación y tarjeta de crédito correspondientes,
los cuales, son recibidos encriptados por el proveedor, el mismo, los adiciona
a los datos del pedido con la cartera de clientes y son enviados al banco del
proveedor, el cual se encargará de desencriptarlos para verificar la
autenticidad y disponibilidad de fondos de la tarjeta del comprador, para luego
retornar una respuesta al proveedor, indicando que la transacción ha sido exitosa,
por lo que a su vez, el proveedor envía un mensaje al cliente, indicando que su
producto ha sido cobrado satisfactoriamente y comunicándole o verificando la
información de envío de la compra.
Con este sistema, tanto los clientes
como los proveedores, tienen la garantía de reducir riesgos de fraudes, puesto
que la verificación es realizada únicamente por la institución bancaria, pero
su uso es complicado para clientes con poca experiencia en el uso de herramientas
informáticas, además de que las respuesta entre cliente-proveedor no son
inmediatas, por depender de un intermediario que valida el pago como es la
institución bancaria.
Una variación de este ejemplo, es la
realización de pagos por medio de túneles virtuales de punto de ventas, lo cual,
junto con el anterior es un claro ejemplo del uso de pasarelas de pago; por
medio del cual, al establecerse la opción de pago por parte del cliente, la
conexión es redireccionada hacia el banco, por lo que se efectúa la respectiva
comprobación de datos y solvencia en la tarjeta de crédito sin que esos datos
pasen por el proveedor; con esto se obtiene una verificación más rápida, segura
y eficaz del pago y se envía el recibo de la transacción al cliente y al proveedor,
pero esta técnica requiere la instalación de un software especial para ambos,
lo cual la hace poco popular en el mercado electrónico actualmente.
Solamente es usada por clientes y
proveedores que mantienen frecuentes relaciones comerciales, más no por los
clientes casuales que navegan en busca de ofertas o productos de su
elección. Además genera cobros de
comisión más altos que otros tipos de transacciones menos seguras.
Caso 2:
El uso de SSL como fue descrito
anteriormente, en el que el cliente y el proveedor establecen una comunicación
inicial que genera el establecimiento y activación del certificado de
seguridad, estableciendo la relación de confianza entre ambos, ya que existe
una garantía que la data que se intercambia está viajando de forma encriptada.
En la sesión del certificado, el cliente
envía una clave maestra que genera una clave de sesión por parte del servidor,
otorgando al cliente una clave para desencriptar la información que recibe.
Luego de garantizarse la encriptación
en la comunicación se inicia el proceso de recepción y captura de los datos del
cliente para efectuar la transacción, lo que garantiza que la información
suministrada no puede ser interpretada por algún atacante que logre
interceptarla, sin embargo una vez que la información está del lado del
proveedor, la seguridad de la misma depende de la implementación que se tenga
en la organización, por lo que al decidir realizar una auditoría, este es uno
de los puntos focales, la permisología en acceso a la data, controles de acceso
que restrinjan a personal no autorizado, sistemas de autenticación con
contraseñas seguras, etc.
Una vez que el proveedor dispone de la
información del cliente, entonces es cuando procede a verificar el pago realmente
con la institución bancaria, por lo que no se puede dar una respuesta inmediata
al mismo en cuanto al éxito del proceso de su transacción y se requiere
establecer canales de comunicación postdatada, es decir, que utilizando
herramientas como el correo electrónico o el teléfono, se pondrá luego en
comunicación con el cliente para indicarle que su transacción a sido exitosa o
rechazada, según sea el caso y el estado de la solicitud y entrega de la
compra.
Si bien con este sistema las ventas
electrónicas son un poco más lentas, también es un poco más rentable puesto que
la inversión en software y adquisición de certificados, así como los pagos y
comisiones son más reducidas, por lo que la hace atractiva a las empresas y
organizaciones que se están iniciando el las ventas por Internet.
Estrategias para
generar confianza en los clientes
Toda organización que diseñe e implante
un sistema basado en web y que desee perdurar en el tiempo, debe tener siempre
presente que una de las principales garantías del éxito en su sistema de ventas
será la confianza que el cliente o consumidor pueda tener, además del producto,
en la seguridad de las transacciones que realicen en línea; para ello, existen
distintas formas de asegurarse de ganar esa confianza, que al mismo tiempo que
le dará una excelente publicidad, permitirá efectuar transacciones sin
problemas de tipo legal o fraudulento.
