Introducción | La seguridad... | Detección... | Comercio... | Mecanismos...
Hechos... | Caso práctico | Bibliografía

La Internet se ha convertido en un medio en donde se llevan a cabo una gran cantidad de negocios alrededor de todo el mundo, y como en cualquier otro tipo de negocios, no se puede asumir que todos los participantes estarán dispuestos a jugar limpio. El solo hecho de llevar a cabo transacciones de negocios en un medio inseguro es suficiente para alentar la conducta criminal en Internet.

El eCommerce

El comercio electrónico se entiende como cualquier forma de transacción comercial en la cual las partes involucradas interactúan de manera electrónica y no  de la manera tradicional por medio de intercambios físicos o trato físico directo.
Actualmente la manera de comerciar se caracteriza por el mejoramiento constante en los procesos de abastecimiento, y como respuesta a ello los negocios a nivel mundial están cambiando tanto su organización como sus operaciones. El comercio electrónico es el medio de llevar a cabo dichos cambios dentro de una escala global, permitiendo a las compañías ser más eficientes y flexibles en sus operaciones internas, para así trabajar de una manera más cercana con sus proveedores y estar más pendiente de las necesidades y expectativas de sus clientes. Además permiten seleccionar a los mejores proveedores sin importar su localización geográfica para que de esa forma se pueda vender a un mercado global
Jaime Neilson nos dice que: “El comercio electrónico es cualquier actividad de intercambio comercial en la que las órdenes de compra - venta y pagos se realizan a través de un medio telemático, los cuales incluyen servicios financieros y bancarios suministrados por Internet. El comercio electrónico es la venta a distancia aprovechando las grandes ventajas que proporcionan las nuevas tecnologías de la información, como la ampliación de la oferta, la interactividad y la inmediatez de la compra, con la particularidad que se puede comprar y vender a quién se quiera, y, dónde y cuándo se quiera. Es toda forma de transacción comercial o intercambio de información, mediante el uso de Nueva Tecnología de Comunicación entre empresas, consumidores y administración pública.”

Tipos de transacciones de Comercio electrónico

1. Business to business (B2B, entre empresas): las empresas pueden intervenir como compradoras o vendedoras, o como proveedoras de herramientas o servicios de soporte para el comercio electrónico, instituciones financieras, proveedores de servicios de Internet, etc.
2. Business to consumers (B2C, entre empresa y consumidor): as empresas venden sus productos y prestan sus servicios a través de un sitio Web a clientes que los utilizarán para uso particular.
3. Consumers to consumers (C2C, entre consumidor y consumidor): es factible que los consumidores realicen operaciones entre sí, tal es el caso de los remates en línea.
4. Consumers to administrations (Entre consumidor y administración): los ciudadanos pueden interactuar con las Administraciones Tributarias a efectos de realizar la presentación de las declaraciones juradas y/o el pago de los tributos, obtener asistencia informativa y otros servicios.
5. Business to administrations (Entre empresa y administración): las administraciones públicas actúan como agentes reguladores y promotores del comercio electrónico y como usuarias del mismo.

Requisitos

El principal requisito en una transacción de comercio electrónico es la seguridad, como en todas las transacciones que implican el manejo de dinero. Pero hay otros requisitos aconsejables para que los sistemas de comercio electrónico sean comparables a los de monedas y billetes, sino no se aplican puede que el comercio electrónico no sea atractivo para los usuarios. Estos son:

1. Anonimato. Con monedas o billetes la identidad del comprador no es conocida por los vendedores. Para poder mantener también en el comercio electrónico el derecho propio de los humanos a la intimidad, nadie excepto el banco propio deberían conocer la identidad del comprador y éste no debería conocer la naturaleza de la compra.
2. Flexibilidad. Poder aceptar diferentes medios de pago para todas las situaciones posibles de usuarios de Internet.
3. Convertibilidad. Poder transformar los diferentes sistemas de pago sin necesidad de realizar una compra, como pasa con las divisas y las cuentas de los bancos.
4. Eficiencia. El coste del sistema de comercio no debe ser mayor que el precio del producto o servicio.
5. Ser divisible. Como las monedas o billetes poder dividir la posibilidad de compra en fracciones más pequeñas.
6. Transferible. Poder pasar el poder de compra de una persona a otra sin necesidad de realizar una transacción, igual que se puede prestar o regalar el dinero tradicional.

Sistemas de pago

Dinero electrónico

Estos sistemas deben cumplir todos los requisitos comentados en el apartado 1.2, por lo tanto tienen exactamente las mismas funciones que las monedas y los billetes. Se utilizan diversas tecnologías para implementarlos:

1. Números firmados. La entidad financiera emite unos números aleatorios y los firma con su clave privada. Estos números están registrados en la base de datos de la entidad. Su valúa depende de la longitud del número y se pueden fraccionar cambiándolos en la entidad. Los usuarios los piden por la red a la entidad a cambio de un cargo a su cuenta o tarjeta y los utilizan o dan cuando creen conveniente. El sistema DigiCash trabaja con este tipo de dinero electrónico.
2. Monederos electrónicos. Son tarjetas con un chip donde se almacenan cantidades de dinero que previamente se han descontado de una cuenta. El poseedor de la tarjeta posee el dinero de forma anónima y los puede gastar cuando y de la forma que quiera, así como prestar. Estos sistemas ya se utilizan en las compras físicas, pero para Internet se deberían construir ordenadores con lectores adecuados.

Sistemas de crédito y débito

En estos sistemas el usuario debe tener una cuenta con la entidad que gestiona los pagos, esta cuenta puede recibir dinero real o estar conectada a una cuenta real de un banco y recibir cargos por las compras.
Pueden ser de:

1. Débito. Se debe tener dinero en la cuenta para cubrir el gasto.
2. Crédito. La entidad puede dar crédito hasta el día del pago completo o fraccionado.

Los usuarios se deben dar de alta en el sistema y abrir la cuenta, después reciben un password o otra manera de identificarse. Al realizar compras en las tiendas virtuales que permiten este forma de pago se debe indicar el password o identificador y entonces se comprueba si el pago está autorizado.
Utilizan este sistema entre otras las entidades: NetCheque, NetBill, FirstVirtual, InfoCommerce, Virtu@lCash, etc... Probablemente cada vez se utilizarán menos debido a la tendencia hacia sistemas universales que no dependen de darse de alta en una entidad. Pueden servir para realizar micropagos.

Tarjetas de crédito o débito

Son los más utilizados y posiblemente los que se extiendan más en el futuro. Se trabaja con una tarjeta de crédito o débito cargando la compra como si se hubiera hecho en una tienda física. No cumple los requisitos de anonimato, aunque el sistema de seguridad SET permite que el vendedor no conozca los datos de la tarjeta del comprador y el banco los datos del producto o servicio comprado.

Sistemas de micropagos

Los micropagos en comercio electrónico ocurren cuando el precio del producto o servicio es muy pequeño y puede ser menor que coste de la transacción realizada mediante los métodos habituales.
La característica fundamental de estos sistemas es bajar mucho los costes de la transacción a costa de pérdida de seguridad. Su principio se basa en que las transacciones son tan pequeñas que no resultan atractivas para realizar un ataque, así los esfuerzos realizados por el ladrón no compensan el valor del robo.
Se utilizan unos intermediarios llamados Brokers. Es normal que un comprador realice muchos micropagos a muchos vendedores diferentes y que un comerciante reciba muchas compras de poco valor de muchos compradores diferentes. Gestionar estas interacciones múltiples entre compradores y vendedores por muy poco margen de beneficio no interesa a ninguna de las partes. Así se utilizan brokers que concentran todas las compras de un comprador y todas las ventas de un comerciante y así simplifican el modelo.