La organización se debe plantear la
conveniencia de mantener un sistema de gestión de la seguridad en sus sistemas
y en la información, para lo cual existen diferentes recomendaciones; una de
las principales es la norma ISO 17799, basada en el estándar inglés BS7799, del
cuál se han considerado varios aspectos en la definición de los parámetros de
auditoría al problema planteado; adicionalmente, es recomendable, hacer
seguimiento a la satisfacción de los clientes posterior a la venta e igualmente
establecer canales de monitoreo donde los clientes se sientan tomados en cuenta
y puedan verificar el estado de sus transacciones y solicitudes, para ello, se
puede sugerir lo siguiente:
·
Ofrecer
sistema de monitoreo de la compra y ubicación del bien adquirido en cada una de
las diferentes etapas de la venta: elaboración, traslado, distribución y
entrega de la mercancía.
·
Enviar
comunicación electrónica a los clientes indicándoles el status de su pedido.
·
Establecer
contratos con entidades financieras confiables a fin de garantizar la seguridad
de la transacción electrónica.
·
Adquirir
Certificados de seguridad, para garantizar la encriptación y seguridad de la
información al momento de realizar la transacción de compra-venta en línea.
·
Ofrecer
ayuda vía Web y establecer otras formas de contacto bien sea telefónica o por
correo electrónico.
·
Adoptar
la figura del buzón de sugerencias en la página Web.
Otras consideraciones de seguridad
Se debe mantener una actualización y
documentación continua en relación a los avances tecnológicos en seguridad y al
mismo tiempo procurar ampliar los conocimientos en cuanto a los delitos
informáticos, ataques y atacantes y la forma de prevenirlos.
Entre la nueva terminología de ataques
en internet, aparte de los mencionados en el curso de este informe, existen:
sniffing (escuchas), surveillance (espionaje), eavesdropping, wardriving,
warchalking, descubrimiento de contraseñas, descubrimiento ESSID.
Cifrado
El
cifrado puede hacerse utilizando sistemas criptográficos simétricos o
asimétricos y se puede aplicar extremo a extremo o individualmente a cada
enlace del sistema de comunicaciones.
El
mecanismo de cifrado soporta el servicio de confidencialidad de datos al tiempo
que actúa como complemento de otros mecanismos de seguridad.
Firma
Digital
Se
puede definir la firma digital como el conjunto de datos que se añaden a una
unidad de datos para protegerlos contra la falsificación, permitiendo al
receptor probar la fuente y la integridad de los mismos. La firma digital
supone el cifrado, con una componente secreta del firmante, de la unidad de
datos y la elaboración de un valor de control criptográfico.
La
firma digital descrita por ITU y OSI en el Entorno de Autenticación del Directorio utiliza un esquema
criptográfico asimétrico. La firma consiste en una cadena que contiene el
resultado de cifrar con RSA aplicando la clave privada del firmante, una
versión comprimida, mediante una función hash unidireccional y libre de
colisiones, del texto a firmar.
Para
verificar la firma, el receptor descifra la firma con la clave pública del
emisor, comprime con la función hash al texto original recibido y compara el
resultado de la parte descifrada con la parte comprimida, si ambas coinciden el
emisor tiene garantía de que el texto no ha sido modificado. Como el emisor
utiliza su clave secreta para cifrar la parte comprimida del mensaje, puede
probarse ante una tercera parte, que la firma sólo ha podido ser generada por
el usuario que guarda la componente secreta.
El
mecanismo de firma digital soporta los servicios de integridad de datos,
autenticación de origen y no repudio con prueba de origen. Para proporcionar el
servicio de no repudio con prueba de entrega es necesario forzar al receptor a
enviar al emisor un recibo firmado digitalmente.
Control de acceso
Este
mecanismo se utiliza para autenticar las capacidades de una entidad, con el fin
de asegurar los derechos de acceso a recursos que posee. El control de acceso
se puede realizar en el origen o en un punto intermedio, y se encarga de
asegurar si el emisor está autorizado a comunicar con el receptor y/o a usar
los recursos de comunicación requeridos. Si una entidad intenta acceder a un
recurso no autorizado, o intenta el acceso de forma impropia a un recurso
autorizado, entonces la función de control de acceso rechazará el intento, al
tiempo que puede informar del incidente, con el propósito de generar una alarma
y/o registrarlo.