Las amenazas al Comercio electrónico

En un apartado anterior se habló de las Amenazas a la seguridad de los SI, el Comercio electrónico no escapa a los mismos peligros que amenazan cualquier sistema, sin embargo, por su naturaleza, éstas adquieren carácter propi e innovador.
Las amenazas a la seguridad de los sistemas de comercio electrónico pueden ser clasificadas como internas y externas. La amenaza interna es la que tiene más probabilidad de ocurrir, es la más difícil de combatir o controlar y sin embargo es la que más se pasa por alto. Este tipo de amenazas es difícil de combatir ya que muy pocos sistemas brindan protección contra acciones maliciosas ejecutadas por usuarios que estén autorizados en el sistema. Es por esto que la mejor manera de combatir esta amenaza es con una combinación de políticas de seguridad estrictas y un esquema de acceso a información privilegiada que solo le permita el acceso a aquellas personas que deban tenerlo.
Sin embargo, las amenazas a la seguridad a las que más se les da importancia es a las externas. Tanto los ejecutivos de las compañías como los administradores de los sistemas sienten un temor especial a los intrusos desconocidos que estando fuera de las barreras de la organización puedan tener acceso a información privilegiada. Parte de esta preocupación está bien fundada, ya que la Internet le da a los comerciantes la posibilidad de llegar a los consumidores potenciales en cualquier parte del mundo, pero al mismo tiempo permite que todos los usuarios mal intencionados, hackers y espías corporativos en todo el mundo puedan tener acceso a la información de la compañía.
Las categorías generales de amenazas o ataques al comercio electrónico son las siguientes:

Vandalismo y sabotaje en Internet

El vandalismo o sabotaje en el web es tal vez el ataque que ha recibido más atención de los medios de comunicación. Este ataque consiste en rescribir la página web de alguien más, generalmente de forma ilegal, para cambiar el contenido de esa página dejando un mensaje propio del saboteador. Este ataque generalmente está motivado por razones políticas o por el ego del saboteador que muestra que pudo romper las medidas de seguridad de un sitio web.
Aunque este ataque está dirigido al servidor web, el resto de los programas o información contenidas en la máquina que fue blanco del ataque también pueden estar comprometidas, como también otros recursos de red que estuvieran conectados a esa máquina, ya que el atacante pudo tener acceso a ellas tan fácilmente como lo hizo con los archivos de las páginas web.
Este tipo de ataques es muy perjudicial para la imagen de la compañía que sufre el ataque. La página web es la imagen de la compañía ante el mundo, y si esta es saboteada, la organización completa se verá vulnerable.

Violación a la seguridad o la privacidad

En la Internet, los mensajes son transmitidos a través de un número de intermediarios antes de llegar a su destino, los intermediarios son generalmente Routers, cualquiera de los cuales puede copiar, modificar o borrar los mensajes. Es por esta razón que no se debe asumir que las comunicaciones de datos son privadas a menos que se utilice un mecanismo de encripción para protegerlas. El mayor temor de los consumidores en la Internet es el de revelar sus números de tarjetas de crédito, actualmente se han desarrollado un número de sistemas de transacciones de pago seguras para proteger la privacidad de las transacciones.
El “romper” las claves de los sistemas de encripción actuales es muy difícil, por lo que es poco probable que se pueda comprometer la seguridad de las transacciones que utilizan estos sistemas. Sin embargo, los componentes web activos pueden presentar riesgos a la seguridad en el client-side. Los componentes activos son programas que se descargan y ejecutan automáticamente desde el navegador web cuando un usuario entra en un sitio web que los tiene como parte de su código. Ejemplo de estos componentes son los controles ActiveX, Applets de Java, JavaScripts, VBScripts y ciertos archivos multimedia que se ejecutan vía plug-ins. Los plug-ins son aplicaciones que se ejecutan automáticamente cuando el navegador descarga archivos de un determinado formato.
Como se mencionó un poco más arriba, el comercio electrónico es frecuentemente amenazado por técnicas usadas desde hace mucho tiempo por los criminales informáticos, entre ellas:

1. Ingeniería Social
2. Ingeniería Social Inversa
3. Trashing (Cartoneo)
4. Ataques de Monitorización
5. Ataques de Autenticación
6. Denial of Service (DoS)

Todas ellas explicadas en el apartado correspondiente sobre Seguridad en los SI por lo que aquí sólo se mencionan a manera de referencia.