El
mecanismo de control de acceso soporta el servicio de control de acceso.
Integridad de datos
Es
necesario diferenciar entre la integridad de una unidad de datos y la
integridad de una secuencia de unidades de datos ya que se utilizan distintos
modelos de mecanismos de seguridad para proporcionar ambos servicios de
integridad.
Para
proporcionar la integridad de una unidad de datos la entidad emisora añade a la
unidad de datos una cantidad que se calcula en función de los datos. Esta
cantidad, probablemente encriptada con técnicas simétricas o asimétricas, puede
ser una información suplementaria compuesta por un código de control de bloque,
o un valor de control criptográfico. La entidad receptora genera la misma
cantidad a partir del texto original y la compara con la recibida para
determinar si los datos no se han modificado durante la transmisión.
Para
proporcionar integridad a una secuencia de unidades de datos se requiere,
adicionalmente, alguna forma de ordenación explícita, tal como la numeración de
secuencia, un sello de tiempo o un encadenamiento criptográfico.
El
mecanismo de integridad de datos soporta el servicio de integridad de datos.
Intercambio de autentificación
Existen
dos grados en el mecanismo de autenticación:
·
Autentificación
simple: El emisor envía su nombre distintivo
y una contraseña al receptor, el cual los comprueba.
·
Autentificación
fuerte: Utiliza las propiedades de los
criptosistemas de clave pública. Cada usuario se identifica por un nombre
distintivo y por su clave secreta. Cuando un segundo usuario desea comprobar la
autenticidad de su interlocutor deberá comprobar que éste está en posesión de
su clave secreta, para lo cual deberá obtener su clave pública.
Las consideraciones de seguridad al
momento de realizar una auditoría a un sistema, pueden ser muchas y más aún
cuando el sistema está basado en la Web, donde existen factores que no se
pueden controlar ni determinar por ser extrínsecos de la organización.
Es por ello, por lo que se debe
realizar un análisis exhaustivo de todas las posibles amenazas y
vulnerabilidades tanto del lado interno de la red, como hacia fuera, ya que se
deben prever ataques internos y externos.
En las consideraciones internas en la
red, se deben contemplar aspectos de disponibilidad e integridad de la
información, tales como prevención de incendios y catástrofes, respaldos de
data, redundancia en la conexión de red, en la energía eléctrica, tolerancia a
fallas en las mismas, así como capacidad de almacenamiento de la data,
actualización de software y hardware para optimizar el excelente funcionamiento
de todos los equipos, sistemas y aplicaciones; del mismo modo, en la parte de
seguridad, para garantizar la confidencialidad de la información, se deben
establecer restricciones de acceso tanto físicas como lógicas, establecer
contraseñas seguras, controles de acceso, equipos y dispositivos de seguridad.
Todo ello para garantizar la integridad de la información y con ello generar
confianza en la empresa y en el sistema de información vía Web.
Dentro de las consideraciones externas,
se debe pensar un poco más allá de una red Lan
o Wan y pensar en el ancho mundo de Internet, por ello, se debe considerar los
ataques que pueden ocurrir y establecer consideraciones lógicas de seguridad
para garantizar las transacciones que se realizan con los clientes; para ello,
establecer contratos de seguridad con las instituciones bancarias, adquirir
certificados de seguridad confiables y revisar en todo momento las posibles puertas
traseras que se puedan dejar para evitar ser objetos de intrusiones externas.
El éxito de una interfaz Web con fines
de venta, dependerá en gran medida de la seguridad con que se implementa el
mismo, ya que los precios y productos que se ofrecen, en muchos casos los
definirá el mercado y la competencia, pero la forma de venderlos y ganar la
confianza de los clientes en las compras electrónicas solo dependerá de las
políticas de seguridad que se tomen en la empresa u organización.
Infografía
|
Referencia: |
|
http://www.itstrap.net/descargas/articulos/Prevencion%20de%20intrusos%20espa%C3%B1ol.pdf |
|
Detección y prevención
de intrusos |
|
Consideraciones de
Seguridad en Internet |
|
Fundamentos
de seguridad para redes y consideraciones de seguridad en el modelo OSI |
|
Características
del modelo OSI |
|
Consideraciones de
seguridad a ser contempladas en la implantación de un sistema Web |
|
Cortafuegos y
consideraciones de seguridad en redes |
|
Certificados
SSL de 128 Bits |
|
Certificados
de Seguridad SSL |