La seguridad en el eCommerce

Hay cuatro componentes cuya seguridad es crítica para la realización de transacciones de negocios en línea: el software cliente, los protocolos de transferencia de datos, el servidor Web (o de comercio) y el sistema operativo. Una falla en cualquiera de estos componentes compromete la seguridad de las transacciones y debilitan la confianza de los consumidores y comerciantes en el comercio electrónico.
El modelo de seguridad en el comercio electrónico se puede dividir en cuatro componentes principales que hay que proteger; el software del client-side, el transporte de los datos, el software del servidor Web y el sistema operativo del servidor. Es importante hacer un esfuerzo para que la seguridad de estos componentes sea consistente, ya que si uno de ellos presentara una debilidad obvia, sería blanco de la mayoría de los ataques, y debido a su debilidad muchos de esos ataques serían exitosos.

Seguridad del software cliente

La seguridad del software cliente se refiere a la seguridad que presenta el software cliente de web, es decir, el software que se utiliza para navegar en Internet. Los dos grandes riesgos de este componente son las vulnerabilidades de los navegadores y los componentes Web activos.
Los navegadores presentan riesgos debido a que su código fuente no está disponible para revisión y los usuarios deben confiar en que el navegador no sea vulnerable a ataques, no habrá hoyos en la seguridad ni ejecute código malicioso en segundo plano.
El contenido web activo presenta el riesgo de que ejecute código malicioso en segundo plano sin que el usuario se entere. El contenido web activo es cada vez más común y puede presentarse en forma de Applets de Java, controles ActiveX, macros de Word, JavaScript, VBScript, y al descargar o ver archivos de formato Postscript, GIF o JPEG.

Seguridad en el transporte de datos

El transporte de los datos a través de las redes es el aspecto del comercio electrónico que ha recibido la mayor concentración de recursos para asegurar su seguridad. El brindar seguridad a los datos en tránsito implica garantizar la integridad y confidencialidad de los datos, y la autenticidad tanto del emisor como del receptor. La integridad de los datos se refiere a asegurar que los datos no son modificados mientras son transportados a través de la Internet, La confidencialidad se refiere a que los datos no puedan ser leídos por una entidad diferente al receptor y la autenticidad de el emisor y receptor se refiere a garantizar que las partes involucradas en la transmisión sean quienes dicen ser, es decir, que no sean suplantados por terceros.
La necesidad de desarrollar mecanismos de seguridad para el transporte de los datos surge de la naturaleza insegura de la Internet ya que la información en transito se puede leer, copiar, modificar o eliminar mientras se transmite por las diferentes redes. Para brindar la seguridad necesaria en el transporte de los datos se han desarrollado diferentes mecanismos como la encripción de datos, las firmas digitales y los certificados de autenticidad, también se han desarrollado protocolos de comunicación seguros como el SSL (Secure Socket Layer, que es el estándar de facto para la transmisión segura de datos a través de la Internet) o el S-HTTP y protocolos para garantizar la seguridad de las transacciones de pago electrónico como el SET (Secure Electronic Transaction).

Seguridad del servidor web

Los servidores web se componen de tres elementos básicos: el software servidor que se encarga de responder a todas las peticiones de información provenientes de los navegadores, bases de datos donde están almacenados los datos acerca de los productos, servicios o información acerca de los usuarios, y los programas de interfaz entre el software servidor web y las bases de datos, esta interfaz puede hacerse a través de CGI (Common Gateway Interface) que son programas invocados por el servidor web para extraer la información de las bases de datos o a través de ASP o JSP que son programas incluidos en el código HTML y que son ejecutados por módulos del mismo servidor web. Las fallas de seguridad en el server-side (del lado del servidor) se presentan generalmente en el software servidor y en los programas de interfaz con las bases de datos.
Es importante hacer notar que mientras más servicios preste el servidor mayor será la probabilidad de que brinde oportunidades que los atacantes puedan aprovechar. Por eso es necesario escoger entre un servidor con una amplia gama de servicios y que sea inseguro, o un servidor extremadamente seguro pero que no preste muchos servicios. Además de las brechas de seguridad que presentan algunos de los servicios, los programas también tienen fallas en la seguridad que son producto de errores de programación. Este tipo de errores hace que los programas se comporten de manera anormal y son bien conocidos y aprovechados por los atacantes. La única manera de corregir este tipo de problemas es conseguir las actualizaciones de software que corrigen esos errores o conseguir versiones actualizadas del software que no presenten el error.
El software del servidor generalmente lo instala el “súper usuario” o “root”, que tiene todos los derechos y puede acceder a cualquier archivo del sistema. Como los programas del servidor son propiedad del “super usuario” estos se ejecutan con sus privilegios. Esto es necesario debido a que solo los programas con este nivel de privilegio pueden abrir el puerto 80 (http) o el puerto 443 (SSL) y escribir en los archivos de log. Sin embargo, es recomendable configurar el software servidor para reducir sus privilegios de ejecución.

Seguridad en el sistema operativo

El sistema operativo constituye la base sobre la cual se construyen las aplicaciones de comercio electrónico. Si existen vulnerabilidades en el sistema operativo, entonces los datos almacenados en el servidor están expuestos a un ataque, sin importar los mecanismos de seguridad que presenten las aplicaciones o los protocolos de transporte de datos utilizados en las transacciones de comercio electrónico.
Las fallas en la seguridad de los sistemas operativos generalmente son bien conocidas y se pueden solucionar cambiando parámetros de configuración de los mismos para evitar las opciones por defectos de las que se aprovechan la mayoría de los ataques a los sistemas operativos.
La mayoría de las vulnerabilidades de los sistemas operativos se pueden agrupar en cinco categorías, la idea de agruparlos es tener un marco de referencia para comparar la severidad de las vulnerabilidades. Las categorías son:

1. Opciones por defecto:
2. Vulnerabilidades en el software de red.
3. Ataques de negación de servicio.
4. Autenticación débil.
5. Hoyos en el sistema operativo.

Opciones por defecto

Las opciones por defecto se refieren a las opciones de configuración del software que ha sido recién instalado. La mayoría del software viene configurado para maximizar la facilidad de uso, a veces a costa de la seguridad.

Vulnerabilidades en el software de red

El software de red da soporte a los sistemas de archivos compartidos, login remoto, comunicación entre procesos y toda clase de servicios de Internet. Algunos de estos programas están tan integrados con el sistema operativo que se les conoce como sistema operativo de red (NOS por sus siglas en ingles).

Ataques de negación de servicio

Los ataques de negación de servicio intentan hacer que un servidor web deje de funcionar o pierda acceso a la Internet. Los ataques de negación de servicio pueden variar en su extensión, desde hacer que deje de funcionar una sola computadora hasta un sitio completo. Este tipo de ataque se presenta en dos formas diferentes. La primera evita que los usuarios tengan acceso a los servicios ofrecidos por un servidor. La segunda consume los recursos de un equipo o hace que su sistema colapse.

Autenticación débil

La autenticación es utilizada para verificar si un usuario tiene permitido el acceso a los recursos de un sistema. Los sistemas de autenticación no son una medida de seguridad especialmente fuerte debido a que pueden ser engañados con facilidad. El principal problema es la escogencia de las contraseñas por los usuarios, que llevan al problema de autenticación débil.

Hoyos en el sistema operativo

Hay un gran número de programas conocidos como software del sistema, que brinda servicios al sistema operativo. Debido a que el software del sistema realiza una serie de funciones para brindar servicios al sistema operativo, este software generalmente necesita privilegios especiales como acceso de súper usuario. Las vulnerabilidades del software de sistema pueden ser aprovechadas por los usuarios no autorizados para escalar privilegios. A diferencia de las otras categorías de vulnerabilidades del sistema operativo, este tipo de software puede protegerse de los usuarios externos mediante el uso de firewalls.

Realizado por: Jorge Eliecer Jaimes Jimenez - Junio 2008